För att en aktör ska vara personuppgiftsansvarig krävs att denna har ett bestämmande inflytande över ändamålet och de väsentliga medlen med behandlingen av personuppgifterna ifråga. Men vad gäller om flera aktörer har sådant inflytande? Johan Sundberg och Johan Thörn redogör för en ny EU-dom, som kan sägas ha sänkt ribban för när ett gemensamt personuppgiftsansvar uppkommer och som är av intresse för bland annat större koncerner – där moderbolaget fattar övergripande beslut, som verkställs av dotterbolag.