Respuesta rápida
El interés legítimo puede utilizarse para datos no sensibles cuando se cumplen los requisitos de los Arts. 7 IX y 10. ANPD recomienda realizar un test de balance antes del tratamiento, evaluando finalidad legítima, necesidad, expectativas del titular, impacto en derechos y salvaguardas.
Puntos clave
- Debe existir una finalidad concreta y legítima.
- Use solo datos estrictamente necesarios.
- Las expectativas del titular importan.
- Transparencia no corrige por sí sola un tratamiento excesivo.
- La empresa debe documentar el test.
Qué significa en la práctica
La forma más segura de aplicar este tema es separar tres capas: lo que exige la ley o la regulación, lo que la organización hace realmente y la evidencia que permite demostrar esa decisión. Una política o contrato que no coincide con los sistemas, proveedores y flujos reales crea una falsa sensación de cumplimiento.
Para empresas globales, el análisis también debe considerar dónde están los titulares, qué entidades toman decisiones, qué proveedores reciben datos y qué países participan. La LGPD se aplica a operaciones concretas; por eso un mismo grupo empresarial puede tener respuestas diferentes según producto, finalidad o unidad.
Cómo implementar este tema
- Paso 1. Describa el interés perseguido.
- Paso 2. Compruebe necesidad y alternativas menos invasivas.
- Paso 3. Evalúe relación previa y contexto de recogida.
- Paso 4. Analice riesgos y derechos.
- Paso 5. Defina salvaguardas, transparencia y opt-out cuando sea apropiado.
Después de completar los pasos iniciales, conecte el resultado con el ROPA, el mapa de datos, la matriz de proveedores y el plan de remediación. Si aparece un cambio material —nuevo proveedor, país, finalidad, IA, tipo de dato o incidente— revise nuevamente la decisión.
Errores comunes
- Usar interés legítimo como comodín.
- Omitir el test porque el impacto parece pequeño.
- Considerar que datos públicos no tienen protección.
- Usarlo para datos sensibles.
Un error recurrente es tratar el cumplimiento como un documento estático. ANPD y la propia estructura de la LGPD apuntan a una gobernanza continua: registros, medidas, revisión de riesgo y capacidad de demostrar por qué una decisión era razonable en el contexto existente.
Qué debería documentar
| # | Registro | Evidencia mínima |
|---|---|---|
| 1 | Legitimate Interest Assessment | Conserve owner, fecha, evidencia y criterio de revisión. |
| 2 | ROPA | Conserve owner, fecha, evidencia y criterio de revisión. |
| 3 | Registro de salvaguardas | Conserve owner, fecha, evidencia y criterio de revisión. |
| 4 | Privacy notice | Conserve owner, fecha, evidencia y criterio de revisión. |
| 5 | Evidencia de opt-out | Conserve owner, fecha, evidencia y criterio de revisión. |
Relación con otras obligaciones LGPD
Este tema rara vez existe de manera aislada. Revise su conexión con mapeo de datos, ROPA, bases legales, proveedores, seguridad y transferencias internacionales.
Preguntas frecuentes
¿ANPD exige un formato único de LIA?
No. La guía propone un modelo y fases, pero el análisis puede adaptarse al riesgo.
¿El interés legítimo sirve para publicidad comportamental?
Puede ser difícil de justificar, especialmente con tracking de terceros y perfiles invasivos.
¿Necesito documentarlo?
Es una práctica importante y ANPD destaca el test previo para este fundamento.
Fuentes oficiales principales
Para esta guía se priorizaron fuentes primarias. Consulte siempre la versión vigente antes de tomar decisiones de alto impacto.
Convierta esta guía en un proceso repetible
El Manual de Cumplimiento LGPD en Brasil — Edición 2026 incluye una auditoría de 100 puntos, 16 hojas de trabajo de implementación y una hoja de ruta estructurada de 30 días.
Obtener el Manual · $47