O controlador é a pessoa natural ou jurídica, de direito público ou privado, que realiza a avaliação da legalidade do uso de dados pessoais, por terceiros.

O tratamento de dados pessoais, ressalvados os casos previstos em lei, deve ser precedido do fornecimento do consentimento do titular, e cabe ao controlador o ônus de comprovar que o consentimento foi obtido em conformidade com a lei.

O controlador não pode, em hipótese alguma, compartilhar dados pessoais sensíveis com outros controladores com o objetivo de obter vantagem econômica.

O controlador deve assegurar que o tratamento de dados pessoais de crianças e de adolescentes será realizado em seu melhor interesse e que será precedido do consentimento específico dado por todos os genitores ou representantes legais do menor.

O controlador não deve manter registro das operações de tratamento de dados pessoais que realize, por se tratar de obrigação legal reservada ao operador.