Kanunda veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Veri sorumlusu tüzel kişinin organizasyonu dışında, veri sorumlusu ile kişisel veri işleme bakımından hukuki ilişki içerisinde olan her bir gerçek ve/veya tüzel kişi kişisel veri işleme faaliyetinin niteliğine göre veri sorumlusu (örneğin mali müşavirler, avukatlar, bankalar, sigorta şirketleri) veya veri işleyen (örneğin bilgi işlem hizmet sağlayıcılar, arşivleme hizmeti verenler, çağrı merkezi hizmeti verenler) sayılabilecektir. Bu sebeple veri sorumlusunun tüzel kişi olması halinde veri işleyen, veri sorumlusu tüzel kişinin organizasyonunun dışındaki kişidir.