¿Qué es el Double Opt-in?

El double opt-in es el proceso de suscripción en dos pasos que usan las listas de correo y los newsletters. La persona rellena un formulario con su dirección de email y, antes de recibir ningún envío, tiene que confirmar esa suscripción pulsando un enlace dentro de un correo de verificación. Solo ese clic activa la inscripción.

El procedimiento cumple dos funciones distintas. Evita que alguien apunte una dirección ajena sin el conocimiento de su titular, un problema habitual en formularios abiertos al público. Y deja un rastro técnico verificable del momento exacto en que esa persona dio su visto bueno.

Ese segundo punto es la razón por la que el double opt-in se ha vuelto el estándar del email marketing en Alemania. No describe cómo se pide el consentimiento en general, algo que ya cubre el RGPD como marco amplio, sino cómo se aplica ese principio, en concreto, a una suscripción por correo, casi siempre el primer paso formal del customer journey de un suscriptor de email.

En Alemania, el single opt-in deja al responsable sin una forma sólida de acreditar que fue el propio titular de la dirección quien pidió recibir correos, un problema que se vuelve decisivo ante una reclamación.

El proceso arranca con un formulario de alta, casi siempre en una web o landing page, donde el usuario escribe su dirección de correo. En ese momento no se envía ningún contenido comercial: el sistema genera automáticamente un correo de confirmación con un enlace único, distinto para cada suscripción y cada intento de registro. La mayoría de plataformas de email marketing incluyen este mecanismo por defecto, sin necesidad de programarlo desde cero.

Si la persona pulsa ese enlace, el sistema registra la confirmación con fecha, hora y dirección IP, y solo entonces pasa la dirección al estado activo dentro de la lista. A partir de ese momento puede empezar a recibir el newsletter o las campañas para las que dio su consentimiento, un paso habitual en cualquier estrategia de inbound marketing que capte suscriptores mediante formularios propios en vez de listas compradas.

Si nadie pulsa el enlace, la dirección queda en un estado intermedio de pendiente de confirmar, sin recibir ningún envío mientras tanto. Dejarla así de forma indefinida no es buena práctica: pasado un plazo razonable, entre 24 y 72 horas suele ser habitual, conviene borrarla de forma automática en vez de conservarla sin actividad ni base legal alguna para el envío. Esa limpieza periódica también mantiene la lista más sana y evita gastar cuota de envío en direcciones que nunca llegaron a activarse.

El double opt-in no aparece como término en el RGPD ni en la ley alemana de competencia desleal (UWG): ningún artículo lo nombra ni lo exige de forma literal. La obligación es indirecta, y conviene distinguir bien de dónde viene.

El punto de partida es el artículo 7.1 del RGPD, que pone la carga de la prueba sobre el responsable: es él quien tiene que poder demostrar que la persona dio su consentimiento, no al revés. Guardar solo una dirección de correo en una base de datos no demuestra nada por sí solo.

Sobre esa base, el Tribunal Supremo alemán (BGH) fijó en una sentencia del 10 de febrero de 2011 (asunto I ZR 164/09) que el mero registro de una IP, junto con la afirmación de que desde ella se dio el consentimiento, no basta como prueba. Exige documentar el proceso íntegro del opt-in, incluido el texto exacto que la persona aceptó.

La Conferencia de Autoridades de Protección de Datos (DSK) recogió ambos elementos en su guía de febrero de 2022 sobre publicidad directa: declara el double opt-in "geboten" (necesario) para verificar el consentimiento, remitiendo a esa sentencia del BGH para los requisitos de registro. La guía representa la postura conjunta de las autoridades de control, sin rango de ley, pero en la práctica funciona como el criterio con el que evalúan cualquier reclamación. Por eso el double opt-in no es una exigencia legal explícita, sino la vía práctica para cumplir la obligación de prueba del artículo 7.1.

• Envía el correo de confirmación en cuestión de minutos tras el registro, sin ningún contenido comercial más allá de la propia petición de confirmar.
• Registra fecha, hora, dirección IP y el texto exacto del consentimiento en cada confirmación, tal como exige la jurisprudencia del BGH.
• Borra de forma automática las suscripciones que sigan sin confirmar pasado un plazo razonable, en vez de guardarlas indefinidamente como pendientes.
• Usa una única finalidad por enlace de confirmación: no aproveches ese correo para colar otra suscripción o un cambio de condiciones.
• Facilita la baja con un enlace visible en cada envío, con la misma sencillez con la que se dio de alta la suscripción.
• Conserva el registro del consentimiento en tu CRM incluso después de una baja, como prueba frente a una reclamación futura.

• Tratar el double opt-in como un simple trámite y no como la prueba legal que sostiene todo el envío posterior.
• Guardar solo la dirección IP de origen y asumir que eso basta como prueba de consentimiento, algo que el BGH rechazó de forma explícita.
• Dejar suscripciones sin confirmar acumulándose durante meses en la base de datos, sin límite de tiempo ni borrado automático.
• Confundir el double opt-in con la segmentación de la lista: son procesos distintos, uno valida la suscripción y el otro organiza a quién ya está suscrito.
• Incluir contenido publicitario en el propio correo de confirmación, lo que puede convertir ese envío en publicidad no consentida.