管理共同控制者安排
概述
当两个或多个控制者共同决定处理的目的和方式时，适用第 26 条。共同控制者必须订立安排，透明地确定各自在合规方面的责任，尤其是在数据主体权利和透明度义务方面。安排的要点必须向数据主体提供。
判定共同控制
当两个或多个实体满足以下条件时，存在共同控制：
共同决定目的——两个实体都影响数据处理的原因。
共同决定方式——两个实体都影响数据处理的方式（本质方式，而非仅技术实现细节）。
关键指标
指标 | 指向共同控制 | 不指向共同控制
目的的共同决定 | 双方决定数据处理的原因 | 一方决定目的；另一方仅执行
共享平台 | 双方在共同平台上上传/访问数据 | 一方托管；另一方仅提供输入
共享数据集 | 双方对合并数据集均有贡献并从中受益 | 一方仅为另一方的目的处理
相互受益 | 双方从处理中获得独立利益 | 仅一方受益；另一方纯为服务提供者
对方式的影响 | 双方对本质方面（哪些数据、保留多久、谁可访问）有发言权 | 一方决定所有本质方式；另一方仅实施
欧盟法院判例指引
Wirtschaftsakademie Schleswig-Holstein（C-210/16）：Facebook 粉丝页管理员与 Facebook 是共同控制者，因为管理员创建页面使 Facebook 的处理得以进行，且管理员从访客统计中受益。
耶和华见证人（C-25/17）：组织挨家挨户传道并协调其成员收集个人数据的宗教团体与这些成员是共同控制者。
Fashion ID（C-40/17）：嵌入 Facebook Like 按钮的网站与 Facebook 就插件触发的数据收集和传输是共同控制者。
第 26 条安排要求
共同控制者之间的安排必须以透明方式确定：
- 各自责任
责任领域 | 分配选项
合法依据的确定 | 哪个控制者负责确立并记录合法依据
隐私声明（第 13-14 条） | 哪个控制者向数据主体提供透明度信息
数据主体权利（第 15-22 条） | 哪个控制者作为联络点并处理请求
数据安全（第 32 条） | 哪个控制者实施并维护安全措施
违规通知（第 33-34 条） | 哪个控制者通知监管机构和数据主体
DPIA（第 35 条） | 哪个控制者开展 DPIA
处理记录（第 30 条） | 两个控制者如何维护各自的 RoPA 条目
- 数据主体联络点
安排必须为数据主体指定联络点。无论安排如何，数据主体均可向任一共同控制者行使权利（第 26(3) 条）。
- 透明度
安排的要点必须向数据主体提供。这不要求公布完整的商业协议，但必须涵盖：
两个共同控制者的身份
责任如何划分
数据主体如何行使权利
指定的联络点
安排模板结构
合规的第 26 条安排应包括：
当事方与定义：法律实体名称、注册地址、角色。
共同处理范围：涵盖的具体处理活动、个人数据类别、数据主体类别。
目的确定：目的如何共同确定，以及各方的利益是什么。
方式确定：各方决定哪些本质方式（数据元素、保留、访问、安全标准）。
责任分配：按上表详细分配。
数据主体权利：指定联络点、处理程序、合作义务。
透明度：如何向数据主体传达安排的要点。
安全义务：各方承诺的最低安全标准。
违规管理：各方之间以及向监管机构/数据主体的通知义务。
责任：内部责任分配（注意：根据第 82(4)-(5) 条，对数据主体的外部责任为连带责任）。
期限与终止：持续时间、退出条款及终止时的数据处理。
实操考虑
连带责任
根据第 82(4) 条，每个共同控制者都对违反 GDPR 的处理造成的全部损害承担责任。共同控制者只有在证明其对造成损害的事件不负责任时，才可依据第 82(3) 条免除责任。安排中的内部责任分配不影响数据主体向任一控制者索赔的权利。
监管机构行动
根据第 26(3) 条，数据主体可以针对每一个及任何一个共同控制者行使权利，无论安排如何。监管机构也可就共同处理的全范围调查任一共同控制者。
与第 28 条的关系
对于特定处理活动，共同控制与控制器-处理者关系相互排斥。如果实体 A 决定目的和方式，实体 B 仅按 A 的指示处理，则该关系为控制器-处理者（第 28 条）。如果双方都决定目的和方式，则该关系为共同控制（第 26 条）。