A LGPD define como agentes de tratamento o Controlador e o Operador, os quais possuem diversas responsabilidades com relação às operações de tratamento de dados pessoais:
Os agentes de tratamento são considerados sob o ponto de vista institucional, ou seja, a instituição é o agente de tratamento (Controlador ou Operador) e não uma área, equipe ou funcionário. O mesmo raciocínio serve para o setor público: servidores e funcionários não podem ser considerados controladores. Não existe um cargo público de controlador de dados. Esse papel será assumido pelos entes federativos e órgãos e entidades para os quais trabalham.
Na prática, a principal diferença é que o Controlador é aquele a quem compete o poder das decisões sobre o tratamento dos dados e o Operador vai seguir as orientações do Controlador na utilização dos dados.