Comment sauvegarder les messages des réseaux sociaux à des fins de conformité

Une exportation de messages provenant d’un réseau social n’est utile que si vous pouvez expliquer ce qu’elle contient, ce qu’elle omet, qui peut y accéder et si elle a été modifiée après sa capture. Cette liste couvre les exportations natives, les métadonnées, la conservation, l’accès et la vérification, sans supposer que le téléchargement d’une plateforme constitue un dossier complet.

1. Commencer par le dossier à conserver

Pour établir une base défendable, conservez plus que le texte des messages. La National Archives and Records Administration (NARA) des États-Unis indique qu’un dossier fédéral complet doit comprendre le contenu, le contexte et la structure, ainsi que les métadonnées associées, comme l’auteur et la date de création, et être conservé de manière fiable et authentique (directive de la NARA).

Utilisez ces éléments comme test d’exhaustivité :

• Contenu : l’exportation du message ou de la conversation.
• Contexte : le compte, le profil, les participants, la période et le motif de la capture.
• Structure : le format et les liens entre les fichiers, les dossiers, les pièces jointes et les enregistrements de messages.
• Métadonnées : des renseignements comme l’auteur et la date de création, ainsi que la portée et l’horodatage de l’exportation que vous consignez.

Pour cette liste, considérez l’exportation téléchargée comme la copie à conserver, puis vérifiez si elle contient ces éléments. La NARA mentionne les API propres aux plateformes, la capture Web, les méthodes manuelles et les outils d’exportation des plateformes comme méthodes possibles. Elle précise aussi que, lorsqu’un fournisseur ne peut pas exporter un dossier complet, l’organisation demeure responsable de mettre en œuvre les exigences de capture (directive de la NARA).

2. Cartographier les comptes, les responsables et la conservation avant l’exportation

Créez une ligne pour chaque réseau et profil avant de demander les données. Consignez :

• Nom du réseau et identifiant ou URL du profil
• Propriétaire du compte ou responsable
• Objet professionnel et portée pertinente des messages
• Période demandée
• Méthode et format d’exportation
• Date de la demande, date de livraison et responsable de l’accès
• Emplacement de stockage et règle de conservation
• Exclusions, retards ou avertissements connus concernant le contenu supprimé

La plateforme n’est pas le seul critère pour déterminer si un message fait partie d’un dossier réglementé. La FINRA indique que les obligations de tenue des dossiers des réseaux sociaux dépendent du fait que la communication soit une communication professionnelle, et non simplement de la plateforme. Elle précise aussi que cette analyse ne dépend pas de l’appareil ou de la technologie utilisés, y compris un appareil personnel (avis FINRA 11-39).

La durée de conservation n’est pas non plus un nombre universel. Par exemple :

La période de la FINRA est indiquée dans l’avis 11-39, l’exigence HIPAA figure au 45 CFR 164.316, et le libellé sur le stockage et la sécurité apparaît dans le considérant 39 du RGPD. Il s’agit d’exemples documentés, et non d’une politique universelle de conservation. Le NIST conseille de n’appliquer des pratiques judiciaires qu’après avoir consulté la direction et les conseillers juridiques au sujet des lois et règlements applicables (NIST SP 800-86).

Ne laissez pas un système qui efface ou supprime automatiquement les communications électroniques être votre seul contrôle de tenue des dossiers : la FINRA indique qu’une telle technologie empêcherait de conserver les communications (avis FINRA 11-39).

3. Exporter les messages et les données de compte au moyen de processus natifs documentés

Utilisez le processus officiel correspondant à la plateforme et sauvegardez les détails de la demande avec les fichiers obtenus.

Instagram

Sur ordinateur, le chemin officiel pour commencer une exportation est Plus > Paramètres > Compte Meta > Vos informations et autorisations > Exporter vos informations > Créer une exportation. Instagram indique que vous pouvez sélectionner des informations précises, une période, un format, une adresse courriel de notification et la qualité des médias avant de commencer l’exportation (Aide Instagram).

Planifiez en fonction du délai de livraison : Instagram indique qu’une exportation prête est disponible pendant quatre jours, tandis qu’un lien d’exportation peut prendre jusqu’à 30 jours avant d’arriver. Sa page d’aide précise également que les informations supprimées peuvent ne pas apparaître et décrit l’exportation comme protégée par mot de passe et accessible uniquement au titulaire du compte (Aide Instagram). Consignez la date de la demande et la date à laquelle vous avez réellement téléchargé les fichiers.

Facebook

Sur ordinateur, le chemin officiel de Facebook est photo de profil > Paramètres et confidentialité > Paramètres > Compte Meta > Vos informations et autorisations > Exporter vos informations > Créer une exportation. Facebook permet de choisir le format HTML ou JSON; sa page d’aide décrit le HTML comme convivial dans un fichier ZIP et le JSON comme lisible par machine (Aide Facebook).

La même page d’aide indique que les exportations prêtes demeurent disponibles pendant quatre jours et que l’exportation est protégée par mot de passe. Facebook avertit aussi que les catégories sont conservées pendant des périodes différentes et que les informations ou le contenu supprimés n’apparaîtront pas dans l’exportation (Aide Facebook; disponibilité des données Facebook). Traitez le résultat comme une exportation des informations du compte à examiner, et non comme la preuve que tous les messages historiques existent.

LinkedIn

Le chemin officiel de LinkedIn sur ordinateur est Moi > Paramètres et confidentialité > Confidentialité des données > Télécharger vos données. LinkedIn indique que vous pouvez sélectionner des catégories précises ou demander un téléchargement plus volumineux : un type précis peut arriver en quelques minutes, un téléchargement plus important dans les 24 heures, et le lien reste disponible pendant 72 heures (Aide LinkedIn).

Deux limites de portée sont importantes. LinkedIn indique que la fonction de téléchargement n’est pas disponible sur mobile et qu’elle fournit les propres données personnelles du membre demandeur, et non celles d’autres membres (Aide LinkedIn). Notez ces deux limites dans le dossier de conservation.

WhatsApp

La procédure officielle enregistrée concerne Android : ouvrir la discussion > Plus d’options > Plus > Exporter la discussion > Sans médias ou Inclure les médias > choisir une méthode de partage (Aide WhatsApp).

WhatsApp précise qu’un historique de discussion exporté est un fichier texte, et non un fichier de sauvegarde, et qu’il ne peut pas être réimporté. Si vous choisissez Inclure les médias, les médias les plus récents envoyés sont ajoutés comme pièces jointes. Conservez ensemble l’exportation texte et les pièces jointes, et ne décrivez pas le résultat comme une archive complète des médias sans en vérifier la portée (Aide WhatsApp).

Google Takeout et autres archives de comptes

Google décrit Takeout comme un moyen de créer une archive pour conserver des dossiers ou transférer des données. Google indique que la création d’une archive peut prendre de quelques minutes à quelques jours et que vous pouvez choisir un type de fichier et une taille maximale d’archive; lorsque les données sélectionnées dépassent cette taille, plusieurs archives sont créées (Google Takeout).

Google avertit également qu’un fichier de données peut ne pas inclure les changements effectués entre la demande de téléchargement et la création de l’archive (Google Takeout). Consignez le moment de la demande et de la création de l’archive, et conservez chaque partie de l’archive.

TikTok et les plateformes dont le processus n’est pas documenté ici

Ce dossier de recherche n’établit pas de chemin officiel d’exportation TikTok ni d’affirmation concernant la couverture des messages directs TikTok. Ne recopiez pas le chemin d’Instagram, de Facebook ou de LinkedIn dans des instructions TikTok. Consignez plutôt l’option d’exportation actuellement documentée par la plateforme, si elle existe; sinon, documentez la méthode de capture et sa limite. La NARA présente les API, la capture Web, les méthodes manuelles et les outils d’exportation des plateformes comme méthodes possibles, le choix dépendant de la configuration de la plateforme et des besoins de l’organisation (directive de la NARA).

4. Conserver l’original, le contexte et le dossier d’accès

Conservez les fichiers originaux tels qu’ils ont été livrés. Ne les écrasez pas en créant une copie de travail lisible. Avec l’exportation, enregistrez un manifeste contenant :

• Plateforme, identifiant ou URL du profil et responsable
• Portée demandée et période
• Horodatage de la demande et du téléchargement
• Noms et formats des fichiers, ainsi que le nombre de parties de l’archive
• Paramètre concernant les médias ou les pièces jointes
• Notes sur le délai de livraison et la protection par mot de passe
• Catégories manquantes, avertissements sur le contenu supprimé ou autres limites
• Emplacement de stockage et personnes ou rôles autorisés à y accéder

Il s’agit de l’application pratique de la norme de la NARA concernant le contenu, le contexte, la structure et les métadonnées (directive de la NARA).

Les captures d’écran peuvent constituer une méthode de capture manuelle, mais les preuves conservées n’établissent pas qu’une capture d’écran seule constitue un dossier complet de messages. Conservez l’exportation native lorsqu’elle est disponible, gardez le contexte environnant et identifiez toute capture manuelle comme une méthode comportant une limite documentée, plutôt que de la qualifier automatiquement de complète.

La portée documentée de SocialGuardian concerne le contenu social environnant : son site indique qu’il sauvegarde automatiquement les publications, stories et vidéos, comprend les médias et les métadonnées et permet d’exporter une archive complète en tout temps. Les éléments fournis ici ne permettent pas d’affirmer qu’il exporte les messages privés; gardez donc le processus d’exportation des messages ci-dessus distinct de cette description du produit (SocialGuardian).

5. Vérifier l’exhaustivité et l’absence de modification des fichiers

Utilisez cette feuille de vérification pour chaque exportation :

1. Comparez le réseau, le profil, les catégories et la période demandés avec ce qui a été livré.
2. Comptez chaque partie de l’archive et chaque pièce jointe; consignez les fichiers manquants ou illisibles.
3. Ouvrez le contenu HTML, JSON ou texte livré et confirmez qu’il est lisible.
4. Vérifiez le manifeste par rapport au délai de livraison et aux limites indiqués par la plateforme.
5. Consignez les avertissements sur le contenu supprimé et les changements survenus entre la demande et la création de l’archive.
6. Conservez l’exportation originale séparément de toute copie de révision.
7. Calculez un hachage pour chaque fichier ou archive conservé et stockez la valeur dans le manifeste.
8. Recalculez le hachage lorsque le fichier est examiné ou transféré et enquêtez sur toute valeur différente.

Le NIST définit une fonction de hachage comme un algorithme qui calcule une valeur numérique représentant un fichier de données ou un message électronique et qui dépend de l’ensemble du contenu de ce fichier ou message (glossaire NIST sur les fonctions de hachage). Un hachage est donc utile pour vérifier si une exportation enregistrée a changé; il ne permet pas de déterminer si l’exportation originale était complète.

La vérification de l’exhaustivité est importante parce qu’Instagram indique que les informations supprimées peuvent ne pas apparaître, que Facebook indique que les informations ou le contenu supprimés n’apparaîtront pas et que Google avertit que les changements effectués entre la demande de téléchargement et la création d’une archive peuvent manquer. Consignez chaque lacune et faites-la remonter au lieu de traiter silencieusement une exportation partielle comme complète (Aide Instagram; disponibilité des données Facebook; Google Takeout).

6. Appliquer les contrôles de conservation, d’accès et de mise en suspens

Utilisez la carte de l’étape 2 pour appliquer la règle qui régit réellement la communication. Limitez l’accès aux personnes ou aux rôles indiqués dans le manifeste et conservez le motif de toute exception ou mise en suspens juridique. Les sources appuient les vérifications de gouvernance suivantes :

• La FINRA indique que l’objet professionnel de la communication est déterminant et que sa règle citée pour les courtiers membres exige de conserver certains dossiers pendant au moins trois ans, les deux premières années devant être facilement accessibles (avis FINRA 11-39).
• L’exigence de documentation de la règle de sécurité HIPAA citée demande de conserver la documentation requise pendant six ans à partir de sa création ou de la dernière date où elle était en vigueur, selon la date la plus tardive (45 CFR 164.316).
• Le considérant 39 du RGPD indique que la période de stockage devrait être limitée au strict minimum et que les données personnelles doivent être traitées avec une sécurité et une confidentialité appropriées (RGPD).

La NARA recommande un groupe de travail sur les dossiers des réseaux sociaux réunissant des responsables de la gestion des dossiers, des réseaux sociaux, des TI, de la protection des renseignements personnels et de la sécurité de l’information, ainsi que des conseillers juridiques et des responsables des affaires publiques (directive de la NARA). Attribuez ces fonctions, ou leurs équivalents, aux responsabilités de propriété, d’examen, d’accès et d’escalade. N’appliquez la règle qu’après confirmation par l’équipe responsable et les conseillers juridiques qu’elle convient aux données et à la juridiction.

7. Liste de vérification interplateforme pour la conservation des messages

Copiez cette liste dans votre billet de conservation :

• Énumérer chaque réseau, identifiant ou URL de profil, responsable et objet professionnel.
• Définir les catégories de messages et la période à conserver.
• Choisir l’exportation native documentée ou une autre méthode de capture documentée.
• Consigner l’heure de la demande, l’heure de livraison, le format, le paramètre des médias et le délai de livraison.
• Conserver l’exportation originale ainsi que toutes les parties de l’archive et les pièces jointes.
• Conserver le contenu, le contexte, la structure et les métadonnées associées.
• Consigner les limites concernant le contenu supprimé, la disponibilité mobile, les propres données seulement, le texte seulement ou les délais.
• Ouvrir et examiner les fichiers livrés.
• Calculer et stocker un hachage pour chaque fichier ou archive original.
• Restreindre l’accès et consigner le responsable de l’accès.
• Appliquer la règle de conservation confirmée et toute mise en suspens.
• Faire remonter une exportation incomplète au responsable approprié des dossiers, de la sécurité, de la protection des renseignements personnels ou du service juridique.

FAQ

Quelle est la différence entre sauvegarder et archiver des messages de réseaux sociaux?

Utilisez l’exportation comme copie à conserver, puis vérifiez-la par rapport au contenu, au contexte, à la structure et aux métadonnées. Un dossier complet peut nécessiter une capture supplémentaire lorsqu’un fournisseur ne peut pas exporter le dossier complet; la NARA indique que l’organisation demeure responsable de mettre en œuvre les exigences de capture (directive de la NARA).

Comment exporter des messages directs Instagram à des fins de conformité?

Sur ordinateur, utilisez Plus > Paramètres > Compte Meta > Vos informations et autorisations > Exporter vos informations > Créer une exportation. Sélectionnez les informations, la période, le format, l’adresse courriel de notification et la qualité des médias. Consignez le délai de disponibilité de quatre jours, l’attente possible de 30 jours pour le courriel, la protection par mot de passe et la limite concernant les informations supprimées (Aide Instagram).

Peut-on télécharger les messages de Facebook Messenger?

Facebook documente une exportation des informations du compte en HTML ou JSON au moyen de photo de profil > Paramètres et confidentialité > Paramètres > Compte Meta > Vos informations et autorisations > Exporter vos informations > Créer une exportation. Examinez les catégories livrées plutôt que de supposer que tous les messages historiques sont présents : Facebook indique que les catégories ont des périodes de conservation différentes et que le contenu supprimé n’apparaîtra pas (Aide Facebook; disponibilité des données Facebook).

Comment exporter des messages ou des données de compte LinkedIn?

Sur ordinateur, utilisez Moi > Paramètres et confidentialité > Confidentialité des données > Télécharger vos données. LinkedIn indique que certaines catégories peuvent arriver en quelques minutes, qu’un téléchargement plus important peut prendre jusqu’à 24 heures et que le lien demeure disponible pendant 72 heures. La fonction n’est pas disponible sur mobile et fournit les propres données du membre demandeur, et non celles d’autres membres (Aide LinkedIn).

Les discussions WhatsApp peuvent-elles être exportées à des fins juridiques ou de conformité?

Sur Android, ouvrez la discussion, choisissez Plus d’options > Plus > Exporter la discussion, sélectionnez Sans médias ou Inclure les médias, puis choisissez une méthode de partage. WhatsApp indique que le résultat est un fichier texte, et non une sauvegarde réimportable; l’inclusion des médias ajoute les médias les plus récents envoyés comme pièces jointes (Aide WhatsApp). Conservez l’exportation et ses limites dans le manifeste.

TikTok permet-il de télécharger les messages directs et les données du compte?

Ce dossier de preuves n’établit pas de chemin d’exportation TikTok ni de couverture des messages directs. Ne l’inférez pas d’une autre plateforme. Consultez la documentation actuelle de TikTok et consignez la méthode et ses limites; la NARA mentionne également les API, la capture Web, les méthodes manuelles et les outils d’exportation des plateformes comme méthodes possibles (directive de la NARA).

Les captures d’écran suffisent-elles, et quelles métadonnées faut-il conserver?

Les preuves conservées identifient les méthodes manuelles comme une méthode possible, mais n’établissent pas que les captures d’écran seules constituent un dossier complet. Conservez l’exportation native lorsqu’elle est disponible et gardez le contenu, le contexte, la structure et les métadonnées associées, comme l’auteur et la date de création (directive de la NARA).

Combien de temps faut-il conserver les messages et comment vérifier une sauvegarde?

Appliquez la règle confirmée pour la communication. Les exemples cités comprennent au moins trois ans pour certains dossiers de courtiers membres de la FINRA, six ans pour la documentation HIPAA requise et le principe du strict minimum de stockage du RGPD. Pour vérifier la sauvegarde, comparez la portée avec les fichiers livrés, consignez les limites de la plateforme, conservez les originaux et stockez les hachages; le NIST indique qu’un hachage dépend de l’ensemble du contenu du fichier ou du message (avis FINRA 11-39; 45 CFR 164.316; RGPD; glossaire NIST sur les fonctions de hachage).