Ko posameznik na upravljavca naslovi zahtevo, s katero želi uveljavljati svoje pravice s področja varstva osebnih podatkov, mora upravljavec ustrezno ukrepati.
Upravljavci, ki so državni organi ali samoupravne lokalne skupnosti, pri obravnavi zahtev posameznikov glede pravic iz Splošne uredbe in drugih zakonov o varstvu osebnih podatkov postopajo po zakonu o splošnem upravnem postopku, razen če drug zakon določa drugače.
Če upravljavec ugodi zahtevi, ne izda posebne odločbe, ampak o tem pripravi uradni zaznamek in obvesti posameznika. Če zahtevi ne ugodi, izda odločbo, ki mora vsebovati vse zakonsko predpisane sestavine in pravni pouk o pravici do pritožbe pri nadzornem organu v roku 15 dni od vročitve odločbe.
Kadar upravljavec, ki ni državni organ ali samoupravna lokalna skupnost, obravnava zahtevo posameznika glede varstva osebnih podatkov, mora posameznika v roku, določenem s Splošno uredbo, obvestiti o odločitvi in mu posredovati osebne podatke, če to zahteva. Seznanitev je lahko tudi ustna, če posameznik to želi. Odločitev mora vključevati razloge in pravni pouk o pravici do pritožbe pri nadzornem organu v roku 15 dni. Lahko je izdana v obliki uradnega zaznamka, ki se pošlje na način, ki zagotavlja seznanitev in dokazovanje prejema.
Posameznik mora odgovor oz. odločitev upravljavca prejeti brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu po prejemu zahteve. Rok se lahko po potrebi podaljša za največ dva dodatna meseca, ob upoštevanju kompleksnosti in števila zahtev. Ob vsakem podaljšanju mora upravljavec posameznika obvestiti skupaj z razlogi za zamudo. Če obstaja možnost, da bodo podatki pred podajo odgovora izbrisani, jih mora pravočasno zavarovati. Upravljavec ne sme čakati, da se podatki avtomatično izbrišejo, in nato posamezniku odgovoriti, da podatkov ne razpolaga več.
