El artículo 3 apartado d) de la LOPD define al responsable del fichero o tratamiento como aquella "(...) persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento".

El apartado g) de este mismo precepto define al encargado del tratamiento como aquella "(...) persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento".

En virtud de las definiciones anteriores, se puede colegir que tanto el responsable del fichero o tratamiento como el encargado del tratamiento tienen una serie de obligaciones en materia de protección de datos, tales como inscribir los ficheros en el Registro General de la Agencia de Protección de Datos, velar por el cumplimiento de los principios que rigen en materia de protección de datos, hacer efectivo la tutela de derechos en materia de protección de datos, establecer las medidas de seguridad de índole organizativas, técnicas y de personal en materia de protección de datos, así como disponer del Documento de Seguridad.