歐盟執委會對 GDPR 同意的說明指出，當組織以同意作為個人資料處理的法律依據時，同意必須自由給予、知情、針對特定目的，並透過清楚的積極行為表達。資訊至少應讓個人知道資料控制者、處理目的、資料類型與撤回方式；拒絕或撤回不能使個人遭受不利。當雇主與員工等權力不平衡明顯，或服務把不必要的資料處理綁成使用條件時，自由性會受到質疑。科學研究可能存在特定程度的目的彈性，但核心要求仍不能消失。重要區別是：GDPR 下同意只是多種合法處理依據之一，不是所有資料處理都必須依賴同意。
思與行
- 數位服務把分析、廣告、必要服務與資料分享拆成不同目的，避免一次點擊包辦所有用途。
- 介面應讓拒絕與撤回同意同樣容易找到，不以深色按鈕或繁複步驟阻礙。
- 先判斷資料處理的合法依據，再決定是否應請求同意；不要將同意當成萬用免責工具。