Organisation ou personne qui détermine les finalités et les moyens du traitement des données personnelles — c'est-à-dire qui décide pourquoi et comment les données personnelles sont collectées et utilisées.
Le concept de responsable du traitement provient du droit européen de la protection de la vie privée (RGPD) et est de plus en plus référencé dans les discussions canadiennes sur la protection de la vie privée. Le responsable du traitement est chargé de s'assurer que les données personnelles sont traitées de manière licite, équitable et transparente, et que les droits des personnes concernées sont respectés.
En revanche, un sous-traitant agit pour le compte du responsable du traitement — par exemple, un fournisseur de services en nuage qui stocke des données pour une entreprise. L'entreprise est le responsable du traitement; le fournisseur en nuage est le sous-traitant.
Au Canada, la LPRPDE utilise une terminologie différente mais le concept sous-jacent est similaire : l'organisation qui collecte et utilise des renseignements personnels est responsable de leur protection, qu'elle partage ou non les données avec des tiers pour le traitement.
Exemple : Un hôpital collecte des informations de santé des patients pour fournir des soins. L'hôpital est le responsable du traitement — il détermine quelles informations sont collectées, pourquoi et comment elles sont utilisées. Si l'hôpital utilise une société de logiciels tierce pour gérer son système de dossiers, cette société est un sous-traitant agissant selon les instructions de l'hôpital.
Ceci est une information éducative, pas un avis juridique.