Os agentes de tratamento são as figuras responsáveis por todo o ciclo de vida dos dados pessoais. O controlador toma as decisões sobre o tratamento dos dados, como suas finalidades e formas de tratamento. Já o operador executa essas decisões seguindo as instruções recebidas pelo controlador, atuando em seu nome no tratamento de dados. A correta identificação de cada agente é a base da responsabilização estabelecida pela LGPD.

Além de garantir medidas de segurança adequadas, o controlador e o operador precisam manter registros de atividades de tratamento atualizados, adotar cláusulas contratuais que definam seus papéis e manter canais de contato com titulares e com a ANPD.