Tus derechos: consentimiento y retirada

Si una marca quiere hacer seguimiento de si abres sus correos, en la mayoría de los casos necesita antes tu consentimiento. Esta página explica qué aspecto debe tener ese consentimiento para ser válido, y qué debería ocurrir cuando lo retiras.

Qué hace válido a un consentimiento

Según la definición del RGPD, que las normas de la directiva ePrivacy toman prestada, el consentimiento debe ser:

• Libre — no una condición para recibir un servicio al que tienes derecho, ni estar agrupado de forma que no puedas rechazar el seguimiento por separado.
• Específico — vinculado a una finalidad definida. “Podemos tratar tus datos” no es específico; “medimos si abres nuestra newsletter para elaborar perfiles de interacción” sí lo es.
• Informado — debes saber quién hace el seguimiento, para qué y cómo retirarlo.
• Inequívoco — otorgado mediante una acción afirmativa clara. Las casillas premarcadas y el silencio no cuentan.

Un consentimiento obtenido mediante patrones engañosos (dark patterns) —un botón gigante de “Aceptar” junto a un enlace enterrado de “Gestionar”— se sostiene sobre bases frágiles.

La retirada debe ser tan fácil como el consentimiento

Este es el principio que más subraya la recomendación de la CNIL de 2026. Si dar el consentimiento costó un clic, retirarlo debe costar más o menos un clic también. En términos concretos:

• Nada de maratones de reautenticación. No deberías tener que iniciar sesión, responder preguntas de seguridad ni “contactar con soporte”.
• Nada de reintroducir el correo. Nunca se te debería pedir que escribas tu dirección en un formulario para darte de baja. El enlace personal del pie del correo ya te identifica; pedirlo de nuevo crearía una nueva vía para sondear quién figura en una lista, lo cual es en sí mismo un riesgo para la privacidad.
• Una única acción clara. Un solo clic en el enlace personal debería retirar el consentimiento.

La retirada debe funcionar de verdad, incluso en correos antiguos

Retirar el consentimiento no sirve de nada si los píxeles que ya están en tu bandeja de entrada siguen “llamando a casa”. Una retirada efectiva significa que:

• Los píxeles de los correos ya entregados dejan de registrar aperturas.
• Los enlaces reescritos dejan de registrar clics (o dejan de existir).
• El remitente no se limita a “anotar” tu retirada para futuras campañas mientras sigue haciendo seguimiento del histórico.

Lograr esto es una responsabilidad del lado del servidor que recae en el remitente: los endpoints que sirven los píxeles y procesan las redirecciones de clic deben comprobar tu preferencia actual y dejar de contar en cuanto la hayas retirado.

Cómo ejercer el derecho

1. Abre un correo reciente de la marca y baja hasta el pie.
2. Sigue el enlace de preferencias personales / de baja. Te identifica de forma segura: no hay nada que escribir.
3. Retira el consentimiento con un solo clic. Debería surtir efecto de inmediato.

También puedes comprobar, antes incluso de hacer clic, si un mensaje admite una baja limpia con un solo clic usando nuestro Comprobador de baja y cabeceras.

Si no funciona

Si un remitente dificulta la retirada, la ignora o sigue haciendo seguimiento del correo antiguo después de que te des de baja, eso es un incumplimiento. Puedes plantearlo ante el remitente y, en última instancia, presentar una reclamación ante tu autoridad nacional de protección de datos (en Francia, la CNIL).