Üksikisikutel on õigus nõuda enda isikuandmete kustutamist ja sellisel juhul on vastutav töötleja kohustatud isikuandmed kustutama. Te peaksite vastama põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul pärast taotluse saamist. Seda tähtaega võib pikendada veel kahe kuu võrra, kui taotlus on liiga keeruline ja taotluse täitmiseks on vaja rohkem aega, tingimusel, et üksikisikut teavitatakse sellest ühe kuu jooksul pärast taotluse saamist.
Oluline on märkida, et õigus andmete kustutamisele ei ole absoluutne. Seda ei kohaldata, kui kõnealused andmed on vajalikud:

• sõna- ja teabevabaduse õiguse kasutamisel (nt ajakirjanduslikel eesmärkidel);
• juriidilise kohustuse mis nõuab isikuandmete töötlemist, täitmisel,  (nt töötajate tööaja andmete töötlemine);
• avaliku huvi põhjuse rahvatervise valdkonnas
• avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil; 
• õigusnõuete koostamisel, esitamisel või kaitsmisel.

Kui kustutatavad isikuandmed edastati varem teistele organisatsioonidele, peate teavitama neid vastuvõtjaid sellest, et isik on taotlenud kustutamist, välja arvatud juhul, kui see osutub võimatuks või nõuaks ebaproportsionaalseid jõupingutusi.
 

Lisateave:

• Üksikisikute õiguste austamine

Üksikisikud võivad teilt küsida, kas te nende andmeid töötlete ja kui see on nii, siis on neil õigus nendele andmetele juurde pääseda. Kui see juhtub ja kui teie nende andmeid töötlete, peaksite tasuta esitama näiteks nende isikuandmete koopia koos mis tahes vajaliku lisateabega. Kui taotlus esitatakse elektrooniliselt, peaks teie organisatsioon esitama nõutava teabe üldkasutatavas elektroonilises vormingus, välja arvatud juhul, kui individuaalsed taotlused on esitatud teisiti.

Lisateave:

• Üksikisikute õiguste austamine

Kui teie organisatsioon kogub isikuandmeid otse üksikisikutelt, peab ta esitama vajaliku teabe kogumise ajal.
Isikuandmete kaudse kogumise korral peab teie organisatsioon esitama teabe hiljemalt ühe kuu jooksul pärast seda, kui isikuandmed on algselt saadud. Seda maksimaalset ühekuulist ajavahemikku võib lühendada:

• kui isikuandmeid kasutatakse andmesubjektiga suhtlemiseks. Sellisel juhul peate andmesubjekti teavitama hiljemalt andmesubjektile esmakordsel teavitamisel;
• kui andmed edastatakse teisele vastuvõtjale, teavitab organisatsioon sellest andmesubjekte hiljemalt isikuandmete edastamisel.

Lisateave:

• Üksikisikute õiguste austamine

IKÜM-s kehtestatakse kohustused kõigile isikuandmeid töötlevatele organisatsioonidele, olenemata sellest, kas nad on vastutavad töötlejad või volitatud töötlejad.
Eelkõige peaksite:

• Küsima endalt, kas isikuandmete kogumise eesmärk on õigustatud ja koguma ainult isikuandmeid, mis on vajalikud konkreetse(te)ks kavandatud eesmärkideks;
• Hoidma üksikisikute isikuandmed täpsed ja ajakohased ning kustutama andmed, kui need ei ole enam vajalikud;
• Austama üksikisikute õigusi, teavitades neid sellest, kuidas ja miks nende andmeid töödeldakse ning võimaldama neil oma õigusi kasutada;
• Kontrollige, kas teil on isikuandmete töötlemiseks sobiv õiguslik alus. Kui kavatsete tugineda üksikisikute nõusolekule, küsige enne isikuandmete töötlemist nõusolekut;
• Tagama  üksikisikute isikuandmete turvalise käitlemise;
• Pidama arvestust töötlemistoimingute üle.

Volitatud töötlejad peavad järgima vastutava töötleja ja volitatud töötleja vahelises lepingus sätestatud kohustusi ning nad ei tohi töödelda andmeid muul viisil, kui vastutava töötleja juhiste kohaselt.
 

Lisateave:

• Nõuetele vastamine
• Vastutav töötleja või volitatud töötleja
• Andmekaitse põhitõed

Andmekaitsealane mõjuhinnang on kirjalik hinnang, mille teie organisatsioon peaks tegema, et hinnata kavandatava töötlemistoimingu mõju. See aitab teil kindlaks teha asjakohased meetmed riskide maandamiseks ja nõuetele vastavuse tõendamiseks.
Kuigi andmekaitsealase mõjuhinnangu tegemisega on alati soovitatav prognoosida teie organisatsiooni kavandatavate töötlemistoimingute mõju, on andmekaitsealane mõjuhinnang kohustuslik, kui töötlemine toob tõenäoliselt kaasa suure ohu üksikisikute õigustele ja vabadustele.
Täpsemalt on see nii juhul, kui kavandatav töötlemine hõlmab järgmist:

• delikaatsete isikuandmete või süüdimõistvate kohtuotsustega seotud andmete ulatuslik töötlemine;
• isiku isiklike aspektide süstemaatiline ja ulatuslik hindamine, mis põhineb automatiseeritud töötlemisel, sealhulgas profiilianalüüsil, ning millel põhinevad otsused, millel on asjaomase isiku jaoks õiguslikud tagajärjed või mis mõjutavad oluliselt üksikisikuid;
• üldsusele kättesaadava ala süstemaatiline ulatuslik seire.

Euroopa Andmekaitsenõukogu (EAKN) on välja töötanud suunised, milles loetletakse kriteeriumid, mida peate andmekaitsealase mõjuhinnangu kohustuslikkuse hindamisel arvesse võtma. Andmekaitseasutused on avaldanud ka loetelu töötlemistoimingutest, mille suhtes kohaldatakse andmekaitsealast mõjuhinnangut. Lisaks on mitu andmekaitseasutust töötanud välja juhendeid, tarkvara või enesehindamise vahendeid, et aidata teil oma hinnangut anda.

Lisateave:

• Vastavus nõuetele

Andmekaitsespetsialistid (AKS)võivad täita organisatsioonis muid ülesandeid, kuid see ei tohi põhjustada huvide konflikti. See tähendab, et AKS ei saa olla olukorras, kus ta määrab kindlaks töötlemistoimingute eesmärgid ja vahendid. Vastuoluliste ülesannete hulka kuuluvad peamiselt juhtivad ametikohad (juht, tegevjuht, finantsjuht, personalijuht, IT-juht, tegevdirektor), kuid võivad hõlmata ka muid ülesandeid, kui nende tulemusel määratakse kindlaks töötlemise eesmärgid ja vahendid.
AKS peab olema võimeline täitma oma kohustusi ja ülesandeid sõltumatult. See tähendab, et teie organisatsioon:

• ei tohi anda AKS-le juhiseid seoses tema AKS-i ülesannete täitmisega;
• ei tohi AKS-i tema ülesannete täitmise eest karistada ega ametist vabastada.

Lisateave:

• Andmekaitsespetsialist

Kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks töötlemise eesmärgi ja vahendid, käsitatakse neid kaasvastutavate töötlejatena. Nad otsustavad koos töödelda isikuandmeid ühisel eesmärgil. Kaasvastutav vastutus võib esineda mitmes vormis ja erinevate vastutavate töötlejate osalemine võib olla ebavõrdne. Seetõttu peavad kaasvastutavad töötlejad määrama kindlaks oma kohustused IKÜM-i järgimisel.
Oluline on märkida, et kaasvastutav vastutus toob kaasa ühise vastutuse töötlemistoimingu eest.

• Näide kaasvastutusest: Ettevõtted A ja B on käivitanud kaaskaubamärgiga toote ja soovivad korraldada üritust selle toote reklaamimiseks. Selleks otsustavad nad jagada oma klientide ja potentsiaalsete klientide andmebaaside andmeid ning otsustada selle alusel üritusele kutsutavate nimekirja. Samuti lepivad nad kokku, kuidas saata üritusele kutseid, kuidas ürituse ajal tagasisidet koguda ja turundustegevust jätkata. Äriühinguid A ja B võib pidada reklaamiürituse korraldamisega seotud isikuandmete töötlemisel kaasvastutavateks töötlejateks, kuna nad otsustavad ühiselt selles kontekstis andmetöötluse ühiselt määratletud eesmärgi ja oluliste vahendite üle.

Lisateave:

• Vastutav töötleja või volitatud töötleja

Kui isikuandmeid kogutakse otse asjaomastelt üksikisikutelt, peavad organisatsioonid töötlemistoimingute kohta kokkuvõtlikult ja läbipaistvalt teavet andma, kasutades arusaadavat, kergesti kättesaadavat ning selget ja lihtsat keelt. Seda saab teha kirjalikult (nt pakkumuse tagaküljel) või elektrooniliselt (nt veebisaidil). Kui asjaomane isik seda taotleb, võite selle teabe esitada ka suuliselt, kuid te peate seda hiljem tõendama.

Isegi kui andmeid koguti kaudselt, st kui te ei kogu isikuandmeid otse üksikisikult endalt, vaid näiteks kolmanda isiku kaudu, peate esitama sama üksikasjaliku teabe üksikisikutele.

1. Veenduge, et teie saadud andmed on õiguspäraselt kogutud ja asjaomaseid isikuid on teavitatud nende isikuandmete töötlemisest.
2. Juhul, kui kolmas isik töötleb teie nimel isikuandmeid, veenduge, et teil on vastutava töötleja ja volitatud töötleja leping, milles kirjeldatakse töötlemistoiminguid ja isikuandmete töötlemise vahendeid.

Loomulikult tuleb täita kõiki vastutavate töötlejate kohustusi.

Lisateave:

• Vastutav töötleja või volitatud töötleja