1. Згода суб'єкта персональних даних - добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, висловлене у письмовій чи електронній формі.
2. Під інформованою згодою на обробку персональних даних варто розуміти добровільне, компетентне прийняття особою рішення про обробку її персональних даних, яке ґрунтується на одержанні нею повної, об'єктивної і всебічної інформації стосовно майбутньої обробки персональних даних.
3. Для того, щоб зробити свідомий вибір - давати чи не давати згоду на обробку персональних даних — особа до надання згоди повинна мати відповіді на такі питання:
• хто оброблятиме її персональні дані? (назва володільця персональних даних, його адреса, контактні телефони тощо)
• з якою метою оброблятимуться персональні дані? (Мета має бути сформульована чітко та зрозуміло)
• які персональні дані будуть оброблятися? (Конкретний вичерпний перелік персональних даних особи, який планується обробляти)
• які дії з персональними даними передбачатиме їх обробка? (збір, зберігання, передача, оприлюднення, знеособлення тощо)
• Хто є розпорядником персональних даних? Які права і повноваження розпорядника щодо обробки персональних даних?
• Кому можуть бути передані персональні дані? З якою метою? На яких підставах?
• Скільки часу персональні дані будуть зберігатися у володільця?
• На яких умовах особа може відкликати згоду на обробку персональних даних та які наслідки такої дії?
• Інші права, визначені статтею 8 Закону "Про захист персональних даних".
4. Зазначена інформація повинна надаватися володільцем в повному обсязі, в простій та зрозумілій формі до надання суб'єктом персональних даних згоди на обробку своїх персональних даних.
5. Згода на обробку персональних даних має бути свідомим рішенням особи, яке вона приймає добровільно, без примусу і погроз.
6. Особа, яка є суб'єктом персональних даних, лише сама може змінити свої персональні дані. Зокрема, лише сама особа може ініціювати процес зміни імені, прізвища, адреси проживання тощо. Жоден володілець чи розпорядник персональних даних не може впливати на персональні дані особи чи змінювати їх на власний розсуд.
7. Особа, яка надала згоду на обробку своїх персональних даних, може здійснювати контроль за процесом їх обробки.
8. З цією метою особа може з розумною періодичністю звертатися до володільця, який здійснює таку обробку, та отримувати вказану в п. 3 інформацію.
9. Всі персональні дані про особу, які обробляються володільцем, повинні відповідати дійсності. В разі виявлення будь-яких неточностей особа, чиї персональні дані обробляються, має право звернутися з вимогою внести відповідні зміни до її персональних даних або звернутися зі скаргою до Уповноваженого чи до суду.
10. Крім цього, особа може в будь-який момент відкликати згоду на обробку своїх персональних даних. В такому випадку володілець повинен припинити обробку, тобто знищити або видалити персональні дані особи, яка відкликала свою згоду.
Форма надання суб'єктом згоди на оброку персональних даних
11. Законом України "Про захист персональних даних" не визначено форму надання згоди на обробку персональних даних. Це може бути окремий документ, який підписує суб'єкт персональних даних, чи відповідне позначення в електронному вигляді, одна з умов договору, або це може бути будь-яка інша форма, яка дасть змогу зробити висновок про її надання (написання заяви, заповнення анкети тощо). В будь-якому випадку володілець, отримуючи таку згоду, повинен мати можливість в подальшому надати (на вимогу особи/суду/Уповноваженого) переконливі докази того, що особа дійсно добровільно її надала, а також що перед цим їй було надано вказану вище інформацію.
Окремі питання, на які слід звернути увагу володільців при здійсненні обробки персональних даних на підставі згоди особи
13. Слід наголосити, що згода на обробку персональних даних також повинна бути пропорційною меті обробки.
14. Неприпустимим є отримання згоди особи на обробку непропорційно великої кількості її персональних даних. Тому, навіть якщо особа надала згоду на обробку персональних даних, частина з яких по своїй суті не потрібна для досягнення поставленої мети обробки, така обробка розглядатиметься як непропорційна та становитиме порушення законодавства про захист персональних даних.
15. Також не можна обумовлювати реалізацію законодавчо встановлених прав наданням особою згоди на обробку її персональних даних.