快速回答： 在GDPR下，数据控制者决定个人数据的处理目的和方式，而数据处理者仅根据控制者的指示处理数据。责任差异显著：控制者承担最广泛的责任，而处理者只有在其行为超出合法指示或违反专门针对他们的GDPR义务时，才会面临直接责任。
关键要点
- 数据控制者决定处理的目的和方式；数据处理者代表控制者行事。
- 控制者承担主要的GDPR责任；处理者仅在特定情况下根据第82条面临直接责任。
- 两种角色可以在一个组织内同时存在，一家公司可以是自己客户的控制者，同时也是另一家企业的处理者。
- 每当控制者聘请处理者时，必须签署具有法律约束力的数据处理协议（DPA）。
- 子处理者需要获得控制者的事先书面授权；主要处理者对子处理者的行为承担完全责任。
- 错误分类您的角色是合规风险，可能使您的组织面临监管处罚。
- 使用个人数据进行自身目的的处理者自动成为该处理活动的控制者。
- 英国《数据（使用和访问）法案》2026年引入了进一步的变化，组织应及时审查以符合英国GDPR的要求。
GDPR下数据控制者与数据处理者之间的区别是什么？
数据控制者是指任何决定个人数据处理目的和方式的实体。数据处理者是指任何代表控制者处理个人数据的实体，严格遵循控制者的指示[1]。
这种区别取决于决策权。如果您的组织决定为什么收集数据以及如何使用数据，您就是控制者。如果您的组织仅因另一个实体的指示而处理数据，并且您对目的没有独立的发言权，您就是处理者。
实际示例：
| 场景 | 角色 |
|---|---|
| 一家电子商务零售商收集客户购买数据 | 控制者 |
| 一家云托管提供商存储该零售商的数据库 | 处理者 |
| 一家薪资SaaS平台为雇主处理员工数据 | 处理者 |
| 一家营销机构建立自己的潜在客户名单 | 控制者 |
| 一家CRM供应商访问客户数据以提供支持 | 处理者 |
信息专员办公室（ICO）强调，合同中的标签并不决定角色，实际行为才是[1]。在合同中被称为“处理者”的供应商，但对数据使用做出独立决策，法律上仍然是控制者，无论协议中如何规定。
数据控制者在GDPR下的主要责任是什么？
控制者在GDPR下承担最重的合规负担。他们对整个数据生命周期负责，并必须确保他们聘请的任何处理者符合GDPR标准[3]。
核心控制者义务包括：
- 为每项处理活动建立并记录合法依据
- 向数据主体提供透明的隐私通知
- 促进数据主体的权利，包括访问、纠正、删除、可携带性和反对
- 对高风险处理进行数据保护影响评估（DPIA）
- 在需要时任命数据保护官（DPO）
- 在聘请处理者之前进行尽职调查，并监控其持续合规性
- 与每个聘用的处理者签署书面数据处理协议[3]
控制者不能将责任外包。即使处理者导致违规，控制者仍需对其选择的处理者及合同保障的充分性向监管机构负责。
数据处理者在GDPR下的主要责任是什么？
处理者有直接的GDPR义务，而不仅仅是合同义务，不能将合规视为仅仅是控制者的问题[3]。
数据处理者在GDPR下的直接义务包括：
- 仅根据控制者的书面指示处理数据
- 实施适当的技术和组织安全措施
- 保持所有代表控制者进行的处理活动的记录
- 在不延误的情况下通知控制者任何数据泄露
- 协助控制者满足数据主体的权利请求
- 在合同终止时删除或返回所有个人数据
- 仅在获得控制者的事先书面授权后聘请子处理者[3]
“处理者在GDPR下有直接义务，而不仅仅是合同责任，如果他们超出控制者的合法指示行事，将面临监管风险。”
如果发生数据泄露，谁负责：控制者还是处理者？
两者都可能承担责任，但范围不同。根据GDPR第82条，任何因GDPR违规而遭受损害的人都有权向负责的控制者或处理者索赔[2]。
控制者对任何违反GDPR的处理造成的损害负责。处理者仅在未能遵守专门针对处理者的GDPR义务，或在超出或违反控制者的合法指示时，才会承担责任[2]。
责任分配的实际情况：
- 如果处理者因控制者提供的安全指示不足而遭受泄露，控制者可能承担主要责任。
- 如果处理者忽视控制者的安全要求，处理者承担直接责任。
- 两者都可能被共同和分别追究责任，这意味着数据主体可以向任一方追索全部损害赔偿，之后再由他们自行分配责任。
处理者可以通过证明其对造成损害的事件没有过错来逃避责任[2]。这是一个高标准：处理者必须证明完全遵守其GDPR义务。
一家公司可以同时是控制者和处理者吗？
可以。一个组织可以同时作为某些处理活动的控制者和其他活动的处理者，即使在同一商业关系中也是如此[1]。
例如，一家数字营销机构在管理自己的员工人力资源数据时可以作为控制者，而在使用客户数据进行广告活动时则作为处理者。角色是按活动逐一确定的，而不是按公司来确定。
如果处理者将数据用于自身目的，是否会成为控制者？
处理者在使用个人数据进行超出控制者指示的目的时，自动成为控制者[1]。这是实践中最具影响力的错误分类之一。
如果一家云分析供应商未经授权开始挖掘客户数据以训练自己的AI模型，它就已经超出了处理者的角色，并在该活动中承担了控制者的身份，随之而来的GDPR义务和责任风险也随之而来。没有合同条款可以阻止这种重新分类；这是一种事实问题，而不是协议问题。
数据处理协议如何保护处理者免受责任？
数据处理协议（DPA）是GDPR下控制者聘请处理者时的强制性法律文书[3]。对于处理者而言，精心起草的DPA是限制责任风险的主要机制。
合规的DPA必须具体说明：
- 处理的主题、持续时间、性质和目的
- 涉及的个人数据类型和数据主体类别
- 控制者的义务和权利
- 授权人员的保密要求
- 要实施的安全措施
- 聘请子处理者的条件
- 合同结束时返回或删除数据的程序[3]
当处理者严格在DPA的范围内行事时，任何由此产生的损害责任主要转移给控制者。相反，如果处理者超出了这些指示，DPA则成为偏离的证据，而不是保护伞。
如果处理者违反GDPR规则，会发生什么？
违反GDPR的处理者面临监管罚款和民事责任。监管机构可以直接对处理者处以行政罚款，最高可达2000万欧元或全球年营业额的4%，以较高者为准，针对最严重的违规行为[2]。
除了罚款，处理者还面临根据第82条来自遭受损害的数据主体的索赔。他们还可能面临根据DPA对控制者的合同责任，包括赔偿义务。
处理者需要自己的数据保护官吗？
处理者需遵循与控制者相同的DPO任命标准。如果处理者进行大规模、系统性地监控个人，或大规模处理特殊类别的数据或刑事定罪数据，则必须任命DPO[1]。
作为处理者并不免除组织的DPO要求。许多作为处理者的大型云服务提供商和SaaS平台由于处理的数据量和敏感性，必须保持DPO。
控制者和处理者在GDPR罚款方面有什么区别？
GDPR的两级罚款结构同样适用于控制者和处理者。第一层涵盖较轻的违规行为（最高1000万欧元或全球营业额的2%）；第二层涵盖最严重的违规行为，包括非法处理和未能尊重数据主体的权利（最高2000万欧元或全球营业额的4%）[2]。
处理者没有法定折扣。然而，在实践中，监管机构在确定罚款金额时会评估过错、合作程度和违规性质，这些因素可能导致同一事件中控制者与处理者的结果不同。
子处理者的责任与主要处理者不同吗？
子处理者承担与主要处理者相同的GDPR义务，但在合同上是与主要处理者而非直接与控制者绑定。关键区别在于：主要处理者对控制者对子处理者的表现承担完全责任[3]。
如果子处理者导致泄露，控制者的法律救济将针对主要处理者。主要处理者必须单独追索子处理者。子处理者也可能因自身的GDPR违规行为面临监管机构的直接行动。
子处理者规则一览：
- 在聘请任何子处理者之前，必须获得控制者的事先书面授权
- 主要处理者必须对子处理者施加等同的数据保护义务
- 主要处理者不能通过指责子处理者的过错来逃避责任
如何确定您在业务中是控制者还是处理者？
确定取决于一个问题：您的组织是否独立决定为什么处理个人数据？如果是，您就是控制者。如果您仅因另一个实体的指示而处理数据，并且没有独立目的，您就是处理者[1]。
实用决策清单：
- 谁最初决定收集这些数据？
- 谁确定数据将用于什么目的？
- 您的组织是否对数据的处理有自由裁量权，还是在遵循另一方的规范？
- 如果另一方撤回指示，处理是否会停止？
- 您是否在为任何独立于组织利益的目的使用数据？
如果您的答案在这些问题中指向不同的方向，您可能是共同控制者，这种情况需要与另一方达成单独的透明安排[1]。
公司在控制者和处理者角色上常犯的错误是什么？
错误分类是最常见的错误，并且带来了真正的合规后果。组织常常假设在合同中被称为“供应商”或“服务提供商”就使他们成为处理者，而实际上他们的行为使他们符合控制者的资格。
其他常见错误：
- 跳过DPA： 控制者在没有书面DPA的情况下聘请处理者，直接违反GDPR，无论处理者的系统多么安全。
- 未能审查子处理者： 控制者常常忽视其处理者未经授权或没有等同合同保护聘请子处理者。
- 假设处理者处理数据主体权利： 控制者仍然负责回应数据主体请求；处理者仅提供协助。
- 忽视重新分类风险： 扩展服务并开始使用客户数据进行分析、模型训练或基准测试的处理者，可能在未意识到转变的情况下不经意间成为控制者。
对于管理跨网站和数字资产的同意和数据流的组织，像Biscotti CMP这样的同意管理平台可以帮助控制者记录合法依据并管理同意记录，这是控制者在GDPR下责任的基础要素。
小企业应如何处理控制者与处理者的责任？
小企业并不免于GDPR的控制者-处理者框架。如果小企业收集客户数据，即使只是用于新闻通讯的电子邮件地址，它也是控制者，必须遵守所有控制者义务。
小企业的实用步骤：
- 映射每个处理您个人数据的工具或供应商（电子邮件平台、分析工具、支付处理器、CRM）。
- 确认与每个供应商是否存在签署的DPA。
- 验证每个供应商的DPA是否符合GDPR最低要求。
- 发布符合要求的隐私通知，准确描述您的处理活动。
- 建立在30天法定窗口内回应数据主体请求的流程。
英国《数据（使用和访问）法案》2026年于2026年6月19日获得皇家批准，进一步修改了数据保护法，英国的小企业应与法律顾问审查以确保其控制者义务保持最新[1]。
常见问题
问：SaaS公司总是处理者吗？ SaaS公司只有在严格代表客户处理个人数据且没有独立目的时才是处理者。如果它将客户数据用于自身的分析、产品改进或营销，则在这些活动中成为控制者。
问：处理者需要向监管机构注册吗？ 注册要求因欧盟成员国而异。然而，如果处理者雇佣250人或更多，或处理可能导致对数据主体风险的活动，则必须根据GDPR第30条保持内部处理活动记录（RoPA）。
问：处理者可以拒绝控制者的指示吗？ 可以，如果遵循该指示会要求处理者违反GDPR。在这种情况下，处理者应通知控制者，如果指示未得到纠正，可能需要终止关系。
问：什么是共同控制者安排？ 共同控制者是指两个或多个实体共同决定处理的目的和方式。他们必须在透明的安排中记录各自的责任，并向数据主体提供该安排的实质内容[1]。
问：DPA需要保持多长时间有效？ DPA应在处理关系持续期间保持有效。终止后，它管理处理者删除或返回所有个人数据的义务。
问：处理者对控制者所受罚款负责吗？ 不。罚款是针对实施违规行为的实体评估的。然而，处理者可能因自身的违规行为面临单独的罚款，并可能面临来自控制者根据DPA的赔偿索赔。
问：GDPR适用于位于欧盟以外的处理者吗？ 是的。当处理者代表位于欧盟的控制者处理欧盟居民的个人数据，或在其他情况下受GDPR第3条的地域范围约束时，GDPR适用于位于欧盟以外的处理者。
问：DPA与标准合同条款有什么区别？ DPA管理国内的控制者-处理者关系。标准合同条款（SCC）是将个人数据转移到缺乏适当性决定的第三国的特定合同机制。
结论
控制者与处理者：了解您在GDPR下的责任并不是一个抽象的法律练习，它决定了谁面临监管罚款，谁赔偿数据主体，谁在出现问题时对监管机构负责。这个区别基于关于决策权的事实问题，而不是合同标签。
可行的下一步：
- 进行数据映射，以识别每项处理活动及您组织在每项活动中的角色。
- 审核现有供应商合同，以确认与您聘用的每个处理者签署了合规的DPA。
- 审查子处理者安排，以确保存在事先授权并施加等同的义务。
- 如果您在不同活动中同时作为控制者和处理者，请分别记录每个角色。
- 对于英国组织，与合格法律顾问审查《数据（使用和访问）法案》2026年的影响。
- 部署像Biscotti CMP这样的同意管理解决方案，以维护可审计的同意记录并支持您的控制者义务。
错误分类不是技术细节，而是直接影响财务和声誉的合规缺口。从一开始就正确处理角色是任何组织可以进行的最具成本效益的GDPR投资。
参考文献
[2] 第82条GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] 控制者与处理者关系 - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai