O duplo opt-in (DOI) é uma inscrição em dois tempos: o endereço introduzido num formulário só entra na lista depois de um clique no link de um e-mail de confirmação. Nem o RGPD nem a CNIL o impõem. Este guia explica a regra jurídica exata, os campos a arquivar como prova, um modelo de e-mail pronto a copiar e o método para migrar uma base existente, com uma árvore de decisão que opõe o DOI ao opt-in simples e acrescenta a verificação de endereços.
O guia cobre também a configuração no Brevo, no Mailchimp, no HubSpot e no ActiveCampaign.
O percurso de inscrição, do preenchimento à lista ativa
O DOI decorre em cinco etapas. A pessoa só vê três.
- O visitante introduz o endereço num formulário e marca uma caixa de consentimento, vazia por defeito.
- A ferramenta de e-mail marketing cria o contacto com o estado «pendente» (pending) e não lhe associa nenhuma campanha.
- Um e-mail de confirmação sai no espaço de um minuto, com um link de utilização única.
- O clique ativa o contacto. A ferramenta regista a data, a hora e o IP do clique.
- Aparece uma página de agradecimento, seguida do e-mail de boas-vindas.
Estado pendente e expiração do link
Um contacto «pendente» não recebe nenhuma campanha, nem sequer a newsletter do próprio dia. O link de confirmação tem um prazo de validade, que cada ferramenta define à sua maneira: leia a documentação antes de prometer um prazo (o modelo mais abaixo anuncia 48 horas, a adaptar). Passado esse prazo, o visitante tem de voltar ao formulário. Um prazo demasiado curto faz perder quem abre os e-mails à noite ou no dia seguinte.
Opt-in simples e opt-out: os outros dois modos
O opt-in simples (single opt-in, SOI) valida a inscrição logo que o formulário é enviado. Não é expedido nenhum e-mail de confirmação. O visitante recebe a primeira campanha sem qualquer outro gesto. O consentimento existe, de facto. Nada prova, porém, que o endereço pertence à pessoa que o introduziu.
O opt-out inverte a lógica: a empresa escreve enquanto o destinatário não recusar. A CNIL resume o opt-in numa frase («se não disse sim, é não»), o que exclui o opt-out na prospeção junto do grande público. Cada mensagem deve conter um link de cancelamento funcional. A saída da lista tem de ser imediata, sem reconfirmação.
Comparativo: confirmação, anti-bots e prova
Os dois métodos distinguem-se em seis critérios, do volume de inscritos à prova em caso de controlo.
| Critério | Opt-in simples | Duplo opt-in |
|---|---|---|
| Inscritos conservados | 100 % das submissões válidas | Só os que clicam (39 % no Mailchimp em 2017) |
| Erros de digitação (gmial.com) | Entram na lista | Bloqueados: o e-mail de confirmação não chega a lado nenhum |
| Robôs que preenchem o formulário | Entram na lista | Ficam «pendentes» |
| Prova do consentimento | Caixa marcada e registo do formulário | Caixa marcada e clique com data e hora, a partir da caixa de correio do assinante |
| Fricção para o assinante | Um gesto | Um gesto, mais um e-mail para abrir |
| Risco de bounce na inscrição | Elevado sem controlo do endereço | Baixo na inscrição, volta com o tempo |
A última linha merece nuance: o risco regressa mais tarde, como explica a secção sobre os rejeitados.
Taxa de confirmação esperada
Circula uma única estatística rastreável: 39 % de confirmação, ou seja 61 % de abandono, anunciada por John Foreman, Chief Data Scientist do Mailchimp, em outubro de 2017 para justificar a passagem do single opt-in a padrão, a 31 de outubro de 2017 (os formulários existentes dos clientes sediados na UE mantiveram-se em DOI, por receio do RGPD). Este número vem de uma reprodução do blogue alemão emailmarketingtipps.de, porque a página original do Mailchimp desapareceu: leia-o como uma ordem de grandeza de 2017, sem o tratar como referência atual. As margens de 50 a 80 % que circulam em blogues de fornecedores não assentam em nenhum estudo publicado.
Em 10 000 inscrições mensais, uma taxa de 39 % deixa 3 900 contactos ativos. Meça a sua: confirmações a dividir pelas inscrições em 30 dias, por fonte de tráfego, porque a taxa varia de formulário para formulário.
Anti-bots: DOI, CAPTCHA e honeypot
Um CAPTCHA (reCAPTCHA da Google, hCaptcha, Cloudflare Turnstile) ou um campo armadilha (honeypot) trava o robô antes do envio do e-mail. O DOI trava-o depois: o robô fica «pendente». Só o DOI custa um envio por robô, o que pesa nos grandes volumes. Os dois acumulam-se sem dificuldade.
O que dizem o RGPD, a CNIL e o CPCE
A regra cabe numa linha: um ato positivo da pessoa, mais a capacidade de o demonstrar. Nenhum texto consultado prescreve a confirmação por e-mail.
Artigo 7.º e considerando 32
O artigo 7.º do RGPD (Regulamento (UE) 2016/679, aplicável desde 25 de maio de 2018) obriga o responsável pelo tratamento a «poder demonstrar que o titular dos dados deu o seu consentimento». O considerando 32 qualifica o consentimento como ato positivo claro e afasta o silêncio, as caixas pré-marcadas e a inatividade. O DOI satisfaz estas duas exigências sem as impor: o clique é um ato positivo e deixa rasto.
Na sua página sobre a recolha do consentimento (publicada a 3 de agosto de 2018, atualizada em 2026), a CNIL acrescenta que o consentimento deve ser livre, específico, informado e inequívoco. O responsável deve também poder demonstrá-lo a qualquer momento, por exemplo através de um registo de consentimentos. Para a prospeção por e-mail, exige uma caixa dedicada, não pré-marcada: aceitar as condições gerais não basta. Nenhuma das páginas da CNIL consultadas menciona o duplo opt-in.
Prospeção por e-mail: o artigo L34-5 do CPCE
Em França, o artigo L34-5 do Código dos correios e das comunicações eletrónicas (CPCE) estabelece, desde a lei para a confiança na economia digital de 21 de junho de 2004, o princípio do consentimento prévio para a prospeção por correio eletrónico junto de pessoas singulares. O enquadramento RGPD do e-mail marketing detalha as consequências para as suas campanhas. A diretiva europeia 2002/58/CE (ePrivacy) está na origem desta regra.
Prova de consentimento: os campos a arquivar
Um clique de confirmação só vale se for recuperável. Conserve, para cada contacto:
- a data e a hora do preenchimento, depois as do clique de confirmação;
- o endereço IP associado a cada uma das duas etapas;
- o texto exato da caixa de consentimento e a versão do formulário apresentada;
- o URL da página de inscrição e a fonte de tráfego;
- o identificador do e-mail de confirmação enviado.
O Brevo precisa na sua ajuda que o DOI não é exigido pelo RGPD, mas ajuda a provar a inscrição, graças aos registos de eventos e aos e-mails transacionais. Verifique se a sua ferramenta exporta estes campos: um registo que fica fechado dentro da plataforma desaparece com a sua subscrição.
Casos em que o consentimento prévio não é exigido
A página da CNIL sobre a prospeção por correio eletrónico (junho de 2026) descreve duas exceções principais. A primeira: escreve a um cliente sobre produtos ou serviços análogos aos já adquiridos, depois de lhe ter oferecido, desde a recolha, a possibilidade de se opor (o «soft opt-in» dos anglo-saxónicos). A segunda: a prospeção não comercial. No B2B, a CNIL admite a prospeção com base no interesse legítimo: o envio para um endereço profissional é possível se a mensagem tiver relação com a função da pessoa e se esta tiver sido informada e pudesse recusar desde a recolha. Quanto aos endereços genéricos de pessoas coletivas (info@, contact@, commande@), a CNIL precisa que não estão sujeitos a estes princípios. Em todos estes casos, o DOI continua facultativo.
O caso alemão
A 10 de fevereiro de 2011, no acórdão «Double-Opt-in-Verfahren» (I ZR 164/09), o Supremo Tribunal Federal alemão (BGH) entendeu que, depois de recebida a confirmação, se pode admitir que o pedido vem de facto do endereço indicado. O consentimento fica então suficientemente documentado. O texto do acórdão precisa também que o anunciante deve conservar a declaração e poder imprimi-la.
Limite de peso: o acórdão decorre do direito alemão da concorrência desleal (UWG) e não do RGPD. O DOI por e-mail não prova um acordo para chamadas telefónicas. Nenhuma lei alemã o impõe. É o ónus da prova, que recai sobre o anunciante, que o torna indispensável na prática para quem envia para a Alemanha.
Configurar a confirmação na sua ferramenta
A configuração muda de nível de ferramenta para ferramenta: umas ativam-na para toda a audiência, outras formulário a formulário. Os nomes dos menus evoluem, procure-os na secção de formulários ou de audiência da sua conta.
| Ferramenta | Nível da configuração | A verificar antes de ativar |
|---|---|---|
| Brevo | Formulário de inscrição | Modelo do e-mail de confirmação e lista de destino dos contactos confirmados |
| Mailchimp | Audiência (definições da audiência) | Desde outubro de 2017, o single opt-in é o padrão dos novos formulários (os formulários existentes dos clientes da UE ficaram em DOI) |
| HubSpot | Definições de e-mail (toda a conta); por formulário com Marketing Hub Professional ou Enterprise | Modelo do e-mail de confirmação: o HubSpot não envia nenhum e-mail de marketing ao contacto enquanto este não confirmar |
| ActiveCampaign | Formulário de inscrição (ação «subscrever uma lista») | O DOI vem ativado por defeito: controlar a mensagem apresentada e o modelo do e-mail de confirmação |
Redigir o e-mail de confirmação
O e-mail de confirmação é, ele próprio, uma mensagem sensível: se a inscrição não estiver demonstrada, o OLG München tratou-o como publicidade (ver as perguntas frequentes). Mantenha-o estritamente transacional: um assunto claro, uma frase de contexto, um botão, nenhuma oferta. Eis um modelo.
Assunto: Confirme a sua inscrição na newsletter da [Marca]
Olá,
Acabou de pedir para receber a newsletter da [Marca] com o endereço [endereço]. Clique no botão abaixo para confirmar. O link é válido durante 48 horas.
[Botão: Confirmar a minha inscrição]
Se não foi o autor deste pedido, ignore esta mensagem: nenhuma inscrição será registada.
[Marca], [morada postal], [endereço de resposta monitorizado]
Envie-o a partir de um endereço que receba respostas. Banir o endereço noreply permite que um assinante hesitante lhe escreva, em vez de assinalar a mensagem como spam.
Página de agradecimento, e-mail de boas-vindas e lembrete
A página de agradecimento depois do clique confirma a inscrição, anuncia a frequência de envio e recorda como cancelar. O e-mail de boas-vindas sai logo a seguir e cumpre o primeiro compromisso anunciado (o guia prometido, o código de desconto). É o primeiro sinal positivo dirigido aos fornecedores de correio eletrónico.
O lembrete: um único aviso às 24 horas para os contactos «pendentes», depois eliminação ao fim de 7 dias. Um segundo aviso aumenta o risco de queixa de spam junto de alguém que não confirmou nada.
Migrar uma base em opt-in simples
Passar ao DOI não torna retroativamente válida uma base mal documentada. Comece por triar: os contactos de que possui a data de recolha e a fonte ficam ativos, desde que encontre também o texto exato do consentimento. Para os restantes, envie um pedido de reconfirmação a uma amostra de 1 000 contactos, meça a taxa de clique e depois alargue por vagas de 5 000 a 10 000 contactos. Antes desse envio, limpe a sua lista de e-mails: os endereços mortos nunca confirmarão e inflacionam artificialmente o abandono.
Um endereço confirmado pode mesmo assim tornar-se um bounce
O clique prova que alguém controla a caixa de correio no instante do clique. Não diz nada sobre o estado dessa caixa seis meses depois. É aí que a entregabilidade de uma lista «limpa» se degrada.
Vários casos passam pelo duplo opt-in sem dificuldade. Um endereço profissional desaparece quando o titular sai da empresa: a caixa devolve então um NDR (Non-Delivery Report) com o código SMTP 550 5.1.1 («utilizador desconhecido»), isto é, um hard bounce definitivo. Um domínio em catch-all aceita todas as mensagens, incluindo para caixas inexistentes: o clique pode vir de outra ferramenta que não uma pessoa. Um endereço abandonado pode depois ser reciclado como armadilha de spam por certos operadores. Um envio para uma armadilha pesa na sender reputation.
Cada caso é mensurável: acompanhe a taxa de hard bounce nos seus relatórios e a taxa de queixas de spam no Google Postmaster Tools, do lado do Gmail.
O controlo do endereço intervém em dois momentos distintos. No preenchimento, uma verificação por API controla o domínio (DNS, MX), testa a caixa através de uma ligação SMTP e propõe uma correção em caso de erro de digitação, antes do envio do link de confirmação: nenhum e-mail segue para «gmial.com». Segundo a documentação da API, uma verificação SMTP completa demora cerca de 3 segundos: preveja um timeout de 20 segundos e trate qualquer ultrapassagem como um resultado «unknown». Antes de uma campanha, uma verificação da base assinala os endereços inválidos e os catch-all de risco. Este controlo não garante nada para o futuro: uma caixa válida hoje pode desaparecer amanhã, daí o interesse de o repetir antes das grandes campanhas, em vez de uma vez por todas.
Árvore de decisão: DOI, opt-in simples ou verificação
- Envia para a Alemanha ou falta-lhe prova sobre as suas inscrições: DOI, com os campos de prova da secção anterior.
- O seu formulário é um lead magnet B2B e cada lead alimenta uma sequência comercial: opt-in simples, mais verificação do endereço no preenchimento, porque perder até 61 % dos inscritos (o número do Mailchimp de 2017) pode custar mais do que o risco de um erro de digitação.
- O seu formulário está aberto ao grande público e os robôs já o atacam: DOI ou CAPTCHA, depois verificação antes da primeira campanha.
- Importa uma base comprada ou recebida de um parceiro: nenhum dos três substitui um consentimento obtido na origem. Não a importe.
- Escreve aos seus clientes sobre produtos análogos: consentimento não exigido no âmbito da exceção, DOI facultativo, verificação antes do envio.
Perguntas frequentes sobre o duplo opt-in
O e-mail de confirmação conta como prospeção? Na Alemanha, o OLG München (27 de setembro de 2012, 29 U 1682/12) equiparou-o a publicidade simples quando enviado sem consentimento prévio. Limite-o a um pedido de confirmação, sem conteúdo promocional. Escreva uma só vez.
O DOI vale como consentimento para chamadas e SMS? Não para o telefone: o BGH decidiu em 2011 que a confirmação por e-mail não prova um acordo para chamadas. Recolha um consentimento distinto para cada canal.
Durante quanto tempo conservar a prova? A CNIL não indica nenhuma duração nas suas páginas sobre o consentimento. Conserve-a enquanto a pessoa estiver inscrita e o tempo de responder a uma contestação, e depois peça ao seu encarregado da proteção de dados que valide o prazo.
Como evitar as falsas confirmações? Certos filtros de segurança empresariais abrem os links dos e-mails antes do destinatário e validam um contacto à sua revelia. Faça clicar num botão da página de chegada antes de ativar o contacto, em vez de ativar ao simples carregamento do link.
Um formulário de lead magnet B2B exige o DOI? Não: uma caixa não pré-marcada ou a exceção B2B descrita acima basta. O DOI serve aí para tornar o endereço fiável, e um controlo do endereço no preenchimento responde a isso a menor custo.
