关于共同处理的损害赔偿责任解析

个人信息处理者共同决定个人信息的处理目的、处理方式，该处理行为侵害个人信息权益造成损害的，构成民法典第一千一百六十八条规定的共同侵权行为，共同处理者应当对该损害承担连带赔偿责任。从国外的立法来看，要求共同处理者对共同处理行为导致的侵权行为承担连带赔偿责任，是通行做法，比如欧盟《通用数据保护条例》第八十二条第四款规定，如果有多个数据控制者且应对处理活动造成的损害承担责任时，每一个控制者都应当对整个损害承担全部责任。在因共同处理侵权行为的情形下，被侵权人可以要求任何一个处理者承担全部赔偿责任，也可以要求共同处理者共同承担全部赔偿责任。

第二十一条　个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。

受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。

未经个人信息处理者同意，受托人不得转委托他人处理个人信息。(www.xing528.com)

［释义］本条是关于委托处理个人信息的规定。

个人信息处理者作为决定处理目的和处理方式的主体，可能不具备处理能力，需要委托他人来处理个人信息；有的个人信息处理者处理个人信息数量大、业务复杂，需要委托其他细分领域的主体来处理个人信息。本条根据民法典关于委托合同的规定对个人信息处理者委托处理个人信息作出了规定。