Es la persona física o moral, ajena a la organización del responsable del tratamiento, que trata los datos personales a nombre y por cuenta del responsable. A diferencia de este último, el encargado no decide qué hacer y cómo usar los datos personales, sino que los emplea siguiendo las instrucciones del responsable.

Por ejemplo, se considera encargado a la empresa que fue contratada por el responsable para administrar su nómina o prestarle el servicio de call center. También sería encargado del tratamiento una empresa que ofrece servicios de cómputo en la nube y que almacena bases de datos de un responsable, o bien, aquélla que contrató el responsable para la destrucción de sus documentos.

Si el encargado tratara los datos personales para finalidades distintas a las especificadas por el responsable que se los entregó, de forma tal que decidiera sobre dicho tratamiento, se convertiría en un responsable, con todas sus obligaciones, y estaría sujeto a las sanciones previstas por la ley, en caso de incumplimiento.