3. 数据控制者与处理者的责任

3.1 角色划分——谁说了算，谁干苦力

GDPR 里最头疼的问题之一，就是“控制者”和“处理者”到底怎么分。我刚开始做合规项目时，客户总说“我们两家一起管数据”，结果一查合同，责任全是糊的。

说白了：

• 控制者（Controller）——决定“为什么”和“怎么”处理数据的人。你说了算，出了事你负责。
• 处理者（Processor）——按控制者的指令干活的人。你不能自己拍脑袋，不能把数据拿去干别的。

举个例子。你们公司用 AWS 存客户档案，你们是控制者，AWS 是处理者。你们决定存多久、怎么删，AWS 只管按指令存和删。嗯，这里要注意：如果 AWS 自己手贱把数据拿去做模型训练，那它就变成控制者了，责任就大了。

3.2 合同要求——没有模板自己扛，别信口头承诺

GDPR 第 28 条要求控制者和处理者之间必须签书面合同。我亲眼见过一家创业公司，跟外包客服团队只发了封邮件“帮我处理一下用户数据”，结果数据泄露后监管罚了 20 万欧元。为啥？合同里连安全措施都没写。

合同至少得包含：

1. 处理范围、性质、目的——别写“全权处理”，必须具体。
2. 数据类别和数据主体类型——比如“姓名、电话、地址”还是“生物识别信息”。
3. 安全措施——加密、访问控制、备份策略，白纸黑字。
4. 子处理者授权——处理者不能自己再分包，必须经过控制者书面同意。
5. 协助义务——处理者要帮控制者响应数据主体请求、处理数据泄露报告。
6. 删除或返还数据——服务结束后，处理者必须把数据删干净或交回来。

条款项	典型遗漏	后果
子处理者名单	只写“分包需同意”，不给清单	处理者偷偷换子处理者，你都不知道
删除期限	写“合同终止后尽快删除”	“尽快”可以拖半年，数据残留是常态
数据泄露通知	没写具体时限	处理者拖几天才告诉你，你没法在 72 小时内向监管报告

3.3 共同控制场景——多个锅盖一个锅，责任怎么分

现实生活中，两家公司经常一起决定怎么用数据。比如你们跟一个营销平台合作搞用户画像，两边都决定“用什么数据、推什么广告”，这就是共同控制。

GDPR 第 26 条说：共同控制者必须签协议，明确各自的责任。注意了——对外部数据主体和监管来说，你们是连带责任。数据主体找谁投诉都行，你们内部谁对谁错自己掰扯，但不能拿“协议没写好”当挡箭牌。

3.4 归档场景下的角色落地

回到归档这件事上。我给你们画个图，把角色和归档流程串起来。

你看这张图：控制者制定归档策略（存多久、怎么删），处理者负责执行（搬数据、加索引、做备份）。如果是共同控制，两边都得在协议里写清楚谁负责定保留期，谁负责执行删除。千万别写“双方协商”，最后会没人拍板。

3.5 实操避坑清单

• 合同要管到子处理者——你签的处理者如果又分包给了云厂商，那个云厂商也得遵守同样的条款。
• 归档≠永久保存——GDPR 要求“存储期限最小化”，归档后超过保留期的数据必须删。我见过公司把失效数据也归档，结果被罚。
• 共同控制协议必须书面——口头承诺不算数。协议里至少写清楚：谁负责答复数据主体的访问请求，谁负责删除。
• 定期审计处理者——别只靠合同。我建议每年做一次 DPA（数据处理协议）合规检查，看他们有没有按合同配置归档策略。