Il Considerando 32 del GDPR prevede che: il consenso dovrebbe essere espresso mediante un atto positivo inequivocabile con il quale l'interessato manifesta l'intenzione libera, specifica, informata e inequivocabile di accettare il trattamento dei dati personali che lo riguardano, ad esempio mediante dichiarazione scritta, anche attraverso mezzi elettronici, o orale. Quindi, prima che il trattamento dati abbia inizio, l'utente deve fornire un consenso che sia inequivocabile, liberamente dato, volontario, specifico e informato. Il consenso può essere fornito in molti modi, visto che la Cookie Law non prende posizione in merito, ma occorre che esso sia conseguenza certa di una scelta volontaria. Deve trattarsi di un comportamento attivo, come chiarito dalla sentenza della Corte di Giustizia europea (caso C-673/17). Il comportamento posto in essere dall'utente, quindi, non può consistere in un mero scorrere la pagina o cliccare su un link che porti ad altra pagina, ma deve essere inequivocabilmente rivolto all'accettazione dei cookie. Occorre che l'utente clicchi su un pulsante Accetta o Rifiuta.