Kişisel Verileri Koruma Kanun’u, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi “veri işleyen” olarak tanımlamıştır. Veri işleyen, kişisel veri işleme faaliyetlerini veri sorumlusundan aldığı talimatlar doğrultusunda gerçekleştirmelidir.
Veri sorumluları elde ettikleri kişisel verileri Kanuna aykırı olarak başkalarına açıklayamaz veya işleme amacı dışında kullanamazlar. Bu yükümlülükleri görevden ayrılmaları halinde de devam eder. Diğer yandan, veri sorumluları için düzenlenen sır saklama yükümlülüğü veri işleyenlere de getirilmiştir. Ek olarak veri işleyenler de veri güvenliğinin sağlanması için tedbir almakla yükümlüdür.
Herhangi bir gerçek veya tüzel kişi hem veri sorumlusu hem de veri işleyen olabilir. Örneğin, bir hukuk şirketi kendi personeliyle ilgili tuttuğu kişisel verilere ilişkin olarak veri sorumlusuyken, müşterisi olan şirketlere ilişkin tuttuğu kişisel veriler açısındansa veri işleyen olarak kabul edilecektir.