｢개인정보 보호법｣은 개인정보 개념의 모호성과 광범위성을 극복하고 법과 현실의 간극을 없애기 위해 ‘개인정보파일’과 ‘개인정보처리자’ 개념을 따로 설정했다. 그러나 수범자를 한정･구체화하려는 당초 입법목적과 달리 모호한 점이 한계로 지적되지만, 일상생활에서 혼란을 겪는 주체는 개인정보처리자가 아니기 때문에 실익이 없다.
｢개인정보 보호법｣은 개인정보 개념의 모호성과 광범위성을 극복하고 법과 현실의 간극을 없애기 위해 ‘개인정보파일’과 ‘개인정보처리자’ 개념을 따로 설정하고 있다. 개인정보처리자는 동법의 기본적인 수범자다. 업무를 목적으로 ‘개인정보파일’을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다(법 제2조 제5호). ‘개인정보파일’은 개인정보처리자를 설명하는 개념이다. 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물을 의미한다(법 제2조 제4호). 결국 개인정보처리자는 ① ‘업무’와 ② ‘개인정보파일 운용’, 이 두 가지 목적을 가지고 있어야만 한다. 사적인 친분관계에 따라 개인정보를 취급하는 자는 ‘업무’ 요건을 결여하여 개인정보처리자가 아니다. ‘개인정보파일’은 반드시 전자적 형태일 필요는 없지만 일회성 메모나 문서를 제외하여 사소한 행위까지 규제하는 것을 방지했다. 다만, “개인정보파일을 운영하기 위하여…”라는 목적적 개념을 사용해 현재 개인정보파일을 운영하지 않더라도 장래 개인정보파일을 운영할 ‘가능성’만 존재하면 충분하다고 본 점이 한계로 지적된다. 식별 가능성과 마찬가지로 해석의 확장을 가져오고, 문언만으로는 판단 기준이 무엇인지를 알 수 없는 결과를 초래한다. 수범자를 한정･구체화하려는 당초 입법목적과 달리 모호한 개념이 되 버렸다는 것이다. 하지만 개인정보처리자를 둘러싼 논의는 수범자의 혼란과 관련하여 실익이 없어 보인다. 일상생활에서 혼란을 겪는 주체는 개인정보처리자가 아닌 개인정보취급자(법 제28조 제1항) 또는 개인정보를 처리하거나 처리하였던 자(법 제59조)다.