Współadministratorzy danych — art. 26 RODO, podział obowiązków i prawa osób

Stan prawny: 17 października 2026 r. Analiza WILIŃSKI LEGAL.

Odpowiedź w skrócie

Współadministracja występuje, gdy dwa lub więcej podmiotów wspólnie ustala cele i sposoby przetwarzania. Art. 26 RODO wymaga przejrzystych uzgodnień dotyczących odpowiedzialności i udostępnienia ich zasadniczej treści osobom. Niezależnie od uzgodnień osoba może realizować swoje prawa wobec każdego ze współadministratorów.

Wspólny cel i wspólna decyzja

O kwalifikacji współadministratorów decyduje rzeczywisty udział w ustalaniu celów i sposobów przetwarzania, a nie jedynie podpisane nazwy w umowie. Dwie firmy organizujące wspólną platformę mogą wspólnie podejmować istotne decyzje dotyczące danych użytkowników. Nie oznacza to jednak, że każde współdziałanie handlowe prowadzi do współadministracji. Trzeba odróżnić niezależnych administratorów, współadministratorów i relację administrator–procesor, w której podmiot przetwarzający działa zgodnie z instrukcjami.

Art. 26 nie jest zwykłą umową powierzenia

Umowa powierzenia z art. 28 służy innej relacji niż wspólne określanie celów i sposobów. Nie wystarczy nazwać jedną firmę procesorem, jeśli w praktyce samodzielnie współdecyduje o istotnych celach wykorzystania danych. Podobnie samo nazwanie stron współadministratorami nie zmienia automatycznie ich rzeczywistych funkcji. W audycie trzeba ustalić, kto wybiera podstawy prawne, zakres kategorii danych, czas przechowywania i kluczowe parametry procesu.

Uzgodnienia o odpowiedzialności

Art. 26 ust. 1 wymaga przejrzystych uzgodnień określających odpowiednie zakresy odpowiedzialności, zwłaszcza za prawa osoby i obowiązki informacyjne z art. 13–14. Należy wskazać sposób odbierania żądań, weryfikacji tożsamości, obsługi incydentów i udzielania odpowiedzi. Zamiast ogólnego zapisu, że „każda strona odpowiada za RODO”, warto określić konkretne zadania oraz zasady współpracy, aby żadna osoba nie pozostawała bez odpowiedzi.

Zasadnicza treść uzgodnień dla osób

Art. 26 ust. 2 zobowiązuje do udostępnienia osobom zasadniczej treści uzgodnień. Nie oznacza to konieczności publikowania całej poufnej umowy handlowej, ale użytkownik powinien rozumieć rzeczywiste role oraz sposób korzystania z praw. Nie należy ukrywać współadministracji za ogólnym regulaminem, który nie pozwala ustalić odpowiedzialności. Jasna informacja o punkcie kontaktowym może ułatwić obsługę, choć sama w sobie nie wyczerpuje wymogów.

Prawo wobec każdego współadministratora

Art. 26 ust. 3 zastrzega, że niezależnie od wzajemnych uzgodnień osoba może wykonywać przysługujące jej prawa wobec każdego ze współadministratorów. Nie jest więc dopuszczalne odsyłanie żądającego bez końca między firmami tylko dlatego, że umowa wewnętrzna wskazuje inny podmiot jako główny punkt kontaktu. Strony muszą współpracować w sposób zapewniający rzeczywistą realizację prawa, nawet jeżeli organizacyjnie rozdzieliły konkretne zadania.

TSUE C-683/21 i brak warunku wcześniejszej umowy

Trybunał Sprawiedliwości w sprawie C-683/21 wyjaśnił, że kwalifikacja współadministratorów nie wymaga istnienia wcześniejszych formalnych uzgodnień co do celów i sposobów przetwarzania. Wynika z faktycznego uczestnictwa w ich ustalaniu. Uzgodnienia są natomiast obowiązkiem podmiotów, które już spełniają warunki współadministracji. Nie można zatem uniknąć obowiązków RODO przez celowe niezawarcie umowy ani uznać, że brak podpisu wyklucza wspólną odpowiedzialność.

Incydent i odpowiedzialność za działania partnera

Gdy naruszenie wystąpi w systemie kontrolowanym przez jednego z partnerów, trzeba sprawdzić jego rolę, wspólne decyzje i rzeczywiste obowiązki poszczególnych podmiotów. Uzgodnienia mogą opisywać organizację działań, ale nie znoszą praw osoby fizycznej. Potrzebna jest procedura szybkiego informowania o naruszeniach, dostęp do odpowiednich logów i ustalenie, kto przygotowuje zgłoszenia do organu nadzorczego. Nie należy zakładać, że wewnętrzny podział obowiązków zawsze eliminuje odpowiedzialność zewnętrzną.

Przykład

Dwie organizacje prowadzą wspólną platformę rejestracyjną dla wydarzenia, ustalają grupę odbiorców, zakres danych i sposób ich wykorzystania do dalszej komunikacji. Mogą być współadministratorami w określonym zakresie. Powinny przygotować uzgodnienia, ustalić informacje dla użytkowników i procedurę obsługi żądań. Jeśli jedna organizacja pełni jedynie funkcję dostawcy technicznego na instrukcje drugiej, kwalifikacja może być odmienna — decydują faktyczne cele i sposoby przetwarzania.

Właściwy materiał źródłowy

Oceniając art. 26 rodo współadministratorzy danych, należy rozpocząć od dokumentów pozwalających jednoznacznie określić strony, zakres sporu i historię istotnych czynności. Szczególną wartość mają źródła powstałe na bieżąco, takie jak umowy, wpisy w rejestrach, korespondencja i protokoły. Późniejsze deklaracje powinny być weryfikowane w świetle tych materiałów. Warto oddzielić dane obiektywne od założeń i ocen, aby nie budować żądania procesowego na nieudokumentowanej hipotezie.

Kontrargumenty i proporcjonalność

W sporze każda ze stron może przedstawiać inną kwalifikację faktów i własne dowody. Odpowiedź powinna dotyczyć konkretnych ustawowych przesłanek, a nie oceny charakteru przeciwnika. Należy rozważyć także skutki dla osób trzecich oraz to, czy wybrany instrument prawny jest proporcjonalny do naruszenia. Nie zawsze ten sam fakt prowadzi do jedynego dopuszczalnego roszczenia. Czasem odrębna procedura pozwala osiągnąć ochronę szybciej i z mniejszym ryzykiem.

Konstrukcja wniosku i żądań

Dobrze przygotowane pismo zawiera ustaloną podstawę prawną, precyzyjny opis faktów, wskazanie odpowiednich dowodów i określenie skutku, którego strona oczekuje. Nie należy ograniczać się do cytowania przepisu bez wykazania jego poszczególnych warunków. Tam, gdzie wymagana jest wartość świadczenia, powinna opierać się na sprawdzalnych danych i przejrzystych obliczeniach. W przypadku działań organizacyjnych trzeba ustalić właściwy podmiot i kompetencję osoby podejmującej decyzję.

Wnioski i dalsze działania

Przed podjęciem ostatecznej czynności warto zweryfikować aktualność dokumentów, wpływ terminów i możliwość polubownego uporządkowania sytuacji. Przejrzystość argumentacji pozwala wyeliminować pozornie atrakcyjne, ale nieadekwatne środki ochrony. Istotne jest też prawidłowe dokumentowanie wykonanych czynności, tak aby późniejsza kontrola mogła odtworzyć ich podstawę i chronologię. Nie należy deklarować gwarantowanego rezultatu bez indywidualnej analizy przesłanek.

Checklista

1. Sprawdź właściwą podstawę prawną.
2. Wskaż konkretne przesłanki, terminy i uprawnionych.
3. Zgromadź chronologię i dokumenty.
4. Oceń kontrargumenty oraz interes osób trzecich.
5. Sformułuj wykonalne żądanie albo proces organizacyjny.

Źródła i podstawy prawne

Art. 26 i 4 pkt 7 RODO, wyrok TSUE C-683/21. RODO — oficjalny tekst rozporządzenia, EUR-Lex.

Rola faktyczna jest ważniejsza od nazwy umowy

Wspólny projekt biznesowy powinien zostać rozpisany na konkretne operacje: zbieranie danych, ustalenie celu, wybór kryteriów dostępu, przekazywanie informacji i ich dalsze wykorzystanie. W każdej z nich należy ustalić, kto rzeczywiście podejmuje decyzje o celach i istotnych sposobach przetwarzania. Jedna organizacja może być współadministrowana w danym procesie, a działać jako odrębny administrator w innym. Należy zatem unikać uniwersalnych etykiet, które rzekomo obejmują całość działalności partnerów. Kluczowe jest również określenie, jak osoba może skorzystać z prawa dostępu czy usunięcia danych wobec każdego ze współadministratorów. Nieodpowiedni podział obowiązków może powodować opóźnienia, które mają bezpośrednie skutki dla użytkowników.

Weryfikacja i kontrola wykonania

Właściwa ochrona prawna wymaga potwierdzenia wszystkich relewantnych okoliczności, a nie wyłącznie przywołania odpowiedniego artykułu. Należy ustalić zakres dokumentów, daty czynności i rzeczywiste skutki danego zdarzenia. Każda z możliwych dróg ochrony ma odrębne przesłanki oraz ograniczenia. Dlatego rzetelna analiza powinna wskazywać zarówno mocne strony argumentacji, jak i realne ryzyko przyjęcia odmiennej oceny przez organ lub sąd. Szczególną uwagę trzeba poświęcić temu, czy wybrany środek jest możliwy do wykonania i nie narusza uzasadnionych praw osób trzecich.