Så säkerhetskopierar du meddelanden i sociala medier för regelefterlevnad

En export av meddelanden från sociala medier är bara användbar om du kan förklara vad den innehåller, vad den utelämnar, vem som kan få åtkomst till den och om den har ändrats efter insamlingen. Den här checklistan omfattar inbyggda exporter, metadata, lagring, åtkomst och verifiering utan att anta att en plattformsnedladdning är ett fullständigt register.

1. Börja med det register du behöver bevara

För en försvarbar grund bör du bevara mer än meddelandetext. U.S. National Archives and Records Administration (NARA) anger att ett fullständigt federalt register måste innehålla innehåll, kontext och struktur, tillsammans med tillhörande metadata som författare och skapandedatum, och underhållas så att det är tillförlitligt och autentiskt (NARA:s vägledning).

Använd detta som ditt fullständighetstest:

• Innehåll: exporten av meddelandet eller konversationen.
• Kontext: kontot, profilen, deltagarna, datumintervallet och orsaken till insamlingen.
• Struktur: formatet och relationen mellan filer, mappar, bilagor och meddelandeposter.
• Metadata: uppgifter som författare och skapandedatum samt exportens omfattning och den tidsstämpel du registrerar.

För den här checklistan ska du behandla den nedladdade exporten som den kopia du bevarar och sedan kontrollera om den innehåller dessa delar. NARA listar plattformsspecifika API:er, webbinsamling, manuella metoder och plattformens exportverktyg som möjliga insamlingsmetoder. NARA anger också att organisationen fortfarande ansvarar för att uppfylla insamlingskraven när en leverantör inte kan exportera ett fullständigt register (NARA:s vägledning).

2. Kartlägg konton, ansvariga och lagring innan du exporterar

Skapa en rad för varje nätverk och profil innan du begär data. Registrera:

• Nätverkets och profilens användarnamn eller URL
• Kontoägare eller ansvarig person
• Affärsändamål och relevant meddelandeomfattning
• Begärt datumintervall
• Exportmetod och format
• Begärandedatum, leveransdatum och åtkomstansvarig
• Lagringsplats och lagringsregel
• Kända undantag, förseningar eller varningar om raderat innehåll

Plattformen är inte det enda kriteriet för om ett meddelande ska ingå i ett reglerat register. FINRA anger att skyldigheterna för lagring av meddelanden i sociala medier beror på om kommunikationen är en affärskommunikation, inte enbart på plattformen. Analysen beror inte heller på enheten eller tekniken, inklusive en privat enhet (FINRA Notice 11-39).

Lagringstiden är inte heller ett enda universellt tal. Exempel:

FINRA-perioden anges i Notice 11-39, HIPAA-kravet finns i 45 CFR 164.316, och formuleringarna om lagring och säkerhet finns i GDPR skäl 39. Detta är källbaserade exempel, inte en universell lagringspolicy. NIST rekommenderar att kriminaltekniska metoder tillämpas först efter samråd med ledning och juridiskt ombud om tillämpliga lagar och regler (NIST SP 800-86).

Låt inte ett system som automatiskt raderar eller tar bort elektronisk kommunikation vara din enda kontroll för registerlagring: FINRA anger att sådan teknik skulle omöjliggöra bevarandet av kommunikationen (FINRA Notice 11-39).

3. Exportera meddelanden och kontodata med dokumenterade inbyggda flöden

Använd det officiella flödet som passar plattformen och spara uppgifterna om begäran tillsammans med de resulterande filerna.

Instagram

På dator är den officiella vägen för att börja en export More > Settings > Meta Account > Your information and permissions > Export your information > Create export. Instagram uppger att du kan välja specifik information, datumintervall, format, e-postadress för avisering och mediekvalitet innan exporten startas (Instagram Help).

Planera utifrån leveransfönstret: Instagram uppger att en färdig export är tillgänglig i fyra dagar, medan det kan ta upp till 30 dagar innan en exportlänk kommer. Hjälpsidan anger också att raderad information kanske inte visas och beskriver exporten som lösenordsskyddad och endast åtkomlig för kontoägaren (Instagram Help). Registrera begärandedatumet och datumet då du faktiskt laddade ner filerna.

Facebook

På dator är Facebooks officiella väg profile picture > Settings & privacy > Settings > Meta Account > Your information and permissions > Export your information > Create export. Facebook låter dig välja HTML eller JSON; på hjälpsidan beskrivs HTML som webbläsarvänligt i en ZIP-fil och JSON som maskinläsbart (Facebook Help).

Samma hjälpsida säger att färdiga exporter förblir tillgängliga i fyra dagar och att exporten är lösenordsskyddad. Facebook varnar också för att kategorier lagras under olika lång tid och att raderad information eller raderat innehåll inte visas i exporten (Facebook Help; Facebook data availability). Behandla resultatet som en export av kontoinformation som ska granskas, inte som bevis på att alla historiska meddelanden finns med.

LinkedIn

LinkedIns officiella väg på dator är Me > Settings & Privacy > Data Privacy > Download your data. LinkedIn uppger att du kan välja specifika kategorier eller en större nedladdning: en specifik typ kan komma inom några minuter, en större nedladdning inom 24 timmar, och nedladdningslänken förblir tillgänglig i 72 timmar (LinkedIn Help).

Det finns två viktiga begränsningar av omfattningen. LinkedIn uppger att nedladdningsfunktionen inte är tillgänglig på mobila enheter och att den tillhandahåller den begärande medlemmens egna personuppgifter, inte andra medlemmars uppgifter (LinkedIn Help). Anteckna båda begränsningarna i bevaranderegistret.

WhatsApp

Den sparade officiella proceduren gäller Android: öppna chatten > More options > More > Export chat > Without media eller Include media > välj en delningsmetod (WhatsApp Help).

WhatsApp anger att en exporterad chatthistorik är en textfil, inte en säkerhetskopieringsfil, och att den inte kan importeras igen. Om du väljer Include media läggs den senast skickade median till som bilagor. Bevara textexporten och bilagorna tillsammans och beskriv inte resultatet som ett fullständigt mediaarkiv utan att först verifiera omfattningen (WhatsApp Help).

Google Takeout och andra kontoarkiv

Google beskriver Takeout som ett sätt att skapa ett arkiv för att bevara register eller överföra data. Google uppger att arkivskapandet kan ta från några minuter till några dagar och att du kan välja filtyp och maximal arkivstorlek; när de valda uppgifterna överskrider storleken skapas flera arkiv (Google Takeout).

Google varnar också för att en datafil kanske inte innehåller ändringar som gjorts mellan begäran om nedladdning och skapandet av arkivet (Google Takeout). Registrera tidpunkten för begäran och arkivskapandet och behåll varje arkivdel.

TikTok och plattformar utan dokumenterat flöde här

Detta researchunderlag fastställer inte någon officiell exportväg för TikTok eller något påstående om täckning av TikToks direktmeddelanden. Kopiera inte en väg för Instagram, Facebook eller LinkedIn till TikTok-instruktioner. Registrera i stället plattformens aktuella dokumenterade exportalternativ om ett sådant finns; annars dokumenterar du insamlingsmetoden och begränsningen. NARA identifierar API:er, webbinsamling, manuella metoder och plattformens exportverktyg som möjliga metoder, där valet beror på plattformens konfiguration och organisationens behov (NARA:s vägledning).

4. Bevara originalet, kontexten och åtkomstregistret

Behåll originalfilerna så som de levererades. Skriv inte över dem när du skapar en läsbar arbetskopia. Spara tillsammans med exporten ett manifest som innehåller:

• Plattform, profilens användarnamn eller URL och ansvarig person
• Begärd omfattning och datumintervall
• Tidsstämpel för begäran och nedladdning
• Filnamn, format och antal arkivdelar
• Inställning för inkluderade media eller bilagor
• Anteckningar om leveransfönster och lösenordsskydd
• Saknade kategorier, varningar om raderat innehåll eller andra begränsningar
• Lagringsplats och vilka personer eller roller som får åtkomst

Detta är den praktiska tillämpningen av NARA:s standard för innehåll, kontext, struktur och metadata (NARA:s vägledning).

Skärmbilder kan vara en manuell insamlingsmetod, men den sparade bevisningen fastställer inte att en skärmbild ensam är ett fullständigt meddelanderegister. Bevara den inbyggda exporten när den finns, behåll den omgivande kontexten och märk manuell insamling som en metod med en dokumenterad begränsning i stället för att automatiskt kalla den fullständig.

SocialGuardians dokumenterade produktscope är det omgivande innehållet i sociala medier: på webbplatsen står att tjänsten automatiskt säkerhetskopierar inlägg, händelser och videor, inkluderar media och metadata och låter användare exportera hela arkivet när som helst. Här finns inget stöd för att påstå att tjänsten exporterar privata meddelanden, så håll arbetsflödet för meddelandeexport ovan åtskilt från produktbeskrivningen (SocialGuardian).

5. Verifiera fullständighet och oförändrade filer

Använd detta verifieringsformulär för varje export:

1. Jämför det begärda nätverket, profilen, kategorierna och datumintervallet med det som levererades.
2. Räkna varje arkivdel och bilaga och registrera saknade eller oläsbara filer.
3. Öppna den levererade HTML-, JSON- eller textfilen och bekräfta att den är läsbar.
4. Kontrollera manifestet mot plattformens angivna leveransfönster och begränsningar.
5. Registrera varningar om raderat innehåll och ändringar mellan begäran och arkivskapandet.
6. Bevara originalexporten separat från granskningskopian.
7. Beräkna en hash för varje bevarad fil eller arkiv och lagra värdet i manifestet.
8. Beräkna hashvärdet på nytt när filen granskas eller överförs och utred ett ändrat värde.

NIST definierar en hashfunktion som en algoritm som beräknar ett numeriskt värde som representerar en datafil eller ett elektroniskt meddelande och som beror på hela innehållet i filen eller meddelandet (NIST:s ordlista om hashfunktioner). En hash är därför användbar för att kontrollera om en sparad export har ändrats, men den visar inte om originalexporten var fullständig.

Fullständighetskontrollen är viktig eftersom Instagram uppger att raderad information kanske inte visas, Facebook uppger att raderad information eller raderat innehåll inte visas och Google varnar för att ändringar mellan begäran om nedladdning och skapandet av arkivet kan saknas. Registrera varje lucka och eskalera den i stället för att tyst behandla en ofullständig export som fullständig (Instagram Help; Facebook data availability; Google Takeout).

6. Tillämpa kontroller för lagring, åtkomst och bevarande

Använd kartläggningen från steg 2 för att tillämpa den regel som faktiskt styr kommunikationen. Begränsa åtkomsten till de personer eller roller som anges i manifestet och bevara orsaken till varje undantag eller juridiskt bevarande. Källorna stöder följande styrningskontroller:

• FINRA anger att kommunikationens affärsändamål är viktigt och att den angivna regeln för mäklare och värdepappershandlare kräver att vissa register bevaras i minst tre år, varav de två första åren ska vara lättillgängliga (FINRA Notice 11-39).
• HIPAA:s angivna krav på dokumentation enligt Security Rule säger att obligatorisk dokumentation ska bevaras i sex år från skapandet eller från den senaste tidpunkt då den gällde, beroende på vilket som inträffar senare (45 CFR 164.316).
• GDPR skäl 39 säger att lagringsperioden bör begränsas till ett strikt minimum och att personuppgifter ska hanteras med lämplig säkerhet och konfidentialitet (GDPR).

NARA rekommenderar en arbetsgrupp för register i sociala medier med representanter för registerhantering, sociala medier, IT, integritet och informationssäkerhet, juridik samt public affairs (NARA:s vägledning). Tilldela dessa funktioner – eller motsvarande – ansvar för ägarskap, granskning, åtkomst och eskalering. Tillämpa regeln först efter att ansvarigt team och juridiskt ombud har bekräftat att den passar uppgifterna och jurisdiktionen.

7. Plattformoberoende checklista för bevarande av meddelanden

Kopiera detta till ditt bevarandeärende:

• Lista varje nätverk, profilens användarnamn eller URL, ansvarig person och affärsändamål.
• Definiera de meddelandekategorier och det datumintervall som ska bevaras.
• Välj den dokumenterade inbyggda exporten eller en annan dokumenterad insamlingsmetod.
• Registrera tid för begäran, leveranstid, format, mediainställning och leveransfönster.
• Bevara originalexporten och alla arkivdelar och bilagor.
• Bevara innehåll, kontext, struktur och tillhörande metadata.
• Registrera begränsningar om raderat innehåll, mobiltillgänglighet, endast egna data, endast text eller tidsförlopp.
• Öppna och granska de levererade filerna.
• Beräkna och lagra en hash för varje originalfil eller arkiv.
• Begränsa åtkomsten och registrera åtkomstansvarig.
• Tillämpa den bekräftade lagringsregeln och eventuellt bevarande.
• Eskalera en ofullständig export till ansvarig register-, säkerhets-, integritets- eller juridikansvarig.

Vanliga frågor

Vad är skillnaden mellan att säkerhetskopiera och arkivera meddelanden i sociala medier?

Använd exporten som den kopia du bevarar och kontrollera den sedan mot innehåll, kontext, struktur och metadata. Ett fullständigt register kan kräva ytterligare insamling när en leverantör inte kan exportera hela registret; NARA anger att organisationen ansvarar för att uppfylla insamlingskraven (NARA:s vägledning).

Hur exporterar man Instagram-direktmeddelanden för regelefterlevnad?

På dator använder du More > Settings > Meta Account > Your information and permissions > Export your information > Create export. Välj information, datumintervall, format, e-postadress för avisering och mediekvalitet. Registrera den fyra dagar långa tillgänglighetsperioden, den möjliga väntetiden på 30 dagar, lösenordsskyddet och begränsningen för raderad information (Instagram Help).

Kan man ladda ner Facebook Messenger-meddelanden?

Facebook dokumenterar en kontoexport i HTML eller JSON via profile picture > Settings & privacy > Settings > Meta Account > Your information and permissions > Export your information > Create export. Granska de levererade kategorierna i stället för att anta att alla historiska meddelanden finns med: Facebook uppger att kategorier har olika lagringsperioder och att raderat innehåll inte visas (Facebook Help; Facebook data availability).

Hur exporterar man LinkedIn-meddelanden eller kontodata?

På dator använder du Me > Settings & Privacy > Data Privacy > Download your data. LinkedIn uppger att specifika kategorier kan komma inom några minuter, en större nedladdning inom 24 timmar och att länken är tillgänglig i 72 timmar. Funktionen finns inte på mobila enheter och tillhandahåller den begärande medlemmens egna data, inte andra medlemmars data (LinkedIn Help).

Kan WhatsApp-chattar exporteras för juridiska ändamål eller regelefterlevnad?

På Android öppnar du chatten, väljer More options > More > Export chat, väljer Without media eller Include media och väljer en delningsmetod. WhatsApp uppger att resultatet är en textfil, inte en säkerhetskopia som kan importeras igen; om media inkluderas läggs den senast skickade median till som bilagor (WhatsApp Help). Bevara exporten och dess begränsningar i manifestet.

Tillåter TikTok att man laddar ner direktmeddelanden och kontodata?

Detta underlag fastställer inte någon exportväg för TikTok eller täckning av direktmeddelanden. Dra inga slutsatser utifrån en annan plattform. Kontrollera TikToks aktuella dokumentation och registrera metod och begränsningar; NARA listar också API:er, webbinsamling, manuella metoder och plattformens exportverktyg som möjliga insamlingsmetoder (NARA:s vägledning).

Räcker skärmbilder, och vilka metadata bör bevaras?

Den sparade bevisningen identifierar manuella metoder som en möjlig insamlingsmetod men fastställer inte att skärmbilder ensamma är ett fullständigt register. Bevara den inbyggda exporten när den finns och behåll innehåll, kontext, struktur och tillhörande metadata som författare och skapandedatum (NARA:s vägledning).

Hur länge bör meddelanden bevaras, och hur verifierar man en säkerhetskopia?

Tillämpa den regel som har bekräftats för kommunikationen. Exemplen omfattar minst tre år för vissa FINRA-register för mäklare och värdepappershandlare, sex år för obligatorisk HIPAA-dokumentation och GDPR:s princip om lagring under ett strikt minimum. För att verifiera säkerhetskopian jämför du omfattningen med de levererade filerna, registrerar plattformsbegränsningar, bevarar original och lagrar hashvärden; NIST anger att en hash beror på hela innehållet i filen eller meddelandet (FINRA Notice 11-39; 45 CFR 164.316; GDPR; NIST:s ordlista om hashfunktioner).