L'autorité de contrôle prévue, respectivement, à l'article L. 115-1 du code de justice administrative, à l'article L. 453-1 du code de l'organisation judiciaire, et à l'article L. 111-18 du code des juridictions financières est composée, respectivement, d'un membre du Conseil d'Etat, d'un magistrat hors hiérarchie de la Cour de cassation, et d'un magistrat de la Cour des comptes, qui ne sont pas membres du collège de la Commission nationale de l'informatique et des libertés.
L'autorité de contrôle comprend un membre suppléant nommé dans les mêmes conditions que le membre titulaire.

Lorsque le suppléant poursuit la procédure à raison du déport ou de l'indisponibilité du titulaire, il exerce les pouvoirs de l'autorité de contrôle dans les mêmes conditions que le membre titulaire et poursuit la procédure sans réitérer les actes de procédure effectués par l'autorité de contrôle. Le mis en cause en est informé.
En cas de renouvellement du membre titulaire ou du membre suppléant, les actes de procédure déjà effectués restent valides. Le mis en cause en est informé.

L'autorité de contrôle peut, à sa demande, être assistée dans sa mission par des agents, y compris des membres des juridictions, mis à disposition dans les conditions prévues aux articles L. 115-1 du code de justice administrative, L. 453-1 et L. 453-2 du code de l'organisation judiciaire et L. 111-18 du code des juridictions financières.

Lorsque l'autorité de contrôle demande, pour l'exercice de ses missions, communication de documents dont doit disposer le responsable du traitement ou le sous-traitant en application du règlement (UE) 2016/679 du 27 avril 2016 susvisé ou de la loi 6 janvier 1978 susvisée, elle peut exiger que l'organisme concerné produise une traduction en français des documents rédigés dans une autre langue.

Les agents, à l'exception des membres des juridictions mis à disposition, ou experts désignés par l'autorité de contrôle doivent être habilités par l'autorité.
Nul ne peut être habilité à effectuer une mission d'expertise, une visite ou une vérification s'il a fait l'objet d'une condamnation à une peine correctionnelle ou criminelle inscrite au bulletin n° 2 du casier judiciaire, ou dans un document équivalent lorsqu'il s'agit d'un ressortissant de l'Union européenne.
Nul ne peut être désigné par l'autorité de contrôle pour effectuer une visite ou une vérification auprès d'un responsable de traitement ou d'un sous-traitant au sein duquel :
1° Il détient un intérêt direct ou indirect, exerce des fonctions ou une activité professionnelle ou détient un mandat ;
2° Il a, au cours des trois années précédant la visite ou la vérification, détenu un intérêt direct ou indirect, exercé des fonctions ou une activité professionnelle ou détenu un mandat.
Lorsque ces conditions cessent d'être remplies, il est mis fin à l'habilitation après que l'intéressé a été mis en mesure de présenter ses observations. En cas d'urgence, l'autorité de contrôle peut suspendre l'habilitation pour une durée maximale de six mois. Il est également mis fin à l'habilitation lorsque l'intéressé n'exerce plus les fonctions à raison desquelles il a été habilité.