Behandlingsansvarlig er den (bedriften) som bestemmer formålet med behandlingen av personopplysninger, og hvilke hjelpemidler som skal brukes. Kort sagt: Bedriften er ansvarlig for behandlingen av personopplysningene.
En bedrift er for eksempel behandlingsansvarlig for opplysninger om egne ansatte, egne privat kunder, kontaktpersoner hos leverandører og bedriftskunder osv.
Det er mulig for bedriften å overlate behandlingen til noen andre, for eksempel en regnskapsfører som fører regnskap og kjører lønn. Bedriften er likevel fortsatt behandlingsansvarlig, fordi det er bedriften som fortsatt bestemmer over bruken.
Bruker man databehandler, må man alltid ha databehandleravtale. Mal for databehandleravtale finner du på Datatilsynets nettsider.