要点
- 备份：保留数天至数月的历史，用于恢复工作。
- 归档：针对特定文件保存数年，任何人都不得修改。
- 法国的期限示例：会计文件十年，税务文件六年，工资单五年。
- 《通用数据保护条例》（GDPR）禁止“以防万一”而保留所有数据：保留期限取决于处理目的。
- 旧的服务器备份在审查时并不是可用的归档。
两个问题，两种期限
| 运营备份 | 归档 | |
|---|---|---|
| 核心问题 | 明天能否继续工作？ | 五年或十年后能否找到这份未经修改的文件？ |
| 内容 | 系统、数据库、活动文件、邮件 | 已固定的文件：发票、合同、档案、日志 |
| 典型期限 | 数天至数月 | 数年，有时由法规规定 |
| 修改 | 容量已满时覆盖最早的恢复点 | 在所选期限内禁止修改和删除 |
| 恢复 | 频繁，有时只恢复单个文件 | 较少，用于稽查、诉讼或审计 |
将两者混在同一空间会导致两方面的失败：如果保留十年的每日备份，运营备份的成本就会过高；如果归档与每晚的备份处于同一周期并被清除，归档就失去了意义。
法国国家信息系统安全局（ANSSI）也在其备份指南中将法定归档排除在外，因为法定归档必须保证数据的真实性：这是两个不同的课题。
归档不是旧备份
一份 2019 年的服务器备份包含操作系统、当时的密码和临时文件。它体量庞大、难以查阅，而且携带的个人数据正是 GDPR 要求限制保留期限的对象。一份带时间戳且不可修改的 PDF 发票归档，能够应对税务稽查；2019 年的备份则不能。
具有证据效力的归档还要求完整性：在保留期内，任何人（包括管理员）都不能改写文件。这正是一次写入存储（WORM）或不可变备份的作用。
个人数据的三个阶段
法国数据保护机构 CNIL 将个人数据的生命周期分为三个阶段：
- 活动数据库：数据用于日常处理，相关团队可以访问。
- 中间归档：数据已不再用于最初的目的，但因法定义务或可能的诉讼而必须保留。访问仅限经授权人员，并进行物理或逻辑隔离。
- 永久归档或删除：仅部分具有历史价值的信息可无限期保存；其余数据予以删除。
运营备份覆盖活动数据库。中间归档则应存放在独立的空间中，并设定其自身的保留期限。
法规规定（举例）
以下为法国法规的规定，期限针对的是文件本身，而不是备份的天数。各行业仍需寻求适合自身的专业意见。
| 文件 | 保存期限 | 起算时间 |
|---|---|---|
| 会计账簿和会计凭证（法国《商法典》第 L123-22 条） | 10 年 | 会计年度结束时 |
| 税务文件（所得税、增值税等） | 6 年 | 最后一笔交易时 |
| 合同和商业信函 | 5 年 | 视文件而定 |
| 工资单副本（雇主） | 5 年 | — |
| 医疗机构中的患者病历（法国《公共卫生法典》第 R1112-7 条） | 20 年 | 最后一次住院或最后一次就诊时 |
关于患者病历，法国医师协会（Ordre des médecins）还规定了特殊情况：至少保存至患者年满 28 岁；若患者在最后一次就诊后不到十年内去世，则自去世之日起保存十年。
对于个人数据，GDPR 要求保留期限与处理目的挂钩。“以防万一而全部保留”并不是合法依据：CNIL 提醒，个人数据不得无限期保存。
如何决策
- 列出具有证据价值的文件及其保存期限。
- 将它们从每日备份周期中移出，存放到加密的不可变存储中，保留期限与法定义务一致。
- 另外保留一份较短的历史（数天、数周或数月），用于应对故障和误操作。
- 提前规划十年后如何读取归档：文件格式、软件、加密密钥。无法读取的归档就不是归档。
常见问题
我保存了十年以上的备份，算是会计归档吗？
实际上不算。审查人员需要的是可读、可检索的凭证，而不是一个必须用旧软件重新还原的服务器镜像。归档会将相关文件单独分离出来，以可读的格式存放在可防止篡改的介质上。
发票应保存多久？
在法国，包括发票在内的会计凭证须自会计年度结束之日起保存十年。税务机关可追溯六年进行稽查。这些期限适用于文件本身，而不是存放该文件的服务器的每日备份。
可以在备份解决方案中进行归档吗？
可以，前提是归档空间拥有自己的保留期限，独立于备份轮换周期，并且受到防篡改和防删除保护。否则，归档最终会随旧备份一起被清除。
延伸阅读
参考来源
以下文件查阅于 2026 年 10 月。
- 企业文件的保存期限是多久？ — Entreprendre.Service-Public.gouv.fr（法国政府企业服务门户）
- 患者病历 — 法国全国医师协会
- 数据的保存期限 — CNIL
- 信息系统备份：基本原则（ANSSI-BP-100，v1.1，2025 年 11 月 27 日） — ANSSI
- 不可变方案：WORM 存储与价格 — WeDoBack