polityka retencji e-maili

Polityka retencji e-maili musi godzić wymogi prawne z zasadą ograniczenia przechowywania danych osobowych.

Retencja wiadomości a działanie skrzynki pocztowej

Polityka retencji e-maili określa, jak długo wiadomości pozostają dostępne w skrzynce użytkownika, archiwum, kopii zapasowej lub systemie przeznaczonym do obsługi poczty. Nie jest to pojedyncza funkcja programu pocztowego, lecz zestaw reguł odnoszących się do różnych kopii tej samej wiadomości. Usunięcie e-maila z folderu „Odebrane” nie musi oznaczać natychmiastowego usunięcia go z kosza, archiwum, indeksu wyszukiwarki ani kopii zapasowej.

W praktyce trzeba rozróżnić retencję operacyjną od retencji kopii zapasowych. Retencja operacyjna decyduje o tym, czy użytkownik może odczytać wiadomość i przywrócić ją z folderu usuniętych elementów. Retencja kopii zapasowych określa natomiast, przez jaki czas administrator może odtworzyć stan systemu z określonego dnia. Te okresy mogą być różne, ponieważ kopie zapasowe są zwykle tworzone cyklicznie i przechowywane według osobnego harmonogramu.

Reguły czasu przechowywania i usuwania

Poprawnie zaprojektowana polityka powinna wskazywać zakres wiadomości, punkt rozpoczęcia odmierzania czasu oraz sposób zakończenia retencji. Okresem może być na przykład liczba dni od otrzymania wiadomości, od jej ostatniej modyfikacji albo od przeniesienia do archiwum. Sama wartość „12 miesięcy” jest niejednoznaczna, jeśli nie wiadomo, od którego zdarzenia jest liczona. System powinien również określać, czy po upływie terminu wiadomość jest trwale usuwana, przenoszona do innego repozytorium, anonimizowana czy tylko ukrywana przed użytkownikiem.

Reguły często stosuje się osobno do folderów i typów korespondencji. Wiadomości w koszu mogą być usuwane szybciej niż korespondencja archiwalna, a automatyczne powiadomienia mogą mieć krótszy czas przechowywania niż dokumenty przesłane jako załączniki. Mechanizm retencji powinien działać w sposób powtarzalny i rejestrować wykonane operacje. Przydatne są dzienniki zawierające identyfikator wiadomości, zastosowaną regułę, czas operacji oraz rezultat, bez zapisywania całej treści e-maila w dodatkowym logu.

Warto także uwzględnić wyjątki techniczne, takie jak wiadomości objęte blokadą usunięcia, postępowaniem wyjaśniającym albo ręcznym oznaczeniem do zachowania. Wyjątek powinien mieć właściciela, przyczynę, datę utworzenia i termin przeglądu. Bez tych informacji pojedyncze oznaczenie może stać się bezterminowym przechowywaniem danych, mimo że zwykła reguła retencji przewiduje ich usunięcie.

Archiwum, kopie zapasowe i odzyskiwanie poczty

Archiwum pocztowe i kopia zapasowa służą innym celom. Archiwum jest zwykle przeznaczone do bieżącego wyszukiwania oraz odczytu starszej korespondencji, dlatego powinno mieć uporządkowany indeks i jasno określone uprawnienia. Kopia zapasowa służy odtworzeniu danych po awarii, błędnym usunięciu lub uszkodzeniu systemu. Nie powinna być traktowana jako wygodny zamiennik archiwum, ponieważ odszukanie pojedynczej wiadomości w pełnym obrazie systemu może wymagać odtworzenia całej bazy lub określonego punktu przywracania.

Okresy przechowywania kopii tworzą często strukturę typu dzienna, tygodniowa i miesięczna. Przykładowo system może przechowywać kopie dzienne przez kilka dni, kopie tygodniowe przez kilka tygodni, a kopie miesięczne przez kilka miesięcy. Taki harmonogram nie usuwa automatycznie danych ze wszystkich nośników w tym samym momencie. Rotacja nośników, replikacja do innej lokalizacji oraz migawki systemu plików mogą przedłużać faktyczny czas istnienia kopii, dlatego polityka powinna obejmować wszystkie używane mechanizmy.

Test odzyskiwania jest konieczny do sprawdzenia, czy retencja działa zgodnie z założeniami. Należy zweryfikować możliwość odtworzenia wiadomości z wybranego punktu czasu, kompletność załączników, zachowanie znaczników czasu oraz brak dostępu do danych przez osoby nieuprawnione. Trzeba też sprawdzić, co dzieje się po usunięciu wiadomości z głównego systemu: czy znika ona przy kolejnej rotacji kopii, czy pozostaje w starszych kopiach aż do ich naturalnego wygaśnięcia.

Kontrola retencji na komputerze użytkownika

Program pocztowy na laptopie lub komputerze może przechowywać lokalne kopie wiadomości niezależnie od serwera. Dotyczy to między innymi kont skonfigurowanych z użyciem protokołu POP3, lokalnych archiwów, plików danych programu oraz folderów synchronizowanych w trybie offline. Usunięcie wiadomości z serwera nie musi więc usunąć jej z lokalnego pliku. Z kolei przy synchronizacji IMAP usunięcie wykonane na jednym urządzeniu może zostać przekazane na inne urządzenia, ale zakres tej synchronizacji zależy od konfiguracji konta i programu.

Podczas sprawdzania retencji należy ustalić, gdzie faktycznie znajdują się kopie: w skrzynce online, lokalnym pliku danych, folderze kosza, archiwum, pamięci podręcznej, kopii zapasowej systemu oraz załącznikach zapisanych poza programem pocztowym. Należy również zweryfikować ustawienia automatycznego pobierania, synchronizacji folderów i czyszczenia elementów usuniętych. Samo odinstalowanie programu pocztowego nie jest równoznaczne z bezpiecznym usunięciem jego plików danych, a ręczne kasowanie takich plików może uniemożliwić odzyskanie potrzebnej korespondencji.

Przy zmianie komputera istotne jest rozdzielenie migracji danych od zasad ich przechowywania. Kopiowanie całego profilu użytkownika może przenieść stare wiadomości, lokalne archiwa i pliki tymczasowe, których użytkownik nie widzi w głównym widoku programu. Przed migracją warto sporządzić listę wymaganych folderów, sprawdzić daty najstarszych wiadomości, wykonać kontrolowaną kopię oraz potwierdzić, że po przeniesieniu można otworzyć wiadomości i załączniki bez naruszania struktury folderów.