#### 10.3.5 Spesielt om danning av private arkiver og overføring til langtidsbevaring

Som nevnt i kapittel 10.2.1 gjelder personvernforordningen ikke for «behandling av personopplysninger som utføres av en fysisk person som ledd i rent personlige eller familiemessige aktiviteter» (se personopplysningsloven § 2 annet ledd bokstav a). Det er altså hva slags aktivitet behandlingen av personopplysninger er del av, det kommer an på, ikke hva slags private/familiemessige formål behandlingen skjer for. Bruken av «aktivitet» i stedet for «formål» i bestemmelsen gjør trolig at privatpersoner kan bygge opp private arkiver uten at personvernforordningen kommer til anvendelse. Slike arkiver vil fortsatt være utenfor virkeområdet for nevnte lov og forskrift etter at arkivskaper er død, og om arkivmaterialet beholdes innenfor en privat/familiemessig ramme og for eksempel forvaltes av personens arvinger. Dersom arkiveier stiller arkivet til rådighet for noen utenfor den private/familiemessige sfæren (til biograf, forsker e.l.), vil dokumentasjon som blir utlevert, komme inn under personvernforordningen, og de generelle kravene til behandling av personopplysninger vil gjelde for det som er utlevert. Den private eller familiemessige aktiviteten med å samle inn arkivmateriale kan imidlertid trolig fortsette, og lov og forordning vil neppe gjelde for det nye materialet så lenge det ikke utleveres til noen utenfor den private/familiemessige sfæren. Dersom et personlig (privat) arkiv utleveres til andre, vil altså personvernforordningen gjelde når materialet er digitalt. En kan tenke seg to hovedsituasjoner: I én situasjon beholder arkiveier eierskapet til dokumentasjonen. I så fall blir arkivinstitusjonene databehandler for vedkommende person. Personen er behandlingsansvarlig. Begge har i utgangspunktet fulle plikter i henhold til forordningen. Dersom arkivet overføres til langtidsbevaring slik at arkivinstitusjonen får bestemmelsesretten, blir denne behandlingsansvarlig. Arkivinstitusjonen kan på sin side for eksempel gi oppdrag til databehandlingsforetak om lagringstjenester mv. Den opprinnelige arkiveieren vil i et slikt tilfelle ikke ha en rolle i den videre behandlingen av opplysningene og vil ikke komme inn under forordningen. Private arkiver som blir til i en , følger de vanlige reglene for behandling av virksomhet personopplysninger og kommer ikke inn under unntaket for private og familiemessige aktiviteter.

#### 10.3.6 Tiltak etter artikkel 89 nr. 1

########## Hva tiltak etter artikkel 89 nr. 1 kan gå ut på

Alle bestemmelser som gjelder arkivformål i allmennhetens interesse, representerer særbestemmelser der formålsbegrensningsprinsippet spiller en noe mindre viktig rolle enn etter grunnreglene om formål. Dette er bakgrunnen for at det i bestemmelsene om arkivformål i allmennhetens interesse er vist til personvernforordningen artikkel 89 nr. 1, som fastsetter plikt til å gjennomføre tiltak som kan sies å ha kompenserende effekter. Artikkel 89 nr. 1 fastsetter således at arkivformål i allmennhetens interesse

skal omfattes av nødvendige garantier i samsvar med denne forordning for å sikre den registrertes rettigheter og friheter. Nevnte garantier skal sikre at det er innført tekniske og organisatoriske tiltak for særlig å sikre at prinsippet om dataminimering overholdes. Nevnte tiltak kan omfatte pseudonymisering, forutsatt at nevnte formål kan oppfylles på denne måten. Dersom nevnte formål kan oppfylles ved viderebehandling somikke gjør det mulig eller ikke lenger gjør det mulig å identifisere de registrerte, skal formålene oppfylles på denne måten.

Bestemmelsen gjør det klart at det i utgangspunktet skal gjennomføres tiltak for å sikre den registrertes rettigheter og friheter. Slike tiltak skal gjennomføres dersom de er «nødvendige» for å sikre slike rettigheter og friheter. Forordningen er ramme for vurderingen av hva som i så måte er nødvendig. Dette gir rom for en vid skjønnsmessig vurdering. Likevel er det grunn til å anta at