Hoe je berichten op sociale media archiveert voor naleving

Een export van berichten op sociale media is alleen bruikbaar als je kunt uitleggen wat deze bevat, wat ontbreekt, wie er toegang toe heeft en of de export na het vastleggen is gewijzigd. Deze checklist behandelt native exports, metadata, bewaartermijnen, toegang en verificatie, zonder ervan uit te gaan dat één platformdownload een volledig dossier vormt.

1. Begin met het dossier dat je moet bewaren

Bewaar voor een verdedigbare basis meer dan alleen de berichttekst. De U.S. National Archives and Records Administration (NARA) stelt dat een volledig federaal dossier inhoud, context en structuur moet bevatten, samen met bijbehorende metadata zoals auteur en aanmaakdatum, en moet worden onderhouden met het oog op betrouwbaarheid en authenticiteit (NARA-richtlijn).

Gebruik dit als volledigheidstoets:

• Inhoud: de export van het bericht of gesprek.
• Context: het account, profiel, de deelnemers, periode en reden van vastlegging.
• Structuur: het formaat en de relaties tussen bestanden, mappen, bijlagen en berichtrecords.
• Metadata: gegevens zoals auteur en aanmaakdatum, plus de reikwijdte en het tijdstip van de export die je vastlegt.

Behandel voor deze checklist de gedownloade export als de kopie die je bewaart en controleer vervolgens of deze elementen aanwezig zijn. NARA noemt platformspecifieke API's, webcaptatie, handmatige methoden en exporttools van platforms als mogelijke vastleggingsmethoden. NARA zegt ook dat een organisatie verantwoordelijk blijft voor het uitvoeren van vastleggingseisen wanneer een aanbieder geen volledig dossier kan exporteren (NARA-richtlijn).

2. Breng accounts, beheerders en bewaartermijnen vóór de export in kaart

Maak vóór het opvragen van gegevens één rij voor elk netwerk en profiel. Noteer:

• Netwerk en profielhandle of URL
• Eigenaar of beheerder van het account
• Zakelijk doel en relevante reikwijdte van berichten
• Opgevraagde periode
• Exportmethode en formaat
• Datum van aanvraag, datum van levering en verantwoordelijke voor toegang
• Opslaglocatie en bewaarbeleid
• Bekende uitsluitingen, vertragingen of waarschuwingen over verwijderde content

Het platform is niet de enige maatstaf voor de vraag of een bericht onder een gereguleerd dossier valt. FINRA stelt dat verplichtingen voor het bewaren van socialemediarecords afhangen van de vraag of de communicatie een zakelijke communicatie is, niet alleen van het platform. De analyse hangt volgens FINRA ook niet af van het apparaat of de technologie, waaronder een persoonlijk apparaat (FINRA Notice 11-39).

Bewaren kent ook niet één universeel aantal jaren. Bijvoorbeeld:

De FINRA-periode staat in Notice 11-39, de HIPAA-verplichting in 45 CFR 164.316, en de passages over opslag en beveiliging in GDPR-overweging 39. Dit zijn voorbeelden uit bronnen, geen universeel bewaarbeleid. NIST adviseert forensische werkwijzen pas toe te passen nadat management en juridisch adviseurs zijn geraadpleegd over toepasselijke wet- en regelgeving (NIST SP 800-86).

Laat een systeem dat elektronische communicatie automatisch wist of verwijdert niet je enige controle voor recordbewaring zijn: FINRA zegt dat dergelijke technologie het bewaren van communicatie onmogelijk zou maken (FINRA Notice 11-39).

3. Exporteer berichten en accountgegevens via gedocumenteerde native processen

Gebruik de officiële procedure die bij het platform hoort en bewaar de aanvraaggegevens samen met de resulterende bestanden.

Instagram

Op desktop is de officiële route om een export te starten More > Settings > Meta Account > Your information and permissions > Export your information > Create export. Instagram zegt dat je specifieke informatie, een periode, formaat, e-mailadres voor meldingen en mediakwaliteit kunt kiezen voordat je de export start (Instagram Help).

Houd rekening met de leveringstermijn: Instagram zegt dat een gereedstaande export vier dagen beschikbaar is, terwijl het tot 30 dagen kan duren voordat een exportlink arriveert. De hulppagina vermeldt ook dat verwijderde informatie mogelijk niet verschijnt en beschrijft de export als beveiligd met een wachtwoord en alleen toegankelijk voor de accounteigenaar (Instagram Help). Noteer de aanvraagdatum en de datum waarop je de bestanden daadwerkelijk hebt gedownload.

Facebook

Op desktop is de officiële route van Facebook profile picture > Settings & privacy > Settings > Meta Account > Your information and permissions > Export your information > Create export. Facebook laat je HTML of JSON kiezen; volgens de hulppagina is HTML geschikt voor weergave in een browser in een ZIP-bestand en is JSON machineleesbaar (Facebook Help).

Op dezelfde hulppagina staat dat gereedstaande exports vier dagen beschikbaar blijven en dat exporteren met een wachtwoord is beveiligd. Facebook waarschuwt ook dat categorieën verschillende bewaartermijnen hebben en dat verwijderde informatie of content niet in de export verschijnt (Facebook Help; Beschikbaarheid van Facebook-gegevens). Behandel het resultaat als een te beoordelen export van accountinformatie, niet als bewijs dat elk historisch bericht aanwezig is.

LinkedIn

De officiële desktoproute van LinkedIn is Me > Settings & Privacy > Data Privacy > Download your data. LinkedIn zegt dat je specifieke categorieën of een grotere download kunt selecteren: een specifiek type kan binnen enkele minuten arriveren, een grotere download binnen 24 uur, en de downloadlink blijft 72 uur beschikbaar (LinkedIn Help).

Er zijn twee belangrijke beperkingen. LinkedIn zegt dat de downloadfunctie niet beschikbaar is op mobiele apparaten en dat deze de persoonlijke gegevens van het aanvragende lid levert, niet de gegevens van andere leden (LinkedIn Help). Noteer beide beperkingen in het bewaarecord.

WhatsApp

De opgeslagen officiële procedure is voor Android: open de chat > More options > More > Export chat > Without media of Include media > kies een deelmethode (WhatsApp Help).

WhatsApp stelt dat een geëxporteerde chatgeschiedenis een tekstbestand is, geen back-upbestand, en niet opnieuw kan worden geïmporteerd. Als je Include media kiest, worden de meest recente verzonden media als bijlagen toegevoegd. Bewaar de textexport en bijlagen samen en beschrijf het resultaat niet als een volledig media-archief zonder de reikwijdte ervan te controleren (WhatsApp Help).

Google Takeout en andere accountarchieven

Google beschrijft Takeout als een manier om een archief te maken voor het bewaren van records of het overzetten van gegevens. Het maken van een archief kan volgens Google enkele minuten tot enkele dagen duren. Je kunt een bestandstype en maximale archiefgrootte kiezen; wanneer de geselecteerde gegevens die grootte overschrijden, worden meerdere archieven gemaakt (Google Takeout).

Google waarschuwt ook dat een gegevensbestand mogelijk geen wijzigingen bevat die zijn aangebracht tussen het aanvragen van een download en het maken van het archief (Google Takeout). Noteer de timing van de aanvraag en het maken van het archief en bewaar elk archiefdeel.

TikTok en platforms waarvoor hier geen gedocumenteerde procedure staat

Dit onderzoekspakket legt geen officiële TikTok-exportprocedure of claim over TikTok-direct-message-dekking vast. Kopieer geen Instagram-, Facebook- of LinkedIn-procedure naar TikTok. Noteer in plaats daarvan de actuele, gedocumenteerde exportoptie van het platform als die beschikbaar is; leg anders de vastleggingsmethode en beperking vast. NARA noemt API's, webcaptatie, handmatige methoden en exporttools van platforms als mogelijke methoden, waarbij de keuze afhangt van de platformconfiguratie en organisatorische behoeften (NARA-richtlijn).

4. Bewaar het origineel, de context en het toegangsrecord

Bewaar de oorspronkelijke bestanden zoals ze zijn geleverd. Overschrijf ze niet wanneer je een leesbare werkkopie maakt. Sla naast de export een manifest op met:

• Platform, profielhandle of URL en beheerder
• Opgevraagde reikwijdte en periode
• Tijdstip van aanvraag en download
• Bestandsnamen, formaten en aantal archiefdelen
• Instelling voor opgenomen media of bijlagen
• Notities over leveringstermijn en wachtwoordbeveiliging
• Ontbrekende categorieën, waarschuwingen over verwijderde content of andere beperkingen
• Opslaglocatie en personen of rollen die toegang mogen hebben

Dit is de praktische toepassing van NARA's standaard voor inhoud, context, structuur en metadata (NARA-richtlijn).

Screenshots kunnen een handmatige vastleggingsmethode zijn, maar het opgeslagen bewijs maakt niet duidelijk dat een screenshot op zichzelf een volledig berichtenrecord vormt. Bewaar de native export wanneer die beschikbaar is, houd de omliggende context bij en label elke handmatige vastlegging als een methode met een gedocumenteerde beperking in plaats van deze standaard volledig te noemen.

De gedocumenteerde productreikwijdte van SocialGuardian betreft omliggende content op sociale media: volgens de site back-upt het automatisch posts, stories en video's, inclusief media en metadata, en kunnen gebruikers altijd een volledig archief exporteren. Hieruit blijkt niet dat het privéberichten exporteert. Houd de bovenstaande workflow voor berichtexports daarom gescheiden van die productbeschrijving (SocialGuardian).

5. Controleer volledigheid en ongewijzigde bestanden

Voer voor elke export dit verificatieformulier uit:

1. Vergelijk het aangevraagde netwerk, profiel, de categorieën en periode met wat is geleverd.
2. Tel elk archiefdeel en elke bijlage; noteer ontbrekende of onleesbare bestanden.
3. Open de geleverde HTML-, JSON- of tekstuitvoer en controleer of deze leesbaar is.
4. Controleer het manifest aan de hand van de vermelde leveringstermijn en beperkingen van het platform.
5. Noteer waarschuwingen over verwijderde content en wijzigingen tussen aanvraag en archief.
6. Bewaar de oorspronkelijke export apart van elke werkkopie.
7. Bereken een hash voor elk bewaard bestand of archief en sla de waarde op in het manifest.
8. Bereken de hash opnieuw wanneer het bestand wordt beoordeeld of overgedragen en onderzoek een gewijzigde waarde.

NIST definieert een hashfunctie als een algoritme dat een numerieke waarde berekent die een gegevensbestand of elektronisch bericht vertegenwoordigt en afhankelijk is van de volledige inhoud van dat bestand of bericht (NIST-woordenlijst voor hashfuncties). Daardoor is een hash nuttig om te controleren of een opgeslagen export is gewijzigd; de hash zegt niet of de oorspronkelijke export volledig was.

De volledigheidscontrole is belangrijk omdat Instagram zegt dat verwijderde informatie mogelijk niet verschijnt, Facebook zegt dat verwijderde informatie of content niet verschijnt en Google waarschuwt dat wijzigingen tussen aanvraag en het maken van een archief kunnen ontbreken. Noteer elk hiaat en escaleer het in plaats van een gedeeltelijke export stilzwijgend als volledig te behandelen (Instagram Help; Beschikbaarheid van Facebook-gegevens; Google Takeout).

6. Pas bewaartermijnen, toegang en juridische blokkeringen toe

Gebruik de inventaris uit stap 2 om de regel toe te passen die daadwerkelijk voor de communicatie geldt. Beperk toegang tot de personen of rollen die in het manifest staan en bewaar de reden voor elke uitzondering of juridische bewaarplicht. De bronnen ondersteunen de volgende governancecontroles:

• FINRA zegt dat het zakelijke doel van de communicatie van belang is en dat de genoemde broker-dealerregel vereist dat bepaalde records minstens drie jaar worden bewaard, waarvan de eerste twee jaar eenvoudig toegankelijk moeten zijn (FINRA Notice 11-39).
• De genoemde documentatieverplichting uit de HIPAA Security Rule zegt dat verplichte documentatie zes jaar moet worden bewaard vanaf de aanmaak of vanaf het moment waarop deze voor het laatst van kracht was, afhankelijk van wat later is (45 CFR 164.316).
• GDPR-overweging 39 zegt dat de opslagperiode tot een strikt minimum moet worden beperkt en dat persoonsgegevens met passende beveiliging en vertrouwelijkheid moeten worden verwerkt (GDPR).

NARA raadt een werkgroep voor socialemediarecords aan met medewerkers voor recordbeheer, sociale media, IT, privacy en informatiebeveiliging, juridisch advies en publieke zaken (NARA-richtlijn). Wijs deze functies — of equivalenten — toe aan verantwoordelijkheden voor eigenaarschap, beoordeling, toegang en escalatie. Pas de regel pas toe nadat het verantwoordelijke team en juridisch advies hebben bevestigd dat deze op de gegevens en jurisdictie van toepassing is.

7. Checklist voor het bewaren van berichten op verschillende platforms

Kopieer dit naar je bewaarticket:

• Noteer elk netwerk, profielhandle of URL, beheerder en zakelijk doel.
• Definieer de berichtcategorieën en periode die je moet bewaren.
• Kies de gedocumenteerde native export of een andere gedocumenteerde vastleggingsmethode.
• Noteer aanvraagtijd, levertijd, formaat, media-instelling en leveringstermijn.
• Bewaar de oorspronkelijke export en alle archiefdelen en bijlagen.
• Bewaar inhoud, context, structuur en bijbehorende metadata.
• Noteer beperkingen rond verwijderde content, mobiele beschikbaarheid, gegevens van alleen de gebruiker, tekst-only exports of timing.
• Open en beoordeel de geleverde bestanden.
• Bereken en bewaar een hash voor elk oorspronkelijk bestand of archief.
• Beperk toegang en noteer de verantwoordelijke voor toegang.
• Pas de bevestigde bewaartermijn en eventuele juridische blokkering toe.
• Escaleer een onvolledige export naar de verantwoordelijke voor records, beveiliging, privacy of juridische zaken.

FAQ

Wat is het verschil tussen een back-up en archivering van berichten op sociale media?

Gebruik de export als de kopie die je bewaart en toets deze aan inhoud, context, structuur en metadata. Wanneer een aanbieder geen volledig dossier kan exporteren, kan aanvullende vastlegging nodig zijn; NARA zegt dat de organisatie verantwoordelijk blijft voor het uitvoeren van vastleggingseisen (NARA-richtlijn).

Hoe exporteer je Instagram-direct messages voor compliance?

Gebruik op desktop More > Settings > Meta Account > Your information and permissions > Export your information > Create export. Selecteer de informatie, periode, het formaat, e-mailadres voor meldingen en de mediakwaliteit. Noteer de beschikbaarheid van vier dagen, een mogelijke wachttijd van 30 dagen voor de e-mail, de wachtwoordbeveiliging en de beperking rond verwijderde informatie (Instagram Help).

Kun je Facebook Messenger-berichten downloaden?

Facebook documenteert een export van accountinformatie in HTML of JSON via profile picture > Settings & privacy > Settings > Meta Account > Your information and permissions > Export your information > Create export. Controleer de geleverde categorieën in plaats van ervan uit te gaan dat elk historisch bericht aanwezig is: Facebook zegt dat categorieën verschillende bewaartermijnen hebben en dat verwijderde content niet verschijnt (Facebook Help; Beschikbaarheid van Facebook-gegevens).

Hoe exporteer je LinkedIn-berichten of accountgegevens?

Gebruik op desktop Me > Settings & Privacy > Data Privacy > Download your data. LinkedIn zegt dat specifieke categorieën binnen enkele minuten kunnen arriveren, een grotere download binnen 24 uur en dat de link 72 uur beschikbaar blijft. De functie is niet beschikbaar op mobiele apparaten en levert de eigen gegevens van het aanvragende lid, niet die van andere leden (LinkedIn Help).

Kunnen WhatsApp-chats worden geëxporteerd voor juridische of compliance-doeleinden?

Open op Android de chat, kies More options > More > Export chat, selecteer Without media of Include media en kies een deelmethode. WhatsApp zegt dat het resultaat een tekstbestand is, geen back-up die opnieuw kan worden geïmporteerd; bijgevoegde media omvatten de meest recente verzonden media (WhatsApp Help). Bewaar de export en de beperkingen ervan in het manifest.

Kun je met TikTok direct messages en accountgegevens downloaden?

Dit bewijspakket legt geen TikTok-exportprocedure of dekking van direct messages vast. Leid geen procedure af van een ander platform. Controleer de actuele documentatie van TikTok en leg de methode en beperkingen vast; NARA noemt ook API's, webcaptatie, handmatige methoden en exporttools van platforms als mogelijke vastleggingsmethoden (NARA-richtlijn).

Zijn screenshots voldoende en welke metadata moet je bewaren?

Het opgeslagen bewijs noemt handmatige methoden als een mogelijke vastleggingsmethode, maar stelt niet vast dat screenshots op zichzelf een volledig record zijn. Bewaar de native export wanneer deze beschikbaar is en behoud inhoud, context, structuur en bijbehorende metadata zoals auteur en aanmaakdatum (NARA-richtlijn).

Hoe lang moeten berichten worden bewaard en hoe controleer je een back-up?

Pas de regel toe die voor de communicatie is bevestigd. De genoemde voorbeelden zijn minstens drie jaar voor bepaalde FINRA-broker-dealerrecords, zes jaar voor verplichte HIPAA-documentatie en het GDPR-principe van opslag gedurende een strikt minimum. Controleer de back-up door de reikwijdte met de geleverde bestanden te vergelijken, platformbeperkingen vast te leggen, originelen te bewaren en hashes op te slaan; NIST zegt dat een hash afhankelijk is van de volledige inhoud van het bestand of bericht (FINRA Notice 11-39; 45 CFR 164.316; GDPR; NIST-woordenlijst voor hashfuncties).