Opt-in et opt-out : définition, différences et règles du RGPD

Opt-in et opt-out : définitions

L'opt-in (ou consentement préalable) suppose un geste positif. Tant que la personne ne l'a pas fait, la réponse est non. Cocher une case vide pour recevoir une newsletter, cliquer sur « Accepter » dans un bandeau cookies ou confirmer son inscription depuis un email sont des opt-in.

L'opt-out fonctionne à l'inverse : la réponse est oui par défaut. Le traitement commence tout de suite et la personne peut le refuser ensuite, en cliquant sur un lien de désinscription, en décochant une case précochée ou en exerçant son droit d'opposition.

On parle aussi d'opt-in passif pour désigner une case précochée ou une mention du type « sauf avis contraire de votre part ». Le terme est trompeur : la personne qui ne fait rien est considérée comme d'accord. Juridiquement, c'est un opt-out.

Opt-in ou opt-out : la différence en exemples

La différence apparaît mieux en comparant une même situation selon les deux modèles :

• Bandeau cookies. Opt-in : Google Analytics ne se charge qu'après le clic sur « Accepter ». Opt-out : Google Analytics se charge dès l'arrivée et le bandeau propose de refuser après coup.
• Newsletter lors d'une commande. Opt-in : une case vide « Je souhaite recevoir la newsletter ». Opt-out : la même case déjà cochée.
• Revente de données en Californie. Opt-out : l'entreprise peut vendre ou partager les données tant que le consommateur n'a pas cliqué sur « Do Not Sell or Share My Personal Information ».
• Prospection B2B en France. Opt-out possible : un professionnel peut recevoir un email lié à son métier sans consentement préalable, s'il a été informé et peut s'y opposer.

Opt-in et RGPD : ce que dit le texte

Le RGPD n'emploie pas les mots opt-in et opt-out, mais sa définition du consentement est un opt-in. L'article 4(11) du RGPD exige « une déclaration ou un acte positif clair », et le considérant 32 précise que « le silence, les cases cochées par défaut ou l'inactivité » ne valent pas consentement. Le détail des conditions figure dans notre guide sur les conditions de validité du consentement RGPD.

Deux textes rendent la règle concrète :

• L'arrêt Planet49 (CJUE, 1er octobre 2019, C-673/17). La Cour de justice a jugé qu'une case précochée ne permet pas de recueillir un consentement valable aux cookies, que ceux-ci contiennent ou non des données personnelles.
• Les lignes directrices et la recommandation de la CNIL (septembre 2020). Poursuivre sa navigation ne vaut plus consentement, et refuser doit être aussi simple qu'accepter. Les sanctions prononcées ensuite contre de grandes plateformes visaient justement des bandeaux où refuser demandait plus de clics qu'accepter.

L'opt-out garde une place dans le RGPD, mais pas comme consentement. Lorsqu'un traitement repose sur l'intérêt légitime, la personne dispose d'un droit d'opposition (article 21), qui fonctionne comme un opt-out. En matière de prospection, ce droit est absolu : dès qu'une personne s'oppose, l'envoi s'arrête. Et le retrait du consentement doit être aussi simple que son recueil (article 7(3)).

Pour les autres formes de consentement (explicite, éclairé, tacite), voir consentement explicite, implicite et éclairé.

Opt-in et cookies : la règle de la CNIL

Pour les cookies, la règle vient de l'article 5(3) de la directive ePrivacy, transposé en France à l'article 82 de la loi Informatique et Libertés : déposer ou lire une information sur le terminal suppose un consentement préalable, sauf si le cookie est strictement nécessaire au service demandé. En pratique :

• opt-in obligatoire pour la mesure d'audience non exemptée, la publicité, les pixels des réseaux sociaux, les outils d'A/B testing et la plupart des contenus intégrés ;
• aucun consentement pour les cookies strictement nécessaires, comme le panier d'achat ou le cookie qui mémorise le choix lui-même.

Le mot important est « préalable ». Si une balise se déclenche avant le clic, le bandeau fonctionne en opt-out, quels que soient ses boutons. C'est le défaut le plus fréquent lors des audits : le bandeau semble conforme, mais Google Analytics ou le pixel Meta a déjà déposé ses cookies.

Vérifiez en 30 secondes quels cookies votre site dépose avant tout choix avec le scanner gratuit. Si d'autres cookies que les strictement nécessaires apparaissent avant le consentement, votre bandeau fonctionne en opt-out.

Opt-in et opt-out en emailing et en prospection

La prospection électronique suit une règle voisine. En France, l'article L34-5 du Code des postes et des communications électroniques impose l'opt-in pour les emails et SMS commerciaux envoyés aux particuliers, avec deux tempéraments reconnus par la CNIL :

• les clients existants peuvent recevoir des offres pour des produits ou services analogues à ceux déjà achetés, s'ils ont pu refuser au moment de la collecte de leur adresse et peuvent le faire dans chaque message ;
• les professionnels peuvent être démarchés en opt-out, à condition que le message concerne leur activité professionnelle et qu'ils aient été informés et mis en mesure de s'opposer.

Dans les autres pays européens, la logique est la même, avec des nuances : en Allemagne, le § 7 UWG exige un consentement exprès préalable et le double opt-in (un email de confirmation avant le premier envoi) est devenu la norme ; en Espagne, l'article 21 de la LSSI interdit les emails commerciaux sans demande ou autorisation expresse préalable.

Le double opt-in n'est pas imposé par le RGPD, mais il répond à l'article 7(1) : vous devez pouvoir démontrer le consentement. Pour les cookies, la même exigence impose de conserver une trace de chaque choix (voir quelle preuve de consentement conserver).

Les pays de l'opt-out : les États-Unis

La plupart des lois américaines fonctionnent en opt-out. Avec le CCPA, modifié par le CPRA, une entreprise peut collecter des données et déposer des cookies sans consentement préalable, mais elle doit permettre au consommateur de s'opposer à la vente ou au partage de ses données et respecter les signaux comme le Global Privacy Control. En 2022, le procureur général de Californie a conclu un accord de 1,2 million de dollars avec Sephora, notamment pour ne pas avoir traité ces signaux. Notre comparatif CCPA vs RGPD et la page CCPA et CPRA détaillent ces règles.

L'opt-in existe pourtant aussi outre-Atlantique : pour la vente des données des moins de 16 ans sous le CCPA, pour les données sensibles dans plusieurs États, et pour les SMS marketing avec la loi TCPA. En emailing, la loi CAN-SPAM reste en opt-out : un lien de désinscription fonctionnel est obligatoire et les demandes doivent être traitées sous 10 jours ouvrés.

Opt-in ou opt-out : lequel choisir ?

Pour la personne, l'opt-in offre le vrai contrôle : rien ne se passe sans décision. Pour l'entreprise, l'opt-out produit plus de données, parce que la plupart des gens ne modifient jamais un réglage par défaut. C'est précisément pour cette raison que le droit européen a retenu l'opt-in : un choix par défaut n'est pas un choix.

L'opt-in a aussi des avantages pratiques. Un consentement prouvé vous protège en cas de contrôle ou de plainte. Une liste d'emails construite en opt-in génère moins de signalements pour spam. Et appliquer l'opt-in à tous les visiteurs est la solution la plus simple pour un site international : le standard européen est aussi accepté là où l'opt-out est la norme.

C'est le choix fait par FlowConsent, par exemple : le bandeau applique l'opt-in à chaque visiteur, avec « Accepter » et « Refuser » au même niveau dès le premier écran.

Checklist opt-in pour votre site

1. Bloquer tous les cookies et balises non essentiels jusqu'au clic du visiteur.
2. Afficher « Accepter » et « Refuser » au même niveau, avec le même poids visuel.
3. Ne jamais précocher une case, ni pour les cookies ni pour la newsletter.
4. Proposer un choix par finalité (mesure d'audience, publicité, préférences).
5. Permettre de modifier ou retirer son choix à tout moment, par exemple avec un bouton flottant.
6. Enregistrer chaque choix avec sa date, la version du bandeau et les finalités acceptées.
7. Envoyer des signaux refusés par défaut aux balises Google tant que le consentement n'est pas donné.
8. Rescanner le site après chaque nouvel outil ou plugin.

Comment FlowConsent gère l'opt-in

FlowConsent applique l'opt-in par défaut. Les scripts soumis au consentement sont bloqués avant consentement : rien ne se déclenche tant que le visiteur n'a pas cliqué sur « Accepter » ou choisi ses catégories. Google Consent Mode v2 est intégré : les quatre signaux sont à « denied » avant le chargement de toute balise Google, puis passent à « granted » seulement après un opt-in (voir la documentation Google Consent Mode). Le scan automatique des cookies liste les services chargés par votre site, et chaque choix est enregistré : la preuve de consentement est exportable à tout moment. Les données sont hébergées en Europe et l'installation prend une dizaine de minutes, sur Webflow, WordPress, Shopify, Wix, Framer ou via GTM. FlowConsent est gratuit jusqu'à 25 000 sessions par mois, puis l'offre Pro coûte 14,99 € par mois jusqu'à 100 000 sessions.