Nel caso in cui l’interessato - cioè la persona cui dati si riferiscono- revochi il consenso o si opponga al loro trattamento e chieda al titolare del trattamento la loro cancellazione, quest’ultimo deve procedere a cancellarli, senza ritardo (art 17 del GDPR). Ovviamente la revoca non comporta illiceità del trattamento precedente, ma solo l'obbligo di terminare il trattamento. Il rifiuto della cancellazione da parte del titolare del trattamento può essere giustificato quando il trattamento avvenga nell’adempimento di un obbligo giuridico previsto dal diritto dell’Unione o degli Stati membri, oppure sia motivato dall’interesse pubblico nel settore della sanità pubblica, o infine sia necessario per l’esercizio o la difesa di un diritto in sede giudiziaria. In ogni caso i dati personali delle persone assistite non possono essere trattenuti per sempre. C'è un tempo limite oltre il quale tutti i dati devono essere cancellati. Per la professione di psicologo il Codice Deontologico, all'articolo 17, indica un periodo di 5 anni dalla conclusione del rapporto professionale.