Henkilöillä on oikeus vaatia yrityksiä poistamaan henkilötietonsa (tämä on nimeltään ”oikeus tulla unohdetuksi” GDPR-termeillä). Yritysten on noudatettava henkilön vaatimusta ja poistettava (tai anonymisoitava) henkilötiedot. Esimerkiksi: mikäli henkilö peruuttaa suostumuksensa, henkilötietojen kerääminen ja käsittely ei ole enää tarpeellista (pois lukien sopimuksen päättyminen). Tiedot on poistettava ilman aiheetonta viivytystä (enintään 30 päivän sisällä).

Joissakin tapauksissa (esimerkiksi jonkin toisen lain tai lakisääteisen velvoitteen noudattamisen vuoksi) oikeutta tulla unohdetuksi ei voida soveltaa.