Administrator danych powinien ustalić, na jakiej podstawie prawnej przeprowadzana jest kontrola i jaki jest jej zakres. Dopiero wówczas możliwe jest zbadanie upoważnienia kontrolera do dostępu do danych osobowych administratora.

Z pytania wynika, że urzędnik organizatora (organu założycielskiego i nadzorującego instytucję kultury) przeprowadza kontrolę działalności merytorycznej instytucji kultury. Nie wskazano jednak zakresu tej kontroli ani podstawy prawnej jej przeprowadzania.

Zgodnie z ogólnym rozporządzeniem o ochronie danych (RODO) podmiotem dopuszczonym do przetwarzania danych jest oprócz administratora danych także osoba upoważniona przez administratora danych i działająca na jego polecenie. Zasadniczo zatem upoważnienie jest udzielane przez administratora danych, który określa jego zakres i okres na jaki obowiązuje. Upoważnienie do przetwarzania danych może jednak wynikać wprost z przepisów prawa (por. ustawę o regionalnych izbach obrachunkowych, ustawę Prawo oświatowe, ustawę o finansach publicznych).

Następnie należy wskazać, że organizator instytucji kultury to podmiot, który wydaje akt o utworzeniu instytucji kultury oraz zapewnia instytucji kultury środki niezbędne do prowadzenia działalności. Instytucja kultury gospodaruje samodzielnie przydzieloną i nabytą częścią mienia oraz prowadzi samodzielną gospodarkę w ramach posiadanych środków, kierując się zasadami efektywności ich wykorzystania. Organizator instytucji kultury może kontrolować instytucję kultury, jeśli np. udzielił jej dotacji. Jako bowiem jednostka udzielająca dotacji ma obowiązek sprawowania nadzoru nad jej wykorzystaniem.

Żądanie określonych informacji, w tym zawierających dane osobowe jest dopuszczalne, jeśli przetwarzanie danych jest niezbędne dla wykonania przez organizatora instytucji kultury ustawowo nałożonych zadań kontrolnych. Wobec tego urzędnik realizując funkcję kontrolną jest uprawniony do dostępu do takich danych (w tym osobowych), które są mu niezbędne dla realizacji jego ustawowych zadań (tj. realizowanej funkcji kontrolnej). Realizacja funkcji kontrolnej nie jest wykluczona w razie udostępnienia danych zbiorczych czy statystycznych, jednak decyduje o tym przede wszystkim cel, zakres i podstawa prawna kontroli.