Na jakiej podstawie mogą być przetwarzane dane pracowników w ramach zewnętrznego audytu?

Czy w trakcie audytu zewnętrznego (nie jest to audyt ochrony danych osobowych), który przeprowadzany jest w firmie, audytorom można udostępniać dokumentację pracowników (np. badania, szkolenia bhp itp.) bez upoważnienia administratora danych do wglądu w dane osobowe? Żadne przepisy prawa powszechnie obowiązującego nie przewidują obowiązku przeprowadzania takiego audytu. Jest to audyt certyfikujący, po którym firma otrzymuje określony certyfikat, który chce posiadać, ale nie ma takiego obowiązku, by go mieć. Jak zachować się w stosunku do audytorów, przeprowadzających audyt w kadrach, a nie mających upoważnienia do przetwarzania danych osobowych?