1. Sur demande de la personne concernée en vertu du droit national et sans que cela entraîne de dépenses excessives, la personne concernée est, une fois son identité prouvée, informée, dans le respect du droit national, en des termes compréhensibles et sans retard déraisonnable, sur les données traitées la concernant et sur leur origine, sur les destinataires ou catégories de destinataires, sur la finalité du traitement ainsi que, lorsque le droit national le requiert, sur la base juridique justifiant le traitement. En outre, la personne concernée a le droit de faire corriger les données inexactes ou de faire supprimer les données traitées illicitement. Les États membres veillent également à ce que la personne concernée puisse, en cas de violation de ses droits en matière de protection des données, saisir effectivement un tribunal indépendant et impartial, établi par la loi, au sens de l'article 6, paragraphe 1, de la Convention européenne de sauvegarde des droits de l'homme, ou une autorité indépendante de contrôle au sens de l'article 28 de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et à ce qu'elle ait la possibilité de demander, par la voie judiciaire, une indemnisation ou toute autre forme de réparation. Le droit national de l'État membre dans lequel elle fait valoir ses droits régit la procédure détaillée de la mise en œuvre de ces droits ainsi que les motifs permettant de limiter le droit d'accès.
2. Si une autorité d'un État membre a transmis des données à caractère personnel en application de la présente décision, l'autorité destinataire de l'autre État membre ne peut pas invoquer l'inexactitude des données transmises pour se décharger de la responsabilité qui lui incombe conformément à son droit national à l'égard de la personne lésée. Si l'autorité destinataire doit verser des dommages et intérêts en raison de l'utilisation de données indûment transférées, l'autorité qui a transmis lesdites données en rembourse intégralement le montant à l'autorité destinataire.