Samtykke er sentralt i loven bl.a. fordi det kan være nødvendig å ha samtykke for over hode å ha lov til å behandle personopplysninger, jf § 8 og § 9. Et samtykke må tilfredsstille kravene i § 2 nr 7 for å være gyldig. Et ugyldig samtykke har ingen/minimal verdi.
Kravet til frivillig samtykke innebærer at det ikke kan være knyttet sanksjoner til det å nekte samtykke eller trekke et samtykke tilbake. Mener man at det bør være obligatorisk at skolen skal kunne behandle visse elevopplysninger, er ikke samtykke brukbart som rettslig grunnlag. I slike tilfelle må man i stedet vise til en nødvendig grunn etter §8 og § 9, eller man må kunne vise til en lovhjemmel.
Et samtykke kan når som helst trekkes tilbake. I så fall mister den behandlingsansvarlige retten til å behandle opplysningene videre og opplysningene skal normalt slettes, se § 27.
At samtykket skal være "uttrykkelig" innebærer ikke krav til underskrift eller andre formkrav. Det er nok at samtykket avgis på en tydelig, observerbar og helst dokumenterbar måte. Bruk av ikon, avkrysningsboks mv er nok.
Det er ikke sagt klart hvor mye informasjon som må gis for at samtykket skal være gyldig. Informasjon tilsvarende det som er fastsatt i § 19 vil imidlertid alltid være nok. Det er viktig at informasjonen gis/gjøres tilgjengelig før selve samtykkehandlingen (bruk av ikon e.l.).
Eksempler
Skolen innhenter samtykke fra foreldre til å sende informasjon fra skolen via epost. Samtidig sier skolen at foreldre som ikke samtykker ikke kan forvente å få samme informasjon som andre. Her vil samtykket neppe være frivillig, og derfor ikke gyldig og brukbart for skolen. Skal foreldrene pålegges slik epostkontakt må skolen kunne vise til en nødvendig grunn eller en lovhjemmel, se § 8.En skole har laget samtykkerutine på skolens nettside med avkrysningsboks mv. Etter at en har krysset av for "Ja, jeg samtykker", gis det informasjon om at "Takk for at du gav ditt samtykke. Personopplysningene om deg vil bare bli brukt for å gjøre skolen enda bedre." Et slikt samtykke er helt verdiløst fordi i) informasjonen ikke er konkret og utfyllende nok, og ii) informasjonen gis etter at selve samtykkehandlingen er utført.
