第二十条 两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。
个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。
【条文主旨】
本条是关于多个信息处理者共同决定处理个人信息的义务和责任的规定。
【条文理解】
实践中，由于个人信息处理涉及收集、使用、传输等多个环节，不同环节或者同一环节往往会涉及多个信息处理主体，涉及共同决定处理个人信息时，往往需要通过协议的形式约定他们之间的权利义务。同时，这又与个人信息的主体之间的自然人的个人信息权益直接相关，有必要区分信息处理者内部权利义务关系和信息处理者与自然人之间的外部权利义务关系进行规定。其中，第1款规定了多个数据处理者共同处理个人信息时，可以通过合同的方式约定其内部权利义务关系，但是这一约定不能影响该被处理个人信息所对应的自然人对他们其中任何一个主体主张相应权利。这也符合当事人之间的内部约定不能对抗第三人的基本法理。
本条第2款规定了数个信息处理者共同处理个人信息构成共同侵权，依法应当承担连带责任的情形。从逻辑体系上，本款规定的情形属于《民法典》第1168条规定的共同侵权的情形，属于共同侵权责任承担规则在个人信息保护领域的具体化。
一、关于数个信息处理者之间的约定不能对抗信息主体的适用问题
对此，要注意以下几点：一是数个信息处理者之间有个信息处理的权利义务约定，属于《民法典》合同编调整的合同情形，应当适用合同编的相关规定，尤其与《民法典》第467条第1款做好衔接，该款规定：“本法或者其他法律没有明文规定的合同，适用本编通则的规定，并可以参照适用本编或者其他法律最相类似合同的规定。”二是自然人可以向信息处理者主张的权利包括《个人信息保护法》及其他法律所规定的所有个人信息权益，此主张不受信息处理者之间约定的限制，从该条文义上看，无论该自然人是否知晓信息处理者之间的约定均不影响其权利的行使，除非构成权利滥用。对此，《民法典》第132条规定：“民事主体不得滥用民事权利损害国家利益、社会公共利益或者他人合法权益。”当然，如果该自然人同意仅向其中一人主张相应权利的，基于意思自治原则，在不违反法律强制性规定的情况下，也应予以准许。三是本条规定的适用不仅包括自然人向信息处理者主张权利的情形，还包括每一个信息处理者都要受本法规定的信息处理规则的约束。当然，其中一个信息处理者履行相应义务或者按照本法要求处理个人信息已经能够保护自然人个人信息权益的，则不必再要求其他信息处理者继续重复相应行为。
二、关于共同侵权法律规则的适用
本条第2款规定是共同侵权行为的适用在个人信息保护领域中的具体化，有关共同侵权的规则对于数个个人信息处理者共同实施侵害自然人个人信息权益的行为具有普遍适用的效力。本款适用的关键在于对“共同”的认定上。依照《民法典》第1168条的规定，构成共同侵权行为需要满足以下几个要件：
一是侵权主体的复数性。共同侵权行为的主体必须是两个以上的主体。行为主体既可以是自然人，也可以是法人。这是共同侵权行为所应具备的基本特征。
二是共同实施侵权行为。这一要件中的“共同”主要包括三层含义：其一，共同故意实施的行为。基于共同故意侵害他人合法权益的，属于典型的共同侵权行为。其二，共同过失实施的行为。共同过失主要是数个行为人共同从事某种行为，基于共同的疏忽大意或者过于自信的过失，而造成他人的损害。其三，数个侵权行为相结合而实施的行为造成他人的损害。换言之，在数个行为人之间尽管没有意思联络，但他们的行为结合在一起，造成了同一个损害结果，形成了客观的关联共同，也构成共同侵权行为。[3]此为我们结合上述分析得到的见解，如何更好地与《民法典》第178条所规定的责任份额相衔接，还需要审判实务中结合上述分析不断积累实践经验，推动形成指导性案例乃至司法解释，以在维护公平正义、促进法律适用统一方面发挥更大的作用。
三是侵权行为与损害后果之间具有因果关系。在共同侵权行为中，有时各个侵权行为对造成损害后果的比例有所不同，但必须存在法律上的因果关系。
四是受害人的损害需具有不可分割性。这是受害人请求共同侵权人承担连带责任的一个基本要件。无损害，则无救济；没有共同的损害结果，则没有共同侵权责任承担的基础。