决定数据处理目的与方式的实体（自然人/法人/公共机构）。
代表控制者处理个人数据的实体。例如云服务商、HR外包。
可被识别的自然人。GDPR 赋予其访问、更正、删除等权利。
各成员国独立公共机构，监督GDPR适用。例如CNIL、ICO。
数据保护官，协助组织合规，是监管机构与数据主体的联络点。
| 角色 | 核心法律责任 | 典型罚则风险 |
|---|---|---|
| 数据控制者 | 实施适当技术与组织措施；保障数据主体权利；进行DPIA | 最高2000万欧元或全球年营业额4% |
| 数据处理者 | 仅按控制者书面指令处理；协助控制者履行义务；通知个人数据泄露 | 最高1000万欧元或年营业额2% |
| 数据主体 | （权利主体）无直接罚款，但可主张赔偿 | — |
| 监管机构 | 独立监督、合作一致、促进公众意识 | （不适用罚款，但可被司法审查） |
| DPO | 提供咨询、监督合规、作为联络点；受保密义务约束 | 组织因DPO缺位或阻碍履职可能被罚 |
/* GDPR 第37条 · DPO 任命条件 (示例) */
if (publicAuthority ||
largeScaleMonitoring ||
largeScaleSensitiveData) {
mandatoryDPO = true;
console.log("必须指定数据保护官 (DPO)");
} else {
voluntaryDPO = true; // 鼓励任命
}
// DPO 联系方式需向监管机构报备
contactDPO: "dpo@company.eu"