L'RGPD defineix el consentiment com una manifestació de voluntat lliure, específica, informada i inequívoca (art.7). Manifestació de voluntat per la qual l'afectat accepta el tractament mitjançant una declaració o una clara acció afirmativa.
Els considerants de l'RGPD ofereixen aclariments sobre la prestació vàlida del consentiment que es descriuen a continuació:
- Es considera que pot existir un acte afirmatiu clar en supòsits com una declaració per escrit, incloent-hi per mitjans electrònics, o una declaració verbal (considerant 32).
- També pot considerar-se un acte afirmatiu el fet de marcar una casella d'un lloc web a internet, escollir paràmetres tècnics per a la utilització de serveis de la societat de la informació, o qualsevol altra declaració o conducta que indiqui clarament en aquest context que l'interessat accepta la proposta de tractament de les seves dades personals (considerant 32).
- Per tant, el silenci, les caselles premarcades o la inacció de l'afectat no constitueixen un consentiment vàlid (considerant 32).
- En cas que el tractament tengui diversos fins haurà de prestar-se per a cadascun d'ells (considerant 32).
- No obstant això, seria possible agrupar diverses finalitats en virtut de la seva vinculació (per exemple, consentiment per a la recepció de publicitat pròpia o de tercers).
- Però haurien de desagregar-se quan els tractaments impliquen conductes diferents (per exemple, tractament per qui recull les dades i cessió a tercers).
- En cas que en el marc d'un contracte se sol·liciti el consentiment per a una finalitat que no guardi relació amb el seu objecte, la LOPDGDD estableix que haurà de garantir-se que l'afectat pugui manifestar específicament la seva voluntat mitjançant un procediment senzill i gratuït (p. ex. una casella específica no premarcada).
Una menció especial requereix l'exigència que el consentiment sigui lliure, ja que l'RGPD recull alguns aclariments sobre supòsits en què pot considerar-se que no es compleix aquesta condició.
En aquest sentit el considerant 42 assenyala que:
el consentiment no ha de considerar-se que s'ha prestat lliurement quan l'interessat no gaudeix de veritable o lliure elecció o no pot denegar o retirar el seu consentiment sense patir algun perjudici.
Per la seva banda, el considerant 43 afegeix que:
Per garantir que el consentiment s'ha atorgat lliurement, no ha de constituir un fonament jurídic vàlid per al tractament de dades de caràcter personal en un cas concret en què existeixi un desequilibri clar entre l'interessat i el responsable del tractament, en particular quan aquest responsable sigui una autoritat pública i sigui, per tant, improbable que el consentiment s'hagi donat lliurement en totes les circumstàncies d'aquesta situació particular.
I presumeix que:
el consentiment no s'ha donat lliurement quan no permet autoritzar per separat les diferents operacions de tractament de dades personals, malgrat que sigui adequat en el cas concret, o quan el compliment d'un contracte, inclosa la prestació d'un servei, depengui del consentiment, encara que no sigui necessari per a aquest compliment.
No obstant això, l'RGPD no implica necessàriament una obligació de recollir un nou consentiment si el que s'ha obtingut abans de la seva aplicació és de conformitat amb els requisits que estableix.
En cap cas hi ha aplicació retroactiva, atès que les normes de l'RGPD no s'apliquen a tractaments anteriors al moment en què produeix plens efectes.
Els consentiments expressos i els consistents en una manifestació o acció afirmativa clara segueixen sent vàlids.
Consegüentment, els consentiments tàcits obtinguts amb anterioritat a l'aplicació efectiva de l'RGPD, el 25 de maig de 2018, no són vàlids, atès que el considerant 171 assenyala, a sensu contrari, que únicament mantindran la seva validesa els consentiments anteriors que s'ajustin a les previsions del Reglament, que, com s'ha assenyalat, exigeix una declaració positiva o una clara acció afirmativa.
Pel que fa al consentiment dels menors d'edat, l'RGPD preveu que el consentiment només es considerarà lícit si el menor és major de 16 anys o si, en cas que sigui menor d'aquesta edat, el consentiment és prestat pels titulars de la pàtria potestat o la tutela.
El dret dels estats membres pot modificar aquesta regla general rebaixant l'edat fins a un mínim de 13 anys. Però la concreció efectiva depèn del dret dels estats membres.
En qualsevol cas, recau en el responsable del tractament de les dades la prova que compta amb el consentiment de l'afectat i que ha estat atorgat a través de mitjans que resultin pertinents.
En el cas del consentiment atorgat per menors el responsable està obligat a fer esforços raonables per verificar que el consentiment va ser donat o autoritzat pel titular de la pàtria potestat o tutela sobre l'infant, tenint en compte la tecnologia disponible.
El consentiment és essencialment revocable, de la qual cosa cal informar l'afectat. La revocació del consentiment ha de poder fer-se per procediments tan senzills com els utilitzats per obtenir-ho, però no té efectes retroactius ni afecta la licitud dels tractaments realitzats fins en aquest moment.