الموافقة

بموجب GDPR، تُعد الموافقة واحدًا من ستة أسس قانونية للمعالجة، وهي تحمل شروطًا صارمة. فيجب أن تكون حرة (غير مجمّعة أو مُكرَهة)، ومحددة لأغراض معيّنة، ومستنيرة (يجب أن يفهم الفرد ما يوافق عليه ومِن قِبل مَن)، ولا لبس فيها، معبَّرًا عنها من خلال فعل إيجابي واضح. أما الخانات المحدّدة مسبقًا أو الصمت أو الخمول فلا تُعد مؤهلة.

يجب أن تكون الموافقة الصالحة سهلة السحب بقدر سهولة منحها، ويجب أن تكون المؤسسات قادرة على إثبات أنها حصلت عليها. وحين تتعلق المعالجة بفئات خاصة من البيانات، يرتفع المعيار إلى الموافقة الصريحة. وهذه المتطلبات هي السبب في أن لافتات الموافقة المتوافقة تسجّل خيارات دقيقة وتخزّن سجلًا قابلًا للتحقق لكل قرار.

يضيف توجيه الخصوصية الإلكترونية شرط موافقة منفصلًا لتخزين المعلومات على جهاز المستخدم أو الوصول إليها، مثل ملفات تعريف الارتباط أو التخزين المحلي أو غيرها من المُعرّفات من جانب العميل، ما لم يكن ذلك الوصول ضروريًا للغاية لتقديم خدمة طلبها المستخدم صراحةً. ولهذا السبب تُقيَّد كثير من نصوص التحليلات والتتبع خلف الموافقة حتى عندما يمكن للشركة أن تعتمد بخلاف ذلك على المصالح المشروعة للمعالجة اللاحقة.

عمليًا، تجمع المؤسسات غالبًا بين آليات مختلفة: الموافقة على التتبع غير الأساسي والإعلان، وأسس قانونية أخرى مثل المصالح المشروعة أو الضرورة التعاقدية لوظائف مثل الأمن ومنع الاحتيال. وتحديد الأساس الذي ينطبق على نشاط معيّن حكمٌ قانوني يعتمد على الغرض والضرورة وتوقعات المستخدم.