Double opt-in: qué exige la ley y qué hacen las herramientas con ello
Casi cualquier texto en la red afirma que el RGPD obliga al double opt-in. No es así, y la diferencia pesa más en la práctica de lo que parece.
La expresión double opt-in no aparece en el texto del RGPD. Ni en el artículo 6, ni en el artículo 7, en ningún sitio. Aun así, casi cualquier guía que leas afirma que el reglamento obliga al procedimiento de doble confirmación.
Eso no vuelve inútil el procedimiento, solo cambia el motivo. El RGPD exige que puedas demostrar el consentimiento. Las normas europeas sobre correo publicitario exigen que ese consentimiento exista antes del primer envío. El double opt-in es el método con el que ambas cosas se vuelven demostrables cuando alguien pregunta.
Quien entiende la diferencia evalúa las herramientas de otra manera. Ya no pregunta si un plugin tiene double opt-in, sino qué queda escrito en el registro y si puede recuperarlo. Este artículo separa tres planos: el texto legal, la práctica que salió de él y los puntos donde una herramienta promete una seguridad que técnicamente no puede dar.
Lo que el RGPD pide de verdad
Para el alta en una newsletter hay tres preceptos que cuentan.
- Art. 6, apdo. 1, letra a): el consentimiento es una de las bases jurídicas sobre las que puedes apoyar un tratamiento.
- Art. 7: condiciones del consentimiento. La frase con más consecuencias diarias está en el apartado 1: el responsable debe ser capaz de demostrar que el interesado consintió.
- Art. 5, apdo. 2: responsabilidad proactiva. Cumplir los principios no basta, además tienes que poder acreditarlo.
No hay más. Ninguna regla sobre un procedimiento de confirmación, ningún enlace en un segundo correo, ningún plazo. El reglamento describe un resultado: una manifestación de voluntad libre, informada e inequívoca que puedas presentar en caso de duda. Cómo llegas hasta ahí es cosa tuya.
Por qué el opt-in simple casi nunca sostiene
Con un alta simple tienes una dirección en la base de datos y una marca de tiempo. Lo que no tienes es la prueba de que la persona detrás de esa dirección rellenó el formulario. Cualquiera puede escribir una dirección ajena, por error o a propósito. Si hay conflicto, tu versión queda frente a la del destinatario, y la carga de la prueba es tuya. El clic de confirmación cierra exactamente ese hueco: demuestra que alguien con acceso al buzón dijo que sí.
La norma que gobierna de verdad el correo publicitario
La protección de datos es solo la mitad del cuadro. El correo publicitario en la Unión Europea cae además bajo la Directiva ePrivacy. Su artículo 13 fija el principio: la comunicación comercial directa por correo electrónico necesita el consentimiento previo del destinatario. Una directiva se transpone, así que cada Estado miembro escribió su propia ley alrededor, con una excepción estrecha para direcciones obtenidas de clientes propios. La transposición nacional difiere de un Estado a otro, y conviene comprobar qué rige en el país al que envías.
Alemania es el ejemplo que vale la pena conocer, porque es estricto y porque perseguirlo le sale barato a la otra parte. El § 7, apdo. 2 de la UWG, la ley alemana contra la competencia desleal, clasifica la publicidad por correo electrónico sin consentimiento expreso previo como molestia inaceptable y, por tanto, ilícita. Eso es derecho de la competencia: lo hacen valer competidores y asociaciones mediante un requerimiento, sin que intervenga ninguna autoridad de control. Un solo correo al destinatario equivocado puede bastar. Conviene repetirlo: ese párrafo es derecho alemán y no se traslada sin más a otro Estado miembro.
Por eso el miedo generalizado a las multas del RGPD por una newsletter está algo desenfocado. No conozco sanciones documentadas que dependieran solo de un paso de confirmación ausente. El problema suele llegar por una reclamación por publicidad no consentida, y ahí cuenta una sola pregunta: ¿puedes presentar el consentimiento?
Un apunte justo donde importa: esto es una orientación práctica y no asesoramiento jurídico. Si envías a varios países o quieres reactivar una lista antigua, el caso pertenece a alguien que conozca tus papeles y las jurisdicciones a las que escribes.
Planet49 y la casilla premarcada
Una sentencia cambió el debate sobre el consentimiento para siempre. El Tribunal de Justicia de la Unión Europea resolvió el 1 de octubre de 2019, en el asunto C-673/17 (Planet49), que una casilla ya marcada no constituye un consentimiento válido. La aceptación necesita un acto activo de la persona afectada.
Para tu formulario de alta la consecuencia es sencilla: ninguna casilla viene marcada de antemano. Vale para la casilla de la newsletter igual que para cualquier otro consentimiento que recojas en el mismo sitio.
Qué tiene que contener un registro para que sirva
Double opt-in sin registro es un procedimiento sin prueba. El clic de confirmación solo te ayuda dos años después si puedes enseñarlo. Estos datos forman parte de él.
| Dato del registro | Para qué sirve en un conflicto |
|---|---|
| Momento del alta | Muestra cuándo se envió el formulario |
| Momento de la confirmación | Acredita el segundo paso y la distancia con el primero |
| Dirección IP utilizada | Vincula el alta con un acceso a internet |
| Texto de la cláusula de consentimiento en el momento del alta | Muestra a qué consintió la persona entonces, no a qué consentiría hoy |
| La versión del formulario | Muestra qué había junto a la casilla y qué campos eran obligatorios |
| El propio correo de confirmación | Muestra qué recibió el destinatario y qué no ponía dentro |
La cuarta fila es donde caen la mayoría de los sistemas. El texto junto a la casilla lo cambias varias veces con los años. Un registro que solo apunta a la versión vigente acredita la redacción equivocada para un alta de 2023. Lo útil es un versionado que guarde el texto de entonces y lo enlace con la entrada.
Tres errores que dejan la prueba sin valor
Publicidad dentro del correo de confirmación
El correo de confirmación tiene una sola tarea: pedir la confirmación. En cuanto lleva una oferta, un código de descuento o una foto de producto, has enviado un correo publicitario a alguien que todavía no ha consentido.
Si ese correo ya es de por sí publicidad ilícita se valora de forma distinta según a quién preguntes. La práctica dominante lo considera admisible mientras solo pida la confirmación, y hay voces que lo ven más estrecho. La discusión no está cerrada, y aquí tampoco la cierro. Para el día a día sale una regla simple: cuanto más escueto el correo, menos superficie de ataque.
Atar el consentimiento a otra cosa
El segundo error es la vinculación. El documento solo se descarga si te apuntas a la newsletter, o el pedido no sale adelante si la casilla no está marcada. Un consentimiento tiene que ser libre, y la libertad es difícil de sostener cuando sin ella no arranca la descarga.
Separa los dos procesos. El documento llega después del formulario, la casilla de la newsletter va al lado y sigue siendo opcional. Quien confirma después por voluntad propia es además mejor destinatario, porque más adelante abre el correo.
El registro vive en casa del proveedor
El tercer error solo aparece al mudarse. Tu prueba está en la base de datos de un proveedor. Mientras seas cliente allí, todo bien. En la migración exportas las direcciones y el registro se queda atrás, porque la exportación se lleva dirección, nombre y algunos campos, y el resto no. Te quedas con una lista sobre la que no puedes acreditar nada.
Pregunta por eso antes de decidir: ¿se puede exportar el registro de consentimiento completo, con ambos momentos, IP y texto? La respuesta ordena herramientas más rápido que cualquier lista de funciones.
Donde las herramientas prometen una seguridad que no tienen
El sello «conforme al RGPD» en una página de producto es una afirmación sobre una herramienta, no sobre tu web. Ningún plugin y ningún servicio puede entregarte conformidad legal, porque depende de lo que escribas en tu formulario, de lo que envíes y de cómo trates las solicitudes. Lo que una herramienta sí puede aportar está bien delimitado:
- un procedimiento de confirmación que no activa ninguna dirección sin clic en el enlace
- un registro que guarda los datos citados arriba y se exporta completo
- una baja que funciona con un clic, con List-Unsubscribe según RFC 8058, para que los programas de correo muestren su propio botón de baja
- herramientas para acceso y supresión, para responder a una solicitud sin rebuscar en la base de datos
Todo lo demás es marketing.
En Kurato esas cuatro cosas están en la versión gratuita: double opt-in, registro de consentimiento, baja con un clic según RFC 8058 y las herramientas del RGPD para acceso y supresión. El registro vive en la base de datos de tu propia instalación de WordPress y se puede exportar. Si mañana quieres usar otra cosa, te llevas la prueba contigo. Lo que todavía falta cabe aquí igual: las secuencias, los segmentos con O y la sincronización de calendario están pendientes.
Si el alta pasa por un formulario de tu web, Leadlotse también trae double opt-in, además de honeypot, trampa de tiempo y límite de frecuencia contra las altas automáticas. Ese es el segundo motivo para tomarse en serio el camino del alta: los bots meten direcciones ajenas, y cada una se convierte en un correo de confirmación a alguien que nunca pidió nada. Cómo proteger esos formularios sin dejar fuera a los visitantes con un acertijo está en el artículo captcha y accesibilidad. Los dos plugins se pueden usar de forma permanente en su versión Free, y lo que cuestan los niveles Pro está en la página de precios.
Newsletter con la prueba en tu propia base de datos
Kurato trae double opt-in, registro de consentimiento y baja con un clic según RFC 8058 en la versión gratuita. El envío sale por el proveedor que tú elijas.
Preguntas frecuentes
¿El RGPD obliga al double opt-in?
No. La expresión no aparece en el texto del reglamento. El RGPD exige en el art. 7 que el responsable pueda demostrar el consentimiento, y en el art. 5, apdo. 2, la responsabilidad proactiva. El double opt-in es el método con el que esa prueba funciona en la práctica.
¿Basta un opt-in simple para la newsletter?
No está prohibido de forma expresa, pero te falta la prueba de que la persona detrás de la dirección consintió ella misma. Las leyes nacionales que desarrollan el artículo 13 de la Directiva ePrivacy exigen consentimiento previo para el correo publicitario, y Alemania va más lejos con su § 7, apdo. 2 de la UWG. La carga de la prueba es tuya. Esto es una orientación y no asesoramiento jurídico.
¿Puede el correo de confirmación llevar publicidad?
Debería pedir solo la confirmación. Si ese correo ya es publicidad ilícita se valora de forma distinta: la práctica dominante lo considera admisible mientras no contenga nada más. Los códigos de descuento, las ofertas y las fotos de producto no van dentro.
¿Cuánto tiempo hay que conservar el registro de consentimiento?
Mientras te apoyes en ese consentimiento necesitas la prueba. Tras una baja, el periodo relevante es aquel en el que todavía se pueden reclamar derechos. El RGPD no fija un plazo concreto, así que es un punto para asesorarse en el caso concreto.
¿Qué pasa con la prueba si cambio de proveedor?
Depende de la exportación. Muchos servicios entregan direcciones y campos, pero no el registro completo con momentos, IP y texto. Pregunta antes del cambio. En Kurato el registro está en tu propia base de datos y se puede exportar.
