Privola mora biti dobrovoljna, posebna, informirana i nedvosmislena. „Informirana privola” znači da ispitanika morate informirati na jasan i razumljiv način, barem o sljedećem:
- identitet organizacije koja obrađuje podatke;
- svrhe u koje se obrađuju podaci;
- vrstu podataka koji se obrađuju;
- mogućnost povlačenja privole (primjer: slanjem poruke elektroničke pošte da biste povukli privolu);
- ako je primjenjivo, činjenicu da će se podaci upotrebljavati isključivo za automatizirano odlučivanje, uključujući izradu profila;
- informaciju je li privola povezana s međunarodnim prijenosom vaših podatka, mogućim rizicima prijenosa podataka u zemlje izvan EU-a ako te zemlje ne podliježu odluci Komisije o primjerenosti i ako nema odgovarajućih zaštitnih mjera.
Prema Općoj uredbi o zaštiti podataka, privola ispitanika znači svako:
- dobrovoljno,
- posebno,
- informirano
- nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose.
Primjer: Mobilna aplikacija za uređivanje fotografija traži od korisnika aktivaciju GPS lociranja za korištenje njezinim uslugama. Aplikacija isto tako obavješćuje svoje korisnike da će se prikupljeni podaci koristiti u promidžbene svrhe. Za pružanje usluge uređivanja fotografija nije nužno ni geolociranje ni internetsko oglašavanje, te se time prelaze okviri pružanja osnovne usluge. S obzirom na to da korisnici ne mogu upotrebljavati aplikaciju bez davanja privole u te svrhe, privola se ne može smatrati dobrovoljnom.
Privola kao pravna osnova za obradu osobnih podataka radnika:
S obzirom na ovisnost koja proizlazi iz odnosa poslodavac/zaposlenik, nije vjerojatno da ispitanik može uskratiti svojem poslodavcu privolu za obradu podataka bez straha ili stvarnog rizika od štetnih učinaka zbog odbijanja. Nije vjerojatno da bi zaposlenik mogao slobodno odgovoriti na zahtjev svojeg poslodavca za privolu te je malo vjerojatno da će privola biti dobrovoljna. Za većinu takve obrade podataka na radnom mjestu, zakonita osnova ne može i ne bi smjela biti privola zaposlenika (zbog prirode odnosa između poslodavca i zaposlenika) već se obrada osobnih podataka radnika prvenstveno temelji na ugovoru o radu koji radnik sklapa sa poslodavcem te na obvezu izvršavanja pravnih obveza voditelja obrade (poslodavca) propisanih posebnim propisima (Zakon o radu, Zakon o mirovinskom osiguranju, Zakon o zaštiti na radu, Pravilnik o sadržaju i načinu vođenja evidencije o radnicima i dr.)
Privola radnika može biti pravni temelj za obradu osobnih podataka koje poslodavac nije obvezan prikupljati i obrađivati sukladno posebnim propisima (primjerice: osobna fotografija radnika ili prikupljanje biometrijskih podataka kao što je otiskak prsta u svrhu evidentiranja radnog vremena).
