Posameznik, na katerega se nanašajo osebni podatki, ima pravico dostopa do osebnih podatkov, ki so zbrani v zvezi z njim in do enostavnega uresničevanja te pravice v razumnih časovnih okvirjih, da bi se seznanil z obdelavo in preveril njeno zakonitost. Poleg pravice do dostopa ima še pravico do:
- izpisa;
- izbrisa;
- prenosljivosti;
- omejitve obdelave;
- popravka;
- preklica privolitve;
- ugovora obdelavi;
- pritožbe informacijskemu pooblaščencu.
Zahtevo za uresničevanje zgoraj navedenih pravic lahko poda vsak posameznik, na katerega se nanašajo osebni podatki. Razlogov za podajo zahteve mu ni potrebno utemeljevati. Upravljavec mora v vsakem primeru odgovoriti na zahtevo posameznika.
Upravljavec lahko zahtevi odobri ali jo zavrne.
Upravljavec ima pri tem pravico uporabiti vse razumne ukrepe za preverjanje identitete posameznika, na katerega se nanašajo osebni podatki in ki zahteva dostop do podatkov.
Upravljavec mora sprejeti ustrezne ukrepe, s katerimi zagotovi posamezniku, na katerega se nanašajo osebni podatki, vse informacije, povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku. Na zahtevo posameznika, na katerega se nanašajo osebni podatki, se lahko informacije predložijo ustno, pod pogojem, da se identiteta posameznika, na katerega se nanašajo osebni podatki, dokaže z drugimi sredstvi.
V kolikor upravljavec ugotovi, da se zahteva nanaša na podatke, ki jih obdelujejo po pooblastilu tretjih oseb, o tem nemudoma obvesti tretjo osebo in ji preda informacije o prejeti zahtevi.
O tem se pisno obvesti tudi posameznika.
Upravljavec mora podati svoj odgovor v roku enega meseca. Izjemoma se ta rok lahko podaljša še za 60 dni, vendar mora upravljavec o podaljšanju roka obvestiti posameznika in obrazložiti, zakaj je prišlo do podaljšanja roka.
V kolikor se upravljavec odloči odobriti zahtevi, jo lahko tudi le izvede, brez podaje ločenega odobritvenega odgovora.
V kolikor se upravljavec odloči zahtevo zavrniti, mora podati zavrnili odgovor in ga obrazložiti.
V koliko upravljavec ne odgovori na zahtevo posameznika v zgoraj navedenih rokih, gre za molk upravljavca in se šteje, da je upravljavec zahtevo zavrnil.
V kolikor upravljavec zahtevo zavrne ali molči, ima posameznik pravico pritožbe pri Informacijskem pooblaščencu.
Vse informacije in ukrepi, sprejeti na podlagi zahteve, se zagotovijo brezplačno. Kadar pa so zahteve posameznika, na katerega se nanašajo osebni podatki, očitno neutemeljene ali pretirane zlasti ker se ponavljajo, ima upravljavec pravico:
- zaračunati razumne stroške, pri čemer morajo ti biti sorazmerni, ali
- zavrne ukrepanje v zvezi z zahtevo.
Upravljavec nosi dokazno breme, da je zahteva očitno neutemeljena ali pretirana.
Upravljavec lahko zavrne zahtevo zlasti, če je obdelava potrebna za:
- uresničevanje pravice do svobode izražanja in obveščanja;
- za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;
- iz razlogov javnega interesa;
- za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene, kolikor bi ta pravica onemogočila ali resno ovirala uresničevanje namenov te obdelave;
- uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.