個人情報保護法は、「個人情報取扱事業者」を「個人情報データベース等を事業の用に供している者をいう。」と定義しています（個人情報保護法16条2項）。

「事業の用に供している者」とは、一般企業のような営利事業を行う者のみならず、NPO法人のような非営利団体も含まれます。

ただし、個人情報データベース等を事業の用に供する者であっても、国の機関、地方公共団体、独立行政法人は「個人情報取扱事業者」に含まれません。

また、2015年の個人情報保護法改正前までは、データベースに含まれる個人情報によって特定される個人の数が5000人を超えない場合には、そのデータベースを用いる者は、「個人情報取扱事業者」には当たらず、「個人情報取扱事業者」に関する個人情報保護法の規定が適用されませんでした。

しかし、同年の改正により、上記緩和措置が撤廃されたため、取り扱う個人情報の数にかかわらず、個人情報データベース等を事業の用に供する者は、個人情報取扱事業者となります。

なお、当該「個人情報データベース等」を構成する個人情報を、「個人データ」といいます（同法16条3項）。