Het implementeren van de sleutelfunctiemethodiek voor e-mailarchivering bij de gemeente Utrecht

Vanaf 1 januari 2024 is het toepassen van de selectielijst e-mailbewaring van de VNG verplicht voor alle gemeentes die zich hierbij hebben aangesloten. Sinds het vaststellen van de selectielijst zijn wij bij de gemeente Utrecht druk bezig geweest met de voorbereidingen. Het opstellen van beleid, uitzoeken van de techniek en de communicatie vond gelijktijdig plaats. Wij delen hier waar wij nu staan en de leerpunten van de afgelopen maanden.

De sleutelfunctiemethodiek bij de Gemeente Utrecht

Volgens de selectielijst e-mailbewaring van de VNG worden e-mailberichten gearchiveerd aan de hand van de sleutelfunctiemethodiek. Dit houdt in dat e-mailberichten van medewerkers met een sleutelfunctie permanent bewaard worden en e-mailberichten van overige medewerkers na 7 jaar worden vernietigd na ontvangst of verzending van de e-mail. Daarnaast zijn er de functionele e-mailboxen met een bewaartermijn van 1 jaar.

Wij zijn begonnen met het vertalen van de selectielijst naar een intern beleidsstuk. In dit beleidsstuk zijn o.a. de belangrijkste principes rondom e-mailarchivering opgenomen en zijn de rollen en verantwoordelijkheden vastgelegd. Daarnaast is er specifiek gekeken naar de sleutelfuncties en uitzonderingen. Vanuit de selectielijst zijn er sleutelfuncties aangewezen. Deze sluiten niet precies aan op de functies binnen de gemeente Utrecht, dus daar is eerst een vertaalslag in gemaakt. Functionele mailboxen van medewerkers met een sleutelfunctie worden ook permanent bewaard. Verder is besloten om naast de raadsleden, fractieleden en commissieleden en advocaten geen uitzonderingen te maken op het archiveren van e-mails. Vanuit verschillende disciplines is het beleid gereviewd en momenteel wordt het vastgesteld. Om tot de goede beleidskeuzes te komen zijn er ook gesprekken geweest met andere organisaties, zoals onze G4-collega's en het Nationaal Archief.

Naast het beleid is er een Data Protection Impact Assessment (DPIA) en Project Start Architectuur (PSA) uitgevoerd. In het kort gaat een DPIA over het in kaart brengen van risico's rondom persoonsgegevens en een PSA betreft het ICT-architectuurkader waarbinnen het project moet worden uitgevoerd. Diegenen die betrokken waren bij de uitvoering hiervan hebben direct input gegeven voor de implementatie.

De techniek

Terwijl het beleid werd opgesteld is er gekeken naar de technische mogelijkheden. Wij zijn momenteel de mogelijkheden van Microsoft Purview aan het uitzoeken. Deze optie lag voor ons het meest voor de hand, omdat wij het belangrijk vinden dat gebruikers zo min mogelijk van het archiveren merken. Via Microsoft Purview worden de e-mails binnen Outlook bewaard. Daarnaast hadden wij toevallig de licentie al in huis n waren er dus geen extra kosten aan verbonden. Meer informatie over de werking van de techniek is te vinden in deze blog. Afgelopen maanden is er getest op zowel test-e-mailboxen als mailboxen van medewerkers. Tot dusver is de impact op de e-mailboxen klein. Elke e-mail krijgt een zichtbaar label waarin staat dat deze wordt gearchiveerd voor een bepaalde tijd. Gearchiveerde e-mails met een label kunnen niet meer worden verwijderd.

Toch zijn er nog een paar uitdagingen qua techniek. De VNG adviseert dat medewerkers 10 weken de tijd moeten hebben om iedereen de tijd te geven om e-mails te verwijderen. Helaas is 10 weken technisch nog niet mogelijk. Daarom houden wij nu 4 weken aan, maar wij blijven zoeken naar een betere oplossing. Daarnaast blijkt dat de e-mails in de verwijderde items toch worden gearchiveerd. Er wordt daarom ingesteld dat e-mails automatisch uit de map verwijderde items worden verwijderd. Tevens is een beheerproces ingericht om personen en gedeelde mailboxen te kunnen identificeren als sleutelfiguur of uitzondering. Hierbij hebben wij een sleutelfunctieregister opgesteld om bij te houden wie op welk moment een sleutelfunctie heeft. Door middel van het sleutelfunctieregister en het beheerproces om personen te identificeren worden de juiste bewaartermijnen aan de juiste personen toegekend.

Tot slot zijn wij momenteel bezig met het uitzoeken van hoe het technisch werkt met overbrengen van e-mails van medewerkers met een sleutelfunctie naar Het Utrechts Archief (HUA). Er is al afgesproken over hoe wij om zullen gaan met metadata. De MDTO (Metagegevens voor duurzaam toegankelijke overheidsinformatie) integraal toepassen op het niveau van individuele e-mails is niet werkbaar. Daarom hebben wij gekozen om op een hoger abstractieniveau metadata vast te leggen in het sleutelfunctieregister. Daarin wordt bijgehouden wie welke sleutelfunctie heeft, in welke periode en wat inhoudelijk de belangrijkste onderwerpen waren waar die figuur zich in die periode mee bezig hield. Een andere afspraak die wij hebben gemaakt met HUA is dat het overbrengen van de e-mails na 10 jaar gebeurt. De overbrenging is niet na de afsluiting van de mailbox, maar vanaf 10 jaar elk jaar een jaargang.

Communicatie

We zijn begonnen met een communicatieplan waarin wij de verschillende doelgroepen, communicatiemomenten en middelen hebben beschreven. Hierbij zijn wij gestart met het informeren van de informatie- en procesmanagement teams (IPM). Elke afdeling bij de gemeente Utrecht heeft een eigen IPM-team. Deze draagt onder andere zorg voor informatiebeheer binnen deze afdeling en hebben zicht in hoe de e-mailboxen binnen hun afdeling worden gebruikt. Vragen en feedback die uit deze gesprekken kwamen hebben wij vastgelegd en gebruikt in de verdere communicatie. De vragen gingen vooral over wat wel en niet gearchiveerd moet worden, persoonsgegevens en de termijn voor het verwijderen van e-mails. De IPM-teams hebben hun eigen sleutelfuncties geïnformeerd. Vanuit het implementatieteam hebben we sleutelfuncties die behoefte hadden aan extra uitleg hierin voorzien. Vervolgens zijn de leidinggevenden geïnformeerd en daarna zijn de veranderingen gemeentebreed gedeeld.

De feedback en vragen die wij hebben gehad hebben invloed gehad op zowel het beleid als de techniek, omdat het tegelijk liep. Komende tijd zullen wij bredere aandacht geven aan het gebruik van Outlook en het opslaan van e-mails bij de juiste zaak/project/dossier. Daarnaast maken wij een intranetpagina waarin alle relevante informatie wordt opgenomen, waaronder werkinstructies, veelgestelde vragen, uitgangspunten etc. Ook passen wij bestaande instructies aan.

Aanbevelingen

Naar aanleiding van de afgelopen paar maanden kunnen wij een aantal acties aanbevelen:

• Vertaal de selectielijst van de VNG naar eigen beleid. Maak daarbij een overzicht met wie de sleutelfuncties zijn en maak afspraken over hoe om te gaan met wijzigingen.

• Bekijk welke mogelijkheden er zijn met Microsoft Purview binnen jouw organisatie, bijvoorbeeld of je de juiste licenties al hebt.

• Bepaal ook wie de verschillende doelgroepen zijn, haal informatie op uit de organisatie voor zowel het beleid als de techniek en zorg voor de juiste communicatie per doelgroep.

• Blijf communiceren dat deze methode een vangnet is en dat medewerkers hun e-mails in het juiste dossier moeten opslaan.

• Naast de communicatie over e-mailarchiveren hebben wij deze wijziging als aanknopingspunt gebruikt om in februari een communicatiemaand over e-mail te houden. Deze zal niet alleen over het archiveren van e-mails gaan, maar bijvoorbeeld over het schrijven voor de openbaarheid en wanneer e-mail het geschikte kanaal is.

• Tot slot een algemene tip: hou het klein en simpel. Zorg met de inrichtingskeuzes dat de impact voor medewerkers zo minimaal mogelijk is en dat het beheer maximaal geautomatiseerd kan worden uitgevoerd.

Hoe gaat e-mailarchivering bij jou organisatie? Wat zijn de grootste uitdagingen? Laat het ons weten via een reactie op deze blog of stuur een e-mail naar informatieoporde@utrecht.nl om kennis uit te wisselen.