Pokud zaměstnanec podepsal platný souhlas se zpracováním osobních údajů, je jeho právem ho kdykoli odvolat. V praxi však často dochází k případům, kdy zaměstnavatelé získávají od zaměstnanců souhlas se zpracováním osobních údajů, ačkoli ho vůbec nepotřebují, protože zpracovávají osobní údaje zaměstnanců pouze pro zákonné účely (např. mzdová a personální agenda). Tato praxe je v rozporu s GDPR a takto udělené souhlasy jsou neplatné. Zaměstnavatel totiž bude dané zpracování provádět i přes výslovný nesouhlas zaměstnanců, protože takové zpracování je pro něj ze zákona povinné. Zaměstnavatel je tedy povinen získat od zaměstnance souhlas pouze za předpokladu, že nemá žádný jiný důvod pro zpracování osobních údajů (např. ochrana práv zaměstnavatele). Souhlas zaměstnance by např. měl být získáván pro zpracování fotografií.

Forma pro odvolání souhlasu není stanovena, odvolání souhlasu však musí být stejně snadné jako poskytnout souhlas. Pokud byl tedy souhlas udělen např. pomocí webového formuláře, měla by existovat možnost prostřednictvím webového formuláře ho opět odvolat. V případě odvolání souhlasu, musí zaměstnavatel všechny osobní údaje zaměstnance, které zpracovává pouze na základě jeho souhlasu, bez zbytečného odkladu vymazat. Odvolání souhlasu však nemá zpětné účinky a zpracování osobních údajů, které probíhalo do odvolání souhlasu je považováno za zákonné.