siste instans skal rettsanvendelsen og skjønnsutøvelsen ved norske domstoler være bestemmende for praktiseringen av arkivlovgivningen. Dette er omtalt slik i NOU 2015: 13 kapittel 23.7.2:

Når data lagres eller er tilgjengelige fra andre land og jurisdiksjoner, reises en rekke juridiske problemstillinger. Det ikke å vite i hvilke land data befinner seg, og fra hvor de aksesseres, er problematisk fordi rettsreglene for hvordan data kan brukes, vil være annerledes i andre lands jurisdiksjoner. Norske myndigheter har ikke sanksjonsmulighet overfor tjenesteleverandører utenfor Norge og EU/EØS.

Et sentralt spørsmål gjelder tilgangen til dokumentasjonen. Under et annet lands jurisdiksjon kan det oppstilles kriterier eller vilkår som gjør at virksomheten ikke lenger har tilgang til dataene; de blir utilgjengelige for eieren. Dette er et argument for å bare tillate skytjenester i områder av verden med stabile politiske forhold, hvor avtaler kan kreves oppfylt ved domstolene, og hvor en har noenlunde samme rettskultur. EØS-området er det opplagte eksemplet. I høringsnotatet i 2017 foreslo Kulturdepartementet at et vilkår for overføring til utlandet skulle være at «pliktene i arkivlova med forskrifter er regulerte i avtala mellom organet og eigaren av arkivlageret». Dette ville innebære at internasjonale virksomheter skulle tilpasse sine avtaler til norsk arkivlovgivning. Utvalget understreker at avtalen om skytjenester er meget viktig; den regulerer hvilken sikkerhet og hvilken tjeneste den norske virksomheten får. Imidlertid er innarbeiding av pliktene etter arkivloven i avtalen, slik det ble foreslått i høringsnotatet, neppe en hensiktsmessig måte å regulere overføring til utlandet på. For det første vil ikke pliktene etter arkivloven være tilstrekkelige til å sikre trygg lagring fordi de ikke er konkrete nok. For det andre er skyleverandører ofte store virksomheter med globale produkter, som har begrenset interesse av særordninger for visse land. For det tredje er risikoforholdene ved skytjenester ikke særegne for norsk dokumentasjon, og det er derfor mer fornuftig å knytte seg til internasjonalt regelverk, som EUs personvernforordning.

#### 18.4.5 Informasjonssikkerhet og faren for tap av dokumentasjon

Etter gjeldende arkivlov § 6 skal offentlige organers arkiver være innrettet og ordnet slik at dokumentene er sikret som informasjonskilder for samtid og ettertid. Arkivtap kan opptre blant annet som informasjonstap, tap av mulighet for sammenstillinger, tap av søkemuligheter og tap av muligheter for å fastslå autentisitet. Digitale medier har svakheter, og det vil alltid være en viss risiko for informasjonstap. Denne risikoen kan håndteres. Risikoen for arkivtap er ikke nødvendigvis større ved overføringer til og fra skyleverandører enn ellers, og den er ikke nødvendigvis større om overføringen passerer en landegrense. Ved skytjenester vil overføring av arkiver til langtidslagring (hos for eksempel Nasjonalarkivet) si å hente informasjonen ut fra skyleverandørens løsninger på en slik måte at arkivtap minimeres. Kommunene og fylkeskommunene har selv ansvar for langtidsbevaring. For å unngå tap av dokumentasjon er det nødvendig med trygg lagring. Dette dreier seg om informasjonssikkerhet, se nedenfor. Hvorvidt det er nødvendig å kunne føre stedlig tilsyn, er også et spørsmål om informasjonssikkerhet. Virksomheten må uansett gjøre en risikovurdering, blant annet knyttet til leverandørens bruk av underleverandører. Dette er et spørsmål om kontrakt og kontraktsoppfølging, hvilket er ganske intensivt regulert i personvernforordningen artikkel 28.

########## Boks 18.2 Informasjonssikkerhet

Dei tryggleiksvurderingane ein må gjere dersom ein tenker på å ta i bruk skytenester, er ikkje så ulike dei vurderingane ein må gjere om ein elles skal sette ut tenester til ein ekstern leverandør. I praksis betyr dette at ein må ha eit forhold til dei formelle garantiane leverandøren gir, for eksempel for kor data vil bli lagra eller behandla.