RODO przyznaje wiele kompetencji organom nadzorczym – w Polsce takim organem jest Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO).
Zgodnie z art. 57 RODO Prezes UODO ma prawo monitorować i egzekwować stosowanie przepisów rozporządzenia, co m.in. obejmuje prowadzenie postępowań oraz kontrolę. Bardziej szczegółowe przepisy dotyczące kontroli i jej przebiegu znajdują się w ustawie z dnia 10 maja 2018 r. o ochronie danych osobowych. Przepisy te wyróżniają trzy sytuacje, w których Prezes UODO może przeprowadzić kontrolę przestrzegania przepisów o ochronie danych osobowych:
- Na podstawie zatwierdzonego przez Prezesa UODO planu kontroli.
- Na podstawie uzyskanych przez Prezesa UODO informacji.
- W ramach monitorowania przestrzegania przepisów RODO.
Kontrola planowana, czyli w oparciu o zatwierdzony plan kontroli realizowana jest na podstawie publikowanego na początku każdego roku tzw. planu sektorowych kontroli UODO. Kontrole prowadzone w ten sposób są kontrolami w siedzibie administratora.
Kontrole przeprowadzone w wyniku uzyskania informacji oraz w ramach monitorowania przestrzegania przepisów RODO można wspólnie nazwać kontrolami doraźnymi. Kontrola taka może zostać wszczęta w oparciu o złożone na administratora skargi na naruszenie przepisów RODO czy w wyniku zgłoszenia przez administratora naruszenia ochrony danych osobowych.
Zakres kontroli prowadzonych przez Prezesa UODO ograniczony jest do procesów związanych z przetwarzaniem danych osobowych. W ramach prowadzonej kontroli upoważniony kontroler ma prawo:
- wstępu w godzinach od 6.00 do 22.00 na grunt oraz do budynków, lokali lub innych pomieszczeń;
- wglądu do wszelkich dokumentów i wszelkich informacji mających bezpośredni związek z zakresem przedmiotowym kontroli;
- przeprowadzania oględzin miejsc, przedmiotów, urządzeń, nośników oraz systemów informatycznych lub teleinformatycznych służących do przetwarzania danych;
- żądać złożenia pisemnych lub ustnych wyjaśnień oraz przesłuchiwać w charakterze świadka osoby w zakresie niezbędnym do ustalenia stanu faktycznego;
- zlecać sporządzanie ekspertyz i opinii.
Wszystkie czynności kontrolne prowadzone są w obecności kontrolowanego lub osoby upoważnionej. Pracownicy oraz współpracownicy kontrolowanego mogą zostać przesłuchani w ramach kontroli przez kontrolującego. Po przeprowadzeniu kontroli sporządzany jest protokół kontroli. W przypadku stwierdzenia naruszeń w wyniku przeprowadzonej kontroli przez Prezesa UODO jest zobowiązany do wszczęcia postępowania w sprawie naruszenia przepisów RODO.
