控制者（data controller）是決定處理個人資料的目的與方式的一方，處理者（data processor）是代表控制者處理個人資料的一方（GDPR 第 4 條第 7、8 款；兩個名稱在 GDPR 之前的歐盟資料保護指令就已使用），處理者要依控制者有紀錄的指示（documented instructions）處理（第 28 條第 3 項 (a) 款）。兩個角色描述的是同一組關係的兩端：電商平台替商家保管會員資料時，商家多半是控制者、平台是處理者。台灣個人資料保護法用的是委託機關與受託者，架構與 GDPR 不同：受託者在個資法的適用範圍內視同委託機關（第 4 條），所以不能把兩組名詞逐一對譯。一方在具體契約下是哪一個角色，由法務依契約與適用法規確認。可先對照 Sub-processor（子處理者）。

概念位置

角色決定外洩之後通知的方向。依 GDPR，處理者在知悉個資外洩後要無不當延遲地通知控制者（第 33 條第 2 項）；控制者以通報為預設：除非外洩不太可能對當事人的權利與自由造成風險，否則無不當延遲、可行時不晚於知悉後 72 小時通報主管機關（第 33 條第 1 項），風險高時還要通知當事人（第 34 條）。所以處理者對外的第一則通知是給控制者，通報主管機關與通知當事人由控制者決定。處理者再委託的供應商外洩時，責任怎麼回到處理者身上，見 Sub-processor（子處理者）。處理者另有協助義務：依它掌握的資訊，協助控制者履行通報義務（第 28 條第 3 項 (f) 款）。

可觀察訊號與例子

SaaS 平台的資料處理協議（data processing agreement，DPA）裡寫著平台在疑似外洩時要在多久內通知客戶、通知要包含哪些事實，這一條就是處理者對控制者的通知義務落到契約上的樣子。平台收到商家轉述的詐騙回報時，決定何時先通知商家、通知寫什麼，依據的是這份協議與法規對處理者「知悉」的認定，而不是平台自己的公關考量。

設計責任

替別人處理個人資料的服務，在簽約前就要寫下自己的角色與通知義務，事故時才不必臨時查。外洩時處理者給控制者的各種通知（歸屬未定時的風險預警、確認通知、結案通知、調查報告）各要交付什麼，見 8.26 資料外洩時對商家的通知；資料跨組織交換時契約要寫的通報時限與責任鏈見 7.4 資料保護與遮罩治理〈各節點的收斂動作〉。