La Ley Orgánica de Protección de Datos, de 13 de diciembre de 1999, reconoce a todos los ciudadanos cuatro derechos fundamentales que pueden ejercer sobre sus datos. Estos derechos son: acceso, rectificación, cancelación y oposición.
Como características comunes a los cuatro derechos cabe señalar:
- son derechos de carácter personalísimo. Esto implica que sólo pueden ser ejercidos por los interesados o representante legal en caso de minoría de edad o incapacidad.
- son derechos cuyo ejercicio es gratuito.
- el ejercicio del derecho ha de llevarse a cabo mediante solicitud escrita acompañando copia del DNI ante el responsable del fichero o tratamiento por cualquier medio que permita acreditar al afectado tanto el envío como su recepción por parte del responsable.
- en caso de que no se proceda a dar curso al ejercicio del derecho en el plazo establecido por parte del responsable, o éste sea insatisfactorio, el interesado  podrá recabar la tutela ante la Agencia Española de Protección de Datos (AEPD) mediante presentación de la copia de la solicitud cursada.

- El derecho de acceso, art. 15 de la LOPD y en los art. 27 a 30, ambos inclusive, del Real Decreto 1720/2007, de 21 de diciembre.
Mediante el ejercicio del derecho de acceso, el interesado tiene derecho a obtener y solicitar información sobre sus datos personales, el origen de los mismos, así como las cesiones realizadas o que el responsable del fichero prevé realizar.
El plazo máximo de resolución será de un mes a contar desde la recepción de la solicitud.
Este derecho sólo podrá realizarse en intervalos no superiores a doce meses, salvo que se acredite un interés legítimo, en cuyo caso podrá ejercitarse en intervalos menores.

- El derecho de rectificación y cancelación, el art. 16 de la LOPD y en los art. 31 a 33, ambos inclusive, del Real Decreto 1720/2007, de 21 de diciembre.
Ejerciendo este derecho, el afectado podrá solicitar al responsable del fichero o tratamiento la rectificación de los datos personales que sean inexactos o incompletos, inadecuados o excesivos, o, en su caso, la cancelación de dichos datos.
La solicitud de rectificación deberá acompañarse del dato que es erróneo y la corrección que debe realizarse, junto con la documentación justificativa de la rectificación solicitada, salvo que la misma dependa exclusivamente del consentimiento del afectado.
La cancelación de datos equivale al bloqueo de los datos por el responsable del tratamiento conservándolos, únicamente, para mantenerlos a disposición de las Administraciones Públicas, Jueces y Tribunales, con el fin de atender posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Finalizado dicho plazo los datos deberán ser suprimidos y borrados físicamente por el responsable del tratamiento.

- El derecho de oposición, art. 6.4 de la LOPD y en los art. 34 a 36, ambos inclusive, del Real Decreto 1720/2007, de 21 de diciembre.
Mediante el derecho de oposición el afectado puede oponerse a que se realice un tratamiento de sus datos en los supuestos de tratamientos de datos con fines de publicidad y prospección comercial, cuando no sea necesario el consentimiento para el tratamiento o cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en el tratamiento automatizado de los datos.

Infracciones referentes a los Derechos ARCO:

El art. 44 LOPD señala como infracción grave no atender u obstaculizar el ejercicio de los derechos reconocidos por la ley, convirtiéndose en infracción muy grave si la no atención u obstaculización se realiza de forma sistemática, lo que implica que una sanción por esta causa oscile entre los 60.101,21 a 601.012,10 euros.