Proponowane przepisy nie regulują jednak wprost formy, w jakiej osoba ubiegająca się o zatrudnienie bądź pracownik będzie wyrażał zgodę na udostępnienie danych osobowych pracodawcy. Wobec powyższego należy przyjąć, że zgoda ta będzie wyrażana w trybie i na zasadach określonych wprost w rozporządzeniu Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1), zwanego dalej „rozporządzeniem 2016/679”. I tak, przez zgodę osoby, której dane dotyczą, należy rozumieć dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych (art. 4 pkt 11 rozporządzeniem 2016/679).

Zwrócenia uwagi wymaga również art. 7 rozporządzenia 2016/679, zgodnie z którym, jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. Zatem ciężar dowodu wyrażenia zgody na przetwarzanie tego rodzaju danych osobowych spoczywać będzie na pracodawcy, przy czym przywołany przepis nie wymaga dla zgody zastosowania formy szczególnej. Z kolei, jeżeli osoba, której dane dotyczą, wyrażą zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Część takiego oświadczenia osoby, której dane dotyczą, stanowiąca naruszenie rozporządzenia 2016/679 nie jest wiążąca.

Istotne jest również to, że osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa jednak na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę, zaś wycofanie zgody musi być równie łatwe jak jej wyrażenie.

Przy ocenie dobrowolności wyrażenia zgody należy w jak największym stopniu uwzględnić, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy.