Artikkel 44 stiller krav om at både den behandlingsansvarlige og databehandleren oppfyller vilkår i forordningen. Omdisse vises det til juridisk litteratur om personvernforordningen. Begrensningene i adgangen til overføring til utlandet som følger av sikkerhetsloven og annet regelverk, gjelder uavkortet. Annen setning har tre bokstavpunkter med vilkår for overføring. Alle vilkår må være oppfylt. krever at det foreligger en risikovurdering, og gir eksempler på forhold som skal være Bokstav a vurdert. Andre forhold bør vurderes ut fra virksomhetens og dokumentasjonens art. Risikoen skal vurderes opp mot lagring i Norge. Det forutsettes at overføring ikke skjer hvis risikoen ikke er akseptabel. krever en bestemt klausul i databehandleravtalen for at overføring skal være lovlig. Den Bokstav b norske tilsynsmyndigheten må gjennom avtalen sikres adgang til å kunne sette i gang tilsyn, for eksempel gjennom tredjepartsrevisjon. Tilsynet skal kunne ta rede på om krav i denne loven og i avtalen med leverandøren blir fulgt. Tilsynet kan ved behov snevres inn tematisk og dermed gå i dybden på etterlevelsen av spesifikke vilkår eller krav. Bestemmelsen fastsetter at databehandleravtalen skal gi tilsynsmyndigheten i Norge rettigheter. Den norske virksomheten må således påse at databehandleravtalen inneholder en klausul som forplikter skyleverandøren til å akseptere slike rettigheter som angitt i bokstav b. Nasjonalarkivet har adgang til å inngå avtale om at andre skal forestå tilsynet på sine vegne, se annet ledd. krever at det skal være en kopi (klone eller tvilling på fagspråket) av langtidsbevart digital Bokstav c dokumentasjon (arkiver) i Norge. Det stilles krav om minst én kopi. (Leddet regulerer ikke hva som er tilstrekkelig informasjonssikkerhet eller om data bør lagres på flere lokasjoner mv.) Kravet gjelder dokumentasjon som er overført til langtidsbevaring, eller som har gått ut av administrativ bruk, og som dermed langtidsbevares for arkivformål, se nærmere §§ 26 og 28. Vilkåret er uten betydning ved overføring av dokumentasjon som fortsatt er i aktiv administrativ bruk i virksomheten (den såkalte produksjonsfasen). Kravet til nasjonal kontroll er dermed strengere for langtidsbevart dokumentasjon (arkiver). viser et handlingsrom Nasjonalarkivet har som tilsyns- og arkivmyndighet til å følge opp Annet ledd dokumentasjon og arkiver omfattet av denne loven som er overført til utlandet. Avtale om tilsyn med norsk digital dokumentasjon kan inngås med arkivmyndighet i annen stat eller annen kvalifisert oppdragstaker. Tilsynet skal skje i henhold til instruks fra Nasjonalarkivet.

########## IV. Særlig om personopplysninger

§ om behandlingsansvar og felles behandlingsansvar § om behandlingsansvar og felles behandlingsansvar 22. Virksomheter plikter å identifisere all behandling av personopplysninger som de har ansvaret for og som har arkiv- eller dokumentasjonsformål. Dersom behandlingsansvaret er delt med andre, skal det inngås avtale om dette ansvaret i samsvar med personvernforordningen artikkel 26 nr. 1. Informasjon om behandlingsansvar for personopplysninger etter denne loven og eventuell avtale om felles behandlingsansvar skal være offentlig tilgjengelig på virksomhetens nettsider.

Forholdet til personvernforordningen er omtalt i kapittel 10. Bestemmelsen er omtalt i kapittel 10.5.6. Personvernforordningen gjelder som norsk lov. Den har et høyt abstraksjonsnivå og er tungt tilgjengelig. Det er derfor gode rettspedagogiske grunner til å regulere praktisk viktige spørsmål i loven her. Lovutkastet kapittel IV (§§ 22 til 25) må leses i lys av personvernforordningen. Etterfølgende europeiske rettavklaringer som innebærer autoritativ tolkning av personvernforordningen, for eksempel en fortolkning fra EU-domstolen, vil kunne få direkte betydning for denne loven.