Art. 26 Gemensamt personuppgiftsansvariga | GDPR regulation | GDPR

This article addresses the concept of "joint controllers" — a scenario where two or more controllers together decide the purposes and means of processing personal data.

It establishes that in such cases, those controllers must agree amongst themselves on how to divide their respective compliance responsibilities, particularly regarding data subject rights and the transparency obligations found elsewhere in the regulation.

Crucially, regardless of any internal arrangement, data subjects retain the ability to exercise their rights against any one of the joint controllers.

Important points:

Where two or more controllers jointly determine how and why personal data is processed, establish a transparent arrangement defining each party's compliance responsibilities.
The essence of that internal arrangement must be made available to data subjects.
Data subjects can exercise their rights against any of the joint controllers, irrespective of the terms of the arrangement between them.

1. ▼C2ModificationCorrectedParagraph 1 corrected by a corrigendum to Regulation (EU) 2016/679. Published in the Official Journal 4 March 2021.
  Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de vara gemensamt personuppgiftsansvariga. Gemensamt personuppgiftsansvariga ska under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt denna förordning, särskilt vad gäller utövandet av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla den information som avses i artiklarna 13 och 14, genom ett inbördes arrangemang, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de personuppgiftsansvariga omfattas av. Inom ramen för arrangemanget får en gemensam kontaktpunkt för de registrerade utses.
1. Det arrangemang som avses i punkt 1 ska på lämpligt sätt återspegla de gemensamt personuppgiftsansvarigas respektive roller och förhållanden gentemot registrerade. Det väsentliga innehållet i arrangemanget ska göras tillgängligt för den registrerade.
1. Oavsett formerna för det arrangemang som avses i punkt 1 får den registrerade utöva sina rättigheter enligt denna förordning med avseende på och emot var och en av de personuppgiftsansvariga.