O controlador será uma pessoa jurídica, de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais.

O operador será uma pessoa natural que realiza o tratamento de dados pessoais em nome do controlador.

O encarregado pode ser definido como a pessoa jurídica indicada pelo operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados.

A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.

O operador deverá realizar o tratamento segundo as instruções fornecidas pelo titular dos dados, que verificará a observância das próprias instruções e das normas sobre a matéria.