Andmesubjekti õiguste rakendamine
Andmesubjekti tuleb teavitada, lisaks punktis 10.1.7.1 Andmesubjekti teavitamine tema kohta käivate isikuandmete töötlemisest nimetatud teabele, tema õigustest seoses teda puudutavate isikuandmetega. Need on järgmised:
õigus taotleda juurdepääsu tema kohta käivatele isikuandmetele;
õigus nõuda andmete parandamist;
õigus nõuda andmete kustutamist (nn õigus olla unustatud);
õigus piirata isikuandmete töötlemist;
õigus esitada vastuväiteid isikuandmete töötlemisele;
õigus nõuda isikuandmete ülekandmist;
õigus esitada vastuväiteid isikuandmete töötlemisele;
õigus, et tema kohta ei võetaks otsust, mis põhineb üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil, mis toob kaasa teda puudutavaid õiguslikke tagajärgi või avaldab talle märkimisväärset mõju;
õigus nõusoleku tagasivõtmisele;
õigus esitada kaebus andmekaitse järelevalveasutusele.
Juhul kui andmesubjekt taotleb juurdepääsu tema kohta käivatele andmetele, siis tuleb silmas pidada, et kui andmesubjekt esitab taotluse elektrooniliselt ning ei taotle seejuures teisiti, siis esitatakse ka vastav teave üldkasutatavate elektrooniliste vahendite kaudu.
Oluliseks saab siinkohal pidada ka seda, et mitte kõik ülaltoodud andmesubjekti õigused ei ole absoluutsed. Näiteks, ei saa andmesubjekt nõuda tema kohta käivate andmete kustutamist olukorras, kus tema kohta käivate isikuandmete töötlemine on vajalik selleks, et täita vastutava töötleja suhtes kohaldatava liidu või liikmesriigi õigusega ette nähtud juriidilist kohustust, mis näeb ette isikuandmete töötlemise, või täita avalikes huvides olevat ülesannet või teostada vastutava töötleja avalikku võimu.
Juhul kui andmesubjekt soovib teostada oma õigusi seoses isikuandmete töötlemisega, siis on soovitatav, et vastutav töötleja tuvastaks taotluse esitanud isiku (nt digitaalse allkirjaga), et vältida andmete avaldamist selleks mitte ettenähtud isikule.
Vastutav töötleja peab andmesubjektile andma teabe võetud meetmete kohta tarbetu viivituseta, kuid mitte hiljem kui ühe kuu jooksul pärast taotluse saamist. Seda ajavahemikku võib vajaduse korral pikendada kahe kuu võrra, võttes arvesse taotluse keerukust ja hulka. Vastutav töötleja peab andmesubjekti teavitama igast taolisest pikendamisest ja viivituse põhjustest ühe kuu jooksul alates taotluse saamisest.
Kui vastutav töötleja ei võta meetmeid vastavalt andmesubjekti taotlusele, peab ta viivituseta teatama andmesubjektile ja hiljemalt ühe kuu jooksul alates taotluse saamisest, meetmete võtmata jätmise põhjused ning selgitama andmesubjektile võimalust esitada järelevalveasutusele kaebus ja kasutada õiguskaitsevahendeid.
Kui vastutav töötleja kavatseb isikuandmeid edasi töödelda muul eesmärgil kui see, milleks isikuandmeid esialgselt koguti, esitab vastutav töötleja andmesubjektile enne andmete edasist töötlemist teabe kõnealuse muu eesmärgi kohta ja muu asjakohase täiendava teabe.
Tavaliselt avaldatakse andmekaitsetingimused ettevõtte võrgulehel, kus andmesubjekt saab nendega tutvuda. Samas võib andmesubjekti andmekaitsetingimustest teavitada ka suuliselt vm sobival viisil.