W określonych w rozporządzeniu przypadkach prawodawca unijny przyznał osobie, której dane dotyczą, uprawnienie do żądania od administratora usunięcia danych jej dotyczących. Uprawnienie to, określane także mianem „prawa do bycia zapomnianym”.

Jeżeli osoba, której dane dotyczą:

stwierdzi, że dane nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane,
cofnęła zgodę, na której opiera się przetwarzanie i nie ma innej podstawy prawnej przetwarzania,
wnosi sprzeciw wobec przetwarzania jej danych,
stwierdzi, że dane osobowe były przetwarzane niezgodnie z prawem,
stwierdzi, że dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego, któremu podlega administrator,
stwierdzi, że dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego to może zwrócić się do administratora z żądaniem usunięcia danych. Ciężar dowodu (wykazania nieprawidłowości, nielegalności przetwarzania bądź zbędności danych) ciąży na osobie, której dane dotyczą.
Administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - powinien udzielić osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą, o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia.

Uzyskanie informacji o spełnieniu żądania podmiotu danych kończy postępowanie w tym zakresie.

Uzyskanie informacji o niespełnieniu żądania uprawnia podmiot danych do wniesienia skargi do organu nadzorczego zgodnie z art. 77 r.o.d.o.