RIPD: qué es el Informe de Impacto a la Protección de Datos Personales y cómo hacerlo

RIPD es la sigla de Relatório de Impacto à Proteção de Dados Pessoais (informe de impacto a la protección de datos personales), el documento que la LGPD (Ley General de Protección de Datos de Brasil) prevé para las situaciones en que el tratamiento de datos puede generar riesgo para las libertades civiles y los derechos fundamentales de los titulares. En la práctica, es el informe que muestra que la empresa se detuvo, miró con cuidado lo que está haciendo con los datos de las personas y evaluó los riesgos antes de salir a implementar un sistema, una campaña o un proyecto de inteligencia artificial. Quien ya participó en un proyecto de datos sabe que este tipo de pausa rara vez ocurre por cuenta propia. Suele llegar después de un susto, una auditoría o una exigencia de un cliente.

Qué es el RIPD y dónde aparece en la LGPD

El RIPD está previsto en el artículo 5, inciso XVII, y en el artículo 38 de la Ley General de Protección de Datos. La ley define el informe como la documentación que describe los procesos de tratamiento de datos personales capaces de generar riesgo para las libertades civiles y los derechos fundamentales, además de las medidas, salvaguardas y mecanismos de mitigación de riesgo adoptados por la empresa.

En la práctica, el RIPD responde tres preguntas simples. Qué datos personales se están tratando. Por qué ese tratamiento puede generar riesgo. Y qué está haciendo la empresa para reducir ese riesgo. Escrito así parece simple, pero la mayoría de las empresas se traba ya en la primera pregunta, porque no sabe con precisión qué datos personales tiene, en cuántos sistemas aparecen y quién tiene acceso a ellos.

Cuándo la empresa está obligada a hacer el RIPD

La LGPD no obliga a todas las empresas a producir un RIPD todo el tiempo. El informe se exige cuando la Autoridad Nacional de Protección de Datos lo solicita, y se recomienda siempre que el tratamiento involucra un alto volumen de datos sensibles, el uso de una tecnología nueva, la elaboración de perfiles de comportamiento, decisiones automatizadas sobre personas o el cruce de bases que amplían el riesgo de reidentificación.

Un ejemplo común aparece en proyectos de inteligencia artificial aplicados a clientes. La empresa quiere entrenar un modelo para predecir el comportamiento de compra, cruzando datos de CRM, historial de atención y datos de terceros. Ese es exactamente el tipo de tratamiento que pide un RIPD antes de pasar a producción, porque involucra elaboración de perfiles y decisión automatizada sobre datos personales. El error que veo con frecuencia es que el área de tecnología lo trata como un detalle jurídico y solo llama al equipo de privacidad después de que el modelo ya está funcionando.

Cómo elaborar un RIPD en la práctica

Hacer un RIPD que realmente sirva de protección, y no solo de papel para archivar, pasa por cuatro etapas.

La primera es el mapeo de los datos personales involucrados en el proceso. Qué dato se recolecta, de dónde viene, en qué sistema se almacena y por cuánto tiempo. Aquí es donde la mayoría de los proyectos de RIPD choca, porque esta etapa depende de un inventario de datos personales actualizado, que a su vez depende de un catálogo de datos organizado. Sin saber dónde está el dato, no hay informe de impacto que se sostenga.

La segunda etapa es identificar la base legal de cada tratamiento, y aquí vale la pena revisar las diez bases legales previstas en la LGPD para asegurarse de que el tratamiento está respaldado correctamente, no solo justificado después del hecho.

La tercera es el análisis de riesgo propiamente dicho. Qué daño puede ocurrir si ese dato se filtra, se usa de forma indebida o genera una decisión injusta sobre la persona. Aquí entra la clasificación de datos de la empresa, porque el nivel de riesgo de un CPF (el número de identificación fiscal de las personas físicas en Brasil) es distinto del riesgo de un dato de geolocalización o de un dato de salud.

La cuarta es la definición de las medidas de mitigación, que van desde el cifrado y el control de acceso hasta la revisión humana obligatoria en decisiones automatizadas. El RIPD no elimina el riesgo, documenta que la empresa conoce el riesgo y hizo algo al respecto.

Quién es responsable del RIPD dentro de la empresa

El encargado de protección de datos (DPO) normalmente lidera la elaboración del RIPD, pero no puede hacerlo solo, y esa es una trampa común. He visto RIPD que se convirtieron en un documento genérico, copiado de una plantilla lista, porque el DPO intentó rellenarlo todo sin involucrar a quienes realmente operan el dato en el día a día.

Un RIPD que funciona nace de la conversación entre el DPO, el equipo jurídico, el área de tecnología que sostiene los sistemas y el data steward o dueño del dato del área de negocio involucrada. Esa combinación es la que sabe, de hecho, dónde nace el dato, por dónde circula y quién toma decisiones sobre él. Sin ese equipo reunido, el RIPD se vuelve un ejercicio de redacción, y no un instrumento de gestión de riesgo.

Cuál es la relación entre el RIPD y la gobernanza de datos maestros

Aquí está el punto que pocos conectan. El RIPD es, en esencia, un ejercicio de gobernanza de datos aplicado a la privacidad. Exige data lineage, para conocer el camino que recorre el dato entre sistemas. Exige un diccionario de datos, para que todos entiendan el mismo campo de la misma forma. Y exige datos maestros organizados, porque un maestro de clientes duplicado o mal estandarizado hace prácticamente imposible decir con seguridad cuántas personas tienen sus datos tratados y dónde.

Las empresas que ya tienen un programa de gobernanza de datos maduro hacen el RIPD en una fracción del tiempo, porque buena parte del trabajo de mapeo ya está listo. Las empresas que tratan la privacidad como un asunto aislado del área jurídica, sin conexión con el programa de datos, terminan rehaciendo el mapeo en cada solicitud, y el RIPD nunca queda realmente actualizado.

Qué herramientas ayudan en el RIPD

No existe una herramienta específica en el mercado llamada RIPD, pero el documento se apoya en herramientas de catalogación y mapeo de datos, como Collibra, Alation y Microsoft Purview, que ayudan a localizar dónde está esparcido el dato personal dentro de la empresa. Del lado de la privacidad, soluciones de gestión de privacidad y GRC, como OneTrust y plataformas equivalentes, ayudan a documentar tratamientos, mantener el RIPD versionado y conectar cada proceso con su base legal. Lo importante es que la herramienta organiza la información, pero quien decide qué es un riesgo relevante sigue siendo el equipo de datos y privacidad trabajando en conjunto.

Cómo aprender a elaborar un RIPD

Para quien quiere profundizar, el camino pasa por entender la LGPD en la práctica, no solo el texto de la ley, y por conocer el cuerpo de conocimiento de gestión de datos descrito en el DAMA-DMBOK, que trata la privacidad y la gobernanza como disciplinas conectadas. La certificación CDMP de DAMA es una buena referencia para quien quiere formalizar ese conocimiento, así como los cursos orientados a la formación de encargados de protección de datos. El aprendizaje más valioso, sin embargo, suele venir de participar de verdad en la elaboración de un RIPD dentro de una empresa, sentado con el área jurídica, TI y el negocio en la misma mesa.

Las oportunidades de carrera ligadas al RIPD

La demanda de profesionales que sepan moverse entre la privacidad y la gobernanza de datos solo crece. Las empresas de todos los tamaños necesitan gente que entienda tanto el texto de la LGPD como la arquitectura real de los sistemas, capaz de traducir un requisito legal en un proceso de datos ejecutable. Ese perfil, que mezcla conocimiento jurídico, técnico y de negocio, tiende a evolucionar hacia posiciones como encargado de protección de datos, analista de gobernanza y, en empresas mayores, hacia funciones de liderazgo en datos y privacidad.

Principales dudas sobre el RIPD

¿El RIPD es obligatorio para toda empresa? No. Es obligatorio cuando la ANPD (la autoridad de protección de datos de Brasil) lo solicita y se recomienda siempre que el tratamiento de datos involucra un alto riesgo, como elaboración de perfiles, decisión automatizada o un gran volumen de datos sensibles.

¿Quién puede exigir el RIPD a una empresa? La Autoridad Nacional de Protección de Datos puede solicitar el informe en cualquier momento, y los clientes corporativos también suelen exigir evidencia de RIPD en contratos y procesos de due diligence.

¿El RIPD debe publicarse? No existe una obligación general de publicación, pero la empresa debe poder presentarlo si lo solicita la ANPD o un titular de datos, conforme al artículo 38 de la LGPD.

¿Cuál es la diferencia entre el RIPD y el inventario de datos personales? El inventario de datos personales es el levantamiento de qué datos existen y dónde están. El RIPD usa ese inventario como base, pero va más allá, evaluando el riesgo de cada tratamiento y las medidas de mitigación adoptadas.

¿Con qué frecuencia debe actualizarse el RIPD? Siempre que el tratamiento de datos cambie de forma relevante, como la entrada de una nueva tecnología, un nuevo proveedor de datos o un cambio en el propósito de la recolección. Las empresas maduras revisan el RIPD periódicamente, no solo cuando algo cambia.

MDM Academy

Este tipo de conexión entre privacidad, gobernanza y datos maestros es exactamente lo que enseñamos en la MDM Academy, la escuela de gobernanza y datos maestros de 4MDG. La propuesta no es formar solo a quien escribe políticas, sino a quien sabe convertir una exigencia legal en un proceso de datos que funciona en la práctica, con ejemplos reales de proyectos de compras, registros maestros, SAP e IA que viví a lo largo de más de veinticinco años de carrera. Si trabajas con datos, privacidad, registros maestros o gobernanza y quieres salir de la teoría, vale la pena conocer la MDM Academy o entrar al Club de los Datos, nuestra comunidad de profesionales que discuten estos temas todos los días.

Conclusión

El RIPD no es una burocracia aislada del área jurídica. Es el retrato de cuánto conoce realmente la empresa sus propios datos. Una empresa que no sabe dónde están sus datos de clientes, proveedores y empleados no puede escribir un RIPD honesto, solo un documento de fachada. Y eso debería preocupar a los gestores más de lo que los preocupa hoy, porque el riesgo no desaparece cuando el informe queda bonito en el papel. Desaparece cuando la gobernanza de datos que hay detrás es de verdad.