(37) L’autre possibilité moins personnalisée ne devrait pas être différente ou de qualité moindre par rapport au service offert aux utilisateurs finaux qui donnent leur consentement, sauf si une baisse de la qualité résulte directement du fait que le contrôleur d’accès n’est pas en mesure de traiter ces données à caractère personnel ou de connecter les utilisateurs finaux à un service. Il ne devrait pas être plus difficile de ne pas donner son consentement que de le donner. Lorsque le contrôleur d’accès demande le consentement, il devrait prendre les devants et présenter une solution conviviale à l’utilisateur final pour que celui-ci puisse donner, modifier ou retirer son consentement de façon explicite, claire et simple. En particulier, le consentement devrait être donné par une déclaration ou un acte positif clair par lequel l’utilisateur final manifeste de façon libre, spécifique, éclairée et univoque son accord, au sens du règlement (UE) 2016/679. Au moment de donner son consentement, et uniquement lorsqu’il y a lieu, l’utilisateur final devrait être informé que le fait de ne pas donner son consentement peut se traduire par une offre moins personnalisée, mais que, à tous autres égards, le service de plateforme essentiel restera inchangé et qu’aucune fonctionnalité ne sera supprimée. À titre exceptionnel, si le consentement ne peut être donné directement au service de plateforme essentiel du contrôleur d’accès, les utilisateurs finaux devraient être en mesure de donner leur consentement par l’intermédiaire de chaque service tiers qui utilise ce service de plateforme essentiel, pour permettre au contrôleur d’accès de traiter des données à caractère personnel aux fins de la fourniture de services de publicité en ligne.
Enfin, il devrait être aussi simple de retirer son consentement que de le donner. Les contrôleurs d’accès ne devraient pas concevoir, organiser ou exploiter leurs interfaces en ligne de façon à tromper ou à manipuler les utilisateurs finaux ou, de toute autre manière, à altérer ou à limiter substantiellement la capacité des utilisateurs finaux de donner librement leur consentement. En particulier, les contrôleurs d’accès ne devraient pas être autorisés à demander plus d’une fois par an aux utilisateurs finaux de donner leur consentement pour une finalité de traitement identique à celle pour laquelle ils n’ont initialement pas donné leur consentement ou ont retiré leur consentement. Le présent règlement est sans préjudice du règlement (UE) 2016/679, y compris son cadre d’application, qui reste pleinement applicable en ce qui concerne toute réclamation introduite par des personnes concernées en rapport avec une infraction aux droits que leur confère ledit règlement.