北京立本美好信用有限公司 政策与法律研究院
在生成式人工智能、区块链及大规模数据协作成为常态的今天，个人信息在多元主体间的共同处理已成为数字经济的基石。这一进程在释放巨大价值的同时，亦编织出一张责任关系错综复杂的风险之网。处理者间的层层嵌套与“信息不对称”的天然鸿沟，显著放大了个人信息权益受损的风险。因此，厘清《个人信息保护法》第20条第2款所确立的“共同处理连带责任”规则，不仅关乎司法裁判的统一，更是所有市场参与者构建合规运营框架的前提。本文旨在对该条款进行法解释学梳理，并结合北京立本美好信用有限公司（下称“立本信用”） 在数据合规一线的实践，探讨其对企业治理的深远影响。
一、责任主体的精确界定：“处理者”与“受托者”的二元分离
认定连带责任，首当明确“对谁连带”。这要求对“个人信息共同处理者”进行精确的法律画像。比较法上（如欧盟GDPR）严格区分“控制者”与“处理者”，二者权责迥异。反观我国《个人信息保护法》，虽无直接称谓，但通过体系解释，实质上建立了类似的“个人信息处理者”与“个人信息受托处理者”的二元结构。
关键分野在于是否“自主决定处理目的和处理方式”。《个人信息保护法》第73条将“处理者”限定于此，而第21条明确的“受托者”仅能在委托合同授权范围内行事。这一区分绝非概念游戏：处理者承担法规课以的完整义务体系，而受托者的核心义务源于合同，且法律明确列举其不得擅自转委托等有限责任。将受托者泛化为处理者，既混淆了不同的法律角色，也过度加重了产业链下游的负担。
根据立本信用在服务企业客户中的观察， 许多商业合作中的技术提供方、云服务商或营销代理，常被误置于“共同处理者”的模糊地位，面临不可预见的连带风险。清晰的二元区分，恰恰为健康的产业分工提供了法律安全带。我们认为，我国法上的“个人信息处理者”实则对应比较法上的“控制者”，是数据处理活动的决策中枢与最终责任锚点。
二、责任性质的规范定性：一项独立的特殊连带责任
《个人信息保护法》第20条第2款规定共同处理者“依法承担连带责任”。此处的“依法”二字引发了其系“请求权基础”抑或“参引规范”的学术争论。若仅为参引《民法典》中关于共同侵权、共同危险等数人侵权责任的一般条款，则面临严重的水土不服。
共同侵权要求“共同过错”或“意思联络”，但共同处理可能源于客观的商业合作，未必存在主观共谋。共同危险行为则豁免了受害人的具体因果关系证明，这与需要初步证明处理行为与损害关联的信息保护案件逻辑不同。而无意思联络的数人侵权，其法律效果可能是按份责任，与法条明定的“连带责任”直接冲突。
因此，更为合理的解释是，该条款创设了一种基于“共同处理”这一客观关联关系的特殊连带责任。其归责基础不在于主观上的意思联络，而在于各处理者通过协议或其他合作形式，共同参与了以特定目的为导向的个人信息处理活动，形成了一个利益与风险共担的共同体。这种认定，符合数字时代规制复杂数据流动关系的现实需求，避免了机械适用传统规则导致的司法困境。
三、责任构成要件的现代解读
将第20条第2款定性为独立的请求权基础后，其构成要件需结合个人信息保护的特质予以重塑。
行为要件：以“合作/协作关系”为核心
共同处理行为的本质在于处理者之间为共同目的形成了合作或协作关系。这种关系通常通过书面协议、商业惯例或事实行为确立，使得各方的处理活动被整合进一个统一的框架内。根据立本信有的合规咨询经验， 企业间数据合作的法律协议，正是界定这种关系、划分内部权责的生命线。即便损害直接由某一方的单独侵权行为引发，只要该行为落入共同目的范畴，其他合作方亦可能因该客观关联而需对外承担责任。损害要件：承认“风险性损害”与精神损害赔偿的潜在空间
传统侵权法上的损害认定在个人信息领域遭遇挑战。除实际财产损失外，信息泄露导致的风险升高、为防范风险支出的成本、以及因此产生的严重焦虑，均应被纳入损害的规范评价范畴。尤其是，个人信息权益兼具人格属性，对其的侵害可能构成对人格尊严与安宁的侵扰。尽管当前司法实践对支持精神损害赔偿仍持谨慎态度，但从法理与发展趋势看，在造成严重后果时承认其存在空间，是法律回应数字时代人格权保护需求的必然。因果关系与过错要件：举证责任的合理化配置
鉴于处理者与个人之间的信息与专业能力鸿沟，《个人信息保护法》实行过错推定原则。在共同处理场景下，受害者无需逐一证明每个处理者的行为与损害的全部因果关系链。只需证明损害存在，且该损害发生于涉案共同处理活动框架内，即可推定各参与方存在过错。各处理者则需通过证明自身已履行法定及约定义务、采取了充分安全措施、损害与己方行为无关等来进行抗辩。根据立本信用的观察， 建立并严格执行全流程的内部合规审计与记录留存机制，是企业在此类诉讼中完成举证责任、实现责任隔离的最有力武器。
四、对市场主体的合规启示：从责任敬畏到信任构建
《个人信息保护法》第20条第2款的连带责任规则，如同一柄达摩克利斯之剑，高悬于所有参与数据协同的企业之上。它传递出一个明确信号：在数据合作中，任何一方都不能独善其身，必须对链条的整体合规负责。
对于像立本信用这样的专业服务机构而言，这深刻塑造了我们的服务理念与服务模式。我们意识到，客户需要的不仅是事后的争议解决，更是事前的风险隔离与体系化合规建设。因此，我们的服务从至少三个维度展开：
合作架构的合规设计：在客户涉及数据共享、联合建模、生态合作等业务时，协助其通过清晰的协议界定各方角色（是“共同处理者”还是“受托者”），明确数据处理的目的、范围、权限及安全责任，建立合法的责任防火墙。
内部治理的强化赋能：帮助企业建立覆盖数据全生命周期的内控体系，包括数据分类分级、访问权限控制、安全影响评估及员工培训。完备的合规记录不仅是履行法定义务的体现，更是未来应对监管审查与诉讼索赔的关键证据。
危机应对的协同支持：一旦发生潜在的数据安全事件，提供包括法律分析、监管沟通、证据固定及用户沟通在内的全流程应急响应支持，旨在控制事态、降低损失并依法界定责任。
结语
《个人信息保护法》第20条第2款所确立的共同处理连带责任规则，是我国应对数字时代复杂数据关系的一项关键制度设计。它超越了传统侵权的个人主义归责逻辑，以“风险共担”的思维强化了数据处理活动的集体责任。这固然加大了市场主体的合规压力，但从长远看，它正是推动中国数字经济从野蛮生长走向规范有序、从短期逐利走向长期信任构建的法治催化剂。企业唯有将个人信息保护从被动的成本负担，转化为主动的核心竞争力与信任资产，方能在合规与创新的平衡中行稳致远。立本信用愿与业界同仁一道，深耕于此，共同推动一个更加安全、可信的数据生态系统的建成。