#### 10.4.3 Dokumentasjonskrav i forordningen

Personvernforordningen inneholder flere krav til dokumentasjon. Dette gjelder blant annet som del av en internkontrollbestemmelse i artikkel 24 som kan sies å inneholde et dokumentasjonskrav ved at «en behandlingsansvarlige [skal] gjennomføre egnede tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med denne forordning». Kravet om å kunne påvise at bestemmelsene i forordningen blir etterlevd, vil konkret kunne begrunne dokumentasjon av hvordan behandlingen av personopplysninger skjer. Slik dokumentasjon kan tenkes å være omfattet av dokumentasjonsplikt etter lovutkastet. Det vil imidlertid variere fra behandlingsansvarlig til behandlingsansvarlig og vil trolig ikke være omfattet av generelt dokumentasjonsplikt etter lovutkastet. I personvernforordningen artikkel 30 er det tatt inn en bestemmelse med potensielt stor betydning for arkivformål. Her fastsettes det at både behandlingsansvarlige og eventuelle databehandlere skal føre protokoll over sin behandling av personopplysninger. Den største forskjellen mellom de to aktørenes forpliktelser til å føre protokoll gjelder spesifikasjonsnivået: Behandlingsansvarlige skal føre protokoll «over behandlingsaktiviteter som utføres under deres ansvar», mens databehandlere skal føre protokoll «over alle kategorier av behandlingsaktiviteter som er utført på vegne av en behandlingsansvarlig». Kort sagt kan databehandlere protokollføre samlet for hver kategori behandlingsaktiviteter, mens den behandlingsansvarlige skal føre separat protokoll for hver behandling. De innholdsmessige kravene til protokoller for de to aktørene er ganske likeartede, men mest omfattende for den behandlingsansvarlige.

#### 10.4.4 Om forholdet mellom datatilsynsmyndigheter og arkivmyndigheter

Personvernforordningen og personopplysningsloven etablerer tilsynsmyndigheter som har en selvstendig posisjon, og som ikke kan instrueres av annen myndighet, se personvernforordningen artikkel 51 nr. 1 og artikkel 52 samt personopplysningsloven § 20 (Datatilsynet) og § 22 (Personvernnemnda). Nasjonale tilsynsmyndigheter er dessuten del av et europeisk tilsynssystem der «hver tilsynsmyndighet skal bidra til en ensartet anvendelse av denne forordning i hele Unionen» (artikkel 51 nr. 2). Samarbeidet skjer i regi av Det europeiske personvernråd («Personvernrådet»), se artikkel 68 flg. Norske tilsynsmyndigheter er med andre ord «norske» i den forstand at de har ansvar for å føre tilsyn med behandling av personopplysninger i Norge. De kan likevel ikke opptre selvstendig i forhold til andre tilsynsmyndigheter og den felles rettsanvendelse og skjønnsutøvelse som skal utvikles innenfor det europeiske området. Det er derfor ikke tale om «norsk praksis» i andre tilfeller enn det som også gjelder norske nasjonale bestemmelser. Fordi personvernforordningen griper inn på nær sagt alle myndighetsområder, vil datatilsynsmyndighetenes oppgaver og myndighet få direkte betydning på alle andre myndigheters arbeidsområder, for eksempel i Arkivverkets område. Selv om mye av datatilsynsmyndighetens virksomhet kan sies å være basert på informasjon og dialog, gjelder dette forholdet til behandlingsansvarlige. Bestemmelser om forholdet til andre myndigheter - som sådanne, ikke som behandlingsansvarlige - er ikke gitt. Ikke sjelden vil ulike organers myndighet overlappe, for eksempel mellom Datatilsynets og Riksarkivarens myndighet. Personvernforordningen inneholder ingen spesifikke hjemler for nasjonale bestemmelser av denne typen. Imidlertid følger det av forvaltningsloven § 17 første ledd og grunnleggende forvaltningsrettslige prinsipper, særlig prinsippet om forsvarlig saksutredning, at forvaltningsorganer skal opplyse saksforhold slik at myndighet kan utøves på fullt ut forsvarlig måte. Når Datatilsynets eller Personvernnemndas saksbehandling begrunner det, vil de således være forpliktet til å opplyse saken ved blant annet å innhente synspunkter fra Riksarkivaren eller annen arkivmyndighet.