Každou žádostí subjektu údajů se správce musí zabývat a podat na ni odpověď, ať kladnou či zápornou.

Při žádosti o výmaz osobních údajů je nutné nejprve prověřit, zda je splněna některá z podmínek pro uplatnění práva na výmaz. Např. zaměstnanec nemůže přijít za svým zaměstnavatelem a žádat o výmaz všech jeho osobních údajů a to ani po skončení pracovního poměru, protože pro řadu dokumentů platí zákonné lhůty pro jejich uchování (mzdový list zaměstnance je zaměstnavatel povinen uchovávat 30 let).

Požadavek na výmaz osobních údajů je oprávněný zejména, když již pominuly účely, pro které osobní údaje byly shromážděny, nebo když subjekt odvolá souhlas se zpracováním osobních údajů, nebo když vznese námitku proti zpracování osobních údajů pro účely přímého marketingu, nebo když byly osobní údaje zpracovány protiprávně.

I když však existuje oprávněný požadavek na výmaz osobních údajů, může správce odmítnout osobní údaje vymazat, pokud lze uplatnit nějakou stanovenou výjimku (např. správce potřebuje osobní údaje pro uplatnění svých nároků v nějakém soudním sporu). V případě, že není možné žádnou z výjimek uplatnit, musí správce přistoupit k výmazu osobních údajů, a to podle předem připravených opatření (např. anonymizace identifikačních údajů subjektu údajů nenávratným přepsáním údajů na samá X).

Jestliže správce osobní údaje zveřejnil, musí s ohledem na dostupnou technologii a náklady informovat další správce, kteří tyto osobní údaje zpracovávají, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či replikace.

Dále správce musí oznámit jednotlivým příjemcům, jímž byly osobní údaje zpřístupněny, výmaz těchto osobních údajů s výjimkou případů, kdy se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí. Pokud to subjekt údajů požaduje, správce ho informuje o těchto příjemcích. Podle zákona o zpracování osobních údajů (č. 110/2019 Sb.) je možné výmaz osobních údajů oznámit příjemcům také prostou změnou osobních údajů v evidenci, pokud správce příjemcům pravidelně zpřístupňuje platný obsah této evidence.

O tom, že žádosti subjektu údajů bylo vyhověno, musí správce subjekt údajů informovat nejpozději do 1 měsíce, ledaže byla lhůta správcem ze závažných důvodů prodloužena (maximálně na 3 měsíce). V případě, že žádosti nelze vyhovět, správce musí do 1 měsíce subjekt údajů informovat o důvodech nevyhovění žádosti a poučit ho o možnosti podat stížnost u Úřadu pro ochranu osobních údajů a žádat soudní ochranu.