Zgoda istnieje wówczas, gdy osoba, której dane dotyczą, dobrowolnie i wyraźnie zgodziła się na przetwarzanie danych. Przetwarzanie jest dozwolone, jeżeli osoba, której dane dotyczą, wyraziła na to zgodę. Ogólna definicja danych osobowych znajduje się w art. 4 pkt 1 RODO.
Jedną z podstaw prawnych legalizujących przetwarzanie danych osobowych osób fizycznych przez ADO jest zgoda osoby, której dane dotyczą, na przetwarzanie danych osobowych.
Aby zgoda osoby, której dane dotyczą, była ważna, muszą być spełnione określone kryteria:
Dobrowolność zgody
Zgodę uznaje się za dobrowolną tylko wtedy, gdy dana osoba ma rzeczywisty lub wolny wybór i w związku z tym może odmówić zgody bez ponoszenia jakichkolwiek niedogodności.
Świadomość zgody
W momencie wyrażania zgody osoba, której dane dotyczą, musi wiedzieć m.in. kto jest administratorem, w jakim celu i w jaki sposób jej dane będą przetwarzane.
Osobę, której dane dotyczą, należy również pouczyć, że może ona w każdej chwili wycofać swoją zgodę, ale wycofanie zgody nie eliminuje z mocą wsteczną zgodności przetwarzania z prawem.
Konkretność / celowość zgody
Zgoda na przetwarzanie danych osobowych może być wyrażona tylko w jednym lub kilku określonych celach oraz w odniesieniu do niektórych rodzajów przetwarzania. "Zgoda bierna" nie jest prawnie ważna.
Jednoznaczność zgody
Zgoda musi być wyrażona w formie wyraźnego oświadczenia lub w drodze innego wyraźnego działania potwierdzającego.
Przykład: Oświadczenie złożone drogą elektroniczną jest wyraźnym działaniem potwierdzającym, jeśli osoba, której dane dotyczą, osobiście zaznacza pole podczas odwiedzania strony internetowej. Oświadczenie nie jest jednak jednoznaczne, jeśli pole zostało już zaznaczone przez system, a osoba, której dane dotyczą, nie usunie zaznaczenia. Bezczynność nie jest jednoznacznym działaniem afirmatywnym.