Double opt-in: o que a lei exige e o que as ferramentas fazem disso
Quase todo texto na internet afirma que a lei obriga ao double opt-in. Não é bem assim, e a diferença pesa mais na prática do que parece.
A expressão double opt-in não aparece no texto da LGPD. Também não aparece no GDPR europeu, nem no artigo 6, nem no artigo 7, em lugar nenhum. Mesmo assim, quase todo guia que você lê afirma que a lei obriga ao procedimento de dupla confirmação.
Isso não torna o método dispensável, apenas muda o motivo. A LGPD coloca em você, controlador, o ônus de provar que o consentimento foi obtido. As regras europeias exigem consentimento antes do primeiro e-mail publicitário. O double opt-in é o método que transforma as duas coisas em algo demonstrável quando alguém cobra.
Quem entende a diferença avalia ferramentas de outro jeito. A pergunta deixa de ser se o plugin tem double opt-in e passa a ser o que fica escrito no registro e se dá para tirar de lá. Este texto separa três planos: a lei, a prática que nasceu dela e os pontos em que uma ferramenta promete uma segurança que tecnicamente não consegue entregar.
O que a LGPD pede de verdade
Para o cadastro em uma newsletter, dois artigos concentram o assunto.
- Art. 7, I: o consentimento é uma das bases legais em que você pode apoiar o tratamento de dados pessoais.
- Art. 8: condições do consentimento. Ele deve ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular, e o § 2º diz que o ônus da prova de que o consentimento foi obtido é do controlador.
- Art. 8, § 4º: o consentimento se refere a finalidades determinadas. Autorização genérica não vale.
É isso. Nenhuma regra sobre um procedimento de confirmação, nenhum link em um segundo e-mail, nenhum prazo. A lei descreve um resultado: uma manifestação livre, informada e inequívoca que você consiga apresentar depois. Como chegar até ali é problema seu.
Por que o opt-in simples quase nunca se sustenta
Com um cadastro simples você tem um endereço no banco de dados e um carimbo de tempo. O que você não tem é a prova de que a pessoa por trás daquele endereço preencheu o formulário. Qualquer um digita o e-mail de outra pessoa, por engano ou de propósito. Se houver conflito, sua versão fica contra a do destinatário, e a prova cabe a você. O clique de confirmação fecha exatamente essa lacuna: mostra que alguém com acesso à caixa postal disse sim.
Quando o envio cruza o Atlântico
Se a sua lista tem assinantes na União Europeia, o GDPR entra junto com a LGPD, e as duas leis não se misturam: cada uma vale para os dados a que ela se aplica. No GDPR são três dispositivos que contam para uma newsletter. O art. 6, 1, a) trata do consentimento como base legal. O art. 7 exige que o controlador consiga demonstrar que o titular consentiu. O art. 5, 2 acrescenta a prestação de contas: cumprir os princípios não basta, é preciso comprovar o cumprimento.
O e-mail publicitário na Europa ainda passa pela diretiva ePrivacy. O artigo 13 fixa o princípio de que a comunicação comercial direta por e-mail precisa de consentimento prévio do destinatário. Uma diretiva é transposta, então cada Estado-membro escreveu a própria lei em volta, com uma exceção estreita para endereços obtidos de clientes próprios. A transposição nacional varia de país para país, vale conferir a regra do lugar para onde você envia.
A Alemanha é o exemplo que compensa conhecer, porque é rígido e porque cobrar sai barato para o outro lado. O § 7, 2 da UWG, a lei alemã de concorrência desleal, trata a publicidade por e-mail sem consentimento expresso prévio como incômodo inaceitável e, portanto, ilícita. Isso é direito da concorrência: concorrentes e associações executam a regra por notificação extrajudicial, sem nenhuma autoridade envolvida. Um único e-mail ao destinatário errado pode bastar. Registre bem: esse parágrafo é lei alemã, não regra europeia, e não existe equivalente automático no Brasil.
Uma observação onde ela conta: isto é uma orientação prática e não consultoria jurídica. Se você envia para fora do país ou quer reativar uma lista antiga, o caso pertence a quem conheça seus documentos e as jurisdições envolvidas.
Planet49 e a caixinha já marcada
Uma decisão mudou o debate sobre consentimento para sempre. O Tribunal de Justiça da União Europeia decidiu em 1 de outubro de 2019, no processo C-673/17 (Planet49), que uma caixa de seleção já marcada não é consentimento válido. A concordância exige um ato ativo da pessoa.
Para o seu formulário a consequência é simples: nada vem marcado de antemão. Vale para a caixa da newsletter e para qualquer outro consentimento que você recolha no mesmo lugar. O raciocínio da decisão é europeu, mas a exigência de manifestação inequívoca também está na LGPD.
O que um registro precisa conter para servir
Double opt-in sem registro é procedimento sem prova. O clique de confirmação só ajuda dois anos depois se você conseguir mostrá-lo. Estes dados fazem parte dele.
| Dado no registro | Para que serve em um conflito |
|---|---|
| Momento do cadastro | Mostra quando o formulário foi enviado |
| Momento da confirmação | Comprova o segundo passo e a distância até o primeiro |
| Endereço IP usado | Liga o cadastro a um acesso à internet |
| Texto do consentimento no momento do cadastro | Mostra com o que a pessoa concordou na época, não com o que concordaria hoje |
| A versão do formulário | Mostra o que estava ao lado da caixa e quais campos eram obrigatórios |
| O próprio e-mail de confirmação | Mostra o que o destinatário recebeu e o que não estava lá dentro |
A quarta linha é onde a maioria dos sistemas cai. O texto ao lado da caixa você troca várias vezes ao longo dos anos. Um registro que só aponta para a versão atual comprova a redação errada para um cadastro de 2023. O que serve é um versionamento que guarde o texto da época e o vincule à entrada.
Três erros que tornam a prova inútil
Publicidade dentro do e-mail de confirmação
O e-mail de confirmação tem uma única tarefa: pedir a confirmação. No momento em que ele carrega uma oferta, um cupom de desconto ou uma foto de produto, você mandou um e-mail publicitário para alguém que ainda não consentiu.
Se esse e-mail já é por si publicidade indevida, a avaliação varia conforme quem você pergunta. A prática dominante o considera aceitável enquanto ele só pede a confirmação, e há quem veja de forma mais estreita. A discussão não está encerrada, e eu não a encerro aqui. Para o dia a dia sai uma regra simples: quanto mais seco o e-mail, menor a superfície de ataque.
Amarrar o consentimento a outra coisa
O segundo erro é o condicionamento. O material só é liberado se a pessoa assinar a newsletter, ou o pedido só avança com a caixa marcada. O consentimento precisa ser livre, e liberdade é difícil de sustentar quando sem ela o download não começa.
Separe as duas coisas. O material vem depois do formulário, a caixa da newsletter fica ao lado e continua opcional. Quem confirma depois por vontade própria ainda é um destinatário melhor, porque abre o e-mail mais tarde.
O registro mora na casa do fornecedor
O terceiro erro só aparece na mudança. Sua prova está no banco de dados de um fornecedor. Enquanto você for cliente lá, está tudo bem. Na migração você exporta os endereços e o registro fica para trás, porque a exportação leva endereço, nome e alguns campos, e o resto não. Você termina com uma lista sobre a qual não consegue comprovar nada.
Pergunte antes de decidir: dá para exportar o registro de consentimento completo, com os dois momentos, IP e texto? A resposta separa ferramentas mais rápido do que qualquer lista de recursos.
Onde as ferramentas prometem uma segurança que não têm
O selo "em conformidade com a LGPD" em uma página de produto é uma afirmação sobre uma ferramenta, não sobre o seu site. Nenhum plugin e nenhum serviço entrega conformidade legal, porque ela depende do que você escreve no formulário, do que você envia e de como trata os pedidos dos titulares. O que uma ferramenta pode contribuir é bem delimitado:
- um procedimento de confirmação que não ativa endereço nenhum sem o clique no link
- um registro que guarda os dados citados acima e sai inteiro na exportação
- um descadastro que funciona com um clique, com List-Unsubscribe conforme a RFC 8058, para que os programas de e-mail mostrem o próprio botão
- ferramentas para acesso e exclusão, para responder a um pedido sem garimpar no banco de dados
Todo o resto é marketing.
No Kurato essas quatro coisas estão na versão gratuita: double opt-in, registro de consentimento, descadastro com um clique conforme a RFC 8058 e as ferramentas para acesso e exclusão. O registro fica no banco de dados da sua própria instalação WordPress e pode ser exportado. Se amanhã você quiser usar outra coisa, leva a prova junto. O que ainda falta cabe aqui do mesmo jeito: sequências, segmentos com OU e sincronização de agenda estão pendentes.
Se o cadastro passa por um formulário do seu site, o Leadlotse também traz double opt-in, além de honeypot, armadilha de tempo e limite de frequência contra cadastros automáticos. Esse é o segundo motivo para levar o caminho do cadastro a sério: bots inserem endereços de terceiros, e cada um vira um e-mail de confirmação para alguém que nunca pediu nada. Como proteger esses formulários sem barrar visitantes com um enigma está no artigo captcha e acessibilidade. Os dois plugins são utilizáveis de forma permanente na versão Free, e o que custam os níveis Pro está na página de preços.
Newsletter com a prova no seu próprio banco de dados
O Kurato traz double opt-in, registro de consentimento e descadastro com um clique conforme a RFC 8058 na versão gratuita. O envio sai pelo provedor que você escolher.
Perguntas frequentes
A LGPD obriga ao double opt-in?
Não. A expressão não aparece no texto da lei. A LGPD trata do consentimento nos artigos 7 e 8, e o art. 8, § 2º coloca no controlador o ônus da prova de que o consentimento foi obtido. O double opt-in é o método com que essa prova funciona na prática.
Um opt-in simples basta para a newsletter?
Não é proibido de forma expressa, mas falta a prova de que a pessoa por trás do endereço concordou. Como o ônus é seu, o segundo passo é o que segura a afirmação. Para assinantes na Europa entram ainda as leis nacionais construídas sobre o artigo 13 da diretiva ePrivacy, e a Alemanha vai além com o § 7, 2 da UWG. Isto é uma orientação e não consultoria jurídica.
O e-mail de confirmação pode conter publicidade?
Ele deveria apenas pedir a confirmação. Se esse e-mail já é publicidade indevida, a avaliação varia: a prática dominante o considera aceitável enquanto não contém mais nada. Cupons, ofertas e fotos de produto não entram nele.
Por quanto tempo preciso guardar o registro de consentimento?
Enquanto você se apoia naquele consentimento, precisa da prova. Depois do descadastro, o período relevante é aquele em que ainda cabe alguma cobrança. Nem a LGPD nem o GDPR fixam um prazo específico, então esse é um ponto para orientação no caso concreto.
O que acontece com a prova se eu trocar de fornecedor?
Depende da exportação. Muitos serviços entregam endereços e campos, mas não o registro completo com os momentos, IP e texto. Pergunte antes da migração. No Kurato o registro fica no seu próprio banco de dados e pode ser exportado.
