(1) Spravující orgán na žádost subjektu údajů provede opravu nebo doplnění osobních údajů vztahujících se k jeho osobě. Vyžaduje-li to účel zpracování osobních údajů, může spravující orgán namísto opravy osobní údaje doplnit nebo k nim připojit dodatečné prohlášení.

(2) Spravující orgán na žádost subjektu údajů provede výmaz osobních údajů vztahujících se k jeho osobě, pokud spravující orgán porušil zásady zpracování osobních údajů podle § 25 nebo jiného právního předpisu⁵) nebo omezení zpracování některých kategorií osobních údajů, nebo pokud má spravující orgán povinnost tyto údaje vymazat.

b) musí-li být tyto údaje uchovány pro účely dokazování.

(3) Namísto opravy nebo výmazu osobních údajů může spravující orgán omezit zpracování osobních údajů jejich zvláštním označením,

a) popírá-li subjekt údajů jejich přesnost, přičemž nelze zjistit, zda jsou tyto údaje přesné, nebo

(4) Je-li zpracování osobních údajů omezeno podle odstavce 3 písm. a), spravující orgán informuje subjekt údajů před zrušením takového omezení; spravující orgán rovněž subjekt údajů informuje, má-li být omezení zrušeno na základě rozhodnutí Úřadu nebo příslušného soudu.

(5) Spravující orgán žádosti podle odstavců 1 až 3 nevyhoví, popřípadě vyhoví pouze částečně, pokud by vyhověním došlo k ohrožení podle § 28 odst. 2. Pokud by sdělením o nevyhovění žádosti, včetně odůvodnění, došlo k ohrožení podle § 28 odst. 2, spravující orgán žadatele informuje tak, aby takovému ohrožení předcházel.

(6) Spravující orgán vede o důvodech pro postup podle odstavce 5 dokumentaci, kterou uchovává nejméně 3 roky.