Comment sauvegarder les messages des réseaux sociaux à des fins de conformité

Un export de messages sur les réseaux sociaux n'est utile que si vous pouvez expliquer ce qu'il contient, ce qu'il omet, qui peut y accéder et s'il a été modifié après sa capture. Cette liste couvre les exports natifs, les métadonnées, la conservation, l'accès et la vérification, sans supposer qu'un téléchargement fourni par une plateforme constitue un dossier complet.

1. Commencez par définir le dossier à préserver

Pour établir une base défendable, préservez davantage que le texte des messages. La National Archives and Records Administration (NARA) indique qu'un dossier fédéral complet doit comprendre le contenu, le contexte et la structure, ainsi que les métadonnées associées, comme l'auteur et la date de création, et être conservé de manière fiable et authentique (directives de la NARA).

Utilisez ce cadre pour vérifier l'exhaustivité :

• Contenu : l'export du message ou de la conversation.
• Contexte : le compte, le profil, les participants, la période et le motif de la capture.
• Structure : le format et les relations entre fichiers, dossiers, pièces jointes et enregistrements de messages.
• Métadonnées : des éléments comme l'auteur et la date de création, ainsi que l'étendue et l'horodatage de l'export.

Pour cette liste, considérez l'export téléchargé comme la copie à préserver, puis vérifiez qu'il contient ces éléments. La NARA cite les API propres aux plateformes, la capture Web, les méthodes manuelles et les outils d'export des plateformes comme méthodes possibles. Elle précise également que lorsqu'un fournisseur ne peut pas exporter un dossier complet, l'organisation reste responsable de la mise en œuvre des exigences de capture (directives de la NARA).

2. Répertoriez les comptes, responsables et durées de conservation avant l'export

Créez une ligne pour chaque réseau et profil avant de demander les données. Notez :

• Réseau et identifiant ou URL du profil
• Propriétaire ou responsable du compte
• Objet professionnel et périmètre pertinent des messages
• Période demandée
• Méthode et format d'export
• Dates de demande et de livraison, ainsi que responsable de l'accès
• Emplacement de stockage et règle de conservation
• Exclusions, retards ou avertissements concernant le contenu supprimé

La plateforme n'est pas le seul critère pour déterminer si un message appartient à un dossier réglementé. La FINRA indique que les obligations de conservation des réseaux sociaux dépendent du fait que la communication soit une communication professionnelle, et non simplement de la plateforme. Cette analyse ne dépend pas non plus de l'appareil ou de la technologie utilisés, y compris s'il s'agit d'un appareil personnel (avis FINRA 11-39).

La conservation ne repose pas non plus sur une durée universelle. Par exemple :

La durée de la FINRA figure dans l'avis 11-39, l'exigence HIPAA dans le 45 CFR 164.316, et les principes de stockage et de sécurité dans le considérant 39 du RGPD. Il s'agit d'exemples documentés, et non d'une politique universelle. Le NIST recommande d'appliquer les pratiques d'investigation uniquement après consultation de la direction et d'un conseiller juridique au sujet des lois et règlements applicables (NIST SP 800-86).

Ne laissez pas un système qui efface automatiquement les communications électroniques être votre seul contrôle de conservation : la FINRA indique qu'une telle technologie empêcherait de conserver les communications (avis FINRA 11-39).

3. Exportez les messages et les données du compte avec les procédures natives documentées

Utilisez la procédure officielle correspondant à la plateforme et conservez les détails de la demande avec les fichiers obtenus.

Instagram

Sur ordinateur, le chemin officiel pour commencer un export est Plus > Paramètres > Compte Meta > Vos informations et autorisations > Exporter vos informations > Créer un export. Instagram indique que vous pouvez sélectionner les informations, une période, un format, une adresse e-mail de notification et la qualité des médias avant de lancer l'export (Aide Instagram).

Prévoyez le délai de livraison : Instagram indique qu'un export prêt est disponible pendant quatre jours, tandis que le lien d'export peut prendre jusqu'à 30 jours pour arriver. Sa page d'aide précise également que les informations supprimées peuvent ne pas apparaître et que l'export est protégé par mot de passe et accessible uniquement au titulaire du compte (Aide Instagram). Notez la date de la demande et celle du téléchargement effectif.

Facebook

Sur ordinateur, le chemin officiel de Facebook est photo de profil > Paramètres et confidentialité > Paramètres > Compte Meta > Vos informations et autorisations > Exporter vos informations > Créer un export. Facebook permet de choisir le format HTML ou JSON ; sa page d'aide décrit le HTML comme adapté à la consultation dans un navigateur au sein d'un fichier ZIP, et le JSON comme lisible par une machine (Aide Facebook).

La même page indique que les exports prêts restent disponibles pendant quatre jours et que l'export est protégé par mot de passe. Facebook précise aussi que les catégories sont conservées pendant des durées différentes et que les informations ou contenus supprimés n'apparaîtront pas dans l'export (Aide Facebook ; disponibilité des données Facebook). Considérez le résultat comme un export des informations du compte à examiner, et non comme la preuve que tous les messages historiques existent.

LinkedIn

Le chemin officiel de LinkedIn sur ordinateur est Moi > Paramètres et confidentialité > Confidentialité des données > Télécharger vos données. LinkedIn indique que vous pouvez sélectionner certaines catégories ou demander un téléchargement plus large : un type précis peut arriver en quelques minutes, un téléchargement plus important sous 24 heures, et le lien reste disponible pendant 72 heures (Aide LinkedIn).

Deux limites de périmètre sont importantes. LinkedIn indique que cette fonction n'est pas disponible sur mobile et qu'elle fournit les données personnelles du membre demandeur, et non celles des autres membres (Aide LinkedIn). Notez ces deux limites dans le dossier de conservation.

WhatsApp

La procédure officielle enregistrée concerne Android : ouvrez la discussion > Plus d'options > Plus > Exporter discussion > Sans médias ou Inclure les médias > choisissez un mode de partage (Aide WhatsApp).

WhatsApp précise qu'un historique de discussion exporté est un fichier texte, et non un fichier de sauvegarde, et qu'il ne peut pas être réimporté. Si vous choisissez Inclure les médias, les médias envoyés les plus récents sont ajoutés en pièces jointes. Préservez ensemble l'export texte et les pièces jointes, et ne présentez pas le résultat comme une archive complète des médias sans en vérifier le périmètre (Aide WhatsApp).

Google Takeout et autres archives de compte

Google présente Takeout comme un moyen de créer une archive pour conserver des dossiers ou transférer des données. La création peut prendre de quelques minutes à quelques jours ; vous pouvez choisir un type de fichier et une taille maximale d'archive. Lorsque les données sélectionnées dépassent cette taille, plusieurs archives sont créées (Google Takeout).

Google avertit également qu'un fichier de données peut ne pas inclure les modifications effectuées entre la demande de téléchargement et la création de l'archive (Google Takeout). Notez le moment de la demande et de la création de l'archive, et conservez chaque partie.

TikTok et plateformes sans procédure documentée ici

Ce dossier de recherche n'établit aucune procédure officielle d'export TikTok ni couverture des messages directs TikTok. Ne copiez pas dans TikTok le chemin d'Instagram, Facebook ou LinkedIn. Notez plutôt l'option d'export actuellement documentée par la plateforme si elle existe ; sinon, documentez la méthode de capture et sa limite. La NARA cite les API, la capture Web, les méthodes manuelles et les outils d'export des plateformes comme méthodes possibles, le choix dépendant de la configuration de la plateforme et des besoins de l'organisation (directives de la NARA).

4. Préservez l'original, le contexte et l'historique des accès

Conservez les fichiers originaux tels qu'ils ont été livrés. Ne les écrasez pas en créant une copie de travail lisible. Avec l'export, enregistrez un manifeste contenant :

• Plateforme, identifiant ou URL du profil et responsable
• Périmètre demandé et période
• Horodatage de la demande et du téléchargement
• Noms de fichiers, formats et nombre de parties de l'archive
• Réglage concernant les médias ou pièces jointes
• Notes sur le délai de livraison et la protection par mot de passe
• Catégories absentes, avertissements concernant les contenus supprimés ou autres limites
• Emplacement de stockage et personnes ou rôles autorisés à y accéder

Il s'agit de l'application pratique du standard NARA relatif au contenu, au contexte, à la structure et aux métadonnées (directives de la NARA).

Les captures d'écran peuvent constituer une méthode de capture manuelle, mais les éléments conservés n'établissent pas qu'une capture d'écran seule soit un dossier complet de messages. Préservez l'export natif lorsqu'il est disponible, conservez le contexte environnant et présentez toute capture manuelle comme une méthode assortie d'une limite documentée, plutôt que de la considérer automatiquement comme complète.

Le périmètre produit documenté de SocialGuardian concerne le contenu social environnant : son site indique que le service sauvegarde automatiquement les publications, stories et vidéos, inclut les médias et les métadonnées et permet d'exporter une archive complète à tout moment. Les éléments disponibles ici ne permettent pas d'affirmer qu'il exporte les messages privés ; gardez donc le flux d'export des messages séparé de cette description du produit (SocialGuardian).

5. Vérifiez l'exhaustivité et l'absence de modification des fichiers

Utilisez cette feuille de vérification pour chaque export :

1. Comparez le réseau, le profil, les catégories et la période demandés avec les éléments livrés.
2. Comptez chaque partie d'archive et chaque pièce jointe ; notez les fichiers manquants ou illisibles.
3. Ouvrez le contenu HTML, JSON ou texte livré et vérifiez qu'il est lisible.
4. Comparez le manifeste avec le délai de livraison et les limites indiqués par la plateforme.
5. Notez les avertissements concernant les contenus supprimés et les modifications intervenues entre la demande et l'archive.
6. Conservez l'export original séparément de toute copie de consultation.
7. Calculez une empreinte pour chaque fichier ou archive conservé et enregistrez-la dans le manifeste.
8. Recalculez l'empreinte lors de la consultation ou du transfert et enquêtez en cas de valeur différente.

Le NIST définit une fonction de hachage comme un algorithme qui calcule une valeur numérique représentant un fichier de données ou un message électronique et qui dépend de l'intégralité de son contenu (glossaire NIST sur les fonctions de hachage). Une empreinte permet donc de vérifier si un export conservé a changé ; elle ne permet pas de déterminer si l'export original était complet.

Cette vérification est importante : Instagram indique que les informations supprimées peuvent ne pas apparaître, Facebook que les informations ou contenus supprimés n'apparaîtront pas, et Google avertit que les modifications intervenues entre la demande et la création de l'archive peuvent manquer. Notez chaque lacune et faites-la remonter au responsable au lieu de considérer silencieusement un export partiel comme complet (Aide Instagram ; disponibilité des données Facebook ; Google Takeout).

6. Appliquez les contrôles de conservation, d'accès et de gel

Utilisez le registre de l'étape 2 pour appliquer la règle qui régit effectivement la communication. Limitez l'accès aux personnes ou rôles inscrits dans le manifeste et conservez le motif de toute exception ou de tout gel juridique. Les sources appuient les contrôles suivants :

• La FINRA indique que l'objet professionnel de la communication est déterminant et que la règle citée pour les courtiers impose de conserver certains dossiers au moins trois ans, dont les deux premières années dans un format facilement accessible (avis FINRA 11-39).
• L'exigence citée dans la règle de sécurité HIPAA impose de conserver la documentation requise six ans à compter de sa création ou de la dernière date où elle était en vigueur, selon la date la plus tardive (45 CFR 164.316).
• Le considérant 39 du RGPD indique que la durée de stockage doit être limitée au strict minimum et que les données personnelles doivent être traitées avec une sécurité et une confidentialité appropriées (RGPD).

La NARA recommande un groupe de travail sur les archives des réseaux sociaux réunissant la gestion des documents, les réseaux sociaux, l'informatique, la confidentialité et la sécurité de l'information, le conseil juridique et les relations publiques (directives de la NARA). Attribuez ces fonctions, ou leurs équivalents, aux responsabilités de propriété, de révision, d'accès et de remontée. N'appliquez la règle qu'après confirmation de son adéquation aux données et à la juridiction par l'équipe responsable et le conseil juridique.

7. Liste de contrôle interplateforme pour préserver les messages

Copiez cette liste dans votre ticket de conservation :

• Répertorier chaque réseau, identifiant ou URL de profil, responsable et objet professionnel.
• Définir les catégories de messages et la période à préserver.
• Sélectionner l'export natif documenté ou une autre méthode de capture documentée.
• Noter l'heure de la demande, de la livraison, le format, le réglage des médias et le délai de livraison.
• Préserver l'export original ainsi que toutes les parties d'archive et pièces jointes.
• Préserver le contenu, le contexte, la structure et les métadonnées associées.
• Noter les limites liées aux contenus supprimés, à la disponibilité mobile, aux données du seul demandeur, au texte seul ou au calendrier.
• Ouvrir et examiner les fichiers livrés.
• Calculer et conserver une empreinte pour chaque fichier ou archive original.
• Restreindre l'accès et identifier le responsable de l'accès.
• Appliquer la règle de conservation confirmée et tout gel applicable.
• Faire remonter un export incomplet au responsable des documents, de la sécurité, de la confidentialité ou du juridique.

FAQ

Quelle est la différence entre sauvegarder et archiver des messages sur les réseaux sociaux ?

Utilisez l'export comme copie à préserver, puis vérifiez-le au regard du contenu, du contexte, de la structure et des métadonnées. Un dossier complet peut nécessiter une capture supplémentaire lorsqu'un fournisseur ne peut pas exporter l'intégralité du dossier ; la NARA indique que l'organisation reste responsable de la mise en œuvre des exigences de capture (directives de la NARA).

Comment exporter les messages directs Instagram à des fins de conformité ?

Sur ordinateur, utilisez Plus > Paramètres > Compte Meta > Vos informations et autorisations > Exporter vos informations > Créer un export. Sélectionnez les informations, la période, le format, l'adresse e-mail de notification et la qualité des médias. Notez la disponibilité de quatre jours, le délai possible de 30 jours, la protection par mot de passe et la limite concernant les informations supprimées (Aide Instagram).

Peut-on télécharger les messages Facebook Messenger ?

Facebook documente un export des informations du compte en HTML ou JSON via photo de profil > Paramètres et confidentialité > Paramètres > Compte Meta > Vos informations et autorisations > Exporter vos informations > Créer un export. Examinez les catégories livrées au lieu de supposer que tous les messages historiques sont présents : Facebook indique que les catégories ont des durées de stockage différentes et que les contenus supprimés n'apparaîtront pas (Aide Facebook ; disponibilité des données Facebook).

Comment exporter les messages ou les données de compte LinkedIn ?

Sur ordinateur, utilisez Moi > Paramètres et confidentialité > Confidentialité des données > Télécharger vos données. LinkedIn indique que certaines catégories peuvent arriver en quelques minutes, qu'un téléchargement plus important peut prendre jusqu'à 24 heures et que le lien reste disponible pendant 72 heures. La fonction n'est pas disponible sur mobile et fournit les données du membre demandeur, pas celles des autres membres (Aide LinkedIn).

Les discussions WhatsApp peuvent-elles être exportées à des fins juridiques ou de conformité ?

Sur Android, ouvrez la discussion, choisissez Plus d'options > Plus > Exporter discussion, sélectionnez Sans médias ou Inclure les médias, puis choisissez un mode de partage. WhatsApp précise que le résultat est un fichier texte et non une sauvegarde réimportable ; l'inclusion des médias ajoute les médias envoyés les plus récents comme pièces jointes (Aide WhatsApp). Préservez l'export et ses limites dans le manifeste.

TikTok permet-il de télécharger les messages directs et les données du compte ?

Ce dossier de preuves n'établit aucune procédure d'export TikTok ni couverture des messages directs. Ne déduisez pas cette procédure d'une autre plateforme. Consultez la documentation actuelle de TikTok et notez la méthode et ses limites ; la NARA cite également les API, la capture Web, les méthodes manuelles et les outils d'export des plateformes (directives de la NARA).

Les captures d'écran suffisent-elles, et quelles métadonnées faut-il préserver ?

Les éléments conservés identifient les méthodes manuelles comme une possibilité, mais n'établissent pas qu'une capture d'écran seule constitue un dossier complet. Préservez l'export natif lorsqu'il est disponible et conservez le contenu, le contexte, la structure et les métadonnées associées, comme l'auteur et la date de création (directives de la NARA).

Combien de temps faut-il conserver les messages et comment vérifier une sauvegarde ?

Appliquez la règle confirmée pour la communication. Les exemples cités comprennent au moins trois ans pour certains dossiers de courtiers soumis à la FINRA, six ans pour la documentation HIPAA requise et le principe du stockage limité au strict minimum du RGPD. Pour vérifier la sauvegarde, comparez le périmètre aux fichiers livrés, notez les limites de la plateforme, préservez les originaux et stockez les empreintes ; le NIST indique qu'une empreinte dépend de l'intégralité du contenu du fichier ou du message (avis FINRA 11-39 ; 45 CFR 164.316 ; RGPD ; glossaire NIST sur les fonctions de hachage).