RIPD, LIA, TIA y DIA
Los cuatro informes de privacidad, qué dispara cada uno y por qué ninguno depende de la memoria.
Disparados, no recordados
Los cuatro informes nacen de criterios de la actividad de tratamiento. No decides si necesitas un RIPD: describes la actividad y la plataforma responde. Eso cambia la naturaleza del trabajo — de recordar a revisar.
RIPD — cuándo se exige
La regla de alto riesgo de la ANPD combina dos conjuntos. Criterios específicos: dato sensible, tecnología emergente, decisión automatizada o vigilancia de área pública. Criterios generales: gran escala o afectación de derechos. Basta uno de cada lado para que el tratamiento sea de alto riesgo y el RIPD sea exigido.
Hay dos disparadores más, más suaves. El interés legítimo como base legal exige el RIPD porque la ANPD puede solicitarlo en cualquier momento. Y un pedido explícito de la ANPD, registrado en la actividad, también lo exige. Cuando vale más de un disparador, el de alto riesgo prevalece en la lectura — es el que describe mejor la situación.
LIA — la prueba de tres partes
Siempre que la base legal sea el interés legítimo, la ANPD espera la prueba de tres partes: finalidad (¿el interés es legítimo?), necesidad (¿es la forma menos intrusiva de alcanzarlo?) y balance (¿los derechos del titular se sobreponen?), sumadas las salvaguardas que pesan en la balanza. La LIA de la plataforma es ese checklist, y el resultado sugerido sale de él — seguir o revisitar.
TIA y DIA
La TIA se dispara por transferencia internacional de datos. La DIA se exige cuando la actividad toma o apoya decisiones automatizadas de alto impacto — el disparador reutiliza el mismo criterio de decisión automatizada que ya alimenta el RIPD, en vez de pedirte marcar lo mismo dos veces. Su referencia es la gobernanza de IA: el NIST AI RMF y el AI Act europeo.