Na podstawie art. 32 ust. 6 ustawy o ochronie danych osobowych, każda osoba może zażądać uzupełnienia, uaktualnienia, sprostowania danych osobowych, czasowego lub stałego wstrzymania ich przetwarzania lub ich usunięcia, jeżeli są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy, albo są już zbędne do realizacji celu, dla którego zostały zebrane.

Jeśli osoba, której dane dotyczą stwierdzi, że jej dane osobowe, którymi dysponuje administrator, są niekompletne, nieaktualne, nieprawdziwe, zostały zebrane z naruszeniem ustawy lub są zbędne do realizacji celu, dla którego zostały zebrane i wykaże, że tak jest rzeczywiście, administrator danych ma obowiązek ich uzupełnienia, uaktualnienia, sprostowania danych, czasowego lub stałego wstrzymania przetwarzania kwestionowanych danych lub ich usunięcia ze zbioru.

Administrator danych nie ma takiego obowiązku, jeśli żądanie dotyczy danych, których tryb uzupełnienia, uaktualnienia lub sprostowania określają odrębne ustawy.

Wykonania żądanych czynności powinno nastąpić bez zbędnej zwłoki.

Jednocześnie administrator danych jest zobowiązany do poinformowania, także bez zbędnej zwłoki, innych administratorów, którym udostępnił zbiór danych, o dokonanym uaktualnieniu lub sprostowaniu danych.

W przypadku, gdyby administrator nie spełnił żądania uzupełnienia, uaktualnienia, sprostowania danych, albo czasowego lub stałego wstrzymania ich przetwarzania, osoba, której dane dotyczą, może zwrócić się do Generalnego Inspektora z wnioskiem o nakazanie dopełnienia tego obowiązku.