A Lei Geral de Proteção de Dados Pessoais é regida pela Lei nº 13.709, de 14 de agosto de 2018. No seu Art. 5º, ficou estabelecida a existência de duas pessoas naturais ou jurídicas, de direito público ou privado, com competências bem definidas. À primeira cabem as decisões referentes ao tratamento de dados pessoais e, à segunda, a realização em si do tratamento de dados pessoais. Essas pessoas naturais ou jurídicas são denominadas, respectivamente: