Artykuł 4 RODO wskazuje, że zgoda powinna mieć charakter dobrowolnego, konkretnego, świadomego i jednoznacznego okazania woli osoby, której dane dotyczą.

W świetle RODO zgoda może przyjąć nie tylko formę oświadczenia, ale również wyraźnego działania potwierdzającego. Zapytanie o zgodę nie może zakłócać korzystania z danej usługi i powinno być wyodrębnione na tle innych treści - zgoda nie może być “wpleciona” w treść regulaminu usługi, umowy itd.
RODO wskazuje możliwości wyrażenia zgody w formie pisemnej, elektronicznej lub ustnej. Mechanizm wyrażania zgody może mieć charakter: checkbox’a, ustawienia w profilu, podpisu pod klauzulą, zgody ustnej, bądź jednoznacznego działania. Niezależnie od formy wyrażenia zgody Administrator Danych Osobowych, ma obowiązek poinformowania osoby, której dane dotyczą o swojej tożsamości oraz planowanym celu przetwarzania. Poza wskazaniem danych ADO oraz celu przetwarzania osoba, której dane dotyczą musi zostać poinformowana o możliwości wycofania zgody.

Istotnym elementem wymagań RODO co do zgody na przetwarzanie danych osobowych jest cecha dobrowolności jej wyrażenia. Dobrowolność oznacza sytuacje, w których zgoda na przetwarzanie nie jest uzależniona od wykonania umowy, czy świadczenia usług, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy. Osobie wyrażającej zgodę należy zagwarantować rzeczywisty i wolny wybór w momencie jej udzielenia oraz brak niekorzystnych konsekwencji w momencie jej wycofania.
W aktualnym porządku prawnym nie ma konieczności zbierania dowodów potwierdzających uzyskanie zgody. Jednak w momencie, w którym ADO przetwarza dane na podstawie zgody ale nie posiada z tego tytułu dowodu jest to równoznaczne z tym, że nie dysponuje podstawą prawną pozwalającą na przetwarzanie danych osobowych.