04 理解数据角色（Understanding Data Roles）

Domain 1 收尾篇 · 谁对数据负责？一张”身份牌”清单

一句话秒懂

数据不是”大家的”，每个经手人都有明确角色：谁拥有、谁保管、谁用、谁决定怎么收集——责任边界清楚了，出事才知道找谁。

把数据当一栋楼：业主（Owner）定规则、聘物业；物业（Custodian）日常维护巡检；住户（User）只用自己的房间；而 GDPR 体系下还有”开发商/包租公”（Controller 决定用途）和”外包保洁”（Processor 按指示干活）。

对数据负有最终组织责任的人，通常是 CEO、总裁或部门主管。职责（NIST SP 800-18）：

人员须定期确认已读并同意 AUP/行为规则（常通过电子签名）。

所有者把日常技术活委派给保管者——通常是 IT 人员/系统管理员。负责：

User（用户）：经计算系统访问数据完成工作的人，仅应获工作所需的最小数据（最小权限）。
Data Subject（数据主体，GDPR）：能被标识符（姓名、ID、位置、在线标识等）识别的自然人。如文件含 Sally Smith 的 PII，Sally 就是数据主体。

Data Controller（数据控制者）：决定”为何处理、如何处理”个人数据的实体（定”how”和”why”），即便自己不动手。
Data Processor（数据处理者）：仅代表控制者处理个人数据的组织（如外包的薪资公司）。必须只按控制者指示用数据，不得另作他用。
例：雇主收集员工信息发工资→雇主是 Controller；把信息交给第三方薪资公司→该公司是 Processor。
GDPR 违规罚款最高全球营收 4% 或 2000 万欧元，取高者。因此许多组织设 DPO（数据保护官，Data Protection Officer） 监督合规——GDPR 强制要求相关组织设此角色。

对处理数据的系统负责（补充角色，Summary 提及）。

题型 A：问”谁最终负责确定数据分类” → Data Owner。
题型 B：GDPR 场景”外包薪资公司只按雇主指示处理员工数据” → 该公司是 Processor，雇主是 Controller。
必记混淆项：① Owner 负终责、Custodian 只干技术活；② Controller 定”目的/方式”、Processor 只执行；③ DPO 是 GDPR 强制角色；④ 罚款上限 4% 全球营收或 2000 万欧。

“主(O)定规则、管(C)干维护、用(U)取所需；GDPR 里控(Controller)定调、处(Processor)照办、主(Subject)是被收集的人、DPO 盯合规。”