¿En qué consiste el double opt-in?

Cualquier empresa que envíe ne­w­s­le­t­te­rs o co­mu­ni­ca­cio­nes co­me­r­cia­les debe obtener pre­via­me­n­te el co­n­se­n­ti­mie­n­to de la persona de­s­ti­na­ta­ria. Este co­n­se­n­ti­mie­n­to solo es ple­na­me­n­te válido si se verifica mediante un proceso de in­s­cri­p­ción en dos pasos, conocido como double opt-in. Tanto el RGPD como la Ley Orgánica de Pro­te­c­ción de Datos y Garantía de los Derechos Digitales (LOPDGDD) es­ta­ble­cen que los datos pe­r­so­na­les solo pueden tratarse cuando existe una au­to­ri­za­ción clara e ine­quí­vo­ca del usuario.

¿Qué es el double opt-in?

El double opt-in (también conocido como opt-in doble) es un pro­ce­di­mie­n­to propio del correo ele­c­tró­ni­co comercial, en concreto del envío de ne­w­s­le­t­te­rs. Cuando te inscribes en la lista de correo de una empresa, debes recibir después la po­si­bi­li­dad de confirmar de nuevo tu registro o anularlo.

El pro­ce­di­mie­n­to double opt-in suele im­ple­me­n­tar­se mediante un correo de co­n­fi­r­ma­ción con un enlace. Solo después de hacer clic en ese enlace la su­s­cri­p­ción se considera válida. El objetivo es impedir que terceros inscriban di­re­c­cio­nes ajenas sin permiso. Para las empresas esto significa lo siguiente: úni­ca­me­n­te con double opt-in las altas a una ne­w­s­le­t­ter son legales y están pro­te­gi­das frente a problemas derivados del envío de correo ele­c­tró­ni­co no so­li­ci­ta­do.

Del confirmed opt-in al double opt-in

En el pasado bastaba con un confirmed opt-in: un usuario in­tro­du­cía su dirección de correo y la su­s­cri­p­ción se daba por válida sin ninguna ve­ri­fi­ca­ción adicional. Debido al aumento del spam, este método se volvió inseguro. En España, la le­gi­s­la­ción es clara:

• La Ley de Servicios de la Sociedad de la In­fo­r­ma­ción y de Comercio Ele­c­tró­ni­co (LSSI-CE) exige el co­n­se­n­ti­mie­n­to previo y expreso antes de enviar co­mu­ni­ca­cio­nes co­me­r­cia­les por correo ele­c­tró­ni­co.
• El envío de pu­bli­ci­dad no so­li­ci­ta­da se considera una práctica ilícita y puede dar lugar a sanciones por parte de la Agencia Española de Pro­te­c­ción de Datos (AEPD).

Por este motivo, el double opt-in se ha co­n­ve­r­ti­do en el estándar desde hace años y en el único método realmente seguro a nivel jurídico, no solo para el envío de ne­w­s­le­t­te­rs, sino también para servicios SMS, no­ti­fi­ca­cio­nes push o acciones de marketing dentro de apli­ca­cio­nes.

Existe una excepción: la co­mu­ni­ca­ción comercial a clientes exi­s­te­n­tes. La LSSI-CE permite enviar correos pro­mo­cio­na­les sin co­n­se­n­ti­mie­n­to previo cuando:

• la empresa obtuvo la dirección en una relación co­n­tra­c­tual previa,
• los mensajes se refieren a productos o servicios propios similares, y
• el usuario no se haya opuesto al tra­ta­mie­n­to (modelo opt out) y haya sido informado de forma clara de su derecho a oponerse de manera gratuita y sencilla.

Ventajas y de­s­ve­n­ta­jas del double opt-in

La principal ventaja del double opt-in en ne­w­s­le­t­te­rs es evidente: ofrece una seguridad jurídica muy elevada, aunque no total. Esto se debe a que solo es ple­na­me­n­te válido si también se respetan las di­re­c­tri­ces para la es­tru­c­tu­ra del correo de co­n­fi­r­ma­ción, ya que este debe cumplir ciertas reglas es­pe­cí­fi­cas (ver más abajo).

Otra ventaja clara: con la co­n­fi­r­ma­ción en dos pasos te aseguras de que el usuario tiene interés real en recibir las co­mu­ni­ca­cio­nes co­me­r­cia­les de la empresa. Cuando envías mensajes pro­mo­cio­na­les sin haber pedido permiso, el efecto suele ser el contrario al deseado. La pe­r­ce­p­ción del usuario se vuelve negativa si considera esos correos como spam, lo que puede dañar la imagen de la empresa.

Sin embargo, los correos de co­n­fi­r­ma­ción también tienen in­co­n­ve­nie­n­tes. Al añadir un paso adicional, in­tro­du­ces una barrera extra para captar nuevos contactos. El usuario puede cambiar de opinión o si­m­ple­me­n­te olvidarse de hacer clic en el enlace de co­n­fi­r­ma­ción. Por eso, muchos negocios recurren a in­ce­n­ti­vos como cupones o de­s­cue­n­tos para animar al usuario a completar la su­s­cri­p­ción.

La im­ple­me­n­ta­ción del pro­ce­di­mie­n­to también implica un mayor esfuerzo técnico y ad­mi­ni­s­tra­ti­vo. Aun así, la mayoría de he­rra­mie­n­tas pro­fe­sio­na­les de ne­w­s­le­t­ter ofrecen funciones es­pe­cí­fi­cas que facilitan el proceso, de modo que poner en marcha el double opt-in para correos ele­c­tró­ni­cos suele ser sencillo.

Di­re­c­tri­ces para el correo de co­n­fi­r­ma­ción

Para que un correo de co­n­fi­r­ma­ción no se considere spam, las empresas deben tener en cuenta lo siguiente:

• No incluir pu­bli­ci­dad ni contenido comercial
• El contenido debe servir úni­ca­me­n­te para confirmar la su­s­cri­p­ción
• Usar solo los datos básicos generados durante el registro

Además, es re­co­me­n­da­ble do­cu­me­n­tar todos los pasos del proceso:

• Fecha y hora del registro
• Dirección IP del usuario que se registró
• Contenido del correo de co­n­fi­r­ma­ción
• Fecha y hora de la co­n­fi­r­ma­ción
• Dirección IP del usuario que confirmó

Estas evi­de­n­cias son ese­n­cia­les para demostrar, en caso de disputa, que la su­s­cri­p­ción se obtuvo de manera válida y conforme al RGPD y a la LOPDGDD.

Double opt-in en el registro de una tienda online

En el comercio ele­c­tró­ni­co, el proceso de registro de usuario también debe cumplir con las leyes españolas de pro­te­c­ción de datos y de co­mu­ni­ca­cio­nes co­me­r­cia­les. Enviar un correo ele­c­tró­ni­co para crear una cuenta que el usuario no ha so­li­ci­ta­do puede co­n­si­de­rar­se co­mu­ni­ca­ción comercial no deseada. Si el mensaje incluye elementos pro­mo­cio­na­les o no forma parte de un proceso claro de ve­ri­fi­ca­ción, puede infringir la LSSI-CE sobre co­mu­ni­ca­cio­nes co­me­r­cia­les y exponer al negocio a sanciones por parte de la AEPD.

El punto clave es este: un correo que confirma la creación de una cuenta sin haberse so­li­ci­ta­do, y que no incluye un enlace de ve­ri­fi­ca­ción, puede in­te­r­pre­tar­se como un mensaje con finalidad comercial. En tal caso, podría co­n­si­de­rar­se envío de pu­bli­ci­dad no au­to­ri­za­da, ya que el usuario no ha dado su co­n­se­n­ti­mie­n­to.

Co­n­se­cue­n­cias para el comercio ele­c­tró­ni­co en España:

• En los registros de cuentas de usuario, la ac­ti­va­ción debe co­n­fi­r­mar­se siempre mediante double opt-in.
• Si falta el enlace de co­n­fi­r­ma­ción y se envía una co­mu­ni­ca­ción que el usuario no ha so­li­ci­ta­do, el negocio puede en­fre­n­tar­se a re­cla­ma­cio­nes, sanciones ad­mi­ni­s­tra­ti­vas y daños repu­tacio­na­les.

¿Cómo funciona el double opt-in en una ne­w­s­le­t­ter?

El proceso de double opt-in garantiza que una su­s­cri­p­ción proviene realmente del usuario que ha in­tro­du­ci­do la dirección de correo. El fu­n­cio­na­mie­n­to es sencillo y siempre sigue los mismos pasos:

1. Rellenar el fo­r­mu­la­rio: el usuario introduce su dirección de correo ele­c­tró­ni­co (y, si procede, otros datos) en el fo­r­mu­la­rio de su­s­cri­p­ción a la ne­w­s­le­t­ter.
2. Recibir el correo de co­n­fi­r­ma­ción: justo después, el sistema envía au­to­má­ti­ca­me­n­te un correo con un enlace de ve­ri­fi­ca­ción. Sirve para comprobar que la dirección in­tro­du­ci­da pertenece realmente al usuario.
3. Hacer clic en el enlace de co­n­fi­r­ma­ción: solo al hacer clic en el enlace la su­s­cri­p­ción queda activada. Sin esta acción, no se realizará ningún envío y el double opt-in no se co­m­ple­ta­rá.
4. Correo de bie­n­ve­ni­da: tras confirmar la su­s­cri­p­ción, no­r­ma­l­me­n­te se envía un correo de bie­n­ve­ni­da, con un mensaje inicial o incluso la primera ne­w­s­le­t­ter.
5. Registro del proceso: todo el pro­ce­di­mie­n­to (in­clu­ye­n­do fecha y hora, IP y contenido del correo de co­n­fi­r­ma­ción) se registra para poder demostrar que la su­s­cri­p­ción a la ne­w­s­le­t­ter se obtuvo de manera válida y conforme al RGPD y la LOPDGDD.

Nada de medias tintas con el double opt-in

El correo ele­c­tró­ni­co comercial serio se basa siempre en el co­n­se­n­ti­mie­n­to del usuario. Al fin y al cabo, según la normativa española, el spam no es más que pu­bli­ci­dad no deseada. Por eso, cualquier empresa que envíe ne­w­s­le­t­te­rs o co­mu­ni­ca­cio­nes co­me­r­cia­les debería aplicar de forma estricta el proceso de double opt-in.

Y aquí no vale quedarse a medias: la seguridad jurídica solo se alcanza si el correo de co­n­fi­r­ma­ción se configura co­rre­c­ta­me­n­te y si se respetan todas las di­re­c­tri­ces del proceso. También es re­co­me­n­da­ble do­cu­me­n­tar in­fo­r­ma­ción esencial como la dirección IP y la fecha y hora tanto del registro como de la co­n­fi­r­ma­ción. En caso de conflicto, estos datos permiten demostrar cla­ra­me­n­te que la su­s­cri­p­ción fue válida y evitar re­cla­ma­cio­nes o sanciones por envío de pu­bli­ci­dad no so­li­ci­ta­da.

Por favor, ten en cuenta el aviso legal relativo a este artículo.