一句话回答：共同处理个人信息本身不违法，但两家以上的处理者共同决定处理目的和方式的，必须约定各自的权利义务；一旦侵害个人信息权益造成损害，对个人承担的是连带责任——个人可以找其中任何一家索赔，你们内部怎么分，是你们自己的事。

一、法律依据：个人信息保护法第20条

《个人信息保护法》第20条规定：两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。

要注意和第21条的委托处理区分开：委托处理是“你定目的、我按你的要求干活”，受托人只能在约定范围内处理，超出范围就是自己的责任；共同处理是大家一起决定处理目的和方式，是共同决定人的关系，所以对外要连带。有些企业只签了一份“数据处理协议”，但实际上是双方共同决定处理目的，仍会被认定为共同处理。

罚则方面，第66条规定：违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，并处五千万元以下或者上一年度营业额百分之五以下罚款，对责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

二、实务中哪些场景最常见

一是联合营销，平台和商家共享会员名单做推广；二是联合风控，多家机构共建黑名单、反欺诈名单；三是集团内多主体共用一个App、一套后台，实际由多个法人体共同决定；四是合作研发、联名活动中双方共同决定收集哪些信息。实务中要注意三点：协议里写清各自处理的目的、方式、信息种类、保存期限、安全措施和责任分担；对外告知、取得同意时，把共同处理的事实和各方身份讲清楚；任何一方都不能以内部约定为由，拒绝个人行使查阅、复制、删除等权利。

三、案例分析（示意情景）

以下为示意情景，非真实案件：某电商平台与第三方运营公司联合推出会员活动，双方共同决定收集用户的手机号、消费偏好并共同使用。后因一方数据库被拖库导致信息泄露，用户把两家一起起诉。法院认定双方共同决定处理目的和方式，属于共同处理，判令承担连带责任；平台赔付后再依内部协议向运营公司追偿。这个情景提醒企业：把谁决定、谁负责、出事怎么追偿写进协议，同时各自把安全措施做实，是最省钱的风控。

四、常见问题（FAQ）

问：共同处理个人信息需要取得个人同意吗？

答：需要。共同处理改变不了告知同意的要求，对外仍要向个人告知各处理者身份、处理目的、方式和信息种类，并依法取得同意。

问：内部约定了责任划分，个人还能找任意一家索赔吗？

答：可以。约定是内部关系，不影响个人向任何一个处理者要求行使权利，也不影响对个人承担连带责任。

问：共同处理和委托处理的区别是什么？

答：共同处理是共同决定处理目的和方式，对外承担连带责任；委托处理是受托人按委托人的要求处理，只能在约定范围内处理，超出范围自己担责。

问：违反个人信息保护法最多会被罚多少？

答：拒不改正的，并处一百万元以下罚款，责任人员一万元以上十万元以下；情节严重的，并处五千万元以下或者上一年度营业额百分之五以下罚款，责任人员十万元以上一百万元以下，并可能被禁止在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

问：协议里没写责任分担，出了事怎么处理？

答：对外仍要承担连带责任，对内按各方过错和收益情况分担，容易扯皮。所以协议必须在合作开始前就签好。

提醒一句：判断是共同处理还是委托处理，不看协议名称，看谁在实质上决定处理目的和方式。合作前把这一条想清楚，比事后追偿划算得多。

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512