Podejście opt in czyli prawo do wyrażenia zgody na przetwarzanie danych osobowych zostało przyjęte w ogólnym rozporządzenia o ochronie danych (RODO). Jednocześnie jest to podejście najmniej popularne w Stanach Zjednoczonych, choć występuję w takich stanach jak Nowy Jork, Oklahoma czy Waszyngton. W tym podejściu, administrator może przetwarzać, a czasami również przekazywać dane osobowe tylko jeśli osoba wyrazi na to zgodę. Taka orientacja, przenosi ciężar z osoby fizycznej na administratora. Przy takim stanowisku, to na administratorze ciąży obowiązek uzyskania zgody osoby, której dane chce przetwarzać. To rozwiązanie uznawane jest za bardziej przyjazne osobom fizycznym.

Podejście opt out czyli prawo do rezygnacji ze sprzedawania niektórych danych to rozwiązanie przyjęte przez wiele stanów w USA, np. Kalifornia i Newada. W tym systemie domyślną zasadą jest, że organizacje są uprawnione do sprzedawania danych, ale są zobowiązane do zapewnienia osobom fizycznym możliwości rezygnacji. Jeśli dany administrator korzysta z opcji opt out, to jeśli podamy np. w formularzu kontaktowym swój adres e-mail, administrator ma prawo sprzedać dane, które uzyskał od nas. Jeśli administrator zapewnił odpowiednie powiadomienie i umożliwił rezygnacje to sprzedaż danych jest całkowicie legalna. Najczęściej, zapewnia się to prawo poprzez zamieszczenie na stronie sformułowania „nie sprzedawaj ani nie udostępniaj moich danych osobowych” lub podobnego.

W takim założeniu to na dorosłej osobie spoczywa ciężar korzystania z przysługujących jej praw i jeśli chce by jej dane nie były sprzedawane to musi podjąć działanie. W przypadku gdy osoba skorzysta z prawa do rezygnacji, sprzedaż jej danych traci walor legalności i sprzedaż po wykonaniu prawa jest zabroniona. W ramach tej opcji, osoba fizyczna nie ma możliwości zabronić administratorowi przetwarzania jej danych osobowych.

Ostatnio popularne stało się podejście trzecie, tzw. hybrydowe. W jego ramach, część danych jest przetwarzanych i sprzedawanych do czasu rezygnacji. Jednak w zakresie tzw. danych wrażliwych (np. stan zdrowia) konieczne jest wyrażenie zgody na ich przetwarzanie. Co ważne, przy takim podejściu, przy wyrażeniu rezygnacji osoba sprzeciwia się zarówno przetwarzaniu jak i sprzedaży danych osobowych. Tym samym, ochrona jest nieco większa niż w pełnym systemie opt out. Takie podejście zostało przyjęte w Wirginii.

Źródło: https://iapp.org/news/a/opt-in-vs-opt-out-approaches-to-personal-information-processing/