Współadministratorzy danych — art. 26 RODO, podział obowiązków i prawa osób

Stan prawny: 17 października 2026 r. Analiza WILIŃSKI LEGAL.

Odpowiedź w skrócie

Współadministracja występuje, gdy dwa lub więcej podmiotów wspólnie ustala cele i sposoby przetwarzania. Art. 26 RODO wymaga przejrzystych uzgodnień dotyczących odpowiedzialności i udostępnienia ich zasadniczej treści osobom. Niezależnie od uzgodnień osoba może realizować swoje prawa wobec każdego ze współadministratorów.

Wspólny cel i wspólna decyzja

O kwalifikacji współadministratorów decyduje rzeczywisty udział w ustalaniu celów i sposobów przetwarzania, a nie jedynie podpisane nazwy w umowie. Dwie firmy organizujące wspólną platformę mogą wspólnie podejmować istotne decyzje dotyczące danych użytkowników. Nie oznacza to jednak, że każde współdziałanie handlowe prowadzi do współadministracji. Trzeba odróżnić niezależnych administratorów, współadministratorów i relację administrator–procesor, w której podmiot przetwarzający działa zgodnie z instrukcjami.

Art. 26 nie jest zwykłą umową powierzenia

Umowa powierzenia z art. 28 służy innej relacji niż wspólne określanie celów i sposobów. Nie wystarczy nazwać jedną firmę procesorem, jeśli w praktyce samodzielnie współdecyduje o istotnych celach wykorzystania danych. Podobnie samo nazwanie stron współadministratorami nie zmienia automatycznie ich rzeczywistych funkcji. W audycie trzeba ustalić, kto wybiera podstawy prawne, zakres kategorii danych, czas przechowywania i kluczowe parametry procesu.

Uzgodnienia o odpowiedzialności

Art. 26 ust. 1 wymaga przejrzystych uzgodnień określających odpowiednie zakresy odpowiedzialności, zwłaszcza za prawa osoby i obowiązki informacyjne z art. 13–14. Należy wskazać sposób odbierania żądań, weryfikacji tożsamości, obsługi incydentów i udzielania odpowiedzi. Zamiast ogólnego zapisu, że „każda strona odpowiada za RODO”, warto określić konkretne zadania oraz zasady współpracy, aby żadna osoba nie pozostawała bez odpowiedzi.

Zasadnicza treść uzgodnień dla osób

Art. 26 ust. 2 zobowiązuje do udostępnienia osobom zasadniczej treści uzgodnień. Nie oznacza to konieczności publikowania całej poufnej umowy handlowej, ale użytkownik powinien rozumieć rzeczywiste role oraz sposób korzystania z praw. Nie należy ukrywać współadministracji za ogólnym regulaminem, który nie pozwala ustalić odpowiedzialności. Jasna informacja o punkcie kontaktowym może ułatwić obsługę, choć sama w sobie nie wyczerpuje wymogów.

Prawo wobec każdego współadministratora

Art. 26 ust. 3 zastrzega, że niezależnie od wzajemnych uzgodnień osoba może wykonywać przysługujące jej prawa wobec każdego ze współadministratorów. Nie jest więc dopuszczalne odsyłanie żądającego bez końca między firmami tylko dlatego, że umowa wewnętrzna wskazuje inny podmiot jako główny punkt kontaktu. Strony muszą współpracować w sposób zapewniający rzeczywistą realizację prawa, nawet jeżeli organizacyjnie rozdzieliły konkretne zadania.

TSUE C-683/21 i brak warunku wcześniejszej umowy

Trybunał Sprawiedliwości w sprawie C-683/21 wyjaśnił, że kwalifikacja współadministratorów nie wymaga istnienia wcześniejszych formalnych uzgodnień co do celów i sposobów przetwarzania. Wynika z faktycznego uczestnictwa w ich ustalaniu. Uzgodnienia są natomiast obowiązkiem podmiotów, które już spełniają warunki współadministracji. Nie można zatem uniknąć obowiązków RODO przez celowe niezawarcie umowy ani uznać, że brak podpisu wyklucza wspólną odpowiedzialność.

Incydent i odpowiedzialność za działania partnera

Gdy naruszenie wystąpi w systemie kontrolowanym przez jednego z partnerów, trzeba sprawdzić jego rolę, wspólne decyzje i rzeczywiste obowiązki poszczególnych podmiotów. Uzgodnienia mogą opisywać organizację działań, ale nie znoszą praw osoby fizycznej. Potrzebna jest procedura szybkiego informowania o naruszeniach, dostęp do odpowiednich logów i ustalenie, kto przygotowuje zgłoszenia do organu nadzorczego. Nie należy zakładać, że wewnętrzny podział obowiązków zawsze eliminuje odpowiedzialność zewnętrzną.

Przykład

Dwie organizacje prowadzą wspólną platformę rejestracyjną dla wydarzenia, ustalają grupę odbiorców, zakres danych i sposób ich wykorzystania do dalszej komunikacji. Mogą być współadministratorami w określonym zakresie. Powinny przygotować uzgodnienia, ustalić informacje dla użytkowników i procedurę obsługi żądań. Jeśli jedna organizacja pełni jedynie funkcję dostawcy technicznego na instrukcje drugiej, kwalifikacja może być odmienna — decydują faktyczne cele i sposoby przetwarzania.

Właściwy materiał źródłowy

Oceniając art. 26 rodo współadministratorzy danych, należy rozpocząć od dokumentów pozwalających jednoznacznie określić strony, zakres sporu i historię istotnych czynności. Szczególną wartość mają źródła powstałe na bieżąco, takie jak umowy, wpisy w rejestrach, korespondencja i protokoły. Późniejsze deklaracje powinny być weryfikowane w świetle tych materiałów. Warto oddzielić dane obiektywne od założeń i ocen, aby nie budować żądania procesowego na nieudokumentowanej hipotezie.

Kontrargumenty i proporcjonalność

Współadministracja nie powstaje tylko dlatego, że dwa podmioty korzystają z tego samego oprogramowania. Istotne jest rzeczywiste wspólne ustalanie celów i sposobów przetwarzania danych. Uzgodnienie z art. 26 RODO powinno opisywać podział odpowiedzialności, zwłaszcza za udzielanie informacji i obsługę żądań osób. Dokument nie może jednak wyłączać wobec osoby, której dane dotyczą, praw wynikających z rozporządzenia. Należy odróżnić współadministrację od przekazania danych niezależnemu administratorowi i od powierzenia przetwarzania.

Checklista

1. Sprawdź właściwą podstawę prawną.
2. Wskaż konkretne przesłanki, terminy i uprawnionych.
3. Zgromadź chronologię i dokumenty.
4. Oceń kontrargumenty oraz interes osób trzecich.
5. Sformułuj wykonalne żądanie albo proces organizacyjny.

Rola faktyczna jest ważniejsza od nazwy umowy

Wspólny projekt biznesowy powinien zostać rozpisany na konkretne operacje: zbieranie danych, ustalenie celu, wybór kryteriów dostępu, przekazywanie informacji i ich dalsze wykorzystanie. W każdej z nich należy ustalić, kto rzeczywiście podejmuje decyzje o celach i istotnych sposobach przetwarzania. Jedna organizacja może być współadministrowana w danym procesie, a działać jako odrębny administrator w innym. Należy zatem unikać uniwersalnych etykiet, które rzekomo obejmują całość działalności partnerów. Kluczowe jest również określenie, jak osoba może skorzystać z prawa dostępu czy usunięcia danych wobec każdego ze współadministratorów. Nieodpowiedni podział obowiązków może powodować opóźnienia, które mają bezpośrednie skutki dla użytkowników.

Źródła i podstawy prawne

Art. 26 i 4 pkt 7 RODO, wyrok TSUE C-683/21. RODO — oficjalny tekst rozporządzenia, EUR-Lex.