Come eseguire il backup dei messaggi sui social media per la conformità

Un'esportazione di messaggi dai social media è utile solo se puoi spiegare cosa contiene, cosa omette, chi può accedervi e se è cambiata dopo l'acquisizione. Questa checklist copre esportazioni native, metadati, conservazione, accesso e verifica senza presumere che un singolo download della piattaforma costituisca un record completo.

1. Inizia dal record che devi conservare

Per una base difendibile, conserva più del semplice testo dei messaggi. La U.S. National Archives and Records Administration (NARA) afferma che un record federale completo deve avere contenuto, contesto e struttura, insieme ai metadati associati, come autore e data di creazione, e deve essere mantenuto in modo affidabile e autentico (linee guida NARA).

Usa questo come test di completezza:

• Contenuto: l'esportazione del messaggio o della conversazione.
• Contesto: account, profilo, partecipanti, intervallo di date e motivo dell'acquisizione.
• Struttura: formato e relazione tra file, cartelle, allegati e record dei messaggi.
• Metadati: dettagli come autore e data di creazione, oltre all'ambito e alla marca temporale dell'esportazione.

Per questa checklist, considera l'esportazione scaricata come la copia da conservare, poi verifica se contiene questi elementi. NARA elenca API specifiche della piattaforma, acquisizione web, metodi manuali e strumenti di esportazione della piattaforma come possibili metodi di acquisizione. Afferma inoltre che, quando un provider non può esportare un record completo, l'organizzazione resta responsabile dell'attuazione dei requisiti di acquisizione (linee guida NARA).

2. Mappa account, responsabili e conservazione prima dell'esportazione

Crea una riga per ogni rete e profilo prima di richiedere i dati. Registra:

• Rete e handle o URL del profilo
• Proprietario o responsabile dell'account
• Finalità aziendale e ambito dei messaggi rilevanti
• Intervallo di date richiesto
• Metodo e formato dell'esportazione
• Data della richiesta, data di consegna e responsabile dell'accesso
• Posizione di archiviazione e regola di conservazione
• Esclusioni note, ritardi o avvisi sui contenuti eliminati

La piattaforma non è l'unico criterio per stabilire se un messaggio appartiene a un record regolamentato. FINRA afferma che gli obblighi di conservazione dei social media dipendono dal fatto che la comunicazione sia una comunicazione aziendale, non semplicemente dalla piattaforma. Afferma inoltre che l'analisi non dipende dal dispositivo o dalla tecnologia, incluso un dispositivo personale (FINRA Notice 11-39).

La conservazione non è neppure un numero universale. Per esempio:

Il periodo FINRA è indicato nella Notice 11-39, il requisito HIPAA compare in 45 CFR 164.316, mentre il linguaggio su conservazione e sicurezza compare nel considerando 39 del GDPR. Sono esempi basati su fonti, non una politica universale di conservazione. NIST consiglia di applicare pratiche forensi solo dopo aver consultato la direzione e il consulente legale sulle leggi e i regolamenti applicabili (NIST SP 800-86).

Non lasciare che un sistema che cancella automaticamente le comunicazioni elettroniche sia il tuo unico controllo di conservazione: FINRA afferma che questa tecnologia impedirebbe di conservare le comunicazioni (FINRA Notice 11-39).

3. Esporta messaggi e dati dell'account usando flussi nativi documentati

Usa il flusso ufficiale corrispondente alla piattaforma e salva i dettagli della richiesta insieme ai file risultanti.

Instagram

Su desktop, il percorso ufficiale per iniziare un'esportazione è Altro > Impostazioni > Account Meta > Le tue informazioni e autorizzazioni > Esporta le tue informazioni > Crea esportazione. Instagram afferma che puoi selezionare informazioni specifiche, intervallo di date, formato, email di notifica e qualità dei media prima di avviare l'esportazione (assistenza Instagram).

Pianifica in base ai tempi di consegna: Instagram afferma che un'esportazione pronta è disponibile per quattro giorni, mentre il link può richiedere fino a 30 giorni per arrivare. La pagina di assistenza precisa inoltre che le informazioni eliminate potrebbero non comparire e descrive l'esportazione come protetta da password e accessibile solo al titolare dell'account (assistenza Instagram). Registra la data della richiesta e quella in cui hai effettivamente scaricato i file.

Facebook

Su desktop, il percorso ufficiale di Facebook è immagine del profilo > Impostazioni e privacy > Impostazioni > Account Meta > Le tue informazioni e autorizzazioni > Esporta le tue informazioni > Crea esportazione. Facebook consente di scegliere HTML o JSON; la pagina di assistenza descrive HTML come adatto alla consultazione nel browser in un file ZIP e JSON come leggibile dalle macchine (assistenza Facebook).

La stessa pagina afferma che le esportazioni pronte restano disponibili per quattro giorni e che l'esportazione è protetta da password. Facebook avverte inoltre che le categorie vengono conservate per periodi diversi e che le informazioni o i contenuti eliminati non compariranno nell'esportazione (assistenza Facebook; disponibilità dei dati Facebook). Considera il risultato un'esportazione delle informazioni dell'account da esaminare, non la prova che ogni messaggio storico esista.

LinkedIn

Il percorso ufficiale desktop di LinkedIn è Io > Impostazioni e privacy > Privacy dei dati > Scarica i tuoi dati. LinkedIn afferma che puoi selezionare categorie specifiche o un download più ampio: un tipo specifico può arrivare in pochi minuti, mentre un download più grande può richiedere 24 ore; il link resta disponibile per 72 ore (assistenza LinkedIn).

Esistono due importanti limiti di ambito. LinkedIn afferma che la funzione di download non è disponibile su dispositivi mobili e fornisce i dati personali del membro richiedente, non quelli di altri membri (assistenza LinkedIn). Registra entrambi i limiti nel record di conservazione.

WhatsApp

La procedura ufficiale salvata riguarda Android: apri la chat > Altre opzioni > Altro > Esporta chat > Senza media o Includi media > scegli un metodo di condivisione (assistenza WhatsApp).

WhatsApp afferma che la cronologia esportata è un file di testo, non un file di backup, e non può essere reimportata. Se scegli Includi media, i media più recenti inviati vengono aggiunti come allegati. Conserva insieme l'esportazione testuale e gli allegati e non descrivere il risultato come un archivio completo dei media senza averne verificato l'ambito (assistenza WhatsApp).

Google Takeout e altri archivi dell'account

Google descrive Takeout come un modo per creare un archivio per conservare record o trasferire dati. Afferma che la creazione può richiedere da pochi minuti a pochi giorni e che puoi scegliere il tipo di file e la dimensione massima dell'archivio; quando i dati selezionati superano tale dimensione, vengono creati più archivi (Google Takeout).

Google avverte inoltre che un file di dati potrebbe non includere le modifiche effettuate tra la richiesta del download e la creazione dell'archivio (Google Takeout). Registra i tempi della richiesta e della creazione dell'archivio e conserva ogni parte dell'archivio.

TikTok e piattaforme senza un flusso documentato qui

Questo pacchetto di ricerca non stabilisce un percorso ufficiale di esportazione di TikTok né una dichiarazione sulla copertura dei messaggi diretti di TikTok. Non copiare in TikTok il percorso di Instagram, Facebook o LinkedIn. Registra invece l'opzione di esportazione documentata attuale della piattaforma, se disponibile; in caso contrario documenta il metodo di acquisizione e il limite. NARA identifica API, acquisizione web, metodi manuali e strumenti di esportazione della piattaforma come possibili metodi, la cui scelta dipende dalla configurazione della piattaforma e dalle esigenze dell'organizzazione (linee guida NARA).

4. Conserva l'originale, il contesto e il record degli accessi

Conserva i file originali così come sono stati consegnati. Non sovrascriverli mentre crei una copia di lavoro leggibile. Insieme all'esportazione, salva un manifest contenente:

• Piattaforma, handle o URL del profilo e responsabile
• Ambito richiesto e intervallo di date
• Marca temporale della richiesta e del download
• Nomi e formati dei file e numero di parti dell'archivio
• Impostazione relativa a media o allegati inclusi
• Note sulla finestra di consegna e sulla protezione tramite password
• Categorie mancanti, avvisi sui contenuti eliminati o altre limitazioni
• Posizione di archiviazione e persone o ruoli autorizzati ad accedere

Questa è l'applicazione pratica dello standard NARA su contenuto, contesto, struttura e metadati (linee guida NARA).

Gli screenshot possono essere un metodo di acquisizione manuale, ma le prove salvate non stabiliscono che uno screenshot da solo sia un record completo dei messaggi. Conserva l'esportazione nativa quando disponibile, mantieni il contesto circostante ed etichetta ogni acquisizione manuale come metodo con una limitazione documentata, invece di definirla completa per impostazione predefinita.

L'ambito documentato di SocialGuardian riguarda i contenuti social circostanti: il sito afferma che esegue automaticamente il backup di post, storie e video, include media e metadati e consente di esportare un archivio completo in qualsiasi momento. Qui non sono presenti prove per affermare che esporti messaggi privati; mantieni quindi separato il flusso di esportazione dei messaggi dalla descrizione del prodotto (SocialGuardian).

5. Verifica completezza e integrità dei file

Esegui questa scheda di verifica per ogni esportazione:

1. Confronta rete, profilo, categorie e intervallo di date richiesti con quanto consegnato.
2. Conta ogni parte dell'archivio e ogni allegato; registra i file mancanti o illeggibili.
3. Apri l'output HTML, JSON o testuale consegnato e verifica che sia leggibile.
4. Controlla il manifest rispetto alla finestra di consegna e alle limitazioni dichiarate dalla piattaforma.
5. Registra gli avvisi sui contenuti eliminati e sulle modifiche intervenute tra richiesta e creazione dell'archivio.
6. Conserva l'esportazione originale separatamente da ogni copia di revisione.
7. Calcola un hash per ogni file o archivio conservato e salva il valore nel manifest.
8. Ricalcola l'hash quando il file viene esaminato o trasferito e verifica ogni valore modificato.

NIST definisce una funzione hash come un algoritmo che calcola un valore numerico rappresentativo di un file di dati o di un messaggio elettronico, basato sull'intero contenuto di quel file o messaggio (glossario NIST sulle funzioni hash). Un hash è quindi utile per verificare se un'esportazione salvata è cambiata; non stabilisce se l'esportazione originale fosse completa.

Il controllo di completezza è importante perché Instagram afferma che le informazioni eliminate potrebbero non comparire, Facebook afferma che informazioni o contenuti eliminati non compariranno e Google avverte che potrebbero mancare modifiche effettuate tra la richiesta del download e la creazione dell'archivio. Registra ogni lacuna e sottoponila a escalation invece di trattare silenziosamente un'esportazione parziale come completa (assistenza Instagram; disponibilità dei dati Facebook; Google Takeout).

6. Applica controlli di conservazione, accesso e blocco legale

Usa la mappa del passaggio 2 per applicare la regola che disciplina effettivamente la comunicazione. Limita l'accesso alle persone o ai ruoli indicati nel manifest e conserva il motivo di ogni eccezione o blocco legale. Le fonti supportano questi controlli di governance:

• FINRA afferma che conta la finalità aziendale della comunicazione e che la regola citata per i broker-dealer richiede di conservare alcuni record per almeno tre anni, con i primi due facilmente accessibili (FINRA Notice 11-39).
• Il requisito della Security Rule HIPAA citato stabilisce di conservare la documentazione richiesta per sei anni dalla creazione o dall'ultima entrata in vigore, a seconda di quale data sia successiva (45 CFR 164.316).
• Il considerando 39 del GDPR afferma che il periodo di conservazione dovrebbe essere limitato allo stretto indispensabile e che i dati personali devono essere trattati con sicurezza e riservatezza adeguate (GDPR).

NARA raccomanda un gruppo di lavoro sui record dei social media che includa gestione dei record, social media, IT, privacy e sicurezza delle informazioni, consulenza legale e comunicazione istituzionale (linee guida NARA). Assegna queste funzioni, o equivalenti, alle responsabilità di titolarità, revisione, accesso ed escalation. Applica la regola solo dopo che il team responsabile e il consulente legale hanno confermato che è adatta ai dati e alla giurisdizione.

7. Checklist multipiattaforma per la conservazione dei messaggi

Copia questa checklist nel ticket di conservazione:

• Elenca ogni rete, handle o URL del profilo, responsabile e finalità aziendale.
• Definisci le categorie di messaggi e l'intervallo di date da conservare.
• Seleziona l'esportazione nativa documentata o un altro metodo di acquisizione documentato.
• Registra ora della richiesta, ora della consegna, formato, impostazione dei media e finestra di consegna.
• Conserva l'esportazione originale e tutte le parti dell'archivio e gli allegati.
• Conserva contenuto, contesto, struttura e metadati associati.
• Registra i limiti relativi a contenuti eliminati, disponibilità mobile, soli dati personali, solo testo o tempistiche.
• Apri ed esamina i file consegnati.
• Calcola e conserva un hash per ogni file o archivio originale.
• Limita l'accesso e registra il responsabile dell'accesso.
• Applica la regola di conservazione confermata e ogni blocco.
• Sottoponi un'esportazione incompleta al responsabile di record, sicurezza, privacy o area legale.

FAQ

Qual è la differenza tra eseguire il backup e archiviare i messaggi sui social media?

Usa l'esportazione come copia da conservare, poi confrontala con contenuto, contesto, struttura e metadati. Un record completo può richiedere un'acquisizione aggiuntiva quando il provider non è in grado di esportarlo; NARA afferma che l'organizzazione resta responsabile dell'attuazione dei requisiti di acquisizione (linee guida NARA).

Come si esportano i messaggi diretti di Instagram per la conformità?

Su desktop, usa Altro > Impostazioni > Account Meta > Le tue informazioni e autorizzazioni > Esporta le tue informazioni > Crea esportazione. Seleziona informazioni, intervallo di date, formato, email di notifica e qualità dei media. Registra la disponibilità di quattro giorni, il possibile tempo di attesa di 30 giorni, la protezione tramite password e il limite relativo alle informazioni eliminate (assistenza Instagram).

È possibile scaricare i messaggi di Facebook Messenger?

Facebook documenta un'esportazione delle informazioni dell'account in HTML o JSON tramite immagine del profilo > Impostazioni e privacy > Impostazioni > Account Meta > Le tue informazioni e autorizzazioni > Esporta le tue informazioni > Crea esportazione. Esamina le categorie consegnate invece di presumere che ogni messaggio storico sia presente: Facebook afferma che le categorie hanno periodi di conservazione diversi e che i contenuti eliminati non compariranno (assistenza Facebook; disponibilità dei dati Facebook).

Come si esportano messaggi o dati dell'account LinkedIn?

Su desktop, usa Io > Impostazioni e privacy > Privacy dei dati > Scarica i tuoi dati. LinkedIn afferma che categorie specifiche possono arrivare in pochi minuti, un download più grande entro 24 ore e che il link resta disponibile per 72 ore. La funzione non è disponibile su dispositivi mobili e fornisce i dati del membro richiedente, non quelli di altri membri (assistenza LinkedIn).

Le chat WhatsApp possono essere esportate per scopi legali o di conformità?

Su Android, apri la chat, scegli Altre opzioni > Altro > Esporta chat, seleziona Senza media o Includi media e scegli un metodo di condivisione. WhatsApp afferma che il risultato è un file di testo, non un backup reimportabile; includere i media aggiunge come allegati i media più recenti inviati (assistenza WhatsApp). Conserva l'esportazione e i suoi limiti nel manifest.

TikTok consente di scaricare messaggi diretti e dati dell'account?

Questo pacchetto di prove non stabilisce un percorso di esportazione TikTok né la copertura dei messaggi diretti. Non dedurlo da un'altra piattaforma. Controlla la documentazione attuale di TikTok e registra metodo e limiti; NARA elenca inoltre API, acquisizione web, metodi manuali e strumenti di esportazione della piattaforma come possibili metodi (linee guida NARA).

Gli screenshot sono sufficienti e quali metadati devono essere conservati?

Le prove salvate identificano i metodi manuali come una possibile modalità di acquisizione, ma non stabiliscono che gli screenshot da soli siano un record completo. Conserva l'esportazione nativa quando disponibile e mantieni contenuto, contesto, struttura e metadati associati, come autore e data di creazione (linee guida NARA).

Per quanto tempo devono essere conservati i messaggi e come si verifica un backup?

Applica la regola confermata per la comunicazione. Gli esempi citati includono almeno tre anni per alcuni record di broker-dealer FINRA, sei anni per la documentazione HIPAA richiesta e il principio del GDPR di conservazione limitata allo stretto indispensabile. Per verificare il backup, confronta l'ambito con i file consegnati, registra i limiti della piattaforma, conserva gli originali e archivia gli hash; NIST afferma che un hash dipende dall'intero contenuto del file o del messaggio (FINRA Notice 11-39; 45 CFR 164.316; GDPR; glossario NIST sulle funzioni hash).