सहमति

GDPR के तहत, सहमति प्रसंस्करण के लिए छह वैध आधारों में से एक है और कठोर शर्तें रखती है। यह स्वतंत्र रूप से दी जानी चाहिए (न बंडल की गई हो न ज़बरदस्ती की गई), परिभाषित उद्देश्यों के लिए विशिष्ट हो, सूचित हो (व्यक्ति को समझना चाहिए कि वह किससे और किसके द्वारा सहमत हो रहा है), और स्पष्ट हो, एक स्पष्ट सकारात्मक कार्रवाई के माध्यम से व्यक्त की गई हो। पूर्व-चिह्नित बॉक्स, मौन, या निष्क्रियता योग्य नहीं हैं।

एक वैध सहमति को वापस लेना उतना ही आसान होना चाहिए जितना कि देना था, और संगठनों को यह प्रदर्शित करने में सक्षम होना चाहिए कि उन्होंने इसे प्राप्त किया है। जहाँ प्रसंस्करण डेटा की विशेष श्रेणियों से संबंधित है, वहाँ मानक बढ़कर स्पष्ट सहमति तक पहुँच जाता है। ये आवश्यकताएँ ही कारण हैं कि अनुपालक सहमति बैनर बारीक विकल्पों को दर्ज करते हैं और प्रत्येक निर्णय का एक सत्यापन योग्य रिकॉर्ड संग्रहीत करते हैं।

ePrivacy निर्देश किसी उपयोगकर्ता के डिवाइस पर जानकारी संग्रहीत करने या उस तक पहुँचने के लिए, जैसे कुकीज़, स्थानीय भंडारण, या अन्य क्लाइंट-साइड पहचानकर्ता, एक अलग सहमति आवश्यकता जोड़ता है, जब तक कि वह पहुँच उपयोगकर्ता द्वारा स्पष्ट रूप से अनुरोधित सेवा प्रदान करने के लिए कठोरता से आवश्यक न हो। यही कारण है कि कई एनालिटिक्स और ट्रैकिंग स्क्रिप्ट सहमति के पीछे बंद रहती हैं, भले ही कोई व्यवसाय अन्यथा आगे के प्रसंस्करण के लिए वैध हितों पर निर्भर रह सकता हो।

व्यवहार में, संगठन अक्सर तंत्रों को संयोजित करते हैं: गैर-आवश्यक ट्रैकिंग और विज्ञापन के लिए सहमति, और सुरक्षा एवं धोखाधड़ी रोकथाम जैसे कार्यों के लिए वैध हित या संविदात्मक आवश्यकता जैसे अन्य वैध आधार। किसी दी गई गतिविधि पर कौन सा आधार लागू होता है यह तय करना एक कानूनी निर्णय है जो उद्देश्य, आवश्यकता और उपयोगकर्ता अपेक्षाओं पर निर्भर करता है।