GDPR 罚款已达 61.1 亿欧元——「什么都永久保留」算不算合规风险？

截至2026年3月，欧盟已记录的 GDPR 罚款总额约为 €61.1亿，共有2,685笔罚款记录了金额和日期，数据来自 CMS GDPR Enforcement Tracker 2025/2026 报告。计入信息不完整的条目后，报告共记录3,062宗案件，单笔罚款最高达 €12亿。无论您的组织在2018年 GDPR 刚实施时如何评估风险，八年后的执法情况都已不是理论上的可能，而是数据处理不当的企业持续承担且有据可查的成本。

多数关于邮件留存的建议盯错了失败模式。它们告诉你各类邮件出于合规要多久不能删 — 财务记录七年、客服工单两年 — 好像风险永远来自删得太早。这个风险是真实的。但监管机构越来越明确：反过来的错误，也就是因为删什么都觉得有风险而无限期地把一切都留着，本身就是一种违规。

多数留存政策跳过的那条原则

GDPR 并没有给你一个固定的邮件留存期限，而这份模糊恰恰是那么多机构默认「什么都别删，以防万一」的原因。但第 5 条第 1 款 (e) 项，也就是存储限制原则，要求个人数据的保存「不得超过实现收集目的所必需的时间」— 而紧挨着它的第 5 条第 1 款 (c) 项是数据最小化。无限期保留在这两条原则下都不是安全的默认做法。它恰恰是这两条原则写出来要禁止的东西。

在实践中，这意味着一家机构必须能对它持有的每一类邮件回答：为什么要留着它，还要再留多久。「说不定哪天会用上」不是监管机构会接受的答案，无论这种直觉多么可以理解。

监管机构现在要的是证据，不是一份政策文件

另一个值得注意的转变是：一份躺在合规文件夹里的书面留存政策，本身已经不足以满足执法预期。监管机构要的是政策被真正执行的可审计证据 — 有记录的删除流程、在服务器层面落实而不是交给员工自行斟酌的留存计划，以及在合理预见诉讼时能正确覆盖常规清除的法律保全程序。

在相邻的执法动向里也能看到这一点。 法国 CNIL 和意大利 Garante 均于2026年4月发布正式指南，将收件箱视为个人私生活的延伸 — 这些指南通常要求追踪像素取得同意，但设有明确的豁免和过渡安排。请检查相关监管机构针对具体用途的规则。 这与留存执法是不同的机制，但底层姿态是一样的：监管机构专门在看公司拿邮件内容做了什么，而不只是看某处是否存在一份政策文件。

一份真正站得住的留存计划

这些都不需要什么奇特的工具。一份说得过去的结构，通常是少数几个类别，每一类都有明确的理由和期限：

日常事务性邮件 — 内部协调、日程安排、没有独立法律或财务意义的日常往来。通常留一年左右，然后清除。

客服往来 — 一般留得更久，常见两年，以覆盖保修和争议的时间窗口。

财务和涉税记录 — 按你所在司法辖区的税务和审计规定来，常常是七年。

处于法律保全状态的任何内容 — 不论属于哪一类，都要保留到保全解除为止，它压过其他所有留存安排。

具体年限因行业和地区而异 — GDPR 不定这些数字，你的监管机构或你自己写下的理由才定。关键是每一类都挂着一个数字，而且这个数字是真的被执行，而不是停在纸面上。

个人归档在这里的位置

本地归档只改变记录的位置，不会免除保留义务。对于包含个人数据的企业邮件，应明确每类数据为何保留、谁可访问以及何时删除。将该政策应用于服务器邮件、本地归档和备份副本。继续保留必须具有有效目的或法律义务；把邮件移出服务器本身不能创造依据。请参阅CNIL 的保留期限指南。

MailVault 把你 IMAP 或 OAuth 账户里的每个文件夹都归档成你自己磁盘上一个个独立的 .eml 文件，完全不依赖你服务商的邮箱。 只将本地副本用于有权保留的记录，并将其纳入访问控制和删除计划。MailVault 不提供集中执行的保留政策、法律保全或合规认证。 手动备份免费且不限次数；让归档自动保持最新的定时备份是 $4/月 或 $25/年 的 Premium 功能，年付方案含 14 天试用。 这些文件结构说明适用于默认的 Maildir 格式。设置 → 存储还提供 JMAP 存储，保留原始邮件字节和 JSON 记录，并对相同邮件去重。

延伸阅读：如何安全地删掉成千上万封旧邮件、自由职业者的邮件归档，以及从服务器删除之后如何保住邮件。