Figura 0. El reto no es conservar más logs, sino conservar con sentido y poder demostrar lo ocurrido cuando realmente importa. (IA)

Derecho de acceso, logs y gobierno de la evidencia: una lectura GRC del caso Datatilsynet 2023-31-0321

(Artículo dirigido, revisado y validado por Leocadio Marrero Trujillo, autor y responsable editorial. Se utilizaron herramientas de IA generativa como apoyo a la edición y al diseño gráfico).

Resumen

La decisión adoptada por la autoridad danesa de protección de datos, Datatilsynet, el 28 de mayo de 2026 en el expediente 2023-31-0321 ofrece una oportunidad especialmente útil para analizar la relación entre el derecho de acceso, los registros técnicos de actividad y la capacidad de una organización para reconstruir el tratamiento realizado sobre datos personales. El caso adquiere mayor relevancia cuando se examina junto con la sentencia del Tribunal de Justicia de la Unión Europea de 22 de junio de 2023 en el asunto C-579/21, J.M. contra Pankki S, que reconoció la relevancia de determinada información contenida en los logs para el ejercicio efectivo del artículo 15 del RGPD.

Este trabajo analiza ambas fuentes desde una perspectiva jurídico-doctrinal y propone, a partir de ellas, una lectura aplicada desde gobierno, riesgo y cumplimiento. Se sostiene que determinados registros técnicos pueden cumplir una función que trasciende la seguridad informática y contribuir a la verificabilidad del tratamiento, la investigación de actuaciones pasadas y la demostración del funcionamiento de los controles. Sobre esta base se propone el concepto de arquitectura de evidencia como marco organizativo para conectar trazabilidad, acceso, conservación, preservación y accountability, sin convertir esa propuesta en una obligación general de conservación ni atribuir a las fuentes conclusiones que estas no contienen.

Palabras clave: derecho de acceso; logs; trazabilidad; accountability; retención; evidencia; GRC.

1. Introducción: cuando una solicitud de acceso deja de ser un asunto exclusivamente jurídico

Hay resoluciones de protección de datos cuyo interés se encuentra principalmente en la infracción que declaran y otras que, cuando las miramos con algo más de perspectiva, dejan al descubierto problemas organizativos bastante más amplios. La decisión adoptada por Datatilsynet el 28 de mayo de 2026 en el expediente 2023-31-0321 pertenece claramente a este segundo grupo, porque detrás de una solicitud de acceso aparecen cuestiones relacionadas con los privilegios de los empleados, los registros técnicos de actividad, la conservación de información, la capacidad para reconstruir acontecimientos pasados y, en último término, la forma en que una organización puede demostrar que sus controles funcionaron como estaba previsto.

El punto de partida resulta sencillo de entender. Una clienta de una entidad bancaria sospechaba que su expareja, que trabajaba precisamente en ese banco, podía haber consultado sus cuentas sin una razón profesional que justificara ese acceso. Para intentar comprobarlo solicitó información relativa a las consultas realizadas sobre sus datos durante un período comprendido entre 2015 y 2021.

Podríamos quedarnos en la cuestión de si esa información estaba o no comprendida en el artículo 15 del RGPD, pero hacerlo dejaría fuera buena parte de lo que hace interesante el caso. Una solicitud de estas características obliga también a preguntarse qué registra realmente el sistema, durante cuánto tiempo se conserva esa información, quién puede recuperarla, qué permite demostrar y qué sucede cuando los datos que podrían aclarar una controversia ya han desaparecido.

La pregunta que guía este trabajo parte precisamente de ahí: ¿qué implicaciones organizativas pueden extraerse, desde una perspectiva GRC, de la relevancia que determinados logs pueden adquirir para el ejercicio del derecho de acceso, sin convertir esa conclusión en una obligación general de conservación de registros técnicos?

La tesis que se propone es que ciertos logs, cuando permiten reconstruir operaciones realizadas sobre datos personales y verificar si el tratamiento se corresponde con las finalidades declaradas, pueden desempeñar una función que va más allá de la seguridad técnica y formar parte de una arquitectura más amplia de evidencia y trazabilidad. Esto no significa que deban conservarse indefinidamente ni que todo registro tenga el mismo valor, sino que su diseño, conservación y eventual preservación deberían analizarse teniendo en cuenta qué riesgos ayudan a controlar y qué hechos necesitamos poder reconstruir.

El trabajo adopta un método jurídico-doctrinal basado principalmente en el análisis de la decisión de Datatilsynet y de la sentencia del TJUE en Pankki S, junto con el RGPD y las Directrices 01/2022 del Comité Europeo de Protección de Datos sobre el derecho de acceso. A partir de esas fuentes se desarrolla después una lectura aplicada desde GRC, diferenciando expresamente las conclusiones que proceden de las autoridades de aquellas que constituyen una propuesta organizativa de este análisis.

Esta separación resulta importante, porque una de las cautelas necesarias en cualquier comentario de una resolución consiste precisamente en no hacer decir a la autoridad aquello que no dijo.

2. El caso Datatilsynet 2023-31-0321

La interesada presentó su solicitud el 20 de marzo de 2023 y pocos días después confirmó que quería mantenerla. Paralelamente existía otra controversia con el banco relacionada con determinadas comisiones, respecto de las cuales la entidad había ofrecido una devolución siempre que no tuviera que continuar dedicando tiempo y recursos al asunto, incluyendo posibles cuestiones que pudieran derivarse de él.

Datatilsynet entendió que, atendiendo al contexto concreto, esa condición suponía vincular el reembolso al abandono de la solicitud de acceso y que esa forma de proceder no resultaba compatible con la obligación del responsable de facilitar el ejercicio de los derechos reconocida en el artículo 12.2 del RGPD.

Este primer elemento del caso merece atención porque ayuda a comprender que facilitar un derecho no consiste únicamente en poner a disposición de las personas un formulario, una dirección de correo electrónico o un procedimiento interno. También importa la manera en que la organización se comporta una vez que el derecho comienza a ejercerse, porque la solicitud puede verse obstaculizada no solo mediante una negativa formal, sino también introduciendo condiciones que desincentiven su mantenimiento.

El responsable puede pedir aclaraciones cuando resulten necesarias, analizar el alcance de la solicitud e incluso concluir que no procede atenderla total o parcialmente cuando exista fundamento suficiente para hacerlo, pero el ejercicio de un derecho no debería convertirse en una variable negociable dentro de otra relación económica o contractual.

Cuando el banco respondió finalmente, el 20 de junio de 2023, explicó que los logs solicitados ya no estaban disponibles porque determinados registros internos se eliminaban automáticamente después de seis meses. La entidad había consultado además con su centro de procesamiento sobre la posibilidad de reconstruir aquella información y, según recoge la resolución, hacerlo podía requerir alrededor de 182 horas de consultoría y generar un coste aproximado de 300.000 coronas danesas, sin que existiera siquiera la certeza de que el resultado permitiera determinar si la expareja de la reclamante había accedido realmente a sus cuentas.

Aquí conviene hacer una distinción importante, porque una lectura apresurada podría convertir el caso en algo que no es.

Datatilsynet no reprochó al banco que no entregara unos registros que ya no existían, ni declaró que aquellos logs hubieran debido conservarse desde 2015. La autoridad aceptó la explicación de la entidad sobre su eliminación conforme al ciclo ordinario de conservación y no consideró que esa desaparición constituyera, por sí misma, una infracción en el expediente analizado.

Tampoco fijó un período mínimo general de conservación de logs ni desarrolló una metodología para determinar cuánto tiempo deberían mantenerse.

La resolución es bastante más limitada, y precisamente por eso debemos ser cuidadosos cuando pasamos del análisis jurídico a la interpretación GRC. El hecho de que Datatilsynet no cuestionara la eliminación de aquellos registros no significa que seis meses constituya un plazo generalmente adecuado, del mismo modo que tampoco permite concluir que todos los logs deban conservarse durante años.

Lo que la autoridad resuelve es otra cosa: en las circunstancias del procedimiento, no encontró fundamento para reprochar al banco que los registros hubieran sido eliminados antes de la solicitud conforme a su política ordinaria.

3. Pankki S y la relevancia jurídica de la información contenida en los logs

La cronología del caso tiene una circunstancia especialmente interesante. El banco respondió el 20 de junio de 2023 y, apenas dos días después, el Tribunal de Justicia de la Unión Europea dictó su sentencia en el asunto C-579/21, J.M. contra Pankki S.

Hasta entonces, la propia Datatilsynet había mantenido una aproximación más restrictiva respecto de determinados registros técnicos, considerados fundamentalmente como una funcionalidad de seguridad asociada al tratamiento principal. La sentencia del Tribunal obligó a desplazar el foco desde la naturaleza técnica del registro hacia la información que ese registro permite conocer.

El TJUE entendió que la información relativa a las consultas realizadas sobre datos personales, incluidas sus fechas y finalidades, puede quedar comprendida dentro del derecho de acceso previsto en el artículo 15 del RGPD. Lo relevante, por tanto, no es que la información se encuentre almacenada en algo que técnicamente denominamos log, sino que permita al interesado comprender cómo fueron tratados sus datos y verificar si las operaciones realizadas se corresponden con las finalidades invocadas por el responsable.

Este desplazamiento conceptual tiene bastante importancia.

El derecho de acceso no convierte los sistemas internos de una organización en espacios abiertos a cualquier investigación del interesado. Lo que permite es acceder a aquella información que resulte necesaria para comprender y verificar el tratamiento realizado sobre sus datos personales.

Hay además una parte del razonamiento del Tribunal que resulta especialmente útil para el análisis que aquí proponemos. Pankki S señala que los registros pueden aportar información sobre la frecuencia y la intensidad de las consultas realizadas, de manera que el interesado pueda valorar si las operaciones efectuadas resultan coherentes con las finalidades declaradas.

Ese matiz introduce una dimensión de verificabilidad que merece detenerse un momento.

Supongamos que una organización explica que un empleado accedió una vez a determinado expediente para resolver una incidencia concreta. Esa explicación puede resultar plenamente coherente con el tratamiento realizado. Sin embargo, si los registros muestran numerosas consultas repetidas durante semanas, el mismo relato necesita una justificación diferente.

El log no determina por sí solo que el tratamiento haya sido ilícito, pero permite contrastar lo que la organización afirma con aquello que muestran los acontecimientos registrados.

Es justamente ahí donde comienza a aparecer una función que trasciende el mero registro técnico.

Figura 1. Del log técnico a la verificabilidad del tratamiento.

Fuente: elaboración propia a partir de TJUE, C-579/21, J.M. contra Pankki S. (IA)

4. Registro, evidencia y prueba: una distinción necesaria

Que un log pueda utilizarse para contrastar una explicación no significa que deba tratarse automáticamente como una prueba concluyente.

Conviene distinguir varios niveles.

En primer lugar está el registro, es decir, la información que un sistema genera acerca de determinados eventos. Ese registro puede convertirse en evidencia cuando resulta relevante para reconstruir o contrastar un hecho, pero su valor probatorio dependerá después de múltiples factores, entre ellos la integridad del sistema, la autenticidad del registro, su trazabilidad, la configuración que lo generó y la posibilidad de interpretarlo junto con otras fuentes de información.

La distinción es importante porque evita atribuir a los logs una objetividad absoluta que en muchas ocasiones no tienen.

Un registro puede mostrar que determinadas credenciales se utilizaron para acceder a un sistema, pero eso no demuestra necesariamente quién estaba físicamente detrás de ellas. Puede indicar que una cuenta consultó un determinado recurso, pero no siempre explica el contexto en que se produjo el acceso, la finalidad que lo motivó o si existieron circunstancias adicionales que modifiquen su interpretación.

El valor del log aumenta cuando se integra con otras evidencias y cuando la organización puede acreditar razonablemente cómo se generó, quién podía alterarlo, durante cuánto tiempo se conservó y qué mecanismos protegían su integridad.

Esta distinción entre registro, evidencia y valor probatorio resulta especialmente relevante desde auditoría y cumplimiento, porque nos recuerda que la trazabilidad solo resulta útil cuando podemos confiar suficientemente en la cadena que conecta el hecho con el registro que pretende representarlo.

5. Lo que las fuentes establecen y lo que no permiten concluir

Antes de avanzar hacia la lectura GRC conviene delimitar con claridad qué puede extraerse de la decisión de Datatilsynet y de Pankki S, porque buena parte del rigor del análisis depende de mantener esa frontera.

La resolución danesa no declaró ilícita la eliminación previa de los logs, no estableció un plazo general de conservación, no impuso una obligación de guardar registros para atender cualquier hipotética solicitud futura y tampoco reconoció un derecho automático a conocer la identidad de los empleados que consultaron determinada información.

La sentencia Pankki S tampoco convierte el derecho de acceso en un mecanismo general para conocer el nombre de quienes trabajan dentro de una organización. El Tribunal distingue entre la información relativa a las operaciones realizadas y la identidad de las personas que las ejecutaron, admitiendo que esta última puede llegar a resultar necesaria cuando sea indispensable para que el interesado ejerza efectivamente sus derechos, pero exigiendo que se tengan en cuenta también los derechos y libertades de los propios trabajadores.

En el caso danés esa distinción adquiere una relevancia particular, porque la reclamante no pretendía conocer indiscriminadamente qué empleados utilizaban los sistemas del banco, sino comprobar una sospecha concreta relacionada con una persona determinada que podía disponer de capacidad profesional para acceder a sus datos y con la que había mantenido una relación personal.

De ahí que las respuestas generales funcionen mal.

No puede afirmarse que cualquier interesado tenga siempre derecho a conocer el nombre de quien accedió a sus datos, pero tampoco debería sostenerse que esa identidad queda necesariamente fuera del derecho de acceso. La respuesta dependerá de la información que resulte necesaria para comprender el tratamiento, del propósito legítimo de la solicitud y de la posibilidad de ejercer efectivamente los derechos sin revelar datos adicionales de terceros.

La delimitación resulta igualmente importante en materia de conservación. Ni Datatilsynet ni el TJUE establecen que el reconocimiento de determinados logs como información relevante para el artículo 15 genere una obligación general de ampliar sus períodos de retención.

La conservación debe seguir encontrando su justificación en la finalidad, la necesidad y los principios aplicables al tratamiento, entre ellos la limitación del plazo de conservación.

6. El fundamento del reproche: la gestión del derecho

Después de toda la discusión sobre logs, empleados y conservación, el reproche formal formulado por Datatilsynet terminó concentrándose en los apartados 2, 3 y 4 del artículo 12 RGPD.

La primera cuestión estaba relacionada con la obligación de facilitar el ejercicio de los derechos, debido a la forma en que el banco había vinculado la devolución de determinadas comisiones al abandono de la solicitud.

La segunda se encontraba en el plazo de respuesta. La reclamante había confirmado su petición el 23 de marzo y no recibió una contestación sustantiva hasta el 20 de junio, prácticamente tres meses después.

El artículo 12.3 exige actuar sin dilación indebida y, en cualquier caso, dentro del plazo de un mes. El responsable puede ampliar ese período otros dos meses cuando la complejidad o el número de solicitudes lo justifiquen, pero esa extensión no constituye un plazo general de tres meses del que pueda disponer automáticamente, porque debe comunicarse dentro del primer mes y acompañarse de las razones que explican su necesidad.

Finalmente, el artículo 12.4 obliga al responsable que decide no actuar conforme a una solicitud a informar al interesado de los motivos y de la posibilidad de presentar una reclamación ante la autoridad de control o acudir a los tribunales.

Esta parte del expediente deja una enseñanza bastante clara para cualquier modelo de cumplimiento: que una solicitud sea compleja no suspende las obligaciones básicas que rigen su gestión.

Puede ser necesario consultar con tecnología, pedir información a un proveedor, recuperar datos históricos o analizar una cuestión jurídica cuya interpretación no sea sencilla, pero mientras esas tareas se desarrollan el plazo continúa avanzando y alguien debe conservar la visión completa del expediente.

Aquí aparece ya una cuestión claramente organizativa. El derecho de acceso no funciona solo como una institución jurídica; necesita también un proceso operativo capaz de coordinar personas, sistemas, plazos y evidencias.

7. Del registro técnico a una arquitectura de evidencia

A partir de este punto dejamos atrás las conclusiones que proceden directamente de Datatilsynet y del TJUE y comenzamos una lectura propia desde gobierno, riesgo y cumplimiento.

Dentro de las organizaciones, los logs suelen analizarse desde la función que los genera o utiliza. Seguridad los necesita para detectar accesos anómalos, tecnología para investigar errores, auditoría para comprobar determinados controles y cumplimiento para reconstruir actuaciones que pueden tener relevancia normativa.

La dificultad aparece cuando cada una de estas funciones diseña el ciclo de vida del registro atendiendo únicamente a sus propias necesidades.

Un log capaz de mostrar que un empleado accedió a una cuenta bancaria puede servir para detectar un incidente de seguridad, comprobar una segregación de funciones, investigar una posible utilización indebida de privilegios, atender una solicitud de derechos, analizar una irregularidad interna o aportar evidencia en un procedimiento posterior.

No todos esos usos tienen por qué concurrir en cada caso ni pueden invocarse indiscriminadamente para justificar cualquier tratamiento, pero su posible coexistencia muestra que determinados registros tienen una dimensión organizativa que va bastante más allá de su origen técnico.

Por eso utilizamos aquí la expresión arquitectura de evidencia para referirnos al conjunto coordinado de registros, controles, mecanismos de trazabilidad y procesos de conservación o preservación que permiten a una organización reconstruir acontecimientos relevantes y contrastar el funcionamiento efectivo de sus controles con las reglas que formalmente los gobiernan.

No se trata de un concepto utilizado por Datatilsynet ni de una categoría jurídica establecida por Pankki S. Es una propuesta analítica desde GRC que intenta ordenar de manera conjunta problemas que normalmente se gestionan por separado.

La idea parte de una diferencia bastante sencilla.

Las políticas explican cómo deberían hacerse las cosas.

Los registros pueden ayudarnos a comprender cómo se hicieron realmente.

Una matriz de accesos describe qué permisos tenía una persona, mientras que un log puede aportar información sobre cómo utilizó esos permisos. Una política puede establecer que los empleados solo deben consultar datos cuando exista una necesidad profesional, mientras que los registros pueden permitir reconstruir cuándo se realizaron esas consultas y con qué frecuencia.

Esa capacidad de contrastar diseño y ejecución se acerca directamente al principio de responsabilidad proactiva, porque demostrar cumplimiento no consiste únicamente en exhibir políticas, registros de actividades o procedimientos, sino también en poder explicar razonablemente cómo funcionaron ciertos controles cuando resulta necesario verificarlos.

Figura 2. Retención y preservación: gobierno del ciclo de vida de la evidencia (IA)

8. Conservación, riesgo y preservación de la evidencia

Si determinados registros pueden cumplir una función de evidencia, la pregunta sobre cuánto tiempo deben conservarse adquiere una dimensión distinta, aunque esto no significa que debamos partir automáticamente de períodos más largos.

La primera cuestión debería ser qué necesitamos poder reconstruir con ese registro, qué riesgo justifica mantener esa capacidad y durante cuánto tiempo resulta razonable conservarla.

No todos los logs tienen el mismo valor ni responden a las mismas necesidades.

Un registro utilizado temporalmente para diagnosticar un error técnico no plantea necesariamente las mismas cuestiones que otro capaz de reconstruir accesos a historiales clínicos, cuentas financieras, expedientes laborales o sistemas cuyo uso indebido puede provocar consecuencias importantes para las personas.

Tampoco resulta indiferente el nivel de privilegios de quien realiza el acceso, porque la capacidad para reconstruir las actuaciones de usuarios con amplios permisos administrativos puede ser especialmente relevante cuando el modelo de seguridad depende precisamente del uso controlado de esos privilegios.

Esta aproximación no significa que debamos conservar más información, sino que convendría justificar mejor por qué la conservamos durante un período concreto.

La decisión debería conectar, al menos, la finalidad del registro, el riesgo que ayuda a controlar, la sensibilidad del contexto, los privilegios existentes y las consecuencias que podría tener perder prematuramente la capacidad de reconstruir determinados hechos.

A partir de aquí aparece una segunda distinción que resulta útil desde GRC, aunque no derive de una obligación general establecida en el caso danés: la diferencia entre retención y preservación.

La retención determina el ciclo ordinario de vida de la información y establece cuándo debe eliminarse normalmente.

La preservación responde a otra situación: qué hacemos cuando una circunstancia sobrevenida convierte temporalmente determinada información en relevante para una investigación, una reclamación, un incidente o el análisis de un derecho.

En el expediente 2023-31-0321 los logs ya habían desaparecido antes de que se ejerciera el derecho, de manera que Datatilsynet no estaba resolviendo un supuesto en el que la organización hubiera permitido borrar información después de conocer la controversia.

La pregunta aparece cuando imaginamos el escenario contrario.

Si determinada información todavía existe cuando se recibe una reclamación que puede necesitarla, resulta razonable que la organización disponga de criterios que permitan valorar si el borrado ordinario debe suspenderse temporalmente.

Ese mecanismo de preservación o hold no debería convertirse en una excepción general al principio de limitación del plazo de conservación ni utilizarse para justificar que todo se guarde indefinidamente. Su sentido es bastante más limitado: evitar que un proceso automático destruya una evidencia cuya relevancia ha cambiado por una circunstancia concreta y documentada.

Retención y preservación responden, por tanto, a preguntas diferentes y deberían formar parte de una misma lógica de gobierno del ciclo de vida de la información.

Figura 3. Arquitectura GRC de evidencia (IA)

9. El derecho de acceso como proceso transversal

La resolución permite observar también hasta qué punto resulta insuficiente tratar las solicitudes de derechos como expedientes exclusivamente jurídicos.

Privacidad puede interpretar el artículo 15 y determinar qué información debe facilitarse, pero normalmente no será quien conozca cómo se genera un determinado log, dónde se almacena, qué significan todos sus campos o qué limitaciones presenta el sistema histórico.

Seguridad puede interpretar determinados eventos y detectar comportamientos anómalos; tecnología puede explicar las posibilidades de recuperación; recursos humanos puede necesitar intervenir cuando aparece una posible utilización indebida de privilegios; compliance puede valorar si existe una irregularidad de mayor alcance y auditoría puede revisar posteriormente si los controles establecidos funcionaron como estaba previsto.

Mientras todas esas funciones intervienen, alguien tiene que mantener la visión completa del expediente, controlar los plazos y documentar las decisiones adoptadas.

Por eso la eficacia de un procedimiento de derechos no debería medirse únicamente comprobando si existe una política aprobada, sino también observando si la organización dispone de capacidad real para ejecutarla cuando llega una situación difícil.

Esto se manifiesta en cuestiones muy concretas: quién recibe la solicitud, quién determina su alcance, cuándo debe escalarse, quién identifica los sistemas afectados, qué información debe preservarse, quién controla el plazo y cómo queda documentada la justificación de las decisiones.

Cuando esas respuestas no están previstas, cada solicitud compleja obliga a improvisar una organización temporal mientras el plazo legal sigue corriendo.

Desde una perspectiva GRC, esa improvisación constituye por sí misma una señal sobre la madurez del sistema de control.

10. Conclusiones

El caso Datatilsynet 2023-31-0321 permite extraer varias conclusiones que conviene mantener claramente diferenciadas para evitar que la interpretación vaya más allá de lo que las fuentes permiten sostener.

La primera deriva directamente de la resolución. La correcta gestión del ejercicio de los derechos sigue siendo exigible aunque la información solicitada ya no exista. La complejidad técnica, la necesidad de consultar a terceros o la imposibilidad material de recuperar determinados registros no eliminan las obligaciones procedimentales establecidas en el artículo 12 RGPD.

La segunda procede de Pankki S. Determinados registros técnicos pueden contener información comprendida dentro del derecho de acceso cuando permiten conocer las operaciones realizadas sobre datos personales, sus fechas, sus finalidades y otros elementos necesarios para verificar si el tratamiento realizado se corresponde con aquello que el responsable declara.

La relevancia jurídica del log, por tanto, no deriva de su denominación técnica, sino de la información que permite conocer y de su capacidad para hacer verificable el tratamiento.

La tercera conclusión impone una cautela igualmente importante. Ni la resolución danesa ni la sentencia del Tribunal establecen una obligación general de conservar indefinidamente los logs, fijan un período uniforme de retención o reconocen un derecho automático a conocer la identidad de cualquier empleado que haya accedido a los datos.

A partir de esas constataciones comienza la aportación GRC de este análisis.

Si determinados registros pueden resultar relevantes para reconstruir accesos, investigar irregularidades, atender derechos y comprobar el funcionamiento de controles, parece razonable que su diseño y ciclo de vida no se analicen exclusivamente desde la función técnica que los genera.

De ahí surge la propuesta de entender algunos logs como componentes de una arquitectura de evidencia capaz de conectar identidades, privilegios, accesos, monitorización, conservación, preservación, derechos, investigaciones y auditoría.

Esta arquitectura no pretende conservar más información ni transformar cada evento tecnológico en una prueba permanente. Su finalidad es mantener, durante un período justificable, una capacidad razonable para reconstruir determinados hechos y contrastar las explicaciones de la organización con aquello que realmente ocurrió.

Esa es, probablemente, la aportación más útil que puede extraerse del caso cuando lo miramos desde GRC.

El cumplimiento no consiste únicamente en establecer reglas que indiquen cómo deberían hacerse las cosas. En determinados contextos también exige conservar una capacidad suficiente para saber cómo se hicieron realmente, explicar por qué ocurrieron de esa manera y aportar evidencia que permita sostener esa explicación cuando alguien necesite comprobarla.

Las conclusiones de este trabajo no permiten establecer un período general de conservación de logs ni sostener la existencia de una obligación autónoma de hold derivada del derecho de acceso. Su alcance es más limitado, pero también más útil: mostrar que determinadas trazas técnicas pueden adquirir simultáneamente relevancia para la transparencia, la verificación, el ejercicio de derechos y la responsabilidad proactiva, lo que justifica analizar su gobierno desde una perspectiva más integrada.

Fuentes principales

Datatilsynet. Decisión de 28 de mayo de 2026, expediente 2023-31-0321, Pengeinstitut får kritik for håndtering af indsigtsanmodning.

Tribunal de Justicia de la Unión Europea. Sentencia de 22 de junio de 2023, J.M. contra Pankki S, C-579/21, ECLI:EU:C:2023:501.

Comité Europeo de Protección de Datos. Directrices 01/2022 sobre los derechos de los interesados: derecho de acceso, versión 2.1.

Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.

El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido