Det är den personuppgiftsansvariga som ansvarar för efterlevnaden av GDPR. Det är viktigt att förtydliga att det inte är den enskilda medarbetaren hos den personuppgiftsansvariga som har det yttersta ansvaret för att behandlingen sker enligt GDPR, även om medarbetaren givetvis skall följa företagets rutiner och instruktioner på området.
Ett personuppgiftsbiträde har ett ansvar att följa de instruktioner som den personuppgiftsansvariga lämnat och får inte behandla personuppgifterna på något annat sätt. Personuppgiftsbiträdet har även ett visst självständigt ansvar i att säkerställa att den behandling som efterfrågas i instruktionerna uppfyller de krav som ställs enligt regelverket och meddela den personuppgiftsansvariga om att personuppgiftsbiträdet anser att instruktionerna står i strid med GDPR. Om personuppgiftsbiträdesavtalet ger utrymme för anlitandet av så kallade underbiträden, måste personuppgiftsbiträdet även säkerställa att underbiträdet ger tillräckliga garantier om att skyldigheterna i regelverket kommer att uppfyllas och att de registrerades rättigheter skyddas.