É a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. O controlador pode exercer diretamente o tratamento dos dados, mas pode, também, designar um operador.