Ποιος είναι ο υπεύθυνος επεξεργασίας και ποιος είναι ο εκτελών την επεξεργασία; 
Ο ΓΚΠΔ κάνει διάκριση μεταξύ δύο κύριων ρόλων: του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία. Η διάκριση αυτή είναι ζωτικής σημασίας, δεδομένου ότι ο υπεύθυνος επεξεργασίας φέρει μεγαλύτερη ευθύνη και υπόκειται σε περισσότερες υποχρεώσεις από ό,τι ο εκτελών την επεξεργασία.

Οι υπεύθυνοι επεξεργασίας και οι εκτελούντες την επεξεργασία μπορούν να είναι φυσικά ή νομικά πρόσωπα, για παράδειγμα: ΜΜΕ, δημόσια αρχή, εταιρεία, οργανισμός, κρατικός φορέας, ένωση κ.λπ.

Ο υπεύθυνος επεξεργασίας καθορίζει τους σκοπούς και τα μέσα μιας πράξης επεξεργασίας. Με άλλα λόγια, ο υπεύθυνος επεξεργασίας αποφασίζει τον σκοπό και τον τρόπο μιας πράξης επεξεργασίας, ενώ οι εκτελούντες την επεξεργασία επεξεργάζονται προσωπικά δεδομένα για λογαριασμό του υπευθύνου επεξεργασίας. Η επεξεργασία που διενεργείται από τους εκτελούντες την επεξεργασία πρέπει να ρυθμίζεται από σύμβαση με τον υπεύθυνο επεξεργασίας ή άλλη νομική πράξη.

Παραδείγματα υπευθύνων επεξεργασίας:

• εταιρείες που επεξεργάζονται τα προσωπικά δεδομένα των πελατών τους για να ολοκληρώσουν μια πώληση·
• χρηματοπιστωτικά ιδρύματα που επεξεργάζονται προσωπικά δεδομένα των πελατών τους·
• ενώσεις που επεξεργάζονται τα δεδομένα των μελών τους·
• σχολεία ή πανεπιστήμια που επεξεργάζονται προσωπικά δεδομένα σπουδαστών και εκπαιδευτικών·
• νοσοκομεία που επεξεργάζονται προσωπικά δεδομένα των ασθενών τους·
• κυβερνητικές υπηρεσίες που επεξεργάζονται προσωπικά δεδομένα πολιτών.

Παραδείγματα εκτελούντων την επεξεργασία:

• μια ΜΜΕ προσλαμβάνει υπηρεσία τήρησης λογιστικών βιβλίων για να τηρεί τα βιβλία και τα αρχεία της, η ΜΜΕ είναι υπεύθυνος επεξεργασίας και η υπηρεσία τήρησης λογιστικών βιβλίων είναι εκτελών την επεξεργασία·
• μια εταιρεία μισθοδοσίας επεξεργάζεται προσωπικά δεδομένα για μια ΜΜΕ. Η εταιρεία μισθοδοσίας θα ενεργεί ως εκτελών την επεξεργασία εάν επεξεργάζεται αποκλειστικά τα προσωπικά δεδομένα για λογαριασμό της ΜΜΕ. Η ΜΜΕ καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας δεδομένων και, ως εκ τούτου, είναι υπεύθυνος επεξεργασίας.
• μια ΜΜΕ αναθέτει σε μια εταιρεία μάρκετινγκ να συλλέγει διευθύνσεις ηλεκτρονικού ταχυδρομείου μέσω ιστότοπων τρίτων.  Η εταιρεία μάρκετινγκ το πράττει αυτό σύμφωνα με τις ρητές οδηγίες της ΜΜΕ και για τους αποκλειστικούς σκοπούς της ΜΜΕ. Η εταιρεία μάρκετινγκ ενεργεί ως εκτελών την επεξεργασία αυτής της συλλογής προσωπικών δεδομένων.

Περισσότερες πληροφορίες:

• Υπεύθυνος επεξεργασίας ή εκτελών την επεξεργασία

Ο ΥΠΔ μπορεί να είναι υφιστάμενος υπάλληλος με επαρκή γνώση του ΓΚΠΔ (εάν τα επαγγελματικά καθήκοντα του εργαζομένου είναι συμβατά με εκείνα του ΥΠΔ και αυτό δεν οδηγεί σε συγκρούσεις συμφερόντων) ή εξωτερικό πρόσωπο. Ο ΥΠΔ θα πρέπει να είναι σε θέση να εκτελεί καθήκοντα ανεξάρτητα και θα πρέπει να είναι σε θέση να λογοδοτεί  απευθείας στην ανώτατη διοίκηση.

Περισσότερες πληροφορίες:

• Υπεύθυνος προστασίας δεδομένων