SharePoint statistieken: wat ze wel meten en wat ze niet mogen meten

Heeft SharePoint geen eigen statistieken? Jawel. Bijna elke SharePoint Online-omgeving heeft ingebouwde gebruiksrapportages beschikbaar in het beheercentrum. Ze laten zien hoeveel paginaweergaven een site heeft gehad, hoeveel unieke bezoekers, en welke bestanden zijn geopend.

Maar er zijn twee problemen. Het eerste is een toegangsprobleem. Het tweede is een privacyprobleem. Samen maken ze de ingebouwde SharePoint-statistieken voor de meeste overheidsorganisaties onbruikbaar voor het doel waarvoor ze eigenlijk nodig zijn.

Wie heeft toegang?

De ingebouwde gebruiksrapporten van SharePoint Online zitten in het Microsoft 365-beheercentrum. Om ze te bekijken heeft u een van de volgende beheerdersrollen nodig: globale beheerder, SharePoint-beheerder of rapportlezer.

Dat zijn niet de mensen die de intranet-content maken. De communicatieadviseur die wil weten of het nieuwsbericht over de reorganisatie gelezen is, heeft die rechten niet. De intranet-redacteur die twijfelt of de nieuwe beleidspagina de juiste afdeling bereikt, ook niet. Zij zijn afhankelijk van de IT-afdeling voor een export, en die export is zelden urgent genoeg om snel te landen.

In de praktijk betekent dit dat intranet-redacteuren bij de meeste overheidsorganisaties werken zonder enig inzicht in gebruik. Ze gokken op basis van reacties in de wandelgangen.

Het privacyprobleem

Het tweede probleem is subtieler dan het lijkt. Uw organisatie gebruikt SharePoint Online al, wat betekent dat Microsoft de content, de toegangslogs en de authenticatiedata al verwerkt als onderdeel van het leveren van de dienst. Daar is een verwerkersovereenkomst voor. Dat is niet het probleem.

Het probleem ontstaat op het moment dat u de statistieken actief gaat gebruiken voor redactionele sturing. Want dan gebruikt u diezelfde data voor een nieuw doel: analyse van medewerkersgedrag. Dat vereist een eigen rechtsgrond, los van de bestaande verwerkersovereenkomst.

Concreet betekent dat drie dingen die de meeste organisaties niet hebben geregeld.

• OR-instemming. De Wet op de ondernemingsraden (art. 27) vereist instemming van de ondernemingsraad voor systemen die het gedrag of de prestaties van medewerkers kunnen monitoren. SharePoint-statistieken op individueel niveau vallen daar onder, ook als monitoring niet de bedoeling is.
• DPIA. Gebruik van persoonsgegevens van medewerkers voor een nieuw verwerkingsdoel vereist een gegevensbeschermingseffectbeoordeling. De standaard Microsoft DPIA dekt dit niet.
• Dataminimalisatie. Voor het doel dat u eigenlijk heeft, namelijk weten welke content werkt, heeft u geen individuele data nodig. Welke pagina’s worden gelezen is een geaggregeerde vraag. Wie ze gelezen heeft is dat niet. Individuele data verzamelen terwijl geaggregeerde data voldoet, is in strijd met het dataminimalisatiebeginsel uit de AVG.

De statistieken waren er gewoon, als onderdeel van de Microsoft 365-licentie. Niemand heeft een actieve keuze gemaakt om medewerkersgedrag te registreren. Maar zodra u ze gebruikt, heeft u die keuze wel gemaakt.

Uw intranet-data hoort niet bij Microsoft

Er is nog een derde probleem, dat minder zichtbaar is maar voor overheidsorganisaties minstens zo relevant.

Microsoft is een Amerikaans bedrijf. De Cloud Act geeft de Amerikaanse overheid de bevoegdheid om bij Amerikaanse bedrijven data op te vragen, ook als die data fysiek in Europa staat. Microsoft heeft datacenters in Nederland en biedt “EU Data Boundary”-opties aan, maar dat neemt het Cloud Act-risico niet volledig weg. De juridische zeggenschapsstructuur blijft Amerikaans.

Voor een gemeente die bijhoudt welke medewerkers welke intranet-pagina’s bezoeken, en die data in Microsoft-infrastructuur opslaat, betekent dit dat die informatie in principe buiten de Nederlandse jurisdictie valt. Dat is voor de meeste overheidsorganisaties een onacceptabel risico, ook al is het abstract.

De vraag die informatiemanagers en CISO’s zichzelf moeten stellen: willen wij dat het gedrag van onze medewerkers op ons intranet beschikbaar is in een systeem waarover wij uiteindelijk geen volledige controle hebben?

Wat een intranet-redacteur eigenlijk nodig heeft

Het antwoord op de statistieken-vraag is niet: gebruik ze niet. Het antwoord is: gebruik een intranet analytics tool die meet wat u wilt weten, zonder de privacyproblemen die de ingebouwde SharePoint-statistieken meebrengen.

Wat een intranet-redacteur of communicatieadviseur nodig heeft is concreet:

• Paginabezoeken per intranet-pagina, uitgesplitst naar periode
• Inzicht in welke afdelingen het meest actief zijn op het intranet
• Vergelijking van bereik tussen nieuwsberichten, beleidsdocumenten en praktische informatie
• Trends over langere periodes, niet beperkt tot 90 dagen

Wat niet nodig is: weten wie precies wat heeft bekeken. Geaggregeerde patronen zijn genoeg om goede intranet-redactionele beslissingen te nemen.

Hoe de govanalytics SharePoint Tracker dit oplost

De govanalytics SharePoint Tracker meet intranet-gebruik geaggregeerd en zonder koppeling aan individuele medewerkers of Microsoft 365-accounts. Standaard worden geen persoonsgegevens verwerkt: geen naam, geen e-mailadres, geen Azure AD-identifier.

Het is wel mogelijk om contextuele dimensies mee te geven, zoals afdeling of locatie. Dat is ook het advies: meten op afdelingsniveau geeft intranet-redacteuren bruikbaar inzicht (“de afdeling Communicatie is aanzienlijk actiever dan de afdeling Financien”), zonder dat die data herleidbaar is naar een individuele medewerker. De afdeling is dan een eigenschap van het bezoek, niet van de persoon. Zolang de data niet gecombineerd wordt met een identifier die tot een individu leidt, blijft de meting geaggregeerd en buiten de reikwijdte van de WOR-verplichtingen die de ingebouwde SharePoint-statistieken wel raken.

De data wordt opgeslagen op Nederlandse servers, onder Nederlandse jurisdictie. Geen Microsoft-infrastructuur, geen Cloud Act-risico. Uw intranet-gebruik blijft binnen uw eigen organisatie.

Het dashboard is toegankelijk voor intranet-redacteuren en communicatieadviseurs, zonder dat zij beheerdersrechten nodig hebben. De IT-afdeling hoeft niet mee voor elke rapportage.

Meegeleverd bij de SharePoint Tracker: een DPIA-template en een verwerkersovereenkomst die specifiek zijn opgesteld voor intranet-analytics in de Nederlandse publieke sector. Dat scheelt een organisatie aanzienlijk werk bij het juridisch inrichten van de meting.

De tracker werkt met zowel SharePoint Online als SharePoint Subscription Edition (On-Premises), via een JavaScript-snippet of een SharePoint-extensie.

Naast het eigen govanalytics-platform ondersteunt de SharePoint Tracker ook Piwik PRO en Matomo. Alle drie de varianten zijn AVG-compliant en geschikt voor de Nederlandse publieke sector.

Vragen stellen aan uw intranet-data

Het govanalytics-platform heeft een Ask AI-interface waarmee u in gewone taal vragen kunt stellen aan uw analytics-data. Dat is geen technische toevoeging: het is de manier waarop intranet-redacteuren zonder data-achtergrond zelfstandig antwoord kunnen krijgen op de vragen die er voor hen toe doen.

Praktische voorbeelden voor intranet-beheerders en redacteuren:

• “Welke afdeling is het meest actief op ons intranet deze maand?”
• “Welke pagina’s zijn de afgelopen 30 dagen het minst gelezen?”
• “Hoe heeft het bereik van het nieuwsbericht over de nieuwe cao zich de eerste week ontwikkeld?”
• “Welke content trekt de meeste bezoekers van de locatie Utrecht?”

De agent heeft alleen toegang tot de data van uw eigen omgeving, leest die data alleen en kan niets wijzigen of exporteren. Welk taalmodel eronder draait is een instelling die u zelf bepaalt, zodat de data uw eigen infrastructuur niet verlaat als dat een vereiste is.

Is CardioLog Analytics een alternatief?

Voor organisaties die al met CardioLog Analytics werken of die overwegen, is er een directe vergelijking beschikbaar. CardioLog is een gespecialiseerde intranet analytics tool met een lange geschiedenis in SharePoint-omgevingen, maar verschilt op een aantal punten van de govanalytics aanpak, met name op het gebied van hosting, privacy en kosten.