É exigível o consentimento para o tratamento de todos os dados, inclusive os tornados manifestamente públicos pelo titular.

O consentimento deverá referir-se a finalidades determinadas, sendo possível a outorga de autorizações genéricas para o tratamento de dados pessoais.

Em caso de revogação do consentimento, os tratamentos realizados sob amparo do consentimento anteriormente manifestado são ratificados enquanto não houver requerimento de eliminação.

O controlador que obteve o consentimento do titular de dados pode, sem necessidade de obtenção de consentimento específico, em caso de necessidade, compartilhar dados pessoais com outros controladores.

O consentimento deverá ser fornecido por escrito que deverá conter cláusula destacada das demais cláusulas contratuais, não se admitindo outro meio de manifestação de vontade do titular.