Creación de retenciones de eDiscovery en un caso de exhibición de documentos electrónicos

Puede usar un caso de Microsoft Purview eDiscovery (Premium) o (Estándar) para crear retenciones para conservar el contenido que podría ser relevante para el caso. Puede colocar una suspensión en los buzones de Exchange y OneDrive para la Empresa cuentas de personas que está investigando en el caso. También puede colocar una suspensión en los buzones y sitios asociados a Microsoft Teams, grupos de Microsoft 365 y Viva Engage Grupos. Al colocar ubicaciones de contenido en espera, el contenido se conserva hasta que se quita la ubicación del contenido de la suspensión o hasta que se elimina la suspensión.

Después de crear una suspensión de eDiscovery, la suspensión puede tardar hasta 24 horas en surtir efecto.

Al crear una suspensión, tiene las siguientes opciones para limitar el contenido que se conserva en las ubicaciones de contenido especificadas:

• Crear una suspensión infinita donde todo el contenido de las ubicaciones especificadas se retiene. Como alternativa, puede crear una suspensión basada en consultas en la que solo se mantenga en espera el contenido de las ubicaciones especificadas que coincida con una consulta de búsqueda.
• Especifique un intervalo de fechas para conservar solo el contenido que se envió, recibió o creó dentro de ese intervalode fechas. Como alternativa, puede contener todo el contenido en ubicaciones especificadas, independientemente de cuándo se envíe, reciba o cree.

Cómo crear una retención de eDiscovery

Para crear una suspensión de eDiscovery asociada a un caso de exhibición de documentos electrónicos (Premium) o (Estándar):

1. Vaya a portal de cumplimiento Microsoft Purview e inicie sesión con las credenciales de la cuenta de usuario con los permisos de exhibición de documentos electrónicos adecuados.

2. En el panel de navegación izquierdo, seleccione Mostrar todo y, a continuación, seleccione eDiscovery > Premium o eDiscovery > Standard.

3. En la página eDiscovery > Premium o eDiscovery (Estándar), seleccione el nombre del caso en el que desea crear la suspensión.

4. En la página Inicio del caso, seleccione la pestaña Suspensión .

5. En la página Suspensión , seleccione Crear.

6. En la página Nombre del asistente para suspensión , asigne un nombre a la suspensión, agregue una descripción opcional y, a continuación, seleccione Siguiente. El nombre de la suspensión debe ser exclusivo en la organización.

7. En la página Elegir ubicaciones del asistente, elija las ubicaciones de contenido que desea colocar en espera. Puede retener buzones, sitios y carpetas públicas.

   

   1. Buzones de Exchange: establezca el botón de alternancia en Activado y después seleccione Elegir usuarios, grupos o equipos para especificar los buzones para colocar en suspensión. Use el cuadro de búsqueda para encontrar buzones de usuario y grupos de distribución (para colocar una suspensión en los buzones de miembros de grupo) para suspenderlos. También puede colocar una suspensión en el buzón asociado para un equipo de Microsoft, un grupo de Microsoft 365 y un grupo de Viva Engage. Para obtener más información sobre los datos de la aplicación que se conservan cuando se coloca un buzón en espera, vea Contenido almacenado en buzones para eDiscovery.

   Importante

   Al seleccionar una lista de distribución que se va a poner en espera, la suspensión se coloca en cada uno de los buzones de correo miembro de la lista de distribución cuando se crea la directiva. Los cambios posteriores en la lista de distribución no cambian ni actualizan las retenciones ni la directiva.

   2. Sitios de SharePoint: establezca el botón de alternancia en Activado y seleccione Elegir sitios para especificar los sitios de SharePoint y las cuentas de OneDrive que se deben colocar en suspensión. Escriba la dirección URL de cada sitio que quiere colocar en suspensión. También puede agregar la dirección URL del sitio de SharePoint para un equipo de Microsoft, un grupo de Microsoft 365 o un grupo de Yammer.

   Importante

   Para crear una suspensión para un subsitio relacionado con un sitio de SharePoint Online, debe usar la propiedad Path en un filtro de consulta para seleccionar un subsitio específico.

   3. Carpetas públicas de Exchange: establezca la opción de alternancia en Activado para poner todas las carpetas públicas en su organización de Exchange Online en suspensión. No puede elegir carpetas públicas específicas para poner en suspensión. Deje el botón de alternancia desactivado si no quiere establecer una suspensión en las carpetas públicas.

   Importante

   Al agregar buzones de Exchange o sitios de SharePoint a una suspensión, debe agregar explícitamente al menos una ubicación de contenido a la suspensión. En otras palabras, si establece el botón de alternancia en Activado para buzones o sitios, debe seleccionar buzones o sitios específicos para agregarlos a la suspensión. De lo contrario, se creará la suspensión de eDiscovery, pero no se agregarán buzones ni sitios a la suspensión.

8. Cuando haya terminado de agregar ubicaciones a la suspensión, seleccione Siguiente.

9. Para crear una suspensión basada en consultas con palabras clave o condiciones, siga estos pasos. Para conservar todo el contenido en las ubicaciones de contenido especificadas, seleccione Siguiente.

   

   1. En el cuadro de Palabras clave, escriba una consulta para conservar solo el contenido que coincida con los criterios de consulta. Puede especificar palabras clave, propiedades de mensaje de correo electrónico o propiedades de sitio, como nombres de archivo. También puede usar consultas más complejas que usan un operador booleano, como AND, OR o NOT.
   2. Seleccione Agregar condición para agregar una o más condiciones con la finalidad de restringir la consulta para la suspensión. Cada condición agrega una cláusula a la consulta de búsqueda KQL que se crea y se ejecuta cuando se creala suspensión. Por ejemplo, puede especificar un intervalo de fechas para que se conserven los documentos de correo electrónico o de sitio que se crearon dentro del intervalo de fechas. Una condición se conecta lógicamente a la consulta de palabras clave (especificada en el cuadro Palabras clave) y a otras condiciones mediante el operador AND. Esto significa que los elementos deben satisfacer la consulta de palabra clave y la condición que se va a conservar.

   Para obtener más información sobre cómo crear una consulta de búsqueda y usar condiciones, vea Consultas de palabras clave y condiciones de búsqueda para eDiscovery.

10. Después de configurar una suspensión basada en consultas, seleccione Siguiente.

11. Revise la configuración (y edítela si es necesario) y, a continuación, seleccione Enviar.

Después de crear una suspensión, compruebe que la suspensión se aplica correctamente; para ello, vaya a la pestaña Suspensión en el caso y seleccione la directiva de suspensión. Para obtener más información sobre la solución de problemas de retenciones con errores, vea Resolver errores de suspensión de exhibición de documentos electrónicos.

Retenciones basadas en consultas colocadas en sitios

Tenga en cuenta lo siguiente al colocar una suspensión de exhibición de documentos electrónicos basada en consultas en documentos ubicados en sitios de SharePoint:

• Una suspensión basada en consultas conserva inicialmente todos los documentos de un sitio durante un breve período de tiempo después de su eliminación. Esto significa que cuando se elimina un documento, se mueve a la biblioteca de suspensión de conservación aunque no coincida con los criterios de la retención basada en consultas. Sin embargo, los documentos eliminados que no coincidan con una suspensión basada en consultas se quitarán mediante un trabajo de temporizador que procese la biblioteca de conservación de documentos. El trabajo del temporizador se ejecuta periódicamente y compara todos los documentos de la biblioteca de suspensión de conservación con las retenciones de exhibición de documentos electrónicos basadas en consultas (y otros tipos de retenciones y directivas de retención). El trabajo del temporizador elimina los documentos que no coinciden con una retención basada en consultas y conserva los documentos que lo hacen.
• Las retenciones basadas en consultas no deben usarse para realizar la conservación de destino, como conservar documentos en una carpeta o sitio específicos o mediante otros criterios de retención basados en la ubicación. Si lo hace, es posible que tenga resultados no deseados. Se recomienda usar criterios de retención no basados en ubicaciones, como palabras clave, intervalos de fechas u otras propiedades de documento para conservar los documentos del sitio.

Buscar ubicaciones en suspensión de eDiscovery

Al buscar contenido en un caso de exhibición de documentos electrónicos (estándar), puede configurar rápidamente la búsqueda para buscar solo las ubicaciones de contenido que se han colocado en una suspensión asociada al caso.

Seleccione la opción Ubicaciones en espera para buscar todas las ubicaciones de contenido que se han colocado en espera. Si el caso contiene varias retenciones de exhibición de documentos electrónicos, se buscarán las ubicaciones de contenido de todas las retenciones al seleccionar esta opción. Además, si se ha colocado una ubicación de contenido en una retención basada en consultas, solo se buscarán los elementos que coincidan con la consulta de suspensión al ejecutar la búsqueda. En otras palabras, solo el contenido que coincide con los criterios de retención y los criterios de búsqueda se devuelve con los resultados de la búsqueda. Por ejemplo, si un usuario se colocaba en una suspensión de casos basada en consultas que conserva los elementos que se enviaron o crearon antes de una fecha específica, solo se buscarían esos elementos. Esto se logra conectando la consulta de retención de casos y la consulta de búsqueda mediante un operador AND .

Estas son algunas otras cosas que debe tener en cuenta al buscar ubicaciones en suspensión de exhibición de documentos electrónicos:

• Si una ubicación de contenido forma parte de varias retenciones en el mismo caso, los operadores OR combinan las consultas de retención al buscar esa ubicación de contenido mediante la opción de contenido de todos los casos. De forma similar, si una ubicación de contenido forma parte de dos retenciones diferentes, donde una se basa en consultas y la otra es una suspensión infinita (donde todo el contenido se coloca en suspensión), todo el contenido se busca debido a la suspensión infinita.
• Si una búsqueda está configurada para buscar ubicaciones en espera y, a continuación, cambia una suspensión de exhibición de documentos electrónicos en el caso (agregando o quitando una ubicación o cambiando una consulta de suspensión), la configuración de búsqueda se actualiza con esos cambios. Sin embargo, tendrá que volver a ejecutar la búsqueda después de cambiar la suspensión para actualizar los resultados de la búsqueda.
• Si se colocan varias retenciones de eDiscovery en una sola ubicación en un caso de exhibición de documentos electrónicos y selecciona buscar ubicaciones en espera, el número máximo de palabras clave para esa consulta de búsqueda es 500. Esto se debe a que la búsqueda combina todas las retenciones basadas en consultas mediante el operador OR . Si hay más de 500 palabras clave en las consultas de suspensión combinadas y la consulta de búsqueda, se busca en todo el contenido del buzón, no solo en el contenido que coincida con las retenciones de casos basadas en consultas.
• Si una suspensión de eDiscovery tiene el estado Activado (Pendiente), puede buscar en las ubicaciones en espera mientras se activa la suspensión.

Conservación del contenido en Microsoft Teams

Las conversaciones que forman parte de un canal de Microsoft Teams se almacenan en el buzón asociado al equipo de Microsoft. Asimismo, los archivos que los miembros del equipo comparten en un canal se almacenan en el sitio de SharePoint del equipo. Por lo tanto, debe colocar el buzón de equipo y el sitio de SharePoint en suspensión de eDiscovery para conservar conversaciones y archivos en un canal.

Como alternativa, las conversaciones que forman parte de la lista chat en Teams ( llamadas chats 1:1 o chats de grupo 1:N) se almacenan en los buzones de los usuarios que participan en el chat. Y los archivos que los usuarios comparten en conversaciones de chat se almacenan en la cuenta de OneDrive del usuario que comparte el archivo. Por lo tanto, debe agregar los buzones de usuario individuales y las cuentas de OneDrive a una suspensión de eDiscovery para conservar las conversaciones y los archivos de la lista de chat. Es una buena idea colocar una suspensión en los buzones de los miembros de un equipo de Microsoft, además de colocar el buzón de equipo y el sitio en espera.

Para obtener más información sobre cómo conservar el contenido de Teams, consulte Colocación de un usuario o equipo de Microsoft Teams en suspensión legal.

Conservar el contenido de la tarjeta

De forma similar, el contenido de tarjeta generado por las aplicaciones en canales de Teams, chats 1:1 y chats de grupo 1:N se almacena en buzones y se conserva cuando un buzón se coloca en una suspensión de eDiscovery. Una tarjeta es un contenedor de IU para pequeños fragmentos de contenido. Las tarjetas pueden tener varias propiedades y datos adjuntos, y pueden incluir elementos que desencadenan acciones de tarjeta. Para obtener más información, vea Tarjetas. Igual que el resto de contenido de Teams, el lugar donde se almacena el contenido de las tarjetas depende de dónde se haya usado. El contenido de tarjetas usado en un canal de Teams se almacena en el buzón del grupo de Teams. El contenido de tarjetas de los chats 1x1 y 1xN se almacena en los buzones de los participantes de los chats.

Conservación de la información de reuniones y llamadas

La información de resumen de las reuniones y llamadas en un canal de Teams también se almacena en los buzones de los usuarios que llamaron a la reunión o llamada. Este contenido también se conserva cuando se coloca una suspensión de eDiscovery en los buzones de usuario.

Conservación del contenido en canales privados

A partir de febrero de 2020, también activamos la capacidad de conservar contenido en canales privados. Dado que los chats de canales privados se almacenan en los buzones de los participantes del chat, la colocación de un buzón de usuario en la suspensión de eDiscovery conserva los chats del canal privado. Además, si un buzón de usuario se colocó en una suspensión de eDiscovery antes de febrero de 2020, la suspensión ahora se aplicará automáticamente a los mensajes de canal privado almacenados en ese buzón. También se admite la conservación de archivos compartidos en canales privados.

Conservación del contenido wiki

Cada canal de equipo o equipo también contiene una wiki para tomar notas y colaborar. El contenido de esta se guarda automáticamente en un archivo con un formato .mht. Este archivo se almacena en la biblioteca de documentos de Datos Wiki de Teams en el sitio de SharePoint del equipo. Puede conservar el contenido de la wiki agregando el sitio de SharePoint del equipo a una suspensión de eDiscovery.

Grupos de Microsoft 365

Teams se basa en grupos de Microsoft 365. Por lo tanto, colocar grupos de Microsoft 365 en suspensión de eDiscovery es similar colocando contenido de Teams en espera.

Tenga en cuenta lo siguiente al colocar los grupos de Teams y Microsoft 365 en una suspensión de exhibición de documentos electrónicos:

• Como se explicó anteriormente, para colocar contenido ubicado en teams y grupos de Microsoft 365 en espera, debe especificar el buzón y el sitio de SharePoint asociados a un grupo o equipo.

• Ejecute el cmdlet Get-UnifiedGroup en Exchange Online PowerShell para ver las propiedades de los grupos de Teams y Microsoft 365. Esta es una buena manera de obtener la dirección URL del sitio asociado a un grupo de Team o Microsoft 365. Por ejemplo, el siguiente comando muestra las propiedades seleccionadas para un grupo de Microsoft 365 denominado Equipo de liderazgo sénior:

  Get-UnifiedGroup "Senior Leadership Team" | FL DisplayName,Alias,PrimarySmtpAddress,SharePointSiteUrl
  
  DisplayName            : Senior Leadership Team
  Alias                  : seniorleadershipteam
  PrimarySmtpAddress     : seniorleadershipteam@contoso.onmicrosoft.com
  SharePointSiteUrl      : https://contoso.sharepoint.com/sites/seniorleadershipteam
  

  Nota:

  Para ejecutar el cmdlet Get-UnifiedGroup debe tener asignado el rol de destinatarios con permiso de vista en Exchange Online o ser un miembro de un grupo de roles que tenga asignado el rol de destinatarios con permiso de vista.

• Cuando se busca el buzón de un usuario, no se buscará en ningún grupo de Team o Microsoft 365 del que sea miembro el usuario. De forma similar, cuando coloca un grupo de Team o Microsoft 365 en suspensión de eDiscovery, solo el buzón de grupo y el sitio de grupo se colocan en espera. Los buzones de correo y los sitios de OneDrive para la Empresa de los miembros del grupo no se colocan en espera a menos que los agregue explícitamente a la suspensión de eDiscovery. Por lo tanto, si tiene que poner un grupo de Equipo o Microsoft 365 en espera por un motivo legal, considere la posibilidad de agregar los buzones de correo y las cuentas de OneDrive de los miembros del equipo o grupo en la misma suspensión.

• Para obtener una lista de los miembros de un grupo de Team o Microsoft 365, puede ver las propiedades en la página Grupos del Centro de administración de Microsoft 365. Además, puede ejecutar el comando siguiente en PowerShell de Exchange Online:

  Get-UnifiedGroupLinks <group or team name> -LinkType Members | FL DisplayName,PrimarySmtpAddress
  

  Nota:

  Para ejecutar el cmdlet Get-UnifiedGroupLinks debe tener asignado el rol de destinatarios con permiso de vista en Exchange Online o ser un miembro de un grupo de roles que tenga asignado el rol de destinatarios con permiso de vista.

Conservación del contenido en cuentas de OneDrive

Para recopilar una lista de las direcciones URL de los sitios de OneDrive para la Empresa de su organización para que pueda agregarlas a una suspensión o búsqueda asociada a un caso de exhibición de documentos electrónicos, consulte Creación de una lista de todas las ubicaciones de OneDrive en su organización. El script de este artículo crea un archivo de texto que contiene una lista de todos los sitios de OneDrive de la organización. Para ejecutar este script, tiene que instalar y usar el Shell de SharePoint Online Management. Asegúrese de anexar la dirección URL para el dominio MiSitio de su organización a cada sitio de OneDrive que quiera buscar. Este es el dominio que contiene todo el OneDrive; por ejemplo, https://contoso-my.sharepoint.com. Este es un ejemplo de una dirección URL para el sitio de OneDrive de un usuario: https://contoso-my.sharepoint.com/personal/sarad_contoso_onmicrosoft.com.

Quitar ubicaciones de contenido de una suspensión de eDiscovery

Después de quitar un buzón, un sitio de SharePoint o una cuenta de OneDrive de una suspensión de eDiscovery, se aplica una retención de retraso. Esto significa que la eliminación real de la suspensión se retrasa durante 30 días para evitar que los datos se eliminen (purguen) de forma permanente desde una ubicación de contenido. Esto ofrece a los administradores la oportunidad de buscar o recuperar contenido que se purgará después de quitar una suspensión de eDiscovery. Los detalles de cómo funciona la retención de retraso para los buzones y sitios son diferentes.

• Buzones: Una suspensión de retraso se coloca en un buzón la próxima vez que el Asistente para carpetas administradas procesa el buzón y detecta que se quitó una suspensión de eDiscovery. En concreto, se aplica una suspensión retrasada a un buzón cuando el Asistente para carpetas administradas establece una de las siguientes propiedades de buzón como True:

  • DelayHoldApplied: Esta propiedad se aplica al contenido relacionado con el correo electrónico (generado por personas que usan Outlook y Outlook en la Web) que se almacena en el buzón de un usuario.
  • DelayReleaseHoldApplied: Esta propiedad se aplica al contenido basado en la nube (generado por aplicaciones que no son de Outlook, como Microsoft Teams, Microsoft Forms y Microsoft Yammer) que se almacena en el buzón de un usuario. Los datos en la nube generados por una aplicación de Microsoft normalmente se almacenan en una carpeta oculta en el buzón de un usuario.

  Cuando se coloca una retención de retraso en el buzón (cuando cualquiera de las propiedades anteriores se establece como True), el buzón se considera en espera durante una duración de retención ilimitada, como si el buzón estuviera en retención por juicio. Después de 30 días, la suspensión de retraso expira y Microsoft 365 intentará quitar automáticamente la suspensión de retraso (estableciendo la propiedad DelayHoldApplied o DelayReleaseHoldApplied en False) para que se quite la suspensión. Después de establecer cualquiera de estas propiedades en False, los elementos correspondientes marcados para la eliminación se purgan la próxima vez que el Asistente para carpetas administradas procese el buzón.

  Para obtener más información, consulte Gestionar buzón con una retención de retraso.

• Sitios de SharePoint y OneDrive: Cualquier contenido de SharePoint o OneDrive que se conserve en la biblioteca de suspensión de conservación no se elimina durante el período de retención de retraso de 30 días después de que un sitio se quite de una suspensión de eDiscovery. Esto es similar a lo que ocurre cuando un sitio se libera de una directiva de retención. Además, no puede eliminar manualmente este contenido en la biblioteca de conservación de documentos durante el período de retención de retraso de 30 días. Para liberar un sitio de la suspensión o período de gracia de retraso de 30 días, consulte el artículo No se puede eliminar un sitio debido a una directiva de retención o a una solución de problemas de suspensión de eDiscovery no válida .

  Para obtener más información, vea Liberar una directiva para la retención.

También se aplica una suspensión de retraso a las ubicaciones de contenido en espera cuando se cierra un caso de exhibición de documentos electrónicos (estándar), ya que las retenciones se desactivan cuando se cierra un caso. Para obtener más información sobre cómo cerrar un caso, vea Cerrar, volver a abrir y eliminar un caso de exhibición de documentos electrónicos (estándar).

Límites de suspensión de eDiscovery

En la tabla siguiente se enumeran los límites de los casos de eDiscovery y las retenciones de mayúsculas y minúsculas.