联合控制方权责不清导致的监管追责案例

GDPR第26条明确规定母子公司跨境数据处理属于联合控制主体，需明确双方权责边界、落实协同合规义务，若存在权责划分模糊、管控脱节、责任悬空问题，监管机构将对母子公司实施双向追责，这也是跨国企业ERP系统合规管控的核心痛点。多起欧盟真实处罚案例显示，多数跨国集团因未签订完善的联合控制协议、未细化双方数据处理权责、未建立协同整改机制，在数据违规事件发生后，出现母子公司互相推诿、责任无法界定的情况，最终被监管机构全域追责、叠加处罚。2024年Uber跨境数据违规追责案件是联合控制权责不清的典型标杆案例，荷兰数据保护局在核查Uber欧盟司机数据跨境传输违规事件中明确认定，Uber荷兰子公司与美国总部属于法定联合控制主体，双方共同决定欧盟个人数据的处理目的、处理方式与跨境流转范围。但经查实，双方未签订正式的母子公司联合控制协议，无书面权责划分条款，日常ERP系统数据处理、跨境流转、安全防护、用户行权响应、风险整改等工作无明确责任分工，出现“子公司负责前端采集、总部负责后台归集，出事无人担责”的管控盲区。违规事件暴露后，子公司主张数据跨境归集由总部统筹管控、自身无决策权限，总部主张前端数据处理由子公司负责、自身仅做数据汇总，权责推诿导致合规整改长期滞后。监管机构最终认定双方均未履行联合控制合规义务，母子公司双向承担违规责任，叠加处以2.9亿欧元罚款，同时责令其限期完善联合控制权责体系、补齐协议与流程短板。另一典型案例为2025年IAB Europe广告科技行业联合控制追责案，比利时市场法院明确判定，行业平台与入驻企业构成数据联合控制主体，因双方权责划分模糊、无协同合规机制，在用户授权数据违规处理事件中，对双方同步追责。该案延伸至母子公司管控场景，再次印证GDPR监管从严原则：只要参与数据处理决策、参与系统数据管控，未明确权责边界即需承担连带责任。此外，2023年爱尔兰数据监管机构对某跨境电商集团处罚案件中，查实该集团境内母公司与欧洲子公司仅签署简易合作协议，未针对ERP系统数据处理、跨境流转、隐私防护、风险处置细化联合管控权责，日常合规自查、审计、培训工作无人统筹，数据泄露后双方均未落实整改义务，最终母子公司同步被处罚，且需承担用户维权连带赔偿责任。多起案例充分体现GDPR对联合控制主体的严苛监管逻辑：监管不认可企业内部口头权责划分，仅以书面协议、流程规范、落地台账为追责依据，权责空白、管控脱节、协同失效均属于独立违规情形。结合集团NetSuite母子公司联合管控场景，上述案例警示必须完善母子公司联合控制协议，细化境内外主体在系统运维、数据处理、跨境流转、风险整改、审计备查等各环节的权责边界，建立协同合规、联合整改、权责对应的闭环机制，彻底规避权责不清引发的双向追责风险。