Derechos de las personas
La normativa de protección de datos permite el ejercicio de una serie de derechos a la ciudadanía, los llamados con anterioridad al nuevo Reglamento Europeo de Protección de Datos como derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) al que actualmente se han añadido nuevos derechos como son el derecho a la limitación del tratamiento o el derecho a la portabilidad.
Derecho de acceso Permite a cualquier persona saber si se están tratando o no sus datos personales y obtener información sobre ello. 
Derecho de rectificación Permite corregir los datos personales que sean inexactos o incompletos, de forma rápida y sin demoras indebidas. Derecho de supresión Permite solicitar la eliminación de los datos personales cuando concurren determinadas circunstancias. Derecho a la limitación del tratamiento Permite solicitar que se restrinja el uso de los datos personales en determinadas circunstancias, sin llegar a suprimirlos. Derecho de portabilidad de los datos Permite recibir los datos personales en un formato digital y transferirlos a otro responsable. Derecho de oposición Permite solicitar que no se traten los datos personales o que se deje de hacerlo, en determinadas situaciones. Decisiones individuales automatizadas Garantiza que no se tomen decisiones con efectos jurídicos o significativos basadas solo en tratamientos automatizados de datos. Derecho a ser informado Garantiza que, al recopilar tus datos personales, recibas información clara y comprensible sobre su uso.
Derecho de rectificación Permite corregir los datos personales que sean inexactos o incompletos, de forma rápida y sin demoras indebidas. Derecho de supresión Permite solicitar la eliminación de los datos personales cuando concurren determinadas circunstancias. Derecho a la limitación del tratamiento Permite solicitar que se restrinja el uso de los datos personales en determinadas circunstancias, sin llegar a suprimirlos. Derecho de portabilidad de los datos Permite recibir los datos personales en un formato digital y transferirlos a otro responsable. Derecho de oposición Permite solicitar que no se traten los datos personales o que se deje de hacerlo, en determinadas situaciones. Decisiones individuales automatizadas Garantiza que no se tomen decisiones con efectos jurídicos o significativos basadas solo en tratamientos automatizados de datos. Derecho a ser informado Garantiza que, al recopilar tus datos personales, recibas información clara y comprensible sobre su uso. Qué debo saber para ejercer mis derechos
Conforme al artículo 12 del Reglamento General de Protección de Datos, estos derechos se caracterizan por lo siguiente:
- El ejercicio de los derechos es personalísimo y debe, por tanto, ser ejercido directamente por las personas interesadas o sus representantes.
- El responsable del tratamiento está obligado a informar sobre los medios para ejercitar estos derechos, debiendo ser los mismos accesibles y sencillos.
- La información deberá suministrarse por escrito o por otros medios, incluidos los electrónicos. La información deberá facilitarse de forma fácilmente visible, inteligible y legible.
- Si la solicitud se presenta por medios electrónicos, la información se facilitará por estos medios cuando sea posible, salvo que la persona interesada solicite que sea de otro modo.
- El plazo para la resolución de dicha solicitud será de un mes a partir de la recepción de la misma. Dicho plazo podrá prorrogarse otros dos meses, en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. En caso de efectuarse la prórroga, el responsable informará a la persona interesada de la misma en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación.
- Su ejercicio será gratuito.
- En el supuesto de solicitudes manifiestamente infundadas o excesivas (por ejemplo, cuando las mismas se realizan de forma repetitiva) el responsable del tratamiento podrá:
- cobrar un canon proporcional a los costes administrativos
- negarse a actuar.
- El responsable del tratamiento deberá demostrar el carácter manifiestamente excesivo o infundado de la solicitud.
- Si el responsable tiene dudas razonables sobre la identidad de la persona física que cursa la solicitud, podrá solicitar que se facilite la información adicional necesaria para confirmar la misma.
- Si el responsable no da curso a la solicitud, informará de las razones de su nueva actuación y la posibilidad de reclamar ante una Autoridad de Control.
- Cabe la posibilidad de que el encargado del tratamiento sea quien tramite la solicitud por cuenta del responsable si ambas partes lo han establecido en el contrato o acto jurídico que les vincula.
- En todo caso, el responsable del tratamiento informará a la persona que lo solicite de su derecho a recabar la tutelade la Autoridad Vasca de Protección de Datos o de la Autoridad de Control que, en su caso, proceda.