Kto jest administratorem, a kto podmiotem przetwarzającym dane?

W większości projektów to firma klienta jest administratorem danych: decyduje o celach i sposobach przetwarzania, ponieważ dane są jej, a jej klienci są jej klientami. Podmiot, który tworzy i utrzymuje system, działa jako podmiot przetwarzający, czyli przetwarza te dane w imieniu administratora i zgodnie z jego poleceniami. Role te powinny być ustalone na piśmie, ponieważ wynikają z nich różne obowiązki.