社交媒體訊息匯出只有在你能夠說明其包含及省略的內容、誰可以存取，以及擷取後有否變更時，才真正有用。本清單涵蓋原生匯出、元數據、保留期限、存取權限及驗證，不假設從單一平台下載的資料就是完整記錄。
1. 從你需要保留的記錄開始
如要建立可作證的基準，保留的不應只有訊息文字。美國國家檔案與記錄管理局（NARA）指出，完整的聯邦記錄必須具備內容、背景及結構，以及作者和建立日期等相關元數據，並須維持其可靠性及真確性（NARA 指引）。
使用以下內容作為完整性測試：
- **內容：**訊息或對話匯出檔。
- **背景：**帳戶、個人檔案、參與者、日期範圍及擷取原因。
- **結構：**檔案、資料夾、附件及訊息記錄之間的格式和關係。
- **元數據：**作者及建立日期等詳情，以及你記錄的匯出範圍和時間戳。
就本清單而言，將下載的匯出檔視為你要保留的副本，然後檢查它是否包含上述元素。NARA 將平台專用 API、網頁擷取、手動方法及平台匯出工具列為可行的擷取方法。NARA 亦指出，當供應商無法匯出完整記錄時，機構仍須負責執行擷取要求（NARA 指引）。
如果你的保留計劃也包括公開社交內容，SocialGuardian 會自動備份主要平台上的帖子、限時動態及影片。其網站指出，備份包括媒體及元數據，並可隨時匯出完整封存檔。查看 SocialGuardian
2. 匯出前整理帳戶、保管人及保留期限
在要求資料前，為每個網絡及個人檔案建立一行記錄。記下：
- 網絡及個人檔案名稱或網址
- 帳戶擁有人或保管人
- 業務用途及相關訊息範圍
- 要求的日期範圍
- 匯出方法及格式
- 要求日期、交付日期及存取負責人
- 儲存位置及保留規則
- 已知的排除項目、延誤或已刪除內容警告
判斷訊息是否屬於受規管記錄時，不能只看平台。FINRA 指出，社交媒體記錄保存責任取決於通訊是否屬於業務通訊，而不只是所使用的平台；這項分析亦不取決於裝置或技術，包括個人裝置（FINRA Notice 11-39）。
保留期限也不是一個通用數字。例如：
| 規則或原則 | 引用來源的說法 | 在清單中的用法 |
|---|---|---|
| FINRA 經紀交易商記錄 | 某些記錄必須保留至少三年，首兩年須容易存取。 | 確認該通訊是否受適用的記錄保存規則規管。 |
| HIPAA 安全規則文件 | 必需文件須由建立日起，或由其最後生效日起保留六年，以較後者為準。 | 在套用此期限前，確認該項目是否屬於必需文件。 |
| GDPR Recital 39 | 儲存期限應嚴格限於最低必要程度，並採取適當的安全及保密措施。 | 訂定必要期限和存取控制，不要無限期保留所有資料。 |
FINRA 期限載於 Notice 11-39，HIPAA 要求見於 45 CFR 164.316，儲存及安全措辭見於 GDPR Recital 39。這些是有來源支持的例子，不是通用保留政策。NIST 建議先就適用法律及規例諮詢管理層和法律顧問，然後才套用取證做法（NIST SP 800-86）。
不要讓會自動抹除或刪除電子通訊的系統成為唯一的記錄保存控制措施：FINRA 指出，這類技術會令保存通訊變得不可能（FINRA Notice 11-39）。
3. 使用有文件記錄的原生流程匯出訊息及帳戶資料
使用符合平台的官方流程，並將要求詳情與所得檔案一併保存。
在桌面版，開始匯出的官方路徑是 更多 > 設定 > Meta 帳戶 > 你的資料和權限 > 匯出你的資料 > 建立匯出。Instagram 表示，你可以在開始匯出前選擇特定資料、日期範圍、格式、通知電郵及媒體品質（Instagram 說明）。
規劃交付時間：Instagram 表示，準備好的匯出檔可供下載四天，而匯出連結可能需最多 30 天才會送達。其說明頁亦指出，已刪除資料可能不會出現，並說明匯出檔受密碼保護，只能由帳戶持有人存取（Instagram 說明）。記錄要求日期及實際下載檔案的日期。
在桌面版，Facebook 的官方路徑是 個人頭像 > 設定與私隱 > 設定 > Meta 帳戶 > 你的資料和權限 > 匯出你的資料 > 建立匯出。Facebook 讓你選擇 HTML 或 JSON；其說明頁將 HTML 描述為可在瀏覽器中閱讀的 ZIP，而 JSON 則可供機器讀取（Facebook 說明）。
同一說明頁指出，準備好的匯出檔會保留四天，匯出過程受密碼保護。Facebook 亦警告，不同類別的資料會保存不同時間，而已刪除的資料或內容不會出現在匯出檔中（Facebook 說明；Facebook 資料可用性）。將結果視為有待檢查的帳戶資料匯出，不要視為所有歷史訊息都存在的證明。
LinkedIn 的官方桌面路徑是 我 > 設定與私隱 > 資料私隱 > 下載你的資料。LinkedIn 表示，你可以選擇特定類別或較大的下載：特定類型可能在數分鐘內送達，較大的下載可能需 24 小時，而下載連結會保留 72 小時（LinkedIn 說明）。
有兩項重要的範圍限制。LinkedIn 表示，下載功能不適用於流動裝置，而且只會提供提出要求的會員自己的個人資料，不會提供其他會員的資料（LinkedIn 說明）。在保留記錄中記下這兩項限制。
官方保存的程序適用於 Android：開啟對話 > 更多選項 > 更多 > 匯出對話 > 不包括媒體或包括媒體 > 選擇分享方法（WhatsApp 說明）。
WhatsApp 表示，匯出的對話歷史是文字檔而不是備份檔，不能重新匯入。若選擇包括媒體，最近傳送的媒體會以附件形式加入。將文字匯出檔與附件一併保存；在未確認範圍前，不要將結果描述為完整的媒體封存檔（WhatsApp 說明）。
Google Takeout 及其他帳戶封存檔
Google 將 Takeout 描述為建立封存檔以保存記錄或轉移資料的方法。Google 表示，建立封存檔可能需數分鐘至數天，你可以選擇檔案類型及封存檔的最大大小；如果選取的資料超過該大小，系統會建立多個封存檔（Google Takeout）。
Google 亦警告，資料檔可能不包括提出下載要求至建立封存檔期間所作的變更（Google Takeout）。記錄要求時間及封存檔建立時間，並保留每一個封存檔部分。
TikTok 及本文沒有記錄流程的平台
本研究資料沒有確立官方 TikTok 匯出路徑，也沒有聲稱 TikTok 涵蓋直接訊息。不要將 Instagram、Facebook 或 LinkedIn 的路徑套用到 TikTok。相反，如平台有現行的記錄匯出選項，便記錄該選項；否則記錄擷取方法及限制。NARA 將 API、網頁擷取、手動方法及平台匯出工具列為可能方法，具體選擇取決於平台設定及機構需要（NARA 指引）。
需要在記錄訊息匯出的同時整理周邊社交記錄？SocialGuardian 列出 Instagram、TikTok、YouTube、X、Facebook、LinkedIn、Twitch 及 Pinterest，並表示會備份媒體及元數據。查看設定選項
4. 保留原件、背景及存取記錄
保留交付時的原始檔案。建立可讀取的工作副本時，不要覆寫原檔。在匯出檔旁保存一份清單，內容包括：
- 平台、個人檔案名稱或網址，以及保管人
- 要求的範圍及日期範圍
- 要求時間戳及下載時間戳
- 檔案名稱、格式及封存檔部分數量
- 包括媒體或附件的設定
- 交付期限及密碼保護備註
- 缺少的類別、已刪除內容警告或其他限制
- 儲存位置及獲准存取的人員或角色
這是實際應用 NARA 的內容、背景、結構及元數據標準（NARA 指引）。
螢幕截圖可以是手動擷取方法，但已保存的證據不代表單靠截圖就是完整訊息記錄。可用時保留原生匯出檔，保留周邊背景，並將任何手動擷取標記為附有記錄限制的方法，不要預設稱為完整記錄。
SocialGuardian 的已記錄產品範圍是周邊社交內容：其網站表示會自動備份帖子、限時動態及影片，包括媒體及元數據，並讓使用者隨時匯出完整封存檔。本文沒有證據支持其能匯出私人訊息，因此應將上述訊息匯出流程與該產品說明分開（SocialGuardian）。
5. 驗證完整性及檔案是否保持不變
為每次匯出執行以下驗證工作表：
- 將要求的網絡、個人檔案、類別及日期範圍與交付內容比較。
- 計算所有封存檔部分及附件，並記錄缺少或無法讀取的檔案。
- 開啟交付的 HTML、JSON 或文字輸出，確認內容可讀。
- 將清單與平台所述的交付期限及限制核對。
- 記錄已刪除內容警告，以及要求與建立封存檔期間的變更警告。
- 將原始匯出檔與任何審閱副本分開保存。
- 為每個保存的檔案或封存檔計算雜湊值，並將數值存入清單。
- 在審閱或轉移檔案時重新計算雜湊值，調查任何變更。
NIST 將雜湊函數定義為一種演算法，用來計算代表資料檔案或電子訊息的數值，而該數值取決於該檔案或訊息的全部內容（NIST 雜湊函數詞彙）。因此，雜湊值有助於檢查保存的匯出檔是否發生變更，但不能回答原始匯出檔是否完整。
完整性檢查很重要，因為 Instagram 表示已刪除資料可能不會出現，Facebook 表示已刪除資料或內容不會出現，而 Google 警告在要求下載與建立封存檔期間所作的變更可能會遺失。記錄每個缺口並升級處理，不要默默將部分匯出視為完整匯出（Instagram 說明；Facebook 資料可用性；Google Takeout）。
6. 實施保留、存取及法律保留控制
使用第 2 步的清單，套用實際管轄該通訊的規則。將存取權限限制於清單所記錄的人員或角色，並保存任何例外或法律保留的原因。來源支持以下管治檢查：
- FINRA 表示通訊的業務用途很重要，其引用的經紀交易商規則要求某些記錄至少保存三年，首兩年須容易存取（FINRA Notice 11-39）。
- HIPAA 引用的安全規則文件要求，必需文件須由建立日起，或由其最後生效日起保留六年，以較後者為準（45 CFR 164.316）。
- GDPR Recital 39 指出，儲存期限應嚴格限於最低程度，個人資料亦應以適當的安全及保密方式處理（GDPR）。
NARA 建議成立社交媒體記錄工作小組，成員包括記錄管理、社交媒體、IT、私隱及資訊保安、法律顧問和公共事務人員（NARA 指引）。將這些職能或其等同職能分配給負責擁有、審閱、存取及升級處理的人員。只有在負責團隊及法律顧問確認規則適用於相關資料和司法管轄區後，才套用該規則。
7. 跨平台訊息保留檢查清單
將以下內容複製到你的保留工單：
- 列出每個網絡、個人檔案名稱或網址、保管人及業務用途。
- 定義要保留的訊息類別及日期範圍。
- 選擇有文件記錄的原生匯出或其他有文件記錄的擷取方法。
- 記錄要求時間、交付時間、格式、媒體設定及交付期限。
- 保留原始匯出檔及所有封存檔部分和附件。
- 保留內容、背景、結構及相關元數據。
- 記錄已刪除內容、流動裝置可用性、只限本人資料、純文字或時間限制。
- 開啟並審閱交付的檔案。
- 為每個原始檔案或封存檔計算並保存雜湊值。
- 限制存取權限並記錄存取負責人。
- 套用已確認的保留規則及任何法律保留。
- 將不完整的匯出交由負責記錄、保安、私隱或法律的人員處理。
合規流程同時需要訊息匯出記錄及周邊社交內容記錄。使用 SocialGuardian 處理其已記錄的帖子、限時動態、影片、媒體、元數據及完整封存檔匯出，然後將訊息匯出清單與相關記錄放在一起。立即開始
FAQ
備份與封存社交媒體訊息有甚麼分別？
將匯出檔作為要保留的副本，然後根據內容、背景、結構及元數據進行測試。如果供應商無法匯出完整記錄，可能需要額外擷取；NARA 表示，機構仍須負責執行擷取要求（NARA 指引）。
如何匯出 Instagram 私人訊息以符合合規要求？
在桌面版使用 更多 > 設定 > Meta 帳戶 > 你的資料和權限 > 匯出你的資料 > 建立匯出。選擇資料、日期範圍、格式、通知電郵及媒體品質。記錄四天可下載期限、可能長達 30 天的電郵等待時間、密碼保護及已刪除資料限制（Instagram 說明）。
可以下載 Facebook Messenger 訊息嗎？
Facebook 透過 個人頭像 > 設定與私隱 > 設定 > Meta 帳戶 > 你的資料和權限 > 匯出你的資料 > 建立匯出，提供 HTML 或 JSON 的帳戶資料匯出。應檢查交付的類別，而不要假設所有歷史訊息都存在：Facebook 表示不同類別有不同保存期限，已刪除內容不會出現（Facebook 說明；Facebook 資料可用性）。
如何匯出 LinkedIn 訊息或帳戶資料？
在桌面版使用 我 > 設定與私隱 > 資料私隱 > 下載你的資料。LinkedIn 表示，特定類別可能在數分鐘內送達，較大的下載需 24 小時內送達，連結會保留 72 小時。此功能不適用於流動裝置，且只提供提出要求的會員自己的資料，不提供其他會員的資料（LinkedIn 說明）。
WhatsApp 對話可以用於法律或合規用途嗎？
在 Android 上開啟對話，選擇 更多選項 > 更多 > 匯出對話，再選擇不包括媒體或包括媒體及分享方法。WhatsApp 表示，結果是文字檔而不是可重新匯入的備份；包括媒體會將最近傳送的媒體加入附件（WhatsApp 說明）。在清單中保留匯出檔及其限制。
TikTok 可以下載私人訊息及帳戶資料嗎？
本證據資料沒有確立 TikTok 的匯出路徑或私人訊息涵蓋範圍。不要從其他平台推斷流程。查閱 TikTok 的最新文件，並記錄方法及限制；NARA 亦將 API、網頁擷取、手動方法及平台匯出工具列為可能的擷取方法（NARA 指引）。
螢幕截圖是否足夠？應保留哪些元數據？
已保存的證據將手動方法列為可能的擷取方法，但沒有證明單靠截圖就是完整記錄。可用時保留原生匯出檔，並保留內容、背景、結構及作者和建立日期等相關元數據（NARA 指引）。
訊息應保留多久？如何驗證備份？
套用已確認適用於該通訊的規則。引用的例子包括某些 FINRA 經紀交易商記錄至少三年、必需的 HIPAA 文件六年，以及 GDPR 的最低限度儲存原則。要驗證備份，應比較範圍與交付檔案、記錄平台限制、保留原始檔並儲存雜湊值；NIST 表示雜湊值取決於檔案或訊息的全部內容（FINRA Notice 11-39；45 CFR 164.316；GDPR；NIST 雜湊函數詞彙）。
