RIPD, LIA, TIA e DIA
Os quatro relatórios de privacidade, o que dispara cada um e por que eles não dependem de memória.
Disparados, não lembrados
Os quatro relatórios nascem de critérios da atividade de tratamento. Você não decide se precisa de um RIPD: você descreve a atividade e a plataforma responde. Isso muda a natureza do trabalho — de lembrar para revisar.
RIPD — quando é exigido
A regra de alto risco da ANPD combina dois conjuntos. Critérios específicos: dado sensível, tecnologia emergente, decisão automatizada ou vigilância de área pública. Critérios gerais: larga escala ou afetação de direitos. Basta um de cada lado para o tratamento ser de alto risco e o RIPD ser exigido.
Há mais dois gatilhos, mais brandos. Legítimo interesse como base legal exige o RIPD porque a ANPD pode solicitá-lo a qualquer momento. E um pedido explícito da ANPD, registrado na atividade, também exige. Quando mais de um gatilho vale, o de alto risco prevalece na leitura — é o que descreve melhor a situação.
LIA — o teste de três partes
Sempre que a base legal for legítimo interesse, a ANPD espera o teste de três partes: finalidade (o interesse é legítimo?), necessidade (o tratamento é a forma menos intrusiva de alcançá-lo?) e balanceamento (os direitos do titular se sobrepõem?), somados às salvaguardas que pesam na balança. A LIA da plataforma é esse checklist, e o resultado sugerido sai dele — seguir ou revisitar.
TIA e DIA
A TIA é disparada por transferência internacional de dados. A DIA é exigida quando a atividade toma ou apoia decisões automatizadas de alto impacto — o gatilho reaproveita o mesmo critério de decisão automatizada que já alimenta o RIPD, em vez de pedir que você marque a mesma coisa duas vezes. A referência dela é a governança de IA: NIST AI RMF e o AI Act europeu.