Registro de auditoría: mantener un registro defendible

Por qué merece su propio apartado, no solo una mención de pasada

El registro de auditoría aparece a lo largo de toda esta base de conocimiento como un detalle de apoyo — se registra una retención legal, se registra la resolución de un aviso de represalia, se registra una supresión. Lo que no se dice directamente en ningún otro sitio es por qué ese registro es lo que realmente importa, no la acción a la que va unido. El principio de responsabilidad proactiva del RGPD (art. 5(2)) no solo exige a una empresa cumplir la normativa de protección de datos — exige poder demostrar ese cumplimiento, y el art. 24 traduce eso en una obligación concreta de implementar medidas que hagan posible demostrarlo. Un registro de lo ocurrido, llevado con honestidad, es lo que hace que "lo gestionamos correctamente" deje de ser una afirmación y pase a ser algo que realmente se puede mostrar.

Qué debe capturar realmente un registro defendible

La prueba útil para cualquier registro de auditoría, sea cual sea la plataforma que lo genere: ¿podría alguien ajeno a la empresa — un regulador, un tribunal, un empleado que siente que se le trató injustamente — reconstruir a partir de él qué ocurrió y cuándo, sin tener que fiarse de la palabra de nadie? En general, eso significa capturar, para cada acción que importa:

• Quién lo hizo. No "un gestor", sino una persona o cuenta concreta e identificable.
• Cuándo. Una marca de tiempo real, no un recuerdo aproximado reconstruido después.
• Qué cambió. El antes y el después reales, no solo que algo ocurrió.
• Por qué, en cualquier caso que implicara un juicio. Un cambio de estado o una actualización rutinaria puede no necesitar un motivo adjunto — pero una retención legal, una supresión, o la resolución de un incidente de represalias sí deberían tenerlo, porque son exactamente las acciones sobre las que alguien podría preguntar más tarde "por qué hizo eso". Véase cuándo aplicar una retención legal y gestionar un aviso de represalia para dos ejemplos concretos de decisiones que necesitan un motivo en el registro, no solo una marca de tiempo.

La carencia que tienen la mayoría de los registros: quién miró, no solo quién cambió

Un registro que solo captura cambios — movimientos de estado, notas añadidas, un resultado registrado — deja fuera la mitad de lo que exige realmente la confidencialidad. La obligación de seguridad del canal del art. 9(1)(a) trata de impedir el acceso del personal no autorizado, lo que significa que quién consultó un caso es un hecho tan relevante para la confidencialidad como quién lo editó. Si una empresa puede mostrar quién cambió un caso pero no quién lo consultó, no puede responder a la pregunta que una investigación de brecha de confidencialidad plantearía primero: quién tuvo ojos sobre esto. Un registro defendible cubre el acceso, no solo las ediciones.

El registro es lo que descarga la carga de la prueba, no solo lo que la respalda

Esto importa de forma más concreta exactamente en la situación tratada en qué se considera represalia: en cuanto un informante demuestra que presentó una denuncia y después sufrió un perjuicio, el art. 21(5) presume que ese perjuicio fue una represalia, y es la empresa la que tiene la carga de probar lo contrario. En ese punto, un registro documentado y con marca de tiempo de por qué se tomó una decisión no es un extra que respalda el argumento de la empresa — es lo único que puede descargar esa carga. Una empresa que confía en la memoria, o en mensajes informales de Slack que a nadie se le ocurrió conservar, está intentando probar un hecho negativo a posteriori, sin nada construido para ese propósito.

Cómo lo ha implementado Provoxis

Provoxis registra cada una de estas acciones — establecer o liberar una retención legal, señalar o resolver un incidente de represalias, suprimir una denuncia — como una entrada de auditoría creada en la misma transacción de base de datos que la propia acción. Esa es una garantía estructural, no de proceso: el sistema está construido de forma que la acción nunca puede completarse sin un registro correspondiente de quién la hizo, cuándo y por qué, en lugar de que el registro sea un paso separado que pueda fallar, omitirse o añadirse después. Una empresa que gestiona su propio proceso sobre un buzón compartido o una hoja de cálculo depende de que alguien se acuerde de anotarlo — un registro defendible no debería depender de eso.

Fundamento jurídico

• Art. 5(2), RGPD — el principio de responsabilidad proactiva: el responsable del tratamiento debe poder demostrar el cumplimiento, no solo cumplir.
• Art. 24, RGPD — la obligación de implementar medidas que hagan posible demostrar ese cumplimiento.
• Art. 21(5), Directiva (UE) 2019/1937 — la inversión de la carga de la prueba que un registro documentado es lo que realmente permite descargar.