De GDPR bepaalt dat het verwerken van persoonsgegevens rechtmatig moet zijn, en gebaseerd kan zijn op een toestemming van de betrokkene.

Een toestemming wordt door de GDPR gedefinieerd als een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting, waarmee de betrokkene akkoord gaat met een bepaalde vewerking van zijn of haar persoonsgegevens.

Een geldige toestemming is weliswaar onderworpen aan enkele voorwaarden, waar het niet altijd duidelijk is wanneer daaraan voldaan wordt.

Het is aan de verwerkingsverantwoordelijke om aan te tonen dat de betrokkene zijn toestemming heeft gegeven voor bepaalde verwerkingen van zijn of haar persoonsgegevens.