Kanun’da, kişisel veri işleme faaliyetlerine ilişkin hukuki yükümlülüklerin yerine getirilmesinde veri sorumlusunun yükümlü olduğu bir sorumluluk rejimi benimsenmiştir.

Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen ise, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir. Buna göre, veri işleyenin veri sorumlusunun talimatlarını yerine getirdiği açıktır.

Kanunda gerek aydınlatma yükümlülüğü gerekse veri güvenliğine ilişkin yükümlülükler de veri sorumlusu üzerinden tanımlanmış olup ilgili kişinin, haklarını veri sorumlusuna karşı ileri sürüleceği düzenlenmiştir.