¿Qué son el modelo LIA y el modelo DPIA y cuándo son necesarios?
En el RGPD y la LOPDGDD, que los datos sean públicos no basta para que un tratamiento sea legal: hay que analizar, documentar y justificar por qué y cómo se tratan. El LIA y el DPIA son dos herramientas para hacerlo. Esta guía explica qué son y cuándo pueden hacer falta, sin necesidad de formación jurídica.
Qué es el LIA
El LIA (Legitimate Interest Assessment) es la Evaluación del Interés Legítimo. El RGPD lo exige cuando quieres tratar datos personales con la base legal del interés legítimo en lugar del consentimiento. Responde por escrito a esta pregunta: ¿puedo tratar estos datos sin pedir consentimiento previo y aun así respetar los derechos de las personas?
El RGPD permite el interés legítimo, pero no de forma automática. Hay que comprobar que:
- Existe un interés real y legítimo del responsable.
- El tratamiento es necesario para ese interés.
- Ese interés no prevalece sobre los derechos y libertades de la persona.
El LIA es el documento que demuestra que se ha hecho ese análisis. Suele tener tres bloques:
- Finalidad: ¿qué interés persigue la empresa? ¿Es lícito, concreto y real?
- Necesidad: ¿es realmente necesario tratar los datos para ese fin? ¿Hay alternativas menos intrusivas?
- Equilibrio: ¿cómo afecta el tratamiento a la persona? ¿Es razonable que espere ese uso de sus datos? ¿Hay medidas de mitigación, como información clara, derecho de oposición o limitación de datos?
Cuándo suele hacer falta
Orientativamente, el LIA suele ser relevante cuando:
- Haces acciones de captación comercial sin consentimiento previo.
- Usas datos de contacto profesionales obtenidos de fuentes públicas.
- Envías emails de prospección B2B.
- Usas datos públicos para análisis o segmentación comercial.
Qué es el DPIA
El DPIA (Data Protection Impact Assessment) es la Evaluación de Impacto relativa a la Protección de Datos. Es un análisis más profundo que el LIA y se usa cuando un tratamiento puede suponer un riesgo elevado para los derechos y libertades de las personas. Responde a esta pregunta: ¿puede este tratamiento generar riesgos significativos para los usuarios y cómo los voy a gestionar?
El RGPD no busca solo que los tratamientos sean legales, sino también seguros y proporcionados. Cuando un tratamiento es especialmente intensivo, novedoso o sensible, hay que analizar los riesgos antes de ponerlo en marcha.
Un DPIA suele incluir:
- Una descripción detallada del tratamiento.
- Un análisis de necesidad y proporcionalidad.
- La identificación de riesgos para las personas afectadas.
- Medidas técnicas y organizativas para reducirlos.
- La evaluación del riesgo residual.
Cuándo puede hacer falta
- Tratamientos a gran escala.
- Uso intensivo de perfiles o segmentación avanzada.
- Combinación de varias fuentes de datos.
- Automatización con efectos significativos.
- Tratamientos innovadores o poco habituales.
- Uso sistemático de datos de terceros.
No todos los proyectos necesitan un DPIA, pero cuando es obligatorio y no se hace, el riesgo legal es alto.
Diferencias entre LIA y DPIA
LIA | DPIA | |
|---|---|---|
Qué evalúa | La base legal del interés legítimo | Los riesgos elevados del tratamiento |
Enfoque | Jurídico | De riesgo y seguridad |
Frecuencia | Más habitual en marketing B2B | Menos habitual, pero más exigente |
Cuándo es obligatorio | Solo si usas el interés legítimo | En tratamientos de alto riesgo |
En algunos casos pueden hacer falta los dos.
Qué ofrece Mailerfind
Mailerfind puede facilitar materiales orientativos y esquemas de apoyo, pero:
- No ofrece modelos universales válidos para todos los casos.
- No sustituye tu análisis específico.
- No actúa como asesor legal ni como DPO.
Cada LIA o DPIA debe adaptarse al contexto concreto del tratamiento, al tipo de datos, a la finalidad y a la forma de uso. Encuentras los esquemas en Manual de buenas prácticas en protección de datos (GDPR).
Qué exige realmente la normativa
El RGPD no exige papeles por cumplir, sino responsabilidad proactiva (accountability). Si una autoridad o un DPO analiza tu proyecto, deberías poder demostrar que:
- Has pensado el tratamiento antes de ejecutarlo.
- Has evaluado su impacto.
- Has tomado decisiones informadas.
- Has aplicado medidas razonables de protección.
En resumen
- El LIA justifica el uso del interés legítimo.
- El DPIA analiza y reduce los riesgos elevados.
- No siempre son obligatorios, pero a veces sí.
- No hay respuestas automáticas ni plantillas universales.
- La responsabilidad recae en quien decide el uso de los datos.
Este artículo tiene fines informativos y educativos y no constituye asesoramiento legal personalizado. Para casos complejos o de alto riesgo, consulta con un profesional especializado en protección de datos.
Actualizado el: 13/10/2026
¡Gracias!