הסכמה

על פי ה-GDPR, הסכמה היא אחד משישה בסיסים חוקיים לעיבוד ונושאת עמה תנאים מחמירים. היא חייבת להינתן בחופשיות (לא באגד ולא בכפייה), להיות ספציפית למטרות מוגדרות, מיודעת (היחיד חייב להבין למה הוא מסכים ומול מי) וחד-משמעית, המובעת באמצעות פעולה חיובית ברורה. תיבות מסומנות מראש, שתיקה או חוסר פעילות אינן עומדות בדרישה.

הסכמה תקפה חייבת להיות קלה למשיכה בחזרה כפי שהיתה קלה למתן, וארגונים חייבים להיות מסוגלים להוכיח שהשיגו אותה. כאשר העיבוד נוגע לקטגוריות מיוחדות של נתונים, הרף עולה להסכמה מפורשת. דרישות אלה הן הסיבה שבאנרים תואמים של הסכמה מתעדים בחירות מפורטות ושומרים רישום ניתן-לאימות של כל החלטה.

הנחיית ePrivacy מוסיפה דרישת הסכמה נפרדת לאחסון או גישה למידע על מכשיר של משתמש, כגון עוגיות, אחסון מקומי או מזהים אחרים בצד הלקוח, אלא אם כן גישה זו הכרחית בהחלט לאספקת שירות שהמשתמש ביקש במפורש. זו הסיבה שסקריפטים רבים של ניתוח נתונים ומעקב חסומים מאחורי הסכמה גם כאשר עסק היה יכול אחרת להישען על אינטרסים לגיטימיים לעיבוד במורד הזרם.

בפועל, ארגונים משלבים לעיתים קרובות מנגנונים: הסכמה למעקב לא-חיוני ולפרסום, ובסיסים חוקיים אחרים כגון אינטרסים לגיטימיים או הכרח חוזי לפונקציות כמו אבטחה ומניעת הונאות. ההחלטה איזה בסיס חל על פעילות נתונה היא שיקול דעת משפטי התלוי במטרה, בהכרח ובציפיות המשתמש.