Odvolání se podává o povinného subjektu, který vydal rozhodnutí o odmítnutí žádosti. Je na něm, aby odvolání buď vyřídil tím, že mu vyhoví, anebo pokud ne, předal ho do 15 dnů nadřízenému orgánu (§ 87 správního řádu). Je na něm, aby určil, kdo je v jeho případě nadřízeným orgánem. V případě ČD Cargo lze z dosavadní judikatury usuzovat, že nadřízeným orgánem bude představenstvo akciové společnosti. Od 1.1. 2020 nastane změna, kdy nadřízeným orgánem takovéto akciové společnosti bude Úřad pro ochranu osobních údajů, ve své sekci, věnující se některým novým kompetencím v oblasti práva na přístup k informacím.