Jak tworzyć kopie zapasowe wiadomości w mediach społecznościowych na potrzeby zgodności

Eksport wiadomości z mediów społecznościowych jest użyteczny tylko wtedy, gdy można wyjaśnić, co zawiera, czego nie zawiera, kto ma do niego dostęp i czy zmienił się po przechwyceniu. Ta lista kontrolna obejmuje eksporty natywne, metadane, retencję, dostęp i weryfikację, bez zakładania, że pobranie danych z jednej platformy stanowi kompletny zapis.

1. Zacznij od określenia rekordu, który musisz zachować

Aby uzyskać możliwą do obrony podstawę, zachowaj więcej niż sam tekst wiadomości. U.S. National Archives and Records Administration (NARA) wskazuje, że kompletny rekord federalny musi zawierać treść, kontekst i strukturę, a także powiązane metadane, takie jak autor i data utworzenia, oraz musi być utrzymywany w sposób zapewniający wiarygodność i autentyczność (wytyczne NARA).

Użyj tego jako testu kompletności:

• Treść: eksport wiadomości lub rozmowy.
• Kontekst: konto, profil, uczestnicy, zakres dat i powód przechwycenia.
• Struktura: format i relacje między plikami, folderami, załącznikami i rekordami wiadomości.
• Metadane: takie informacje jak autor i data utworzenia, a także zakres eksportu i zarejestrowany znacznik czasu.

Na potrzeby tej listy potraktuj pobrany eksport jako kopię, którą zachowujesz, a następnie sprawdź, czy zawiera te elementy. NARA wymienia interfejsy API platform, przechwytywanie stron internetowych, metody ręczne i narzędzia eksportu platformy jako możliwe metody przechwytywania. Wskazuje również, że gdy dostawca nie może wyeksportować kompletnego rekordu, organizacja nadal odpowiada za wdrożenie wymagań dotyczących przechwytywania (wytyczne NARA).

2. Zmapuj konta, opiekunów i retencję przed eksportem

Przed zażądaniem danych utwórz jeden wiersz dla każdej sieci i profilu. Zapisz:

• Sieć oraz nazwę użytkownika lub adres URL profilu
• Właściciela konta lub opiekuna
• Cel biznesowy i zakres istotnych wiadomości
• Żądany zakres dat
• Metodę i format eksportu
• Datę żądania, datę dostarczenia i właściciela dostępu
• Lokalizację przechowywania i zasadę retencji
• Znane wyłączenia, opóźnienia lub ostrzeżenia dotyczące usuniętych treści

Sama platforma nie przesądza o tym, czy wiadomość należy do rekordu regulowanego. FINRA wskazuje, że obowiązki dotyczące przechowywania zapisów w mediach społecznościowych zależą od tego, czy komunikat jest komunikacją biznesową, a nie wyłącznie od platformy. Wskazuje również, że analiza nie zależy od urządzenia ani technologii, w tym od urządzenia osobistego (Notice 11-39 FINRA).

Retencja również nie jest jedną uniwersalną wartością. Na przykład:

Okres FINRA określono w Notice 11-39, wymóg HIPAA znajduje się w 45 CFR 164.316, a zasady przechowywania i bezpieczeństwa opisano w motywie 39 RODO. Są to przykłady oparte na źródłach, a nie uniwersalna polityka retencji. NIST zaleca stosowanie praktyk informatyki śledczej dopiero po konsultacji z kierownictwem i doradcą prawnym w sprawie właściwych przepisów i regulacji (NIST SP 800-86).

Nie pozwól, aby system automatycznie usuwający komunikację elektroniczną był jedynym mechanizmem kontroli przechowywania zapisów: FINRA wskazuje, że taka technologia uniemożliwiłaby zachowanie komunikacji (Notice 11-39 FINRA).

3. Eksportuj wiadomości i dane konta przy użyciu udokumentowanych przepływów natywnych

Użyj oficjalnej procedury właściwej dla danej platformy i zachowaj szczegóły żądania razem z otrzymanymi plikami.

Instagram

Na komputerze oficjalna ścieżka rozpoczęcia eksportu to Więcej > Ustawienia > Centrum kont Meta > Twoje informacje i uprawnienia > Eksportuj swoje informacje > Utwórz eksport. Instagram informuje, że przed rozpoczęciem eksportu można wybrać konkretne informacje, zakres dat, format, adres e-mail do powiadomień i jakość multimediów (Pomoc Instagrama).

Zaplanuj działania zgodnie z terminem dostarczenia: Instagram podaje, że gotowy eksport jest dostępny przez cztery dni, a otrzymanie linku do eksportu może potrwać do 30 dni. Strona pomocy wskazuje również, że usunięte informacje mogą nie zostać uwzględnione, a eksport jest chroniony hasłem i dostępny wyłącznie dla właściciela konta (Pomoc Instagrama). Zapisz datę żądania oraz datę faktycznego pobrania plików.

Facebook

Na komputerze oficjalna ścieżka Facebooka to zdjęcie profilowe > Ustawienia i prywatność > Ustawienia > Centrum kont Meta > Twoje informacje i uprawnienia > Eksportuj swoje informacje > Utwórz eksport. Facebook umożliwia wybór formatu HTML lub JSON; strona pomocy opisuje HTML jako przyjazny dla przeglądarki format w archiwum ZIP, a JSON jako format możliwy do odczytu maszynowego (Pomoc Facebooka).

Ta sama strona pomocy podaje, że gotowe eksporty pozostają dostępne przez cztery dni i że eksport jest chroniony hasłem. Facebook ostrzega również, że kategorie są przechowywane przez różne okresy oraz że usunięte informacje lub treści nie pojawią się w eksporcie (Pomoc Facebooka; dostępność danych Facebooka). Traktuj wynik jako eksport informacji o koncie do sprawdzenia, a nie dowód istnienia każdej historycznej wiadomości.

LinkedIn

Oficjalna ścieżka LinkedIn na komputerze to Ja > Ustawienia i prywatność > Prywatność danych > Pobierz swoje dane. LinkedIn informuje, że można wybrać konkretne kategorie lub większy pakiet danych: określony typ może dotrzeć w ciągu kilku minut, a większy pakiet w ciągu 24 godzin; link do pobrania pozostaje dostępny przez 72 godziny (Pomoc LinkedIn).

Istnieją dwa ważne ograniczenia zakresu. LinkedIn podaje, że funkcja pobierania nie jest dostępna na urządzeniach mobilnych oraz że udostępnia własne dane osobowe osoby składającej żądanie, a nie dane innych członków (Pomoc LinkedIn). Odnotuj oba ograniczenia w rekordzie przechowywania.

WhatsApp

Oficjalna zapisana procedura dotyczy Androida: otwórz czat > Więcej opcji > Więcej > Eksportuj czat > Bez multimediów lub Dołącz multimedia > wybierz sposób udostępniania (Pomoc WhatsApp).

WhatsApp podaje, że wyeksportowana historia czatu jest plikiem tekstowym, a nie plikiem kopii zapasowej, i nie można jej ponownie zaimportować. Po wybraniu opcji Dołącz multimedia najnowsze wysłane multimedia zostaną dodane jako załączniki. Zachowaj eksport tekstowy i załączniki razem oraz nie opisuj wyniku jako kompletnego archiwum multimediów bez sprawdzenia jego zakresu (Pomoc WhatsApp).

Google Takeout i inne archiwa kont

Google opisuje Takeout jako sposób tworzenia archiwum do przechowywania zapisów lub przenoszenia danych. Podaje, że tworzenie archiwum może potrwać od kilku minut do kilku dni oraz że można wybrać typ pliku i maksymalny rozmiar archiwum; gdy wybrane dane przekroczą ten rozmiar, zostanie utworzonych wiele archiwów (Google Takeout).

Google ostrzega również, że plik danych może nie obejmować zmian wprowadzonych między złożeniem żądania pobrania a utworzeniem archiwum (Google Takeout). Zapisz czas żądania i tworzenia archiwum oraz zachowaj każdą część archiwum.

TikTok i platformy bez opisanej tutaj procedury

Ten pakiet badawczy nie potwierdza oficjalnej ścieżki eksportu TikToka ani zakresu obsługi wiadomości bezpośrednich TikToka. Nie kopiuj do instrukcji TikToka ścieżki z Instagrama, Facebooka ani LinkedIn. Zamiast tego zapisz aktualną, udokumentowaną opcję eksportu platformy, jeśli jest dostępna; w przeciwnym razie opisz metodę przechwytywania i ograniczenie. NARA wskazuje interfejsy API, przechwytywanie stron internetowych, metody ręczne i narzędzia eksportu platform jako możliwe metody, przy czym wybór zależy od konfiguracji platformy i potrzeb organizacji (wytyczne NARA).

4. Zachowaj oryginał, kontekst i rekord dostępu

Zachowaj oryginalne pliki w postaci, w jakiej zostały dostarczone. Nie nadpisuj ich podczas tworzenia czytelnej kopii roboczej. Wraz z eksportem zapisz manifest zawierający:

• Platformę, nazwę użytkownika lub adres URL profilu oraz opiekuna
• Żądany zakres i zakres dat
• Znacznik czasu żądania i pobrania
• Nazwy plików, formaty i liczbę części archiwum
• Ustawienie dotyczące dołączonych multimediów lub załączników
• Informacje o terminie dostarczenia i ochronie hasłem
• Brakujące kategorie, ostrzeżenia o usuniętych treściach lub inne ograniczenia
• Lokalizację przechowywania oraz osoby lub role uprawnione do dostępu

Jest to praktyczne zastosowanie standardu NARA dotyczącego treści, kontekstu, struktury i metadanych (wytyczne NARA).

Zrzuty ekranu mogą być ręczną metodą przechwytywania, ale sam zapisany dowód nie potwierdza, że zrzut ekranu jest kompletnym rekordem wiadomości. Jeśli jest dostępny, zachowaj eksport natywny, utrzymaj otaczający kontekst i oznacz ręczne przechwycenie jako metodę z udokumentowanym ograniczeniem, zamiast domyślnie nazywać je kompletnym.

Udokumentowany zakres produktu SocialGuardian obejmuje otaczające treści społecznościowe: według strony usługi automatycznie tworzy kopie postów, relacji i filmów, obejmuje multimedia i metadane oraz umożliwia eksport pełnego archiwum w dowolnym momencie. Nie ma tu dowodów na to, że eksportuje prywatne wiadomości, dlatego zachowaj przepływ eksportu wiadomości oddzielnie od opisu produktu (SocialGuardian).

5. Zweryfikuj kompletność i niezmienność plików

Wykonaj ten arkusz weryfikacyjny dla każdego eksportu:

1. Porównaj żądaną sieć, profil, kategorie i zakres dat z dostarczonym materiałem.
2. Policz każdą część archiwum i załącznik; odnotuj brakujące lub nieczytelne pliki.
3. Otwórz dostarczony plik HTML, JSON lub tekstowy i potwierdź jego czytelność.
4. Sprawdź manifest względem deklarowanego przez platformę terminu dostarczenia i ograniczeń.
5. Zapisz ostrzeżenia o usuniętych treściach oraz o zmianach między żądaniem a utworzeniem archiwum.
6. Zachowaj oryginalny eksport oddzielnie od kopii do przeglądu.
7. Oblicz skrót dla każdego zachowanego pliku lub archiwum i zapisz jego wartość w manifeście.
8. Oblicz skrót ponownie podczas przeglądu lub transferu pliku i zbadaj zmienioną wartość.

NIST definiuje funkcję skrótu jako algorytm obliczający wartość liczbową reprezentującą plik danych lub wiadomość elektroniczną i zależną od całej zawartości tego pliku lub wiadomości (słownik NIST dotyczący funkcji skrótu). Dzięki temu skrót pomaga sprawdzić, czy zapisany eksport się zmienił; nie odpowiada jednak na pytanie, czy pierwotny eksport był kompletny.

Kontrola kompletności ma znaczenie, ponieważ Instagram informuje, że usunięte informacje mogą nie zostać uwzględnione, Facebook — że usunięte informacje lub treści nie pojawią się, a Google ostrzega, że może zabraknąć zmian wprowadzonych między żądaniem pobrania a utworzeniem archiwum. Zapisz każdą lukę i przekaż ją do wyjaśnienia zamiast po cichu traktować częściowy eksport jako kompletny (Pomoc Instagrama; dostępność danych Facebooka; Google Takeout).

6. Zastosuj kontrolę retencji, dostępu i blokady prawnej

Użyj mapy z kroku 2, aby zastosować zasadę, która rzeczywiście reguluje daną komunikację. Ogranicz dostęp do osób lub ról zapisanych w manifeście i zachowaj powód każdego wyjątku lub legal hold. Źródła wspierają następujące kontrole zarządcze:

• FINRA wskazuje, że znaczenie ma cel biznesowy komunikacji, a cytowana zasada dotycząca brokerów-dealerów wymaga przechowywania niektórych zapisów przez co najmniej trzy lata, przy łatwym dostępie przez pierwsze dwa lata (Notice 11-39 FINRA).
• Wymóg dokumentacyjny HIPAA Security Rule wskazuje, że wymaganą dokumentację należy przechowywać przez sześć lat od utworzenia lub od ostatniego obowiązywania — zależnie od tego, która data jest późniejsza (45 CFR 164.316).
• Motyw 39 RODO wskazuje, że okres przechowywania powinien być ograniczony do ścisłego minimum, a dane osobowe przetwarzane z odpowiednim bezpieczeństwem i poufnością (RODO).

NARA zaleca grupę roboczą ds. rekordów z mediów społecznościowych obejmującą pracowników odpowiedzialnych za zarządzanie zapisami, media społecznościowe, IT, prywatność i bezpieczeństwo informacji, radcę prawnego oraz komunikację publiczną (wytyczne NARA). Przydziel tym funkcjom — lub ich odpowiednikom — odpowiedzialność za własność, przegląd, dostęp i eskalację. Zastosuj regułę dopiero po potwierdzeniu przez odpowiedzialny zespół i doradcę prawnego, że pasuje ona do danych i jurysdykcji.

7. Wieloplatformowa lista kontrolna zachowania wiadomości

Skopiuj ją do zgłoszenia dotyczącego przechowywania:

• Wymień każdą sieć, nazwę użytkownika lub adres URL profilu, opiekuna i cel biznesowy.
• Określ kategorie wiadomości i zakres dat do zachowania.
• Wybierz udokumentowany eksport natywny lub inną udokumentowaną metodę przechwytywania.
• Zapisz czas żądania, czas dostarczenia, format, ustawienie multimediów i termin dostarczenia.
• Zachowaj oryginalny eksport oraz wszystkie części archiwum i załączniki.
• Zachowaj treść, kontekst, strukturę i powiązane metadane.
• Zapisz ograniczenia dotyczące usuniętych treści, dostępności mobilnej, danych wyłącznie własnych, formatu tekstowego lub czasu.
• Otwórz i przejrzyj dostarczone pliki.
• Oblicz i zapisz skrót każdego oryginalnego pliku lub archiwum.
• Ogranicz dostęp i zapisz właściciela dostępu.
• Zastosuj potwierdzoną zasadę retencji oraz ewentualną blokadę.
• Przekaż niekompletny eksport właścicielowi odpowiedzialnemu za zapisy, bezpieczeństwo, prywatność lub kwestie prawne.

FAQ

Jaka jest różnica między tworzeniem kopii zapasowej a archiwizowaniem wiadomości z mediów społecznościowych?

Użyj eksportu jako kopii, którą zachowujesz, a następnie sprawdź go pod kątem treści, kontekstu, struktury i metadanych. Kompletny rekord może wymagać dodatkowego przechwycenia, gdy dostawca nie może wyeksportować pełnego rekordu; NARA wskazuje, że organizacja nadal odpowiada za wdrożenie wymagań dotyczących przechwytywania (wytyczne NARA).

Jak wyeksportować wiadomości prywatne z Instagrama na potrzeby zgodności?

Na komputerze użyj ścieżki Więcej > Ustawienia > Centrum kont Meta > Twoje informacje i uprawnienia > Eksportuj swoje informacje > Utwórz eksport. Wybierz informacje, zakres dat, format, adres e-mail do powiadomień i jakość multimediów. Zapisz czterodniowy okres dostępności, możliwe oczekiwanie do 30 dni na wiadomość e-mail, ochronę hasłem i ograniczenie dotyczące usuniętych informacji (Pomoc Instagrama).

Czy można pobrać wiadomości z Facebook Messengera?

Facebook opisuje eksport informacji o koncie w formacie HTML lub JSON za pomocą ścieżki zdjęcie profilowe > Ustawienia i prywatność > Ustawienia > Centrum kont Meta > Twoje informacje i uprawnienia > Eksportuj swoje informacje > Utwórz eksport. Sprawdź dostarczone kategorie zamiast zakładać, że dostępna jest każda historyczna wiadomość: Facebook podaje, że kategorie mają różne okresy przechowywania, a usunięte treści nie pojawią się (Pomoc Facebooka; dostępność danych Facebooka).

Jak wyeksportować wiadomości lub dane konta LinkedIn?

Na komputerze użyj ścieżki Ja > Ustawienia i prywatność > Prywatność danych > Pobierz swoje dane. LinkedIn podaje, że konkretne kategorie mogą dotrzeć w ciągu kilku minut, większy pakiet w ciągu 24 godzin, a link pozostaje dostępny przez 72 godziny. Funkcja nie jest dostępna na urządzeniach mobilnych i udostępnia dane własne osoby składającej żądanie, a nie dane innych członków (Pomoc LinkedIn).

Czy czaty WhatsApp można eksportować do celów prawnych lub zgodności?

Na Androidzie otwórz czat, wybierz Więcej opcji > Więcej > Eksportuj czat, zaznacz Bez multimediów lub Dołącz multimedia, a następnie wybierz sposób udostępniania. WhatsApp podaje, że wynik jest plikiem tekstowym, a nie kopią zapasową możliwą do ponownego importu; dołączenie multimediów dodaje najnowsze wysłane multimedia jako załączniki (Pomoc WhatsApp). Zachowaj eksport i jego ograniczenia w manifeście.

Czy TikTok pozwala pobierać wiadomości bezpośrednie i dane konta?

Ten pakiet dowodowy nie potwierdza ścieżki eksportu TikToka ani zakresu obsługi wiadomości bezpośrednich. Nie wyciągaj wniosków na podstawie innej platformy. Sprawdź aktualną dokumentację TikToka i zapisz metodę oraz ograniczenia; NARA wymienia również interfejsy API, przechwytywanie stron internetowych, metody ręczne i narzędzia eksportu platform jako możliwe metody przechwytywania (wytyczne NARA).

Czy zrzuty ekranu wystarczą i jakie metadane należy zachować?

Zapisane dowody wskazują metody ręczne jako jedną z możliwych metod przechwytywania, ale nie potwierdzają, że same zrzuty ekranu są kompletnym rekordem. Jeśli jest dostępny, zachowaj eksport natywny oraz treść, kontekst, strukturę i powiązane metadane, takie jak autor i data utworzenia (wytyczne NARA).

Jak długo należy przechowywać wiadomości i jak zweryfikować kopię zapasową?

Zastosuj zasadę potwierdzoną dla danej komunikacji. Cytowane przykłady obejmują co najmniej trzy lata dla niektórych zapisów brokerów-dealerów FINRA, sześć lat dla wymaganej dokumentacji HIPAA oraz zasadę ścisłego minimum przechowywania wynikającą z RODO. Aby zweryfikować kopię, porównaj zakres z dostarczonymi plikami, zapisz ograniczenia platformy, zachowaj oryginały i przechowuj skróty; NIST podaje, że skrót zależy od całej zawartości pliku lub wiadomości (Notice 11-39 FINRA; 45 CFR 164.316; RODO; słownik NIST dotyczący funkcji skrótu).