Opierając się na koncepcji ustawowego upoważnienia, należy uznać, że w przypadku kontrolerów realizujących swoje obowiązki, zgodnie z ustawą o kontroli w administracji rządowej, upoważnienie do przetwarzania danych osobowych wynika wprost z art. 22 pkt 4 ustawy o kontroli w administracji rządowej i nie wymaga dodatkowych dokumentów. Zgodnie z art. 29 RODO, każda osoba działająca z upoważnienia administratora i mająca dostęp do danych osobowych, przetwarza je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego. Analizując przytoczony zapis, należy wskazać, że zarówno kontrolerzy, jak również audytorzy działają na podstawie prawa państwa członkowskiego. W przypadku kontrolerów, którzy przeprowadzają czynności kontrolne poza jednostką, w której są zatrudnieni, działają na podstawie przepisów prawa np. ustawa o kontroli w administracji publicznej, ustawa o NIK. Przywołana ustawa o kontroli w administracji publicznej w art. 22 pkt 4 jednoznacznie wskazuje, że w trakcie czynności kontrolnych kontroler ma prawo przetwarzać dane osobowe niezbędne do przeprowadzenia kontroli. W przypadku audytorów występują obydwa elementy wskazane w art. 29 RODO tj. audytor działa na polecenie administratora oraz posiada upoważnienie ustawowe wynikające z art. 282 ustawy o finansach publicznych tj.
„audytor wewnętrzny ma prawo wstępu do pomieszczeń jednostki oraz wglądu do wszelkich dokumentów, informacji i danych oraz do innych materiałów związanych z funkcjonowaniem jednostki, w tym utrwalonych na elektronicznych nośnikach danych, jak również do sporządzania ich kopii, odpisów, wyciągów, zestawień lub wydruków, z zachowaniem przepisów o tajemnicy ustawowo chronionej”.
Zobacz: RODO 2018
A zatem do realizacji zadań przewidzianych przepisami prawa zarówno kontrole jak i audytor posiadają ustawowe upoważnienie do przetwarzania danych osobowych.
Źródło: Ministerstwo Cyfryzacji