Jak zálohovat zprávy ze sociálních sítí pro účely compliance

Export zpráv ze sociálních sítí je užitečný pouze tehdy, když dokážete vysvětlit, co obsahuje, co vynechává, kdo k němu má přístup a zda se po pořízení změnil. Tento kontrolní seznam se věnuje nativním exportům, metadatům, uchovávání, přístupu a ověřování, aniž by předpokládal, že stažení z jedné platformy představuje úplný záznam.

1. Začněte záznamem, který potřebujete uchovat

Pro obhajitelný základ uchovejte více než jen text zpráv. U.S. National Archives and Records Administration (NARA) uvádí, že úplný federální záznam musí obsahovat obsah, kontext a strukturu spolu s přidruženými metadaty, jako je autor a datum vytvoření, a musí být udržován spolehlivě a autenticky (pokyny NARA).

Použijte to jako test úplnosti:

• Obsah: export zprávy nebo konverzace.
• Kontext: účet, profil, účastníci, časové období a důvod pořízení.
• Struktura: formát a vztahy mezi soubory, složkami, přílohami a záznamy zpráv.
• Metadata: údaje jako autor a datum vytvoření, spolu s rozsahem exportu a zaznamenaným časem.

Pro účely tohoto seznamu považujte stažený export za kopii, kterou uchováváte, a následně ověřte, zda tyto prvky obsahuje. NARA uvádí jako možné metody pořízení API konkrétní platformy, zachycení webu, manuální postupy a exportní nástroje platformy. Pokud poskytovatel nedokáže exportovat úplný záznam, organizace podle NARA stále odpovídá za zavedení požadavků na zachycení (pokyny NARA).

2. Před exportem zmapujte účty, správce a dobu uchovávání

Před vyžádáním dat vytvořte jeden řádek pro každou síť a profil. Zaznamenejte:

• Síť a uživatelské jméno nebo URL profilu
• Vlastníka účtu nebo správce
• Obchodní účel a relevantní rozsah zpráv
• Požadované časové období
• Metodu a formát exportu
• Datum žádosti, doručení a vlastníka přístupu
• Umístění úložiště a pravidlo uchovávání
• Známá vyloučení, zpoždění nebo upozornění na smazaný obsah

Platforma není jediným kritériem pro určení, zda zpráva patří do regulovaného záznamu. FINRA uvádí, že povinnosti uchovávání záznamů ze sociálních sítí závisí na tom, zda jde o obchodní komunikaci, nikoli pouze na platformě. Analýza podle ní nezávisí ani na zařízení nebo technologii, včetně osobního zařízení (FINRA Notice 11-39).

Doba uchovávání také není univerzální číslo. Například:

Lhůta FINRA je uvedena v Notice 11-39, požadavek HIPAA v 45 CFR 164.316 a formulace o ukládání a zabezpečení v bodu odůvodnění 39 GDPR. Jde o příklady ze zdrojů, nikoli o univerzální zásady uchovávání. NIST doporučuje používat forenzní postupy až po konzultaci s vedením a právními poradci ohledně příslušných zákonů a předpisů (NIST SP 800-86).

Nenechte systém, který elektronickou komunikaci automaticky maže, fungovat jako jedinou kontrolu uchovávání záznamů: FINRA uvádí, že taková technologie by znemožnila komunikaci uchovat (FINRA Notice 11-39).

3. Exportujte zprávy a údaje o účtu pomocí zdokumentovaných nativních postupů

Použijte oficiální postup odpovídající platformě a podrobnosti žádosti uložte spolu s výslednými soubory.

Instagram

Na počítači zahájíte oficiální export přes Více > Nastavení > Účet Meta > Vaše informace a oprávnění > Exportovat vaše informace > Vytvořit export. Instagram uvádí, že před zahájením můžete vybrat konkrétní informace, časové období, formát, e-mail pro oznámení a kvalitu médií (Nápověda Instagramu).

Naplánujte si doručení: Instagram uvádí, že připravený export je dostupný čtyři dny, zatímco doručení odkazu může trvat až 30 dní. Stránka nápovědy také upozorňuje, že smazané informace se nemusí zobrazit, a popisuje export jako chráněný heslem a dostupný pouze držiteli účtu (Nápověda Instagramu). Zaznamenejte datum žádosti a skutečného stažení souborů.

Facebook

Na počítači je oficiální cesta Facebooku profilový obrázek > Nastavení a soukromí > Nastavení > Účet Meta > Vaše informace a oprávnění > Exportovat vaše informace > Vytvořit export. Facebook umožňuje zvolit HTML nebo JSON; podle nápovědy je HTML vhodné pro prohlížení v prohlížeči v ZIPu a JSON je strojově čitelný (Nápověda Facebooku).

Stejná stránka uvádí, že připravené exporty zůstávají dostupné čtyři dny a export je chráněn heslem. Facebook také upozorňuje, že kategorie se uchovávají různě dlouho a že smazané informace nebo obsah se v exportu neobjeví (Nápověda Facebooku; dostupnost dat na Facebooku). Výsledek považujte za export informací o účtu k revizi, nikoli za důkaz existence každé historické zprávy.

LinkedIn

Oficiální cesta LinkedInu na počítači je Já > Nastavení a soukromí > Ochrana osobních údajů > Stáhnout vaše data. LinkedIn uvádí, že můžete vybrat konkrétní kategorie nebo větší download: konkrétní typ může dorazit během několika minut, větší download do 24 hodin a odkaz ke stažení zůstává dostupný 72 hodin (Nápověda LinkedInu).

Existují dvě důležitá omezení rozsahu. LinkedIn uvádí, že funkce stahování není dostupná na mobilu a poskytuje osobní údaje žádajícího člena, nikoli data jiných členů (Nápověda LinkedInu). Obě omezení uveďte v záznamu uchovávání.

WhatsApp

Uložený oficiální postup je určen pro Android: otevřete chat > Další možnosti > Další > Exportovat chat > Bez médií nebo Včetně médií > vyberte způsob sdílení (Nápověda WhatsAppu).

WhatsApp uvádí, že exportovaná historie chatu je textový soubor, nikoli záložní soubor, a nelze ji znovu importovat. Při volbě Včetně médií se jako přílohy přidají naposledy odeslaná média. Uchovejte textový export a přílohy společně a bez ověření rozsahu výsledek nepopisujte jako úplný archiv médií (Nápověda WhatsAppu).

Google Takeout a další archivy účtů

Google popisuje Takeout jako způsob vytvoření archivu pro uchování záznamů nebo přenos dat. Uvádí, že vytvoření archivu může trvat několik minut až několik dní a že lze vybrat typ souboru a maximální velikost archivu; pokud vybraná data tuto velikost překročí, vytvoří se více archivů (Google Takeout).

Google také upozorňuje, že datový soubor nemusí obsahovat změny provedené mezi vyžádáním stahování a vytvořením archivu (Google Takeout). Zaznamenejte čas žádosti a vytvoření archivu a uchovejte všechny části archivu.

TikTok a platformy bez zde zdokumentovaného postupu

Tento výzkumný podklad nestanovuje oficiální postup exportu TikToku ani rozsah přímých zpráv TikToku. Nekopírujte do pokynů pro TikTok cestu z Instagramu, Facebooku nebo LinkedInu. Místo toho zaznamenejte aktuální zdokumentovanou možnost exportu platformy, pokud existuje; jinak zdokumentujte metodu pořízení a omezení. NARA uvádí API, zachycení webu, manuální postupy a exportní nástroje platformy jako možné metody, přičemž volba závisí na konfiguraci platformy a potřebách organizace (pokyny NARA).

4. Uchovejte originál, kontext a záznam přístupu

Uchovejte původní soubory v podobě, v jaké byly doručeny. Při vytváření čitelné pracovní kopie je nepřepisujte. Spolu s exportem uložte manifest obsahující:

• Platformu, uživatelské jméno nebo URL profilu a správce
• Požadovaný rozsah a časové období
• Čas žádosti a stažení
• Názvy souborů, formáty a počet částí archivu
• Nastavení zahrnutí médií nebo příloh
• Poznámky k době doručení a ochraně heslem
• Chybějící kategorie, upozornění na smazaný obsah nebo jiná omezení
• Umístění úložiště a osoby nebo role s povoleným přístupem

Jde o praktické použití standardu NARA pro obsah, kontext, strukturu a metadata (pokyny NARA).

Snímky obrazovky mohou být manuální metodou pořízení, ale samotný uložený důkaz nestanovuje snímek obrazovky jako úplný záznam zprávy. Pokud je k dispozici nativní export, uchovejte jej, zachovejte okolní kontext a každý manuální záznam označte jako metodu s dokumentovaným omezením, nikoli jako automaticky úplný záznam.

Dokumentovaný rozsah SocialGuardianu se týká souvisejícího obsahu ze sociálních sítí: web uvádí, že automaticky zálohuje příspěvky, stories a videa, zahrnuje média a metadata a umožňuje kdykoli exportovat úplný archiv. Zde nejsou podklady pro tvrzení, že exportuje soukromé zprávy, proto výše uvedený postup exportu zpráv oddělte od popisu produktu (SocialGuardian).

5. Ověřte úplnost a nezměněnost souborů

Pro každý export proveďte tento ověřovací pracovní list:

1. Porovnejte požadovanou síť, profil, kategorie a časové období s tím, co bylo doručeno.
2. Spočítejte všechny části archivu a přílohy; zaznamenejte chybějící nebo nečitelné soubory.
3. Otevřete doručený HTML, JSON nebo textový výstup a ověřte jeho čitelnost.
4. Porovnejte manifest s deklarovanou dobou doručení a omezeními platformy.
5. Zaznamenejte upozornění na smazaný obsah a změny mezi žádostí a vytvořením archivu.
6. Uchovejte původní export odděleně od pracovní kopie.
7. Vypočítejte hash každého uchovávaného souboru nebo archivu a hodnotu uložte do manifestu.
8. Při kontrole nebo přenosu souboru hash znovu vypočítejte a změnu hodnoty prošetřete.

NIST definuje hashovací funkci jako algoritmus, který vypočítává číselnou hodnotu reprezentující datový soubor nebo elektronickou zprávu a závisí na úplném obsahu tohoto souboru či zprávy (slovník hashovacích funkcí NIST). Hash je proto užitečný pro kontrolu, zda se uložený export změnil; neříká však, zda byl původní export úplný.

Kontrola úplnosti je důležitá, protože Instagram uvádí, že smazané informace se nemusí objevit, Facebook říká, že smazané informace nebo obsah se neobjeví, a Google upozorňuje, že mohou chybět změny provedené mezi vyžádáním a vytvořením archivu. Každou mezeru zaznamenejte a eskalujte, místo abyste částečný export tiše považovali za úplný (Nápověda Instagramu; dostupnost dat na Facebooku; Google Takeout).

6. Uplatněte kontroly uchovávání, přístupu a právních blokací

Pomocí mapy z kroku 2 uplatněte pravidlo, které se na danou komunikaci skutečně vztahuje. Přístup omezte na osoby nebo role uvedené v manifestu a uchovejte důvod každé výjimky nebo právní blokace. Zdroje podporují tyto kontrolní body:

• FINRA uvádí, že záleží na obchodním účelu komunikace, a citované pravidlo pro broker-dealery vyžaduje uchovávat některé záznamy nejméně tři roky, přičemž první dva roky musí být snadno dostupné (FINRA Notice 11-39).
• Citovaný bezpečnostní předpis HIPAA vyžaduje uchovávat požadovanou dokumentaci šest let od vytvoření nebo od posledního účinného použití, podle toho, co nastane později (45 CFR 164.316).
• Bod odůvodnění 39 GDPR uvádí, že doba ukládání má být omezena na přísné minimum a s osobními údaji se má nakládat s odpovídajícím zabezpečením a důvěrností (GDPR).

NARA doporučuje pracovní skupinu pro záznamy ze sociálních sítí, která zahrnuje správu záznamů, sociální média, IT, soukromí a bezpečnost informací, právní poradce a pracovníky pro vztahy s veřejností (pokyny NARA). Těmto funkcím nebo jejich ekvivalentům přidělte odpovědnost za vlastnictví, kontrolu, přístup a eskalaci. Pravidlo uplatněte až poté, co odpovědný tým a právní poradce potvrdí jeho vhodnost pro daná data a jurisdikci.

7. Kontrolní seznam uchovávání zpráv napříč platformami

Zkopírujte jej do tiketu pro uchování:

• Uveďte každou síť, uživatelské jméno nebo URL profilu, správce a obchodní účel.
• Definujte kategorie zpráv a časové období, které chcete uchovat.
• Zvolte zdokumentovaný nativní export nebo jinou zdokumentovanou metodu pořízení.
• Zaznamenejte čas žádosti, doručení, formát, nastavení médií a dobu doručení.
• Uchovejte původní export a všechny části archivu a přílohy.
• Uchovejte obsah, kontext, strukturu a přidružená metadata.
• Zaznamenejte omezení týkající se smazaného obsahu, mobilní dostupnosti, dat pouze vlastníka, textového formátu nebo načasování.
• Otevřete a zkontrolujte doručené soubory.
• Vypočítejte a uložte hash každého původního souboru nebo archivu.
• Omezte přístup a zaznamenejte jeho vlastníka.
• Uplatněte potvrzené pravidlo uchovávání a případnou blokaci.
• Neúplný export eskalujte odpovědné osobě pro záznamy, bezpečnost, soukromí nebo právní oblast.

FAQ

Jaký je rozdíl mezi zálohováním a archivací zpráv ze sociálních sítí?

Export použijte jako kopii, kterou uchováváte, a poté jej ověřte podle obsahu, kontextu, struktury a metadat. Pokud poskytovatel nedokáže exportovat úplný záznam, může být nutné další zachycení; NARA uvádí, že za splnění požadavků na zachycení stále odpovídá organizace (pokyny NARA).

Jak exportovat přímé zprávy z Instagramu pro účely compliance?

Na počítači použijte Více > Nastavení > Účet Meta > Vaše informace a oprávnění > Exportovat vaše informace > Vytvořit export. Vyberte informace, časové období, formát, e-mail pro oznámení a kvalitu médií. Zaznamenejte čtyřdenní dostupnost, možné čekání až 30 dní, ochranu heslem a omezení týkající se smazaných informací (Nápověda Instagramu).

Lze stáhnout zprávy z Facebook Messengeru?

Facebook dokumentuje export informací o účtu v HTML nebo JSON přes profilový obrázek > Nastavení a soukromí > Nastavení > Účet Meta > Vaše informace a oprávnění > Exportovat vaše informace > Vytvořit export. Prohlédněte doručené kategorie a nepředpokládejte, že jsou přítomny všechny historické zprávy: Facebook uvádí, že kategorie mají různé doby uchovávání a smazaný obsah se neobjeví (Nápověda Facebooku; dostupnost dat na Facebooku).

Jak exportovat zprávy nebo údaje o účtu na LinkedInu?

Na počítači použijte Já > Nastavení a soukromí > Ochrana osobních údajů > Stáhnout vaše data. LinkedIn uvádí, že konkrétní kategorie mohou dorazit během několika minut, větší download do 24 hodin a odkaz zůstává dostupný 72 hodin. Funkce není dostupná na mobilu a poskytuje data žádajícího člena, nikoli data jiných členů (Nápověda LinkedInu).

Lze exportovat chaty WhatsAppu pro právní účely nebo compliance?

V Androidu otevřete chat, zvolte Další možnosti > Další > Exportovat chat, vyberte Bez médií nebo Včetně médií a způsob sdílení. WhatsApp uvádí, že výsledkem je textový soubor, nikoli záloha umožňující opětovný import; zahrnutí médií přidá jako přílohy naposledy odeslaná média (Nápověda WhatsAppu). Export a jeho omezení uchovejte v manifestu.

Umožňuje TikTok stáhnout přímé zprávy a údaje o účtu?

Tento podklad nestanovuje postup exportu TikToku ani rozsah přímých zpráv. Neodvozujte jej z jiné platformy. Ověřte aktuální dokumentaci TikToku a zaznamenejte metodu a omezení; NARA rovněž uvádí jako možné metody API, zachycení webu, manuální postupy a exportní nástroje (pokyny NARA).

Stačí snímky obrazovky a jaká metadata je třeba uchovat?

Uložené podklady označují manuální metody za jednu z možných metod pořízení, ale nestanovují samotné snímky obrazovky jako úplný záznam. Pokud je k dispozici nativní export, uchovejte jej a zachovejte obsah, kontext, strukturu a přidružená metadata, například autora a datum vytvoření (pokyny NARA).

Jak dlouho zprávy uchovávat a jak ověřit zálohu?

Uplatněte pravidlo potvrzené pro danou komunikaci. Uvedené příklady zahrnují nejméně tři roky u některých záznamů broker-dealerů podle FINRA, šest let u požadované dokumentace HIPAA a princip přísného minima uchovávání podle GDPR. Zálohu ověříte porovnáním rozsahu s doručenými soubory, zaznamenáním omezení platformy, uchováním originálů a uložením hashů; NIST uvádí, že hash závisí na úplném obsahu souboru nebo zprávy (FINRA Notice 11-39; 45 CFR 164.316; GDPR; slovník hashovacích funkcí NIST).