> Opt-in et opt-out : définitions, exemples, règles du RGPD et de la CNIL pour les cookies et l'emailing, et cas où l'opt-out reste autorisé. > > Canonical: https://www.flowconsent.com/fr/blog/opt-in-opt-out-definition-rgpd [Réglementation](https://www.flowconsent.com/fr/blog?category=regulation) # Opt-in et opt-out : définition, différences et règles du RGPD Par Roland Vekemans · Publié le 20 octobre 2026 · 7 min de lecture En bref L'opt-in et l'opt-out sont deux façons de recueillir l'accord d'une personne, et tout se joue sur la valeur par défaut. Avec l'opt-in, rien ne se passe tant que la personne n'a pas dit oui : une case vide qu'elle coche, un bouton « Accepter » sur lequel elle clique. Avec l'opt-out, le traitement démarre d'office et c'est à la personne de s'y opposer. Pour les cookies non essentiels et la prospection par email auprès des particuliers, le RGPD et la directive ePrivacy imposent l'opt-in ; l'opt-out reste la règle aux États-Unis et, en France, pour certains emails entre professionnels. ## Opt-in et opt-out : définitions **L'opt-in** (ou consentement préalable) suppose un geste positif. Tant que la personne ne l'a pas fait, la réponse est non. Cocher une case vide pour recevoir une newsletter, cliquer sur « Accepter » dans un bandeau cookies ou confirmer son inscription depuis un email sont des opt-in. **L'opt-out** fonctionne à l'inverse : la réponse est oui par défaut. Le traitement commence tout de suite et la personne peut le refuser ensuite, en cliquant sur un lien de désinscription, en décochant une case précochée ou en exerçant son droit d'opposition. On parle aussi d'**opt-in passif** pour désigner une case précochée ou une mention du type « sauf avis contraire de votre part ». Le terme est trompeur : la personne qui ne fait rien est considérée comme d'accord. Juridiquement, c'est un opt-out. ## Opt-in ou opt-out : la différence en exemples La différence apparaît mieux en comparant une même situation selon les deux modèles : - **Bandeau cookies.** Opt-in : Google Analytics ne se charge qu'après le clic sur « Accepter ». Opt-out : Google Analytics se charge dès l'arrivée et le bandeau propose de refuser après coup. - **Newsletter lors d'une commande.** Opt-in : une case vide « Je souhaite recevoir la newsletter ». Opt-out : la même case déjà cochée. - **Revente de données en Californie.** Opt-out : l'entreprise peut vendre ou partager les données tant que le consommateur n'a pas cliqué sur « Do Not Sell or Share My Personal Information ». - **Prospection B2B en France.** Opt-out possible : un professionnel peut recevoir un email lié à son métier sans consentement préalable, s'il a été informé et peut s'y opposer. ## Opt-in et RGPD : ce que dit le texte Le RGPD n'emploie pas les mots opt-in et opt-out, mais sa définition du consentement est un opt-in. L'article 4(11) du [RGPD](https://www.flowconsent.com/fr/laws/rgpd) exige « une déclaration ou un acte positif clair », et le considérant 32 précise que « le silence, les cases cochées par défaut ou l'inactivité » ne valent pas consentement. Le détail des conditions figure dans notre guide sur [les conditions de validité du consentement RGPD](https://www.flowconsent.com/fr/blog/consentement-rgpd-conditions-validite). Deux textes rendent la règle concrète : - **L'arrêt Planet49 (CJUE, 1er octobre 2019, C-673/17).** La Cour de justice a jugé qu'une case précochée ne permet pas de recueillir un consentement valable aux cookies, que ceux-ci contiennent ou non des données personnelles. - **Les lignes directrices et la recommandation de la CNIL (septembre 2020).** Poursuivre sa navigation ne vaut plus consentement, et refuser doit être aussi simple qu'accepter. Les sanctions prononcées ensuite contre de grandes plateformes visaient justement des bandeaux où refuser demandait plus de clics qu'accepter. L'opt-out garde une place dans le RGPD, mais pas comme consentement. Lorsqu'un traitement repose sur l'**intérêt légitime**, la personne dispose d'un droit d'opposition (article 21), qui fonctionne comme un opt-out. En matière de prospection, ce droit est absolu : dès qu'une personne s'oppose, l'envoi s'arrête. Et le retrait du consentement doit être aussi simple que son recueil (article 7(3)). Pour les autres formes de consentement (explicite, éclairé, tacite), voir [consentement explicite, implicite et éclairé](https://www.flowconsent.com/fr/blog/consentement-explicite-implicite-eclaire). ## Opt-in et cookies : la règle de la CNIL Pour les cookies, la règle vient de l'article 5(3) de la [directive ePrivacy](https://www.flowconsent.com/fr/laws/directive-eprivacy), transposé en France à l'article 82 de la loi Informatique et Libertés : déposer ou lire une information sur le terminal suppose un consentement préalable, sauf si le cookie est strictement nécessaire au service demandé. En pratique : - **opt-in obligatoire** pour la mesure d'audience non exemptée, la publicité, les pixels des réseaux sociaux, les outils d'A/B testing et la plupart des contenus intégrés ; - **aucun consentement** pour les [cookies strictement nécessaires](https://www.flowconsent.com/fr/blog/cookies-strictement-necessaires-exemples), comme le panier d'achat ou le cookie qui mémorise le choix lui-même. Le mot important est « préalable ». Si une balise se déclenche avant le clic, le bandeau fonctionne en opt-out, quels que soient ses boutons. C'est le défaut le plus fréquent lors des audits : le bandeau semble conforme, mais Google Analytics ou le pixel Meta a déjà déposé ses cookies. Vérifiez en 30 secondes quels cookies votre site dépose avant tout choix avec le [scanner gratuit](https://www.flowconsent.com/fr/scan). Si d'autres cookies que les strictement nécessaires apparaissent avant le consentement, votre bandeau fonctionne en opt-out. ## Opt-in et opt-out en emailing et en prospection La prospection électronique suit une règle voisine. En France, l'article L34-5 du Code des postes et des communications électroniques impose l'opt-in pour les emails et SMS commerciaux envoyés aux particuliers, avec deux tempéraments reconnus par la CNIL : - **les clients existants** peuvent recevoir des offres pour des produits ou services analogues à ceux déjà achetés, s'ils ont pu refuser au moment de la collecte de leur adresse et peuvent le faire dans chaque message ; - **les professionnels** peuvent être démarchés en opt-out, à condition que le message concerne leur activité professionnelle et qu'ils aient été informés et mis en mesure de s'opposer. Dans les autres pays européens, la logique est la même, avec des nuances : en Allemagne, le § 7 UWG exige un consentement exprès préalable et le double opt-in (un email de confirmation avant le premier envoi) est devenu la norme ; en Espagne, l'article 21 de la LSSI interdit les emails commerciaux sans demande ou autorisation expresse préalable. Le double opt-in n'est pas imposé par le RGPD, mais il répond à l'article 7(1) : vous devez pouvoir démontrer le consentement. Pour les cookies, la même exigence impose de conserver une trace de chaque choix (voir [quelle preuve de consentement conserver](https://www.flowconsent.com/fr/blog/preuve-consentement-cookies-stocker-duree)). ## Les pays de l'opt-out : les États-Unis La plupart des lois américaines fonctionnent en opt-out. Avec le CCPA, modifié par le CPRA, une entreprise peut collecter des données et déposer des cookies sans consentement préalable, mais elle doit permettre au consommateur de s'opposer à la vente ou au partage de ses données et respecter les signaux comme le Global Privacy Control. En 2022, le procureur général de Californie a conclu un accord de 1,2 million de dollars avec Sephora, notamment pour ne pas avoir traité ces signaux. Notre comparatif [CCPA vs RGPD](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies) et la page [CCPA et CPRA](https://www.flowconsent.com/fr/laws/ccpa-cpra) détaillent ces règles. L'opt-in existe pourtant aussi outre-Atlantique : pour la vente des données des moins de 16 ans sous le CCPA, pour les données sensibles dans plusieurs États, et pour les SMS marketing avec la loi TCPA. En emailing, la loi CAN-SPAM reste en opt-out : un lien de désinscription fonctionnel est obligatoire et les demandes doivent être traitées sous 10 jours ouvrés. ## Opt-in ou opt-out : lequel choisir ? Pour la personne, l'opt-in offre le vrai contrôle : rien ne se passe sans décision. Pour l'entreprise, l'opt-out produit plus de données, parce que la plupart des gens ne modifient jamais un réglage par défaut. C'est précisément pour cette raison que le droit européen a retenu l'opt-in : un choix par défaut n'est pas un choix. L'opt-in a aussi des avantages pratiques. Un consentement prouvé vous protège en cas de contrôle ou de plainte. Une liste d'emails construite en opt-in génère moins de signalements pour spam. Et appliquer l'opt-in à tous les visiteurs est la solution la plus simple pour un site international : le standard européen est aussi accepté là où l'opt-out est la norme. C'est le choix fait par FlowConsent, par exemple : le bandeau applique l'opt-in à chaque visiteur, avec « Accepter » et « Refuser » au même niveau dès le premier écran. ## Checklist opt-in pour votre site 1. Bloquer tous les cookies et balises non essentiels jusqu'au clic du visiteur. 2. Afficher « Accepter » et « Refuser » au même niveau, avec le même poids visuel. 3. Ne jamais précocher une case, ni pour les cookies ni pour la newsletter. 4. Proposer un choix par finalité (mesure d'audience, publicité, préférences). 5. Permettre de modifier ou retirer son choix à tout moment, par exemple avec un bouton flottant. 6. Enregistrer chaque choix avec sa date, la version du bandeau et les finalités acceptées. 7. Envoyer des signaux refusés par défaut aux balises Google tant que le consentement n'est pas donné. 8. Rescanner le site après chaque nouvel outil ou plugin. ## Comment FlowConsent gère l'opt-in FlowConsent applique l'opt-in par défaut. Les scripts soumis au consentement sont bloqués avant consentement : rien ne se déclenche tant que le visiteur n'a pas cliqué sur « Accepter » ou choisi ses catégories. Google Consent Mode v2 est intégré : les quatre signaux sont à « denied » avant le chargement de toute balise Google, puis passent à « granted » seulement après un opt-in (voir la [documentation Google Consent Mode](https://www.flowconsent.com/fr/doc/google-consent-mode)). Le scan automatique des cookies liste les services chargés par votre site, et chaque choix est enregistré : la preuve de consentement est exportable à tout moment. Les données sont hébergées en Europe et l'installation prend une dizaine de minutes, sur Webflow, WordPress, Shopify, Wix, Framer ou via GTM. FlowConsent est gratuit jusqu'à 25 000 sessions par mois, puis l'offre Pro coûte 14,99 € par mois jusqu'à 100 000 sessions. [Retour au blog](https://www.flowconsent.com/fr/blog) Partager l'article · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Fopt-in-opt-out-definition-rgpd) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Fopt-in-opt-out-definition-rgpd) Questions ## Questions fréquentes sur ce sujet. Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite. [Nous écrire](https://www.flowconsent.com/fr/demo) ### Quelle est la différence entre opt-in et opt-out ? Avec l'opt-in, rien ne se passe tant que la personne n'a pas donné son accord par un geste positif, comme cocher une case vide ou cliquer sur « Accepter ». Avec l'opt-out, le traitement démarre d'office et la personne doit s'y opposer, par exemple en se désinscrivant ou en décochant une case précochée. La différence tient à la valeur par défaut : non pour l'opt-in, oui pour l'opt-out. Le RGPD impose l'opt-in pour les cookies non essentiels. ### Vaut-il mieux choisir l'opt-in ou l'opt-out ? L'opt-in donne le contrôle à la personne, puisque rien ne se passe sans décision, alors que l'opt-out fournit plus de données à l'entreprise, car la plupart des gens ne modifient jamais un réglage par défaut. En Europe, le choix n'est pas libre : les cookies non essentiels et la prospection par email auprès des particuliers exigent l'opt-in. Pour un site international, appliquer l'opt-in à tous est la solution la plus simple. ### Quel est un exemple d'opt-out ? Une case précochée « Je souhaite recevoir vos offres » est un opt-out : vous recevez les offres sauf si vous la décochez. D'autres exemples : le lien de désinscription d'une newsletter, le lien « Do Not Sell or Share My Personal Information » imposé en Californie, ou un bandeau cookies qui charge Google Analytics dès l'arrivée et propose de refuser ensuite. Ce dernier cas n'est pas conforme en Europe, car les cookies non essentiels exigent un consentement préalable. ### Le RGPD impose-t-il l'opt-in ? Oui, lorsque le traitement repose sur le consentement. Le RGPD définit le consentement comme un acte positif clair, et le considérant 32 précise que le silence, les cases précochées et l'inactivité ne comptent pas. Pour les cookies, la directive ePrivacy ajoute que le consentement doit être recueilli avant le dépôt des cookies non essentiels. Le RGPD prévoit d'autres bases légales, comme l'intérêt légitime, pour lesquelles la personne dispose d'un droit d'opposition, qui fonctionne comme un opt-out. ### Qu'est-ce que l'exception « clients existants » ? C'est l'exception qui permet à une entreprise d'envoyer des emails commerciaux à ses clients sans nouveau consentement, parfois appelée soft opt-in. Elle vient de l'article 13(2) de la directive ePrivacy et, en France, de l'article L34-5 du Code des postes et des communications électroniques. Il faut que l'adresse ait été recueillie lors d'un achat, que les offres portent sur des produits ou services analogues, et que le client ait pu refuser dès la collecte puis dans chaque message. À lire aussi ## Pour aller plus loin. [Tous les articles](https://www.flowconsent.com/fr/blog) [Réglementation · 22 octobre 2026](https://www.flowconsent.com/fr/blog/cookies-tiers-et-cookies-internes) ### [Cookies tiers et cookies internes : définition, différences et RGPD](https://www.flowconsent.com/fr/blog/cookies-tiers-et-cookies-internes) [Ce qui distingue les cookies tiers des cookies internes, des exemples concrets, leur traitement par Safari, Firefox et Chrome en 2026, et pourquoi le consentement dépend de la finalité.](https://www.flowconsent.com/fr/blog/cookies-tiers-et-cookies-internes) [Lire l'article ](https://www.flowconsent.com/fr/blog/cookies-tiers-et-cookies-internes)· [Réglementation · 4 mars 2026](https://www.flowconsent.com/fr/blog/cookies-definition-types-fonctionnement) ### [Cookies : définition, types de cookies et fonctionnement](https://www.flowconsent.com/fr/blog/cookies-definition-types-fonctionnement) [La définition des cookies, leur fonctionnement, tous les types de cookies (par origine, durée et finalité), ce qui se passe quand on les accepte ou les refuse, et ce que la loi exige des sites.](https://www.flowconsent.com/fr/blog/cookies-definition-types-fonctionnement) [Lire l'article ](https://www.flowconsent.com/fr/blog/cookies-definition-types-fonctionnement)· [Bonnes pratiques · 16 octobre 2026](https://www.flowconsent.com/fr/blog/cookies-de-suivi-definition-exemples) ### [Cookie de suivi : définition, exemples et comment les bloquer](https://www.flowconsent.com/fr/blog/cookies-de-suivi-definition-exemples) [Ce qu'est un cookie de suivi, comment il vous reconnaît d'une visite et d'un site à l'autre, des exemples réels, ce qu'impose la loi et comment les repérer ou les bloquer.](https://www.flowconsent.com/fr/blog/cookies-de-suivi-definition-exemples) [Lire l'article](https://www.flowconsent.com/fr/blog/cookies-de-suivi-definition-exemples) ## Mettez votre site en conformité aujourd'hui. Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement. [Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)