Każdej osobie, której dane są przetwarzane przysługuje prawo ich kontroli (art. 32 ust. 1 ustawy). Wyraża się ono, między innymi, możliwością wniesienia sprzeciwu wobec ich wykorzystania w celach marketingowych lub przekazywania innemu administratorowi danych.

Z prawa sprzeciwu można skorzystać, gdy administrator uzasadnia przetwarzanie danych spełnieniem warunków, o których mowa w art. 23 ust. 1 pkt 4 i 5 ustawy, tj wtedy, gdy: przetwarzanie danych jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego lub jest niezbędne do wypełnienia jego prawnie usprawiedliwionych celów, lub osób trzecich, którym dane te przekazuje. Prawo to nie przysługuje, gdy np. podstawę przetwarzania danych stanowi zgoda, szczególny przepis prawa lub są one przetwarzane w związku z wykonaniem umowy zawartej z administratorem.

W przypadku wniesienia sprzeciwu dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby, w celach objętych sprzeciwem (art. 32 ust. 3 ustawy).