数据控制者决定处理个人数据的原因和方式；数据处理者仅根据数据控制者的指示处理个人数据。正确处理这些数据至关重要，因为您的角色决定了谁需要合法依据、谁必须回应数据主体的请求、谁负责报告数据泄露，以及如果出现问题谁应承担责任。

如何区分控制器和处理器？

您问谁决定数据处理的目的和方式。数据控制者决定数据处理的目的和基本手段。数据处理者严格按照数据控制者书面指示行事，不得将数据用于自身目的。

合同是否决定你的角色？

不。协议中自称是数据处理者并不意味着你就是数据处理者。如果供应商将数据用于自身目的——例如改进产品、建立用户画像或向相关个人进行营销——那么无论合同如何规定，对于该数据处理而言，它都是数据控制者。

典型的数据处理者：主机托管服务商、严格按照指示执行的薪资代发机构、电子邮件发送服务商。典型的数据控制者（即使受雇于另一方）：执行法定审计的会计师、处理案件的律师、履行自身专业职责的职业健康服务机构。

如果你和另一方共同决定用途呢？

你们即为共同控制者，必须在彼此之间的协议中明确各自的责任，特别是数据主体权利和信息义务。该协议的要点必须告知相关个人。

共同控制的出现频率远超企业预期：共享平台、联合营销活动和社交媒体页面都被视为共同控制。无论企业内部如何划分责任，数据主体都可以对任何一位共同控制者行使权利。

处理协议必须包含哪些内容？

如果您聘请数据处理者，则必须签订书面协议，并且协议内容有明确规定：处理的主题和期限、处理的性质和目的、数据类型和数据主体类别、您作为控制者的指示、保密性、安全措施、聘请子处理者的条件、协助处理数据主体请求和违规通知、协议终止后数据的处理方式以及您的审计权利。

纠纷通常从哪里开始？

实践中，有两个条款最容易引发问题。关于分包处理：一般情况下，允许书面授权，但处理者必须告知您任何拟进行的变更，并给予您提出异议的机会。关于合作关系结束时的返还或删除：应在合作关系结束前，而不是在发生争议时，就适用哪种方式以及采用何种格式达成一致。

如果处理过程中出现问题，谁应承担责任？

作为数据控制者，您需对因违反 GDPR 的数据处理行为造成的损害承担责任。数据处理者仅在未履行 GDPR 明确规定的义务，或其行为超出或违背您的合法指示时才需承担责任。如果双方均参与同一数据处理，则双方均可能对个人遭受的全部损害承担责任，事后双方之间享有追索权——因此，数据处理协议中的赔偿条款值得仔细协商。