GDPR 罚款已达 61.1 亿欧元——「什么都永久保留」算不算合规风险？

根据 CMS《GDPR 执法追踪报告》2025/2026 版，截至 2026 年 3 月，欧盟范围内 GDPR 罚款累计已达约 61.1 亿欧元，分布在 2,685 起有记录的执法案件中。该数据集中单起案件的罚款最高达 12 亿欧元。无论 2018 年 GDPR 刚出台时你所在机构的风险模型长什么样，八年下来的执法态势都已不再是理论问题 — 对数据处理做错的公司来说，它是一项稳定、有据可查的成本。

多数关于邮件留存的建议盯错了失败模式。它们告诉你各类邮件出于合规要多久不能删 — 财务记录七年、客服工单两年 — 好像风险永远来自删得太早。这个风险是真实的。但监管机构越来越明确：反过来的错误，也就是因为删什么都觉得有风险而无限期地把一切都留着，本身就是一种违规。

多数留存政策跳过的那条原则

GDPR 并没有给你一个固定的邮件留存期限，而这份模糊恰恰是那么多机构默认「什么都别删，以防万一」的原因。但第 5 条第 1 款 (e) 项，也就是存储限制原则，要求个人数据的保存「不得超过实现收集目的所必需的时间」— 而紧挨着它的第 5 条第 1 款 (c) 项是数据最小化。无限期保留在这两条原则下都不是安全的默认做法。它恰恰是这两条原则写出来要禁止的东西。

在实践中，这意味着一家机构必须能对它持有的每一类邮件回答：为什么要留着它，还要再留多久。「说不定哪天会用上」不是监管机构会接受的答案，无论这种直觉多么可以理解。

监管机构现在要的是证据，不是一份政策文件

另一个值得注意的转变是：一份躺在合规文件夹里的书面留存政策，本身已经不足以满足执法预期。监管机构要的是政策被真正执行的可审计证据 — 有记录的删除流程、在服务器层面落实而不是交给员工自行斟酌的留存计划，以及在合理预见诉讼时能正确覆盖常规清除的法律保全程序。

在相邻的执法动向里也能看到这一点。法国的 CNIL 和意大利的 Garante 都在 2026 年 4 月发布了正式指引，把收件箱视为个人私生活的延伸 — 他们关于邮件跟踪像素的新规则要求：任何在收件人邮箱里悄悄回报动作的东西，都必须事先取得同意。这与留存执法是不同的机制，但底层姿态是一样的：监管机构专门在看公司拿邮件内容做了什么，而不只是看某处是否存在一份政策文件。

一份真正站得住的留存计划

这些都不需要什么奇特的工具。一份说得过去的结构，通常是少数几个类别，每一类都有明确的理由和期限：

日常事务性邮件 — 内部协调、日程安排、没有独立法律或财务意义的日常往来。通常留一年左右，然后清除。

客服往来 — 一般留得更久，常见两年，以覆盖保修和争议的时间窗口。

财务和涉税记录 — 按你所在司法辖区的税务和审计规定来，常常是七年。

处于法律保全状态的任何内容 — 不论属于哪一类，都要保留到保全解除为止，它压过其他所有留存安排。

具体年限因行业和地区而异 — GDPR 不定这些数字，你的监管机构或你自己写下的理由才定。关键是每一类都挂着一个数字，而且这个数字是真的被执行，而不是停在纸面上。

个人归档在这里的位置

个人和小团队在这里面临一个真实的矛盾：留存纪律要求把旧邮件从服务器上删掉，可谁也不愿意因为一条合规规则说“活跃邮箱不该再留着它”，就丢掉十五年的往来信件。化解办法和应对备份风险的那一条是同一个 — 把留在服务器上的东西和你手里留有副本的东西分开。

MailVault 把你 IMAP 或 OAuth 账户里的每个文件夹都归档成你自己磁盘上一个个独立的 .eml 文件，完全不依赖你服务商的邮箱。这样你才有余地在活跃账户上真正执行一套留存安排 — 把超出合理期限的删掉 — 又不会丢掉底层记录，因为记录已经存在于你掌控的地方，格式是任何客户端都能打开的。手动备份免费且不限次数；让归档自动保持最新的定时备份是 $4/月 或 $25/年 的 Premium 功能，年付方案含 14 天试用。

延伸阅读：如何安全地删掉成千上万封旧邮件、自由职业者的邮件归档，以及从服务器删除之后如何保住邮件。