¿Qué significan opt-in y opt-out?
Opt-in significa que la persona da un paso positivo para decir sí. Mientras no lo haga, la respuesta es no. Marcar una casilla vacía para recibir un boletín, pulsar «Aceptar» en un banner de cookies o confirmar una suscripción desde un correo son acciones de opt-in.
Opt-out significa que la respuesta es sí por defecto. El tratamiento funciona desde el principio y la persona puede decir no más tarde: con un enlace para darse de baja, desmarcando una casilla premarcada o mediante un enlace «Do Not Sell or Share My Personal Information».
Los dos términos se usan también fuera de la privacidad (donación de órganos, planes de pensiones, guías telefónicas), pero la lógica es la misma. Solo cambia quién debe actuar y cuándo. Con el opt-in, la empresa debe obtener un sí. Con el opt-out, la persona debe expresar un no.
Diferencia entre opt-in y opt-out, con ejemplos
La diferencia se ve mejor comparando la misma situación con ambos modelos:
- Banner de cookies. Opt-in: Google Analytics solo se carga después del clic en «Aceptar». Opt-out: Google Analytics se carga al entrar y el banner ofrece rechazar después.
- Boletín al hacer un pedido. Opt-in: una casilla vacía «Quiero recibir el boletín». Opt-out: la misma casilla ya marcada.
- Venta de datos en California. Opt-out: la empresa puede vender o compartir datos hasta que el consumidor se oponga o envíe una señal Global Privacy Control.
- SMS comerciales en Estados Unidos. Opt-in: la persona se registra con un formulario o una palabra clave antes de recibir mensajes promocionales.
La casilla premarcada es la trampa más común. Parece una elección, pero quien no hace nada se considera conforme. Jurídicamente, es un opt-out.
Opt-in y opt-out según el RGPD
El RGPD no utiliza las palabras opt-in ni opt-out, pero su definición del consentimiento es un opt-in. El artículo 4.11 del RGPD exige «una declaración o una clara acción afirmativa», y el considerando 32 precisa que «el silencio, las casillas ya marcadas o la inacción» no constituyen consentimiento. Todas las condiciones se explican en nuestra guía sobre las condiciones de validez del consentimiento RGPD.
Dos referencias lo concretan:
- Planet49 (TJUE, 1 de octubre de 2019, C-673/17). El Tribunal de Justicia declaró que una casilla premarcada no permite obtener un consentimiento válido para las cookies, contengan o no datos personales.
- Guía sobre el uso de las cookies de la AEPD. La autoridad española considera que seguir navegando no basta en los casos en que se exige consentimiento y que rechazar debe ser tan sencillo como aceptar, en línea con las directrices del CEPD.
El opt-out sigue teniendo un lugar en el RGPD, pero no como consentimiento. Cuando un tratamiento se basa en el interés legítimo, la persona tiene derecho de oposición (artículo 21), que funciona como un opt-out. En mercadotecnia directa, ese derecho es absoluto. Además, retirar el consentimiento debe ser tan fácil como darlo (artículo 7.3).
Para las demás formas de consentimiento (explícito, tácito, informado), consulte tipos de consentimiento.
Opt-in y opt-out para las cookies
Para las cookies, la norma procede del artículo 5.3 de la Directiva ePrivacy, incorporado en España en el artículo 22.2 de la LSSI: almacenar o leer información en el dispositivo exige un consentimiento previo, salvo que sea estrictamente necesario para el servicio solicitado. En la práctica:
- Opt-in obligatorio para analítica, publicidad, píxeles de redes sociales, herramientas de A/B testing y la mayoría de los contenidos incrustados.
- Sin consentimiento para las cookies estrictamente necesarias, como la del carrito de compra o la que guarda la propia elección de consentimiento.
La palabra clave es «previo». Si una etiqueta se activa antes del clic, el banner funciona como opt-out, digan lo que digan sus botones. Es el fallo más frecuente en las auditorías: el banner parece correcto, pero Google Analytics o el píxel de Meta ya ha instalado sus cookies.
Compruebe en 30 segundos qué cookies instala su sitio antes de cualquier elección con el escáner gratuito. Si aparecen cookies distintas de las estrictamente necesarias antes del consentimiento, su banner funciona como opt-out.
Opt-in y opt-out en el email marketing
Los correos comerciales siguen una regla parecida. El artículo 13 de la Directiva ePrivacy exige consentimiento previo, con una excepción para los clientes existentes: una empresa puede enviar comunicaciones sobre productos o servicios similares a sus clientes si les ofreció la posibilidad de oponerse al recoger la dirección y en cada mensaje.
En España, el artículo 21 de la LSSI prohíbe enviar comunicaciones comerciales por correo electrónico que no hayan sido solicitadas o autorizadas expresamente, y el artículo 21.2 recoge esa excepción para quienes mantienen una relación contractual previa. Otros países aplican la misma lógica con matices: en Alemania, el doble opt-in (un correo de confirmación antes del primer envío) es la práctica habitual; en Francia, se admite el opt-out para correos a profesionales relacionados con su actividad.
El RGPD no impone el doble opt-in, pero el artículo 7.1 exige que usted pueda demostrar el consentimiento. Para las cookies, eso significa registrar cada elección (consulte qué guardar como prueba del consentimiento de cookies).
Países de opt-out: Estados Unidos
La mayoría de las leyes de privacidad de Estados Unidos funcionan con opt-out. Con la CCPA, modificada por la CPRA, una empresa puede recoger datos e instalar cookies sin consentimiento previo, pero debe permitir que el consumidor se oponga a la venta o al intercambio de sus datos y respetar señales como Global Privacy Control. En 2022, el fiscal general de California cerró un acuerdo de 1,2 millones de dólares con Sephora, en parte por no procesar esas señales. Encontrará los detalles en la comparativa CCPA vs RGPD y en la página CCPA y CPRA.
El opt-in también existe en Estados Unidos: la CCPA lo exige para vender datos de menores de 16 años, varios estados para los datos sensibles y la ley TCPA para los SMS comerciales y las llamadas automatizadas. En el correo electrónico, la ley CAN-SPAM es de opt-out: cada mensaje necesita un enlace de baja que funcione y las bajas deben aplicarse en un plazo de 10 días hábiles.
¿Qué es mejor, opt-in u opt-out?
Para la persona, el opt-in ofrece más control: sin decisión no ocurre nada. Para la empresa, el opt-out produce más datos, porque la mayoría de la gente nunca cambia una opción por defecto. Precisamente por eso el derecho europeo eligió el opt-in: una opción por defecto no es una elección.
El opt-in también tiene ventajas prácticas. Un consentimiento demostrable le protege ante una inspección o una reclamación. Una lista de correo construida con opt-in genera menos quejas por spam. Y aplicar un único modelo de opt-in a todos los visitantes es lo más sencillo para un sitio internacional: cumple el estándar europeo y también se acepta donde el opt-out es la norma.
FlowConsent es un ejemplo de este enfoque: el banner aplica el opt-in a todos los visitantes, con «Aceptar» y «Rechazar» al mismo nivel en la primera capa.
Lista de comprobación de opt-in para su sitio web
- Bloquear todas las cookies y etiquetas no necesarias hasta el clic del visitante.
- Mostrar «Aceptar» y «Rechazar» al mismo nivel y con el mismo peso visual.
- No premarcar nunca una casilla, ni para cookies ni para boletines.
- Ofrecer una elección por categorías (analítica, marketing, preferencias).
- Permitir cambiar o retirar el consentimiento en cualquier momento, por ejemplo con un botón flotante.
- Registrar cada elección con su fecha, la versión del banner y las categorías aceptadas.
- Enviar señales denegadas por defecto a las etiquetas de Google hasta que haya consentimiento.
- Volver a escanear el sitio tras cada nueva herramienta o plugin.
Cómo gestiona FlowConsent el opt-in
FlowConsent aplica el opt-in por defecto. Los scripts que requieren consentimiento se bloquean antes del consentimiento, de modo que nada se activa hasta que el visitante pulsa «Aceptar» o elige categorías. Google Consent Mode v2 está integrado: las cuatro señales empiezan en «denied» antes de que se cargue cualquier etiqueta de Google y solo pasan a «granted» tras un opt-in (consulte la documentación de Google Consent Mode). El escaneo automático de cookies enumera los servicios que carga su sitio, cada elección queda registrada y la prueba de consentimiento se puede exportar en cualquier momento. Los datos se alojan en Europa y la instalación lleva unos diez minutos, en Webflow, WordPress, Shopify, Wix, Framer o mediante GTM. FlowConsent es gratuito hasta 25.000 sesiones al mes y después Pro cuesta 14,99 € al mes hasta 100.000 sesiones.