Arkiv skal ikkje førast ut or landet

Arkivloven 9 b) «Utan i samsvar med føresegner gjevne i medhald av 12 i denne lova eller etter særskilt samtykke frå Riksarkivaren, kan ikkje arkivmateriale ( ) b) førast ut or landet, dersom dette ikkje representerer ein naudsynt del av den forvaltningsmessige eller rettslege bruken av dokumenta.» Copyright 2015 Foyen Torkildsen All Right Reserved 2

Arkivloven Etter 9 bokstav b er utgangspunktet at offentlig arkivmateriale ikke kan føres ut av landet uten etter særskilt samtykke fra Riksarkivaren Denne bestemmelsen har stor betydning for kommunens adgang til å ta i bruk skytjenester Å lagre arkivmateriale fra offentlig virksomhet på utenlandske servere tolkes slik at det faller inn under lovtekstens ordlyd «førast ut or landet» Regelen ble til for mer enn 20 år siden det vil si i god tid før skytjenester i dagens form, eller databehandling og lagring i utlandet var en realitet Copyright 2015 Foyen Torkildsen All Right Reserved 3

Hva sier Riksarkivet? Riksarkivet mener at på bakgrunn av arkivloven 9 bokstav b, kan arkiver ikke lagres på servere som befinner seg utenfor Norges grenser. Dette gjelder også kopier av arkiver - Ikke mulig å legge arkivløsninger ut i nettskyen hvis skyen er i utlandet Slik regelverket er i dag, er det således, i følge Riksarkivets tolkning ikke mulig å bruke skytjenester for å lagre arkivverdig materiale, med mindre serverne befinner seg i Norge Denne uttalelsen fra Riksarkivet er etter vår oppfatning ikke uten videre riktig, når de vurderer det slik at arkivmaterialet ikke kan føres ut av landet Copyright 2015 Foyen Torkildsen All Right Reserved 4

Unntak fra arkivloven 9 b? I arkivloven 9 som Riksarkivet viser til, fremgår det at Riksarkivaren kan gjøre unntak gjennom samtykke. Dette innebærer at Riksarkivaren faktisk kan samtykke til at arkiv føres ut av landet Alternativt er det i første setning vist til mulig unntak i medhold av forskriftskompetanse i lovens 12 Riksarkivaren har til nå ikke gjort unntak fra forbudet Riksarkivet har selv uttalt at: «Riktignok kan altså Riksarkivaren gi særskilt samtykke til at arkivmaterialet føres ut av landet. Et særskilt samtykke skal imidlertid legge til rette for et unntak, og kan ikke brukes til å etablere en ny normalordning.» Copyright 2015 Foyen Torkildsen All Right Reserved 5

Datatilsynet sitt syn på skytjenester Datatilsynet var opprinnelig skeptisk til bruk av skytjenester, særlig overføring av sensitive personopplysninger til andre land, men har gjort seg kjent med teknologien og setter nå fornuftige kriterier for hvordan data kan sikres i en sky-løsning Blant annet må følgende gjøres: Gjennomføre en risiko- og sårbarhetsanalyse Sørg for å ha en databehandleravtale med leverandøren av skytjenester Gjennomfør en revisjon av databehandleren, enten selv eller ved bruk av tredjepart Sørg for at overføring av data følger personopplysningloven Sørg for sikker kommunikasjon og kryptering Få på plass nødvendig dokumentasjon av løsningen Copyright 2015 Foyen Torkildsen All Right Reserved 6

Bør Riksarkivaren ha en tilsvarende tilnærming? Vi mener Riksarkivaren har et juridisk handlingsrom for å velge en tilsvarende tilnærming som Datatilsynet Riksarkivaren kan i et vedtak om unntak stille tilsvarende vilkår for lagring av arkivmaterialet i en skyløsning At Riksarkivaren velger å ikke benytte denne muligheten vurderes å være lite heldig Formålet med denne bestemmelsen i arkivloven var å sikre at dataene ikke går tapt for ettertiden Dette formålet kan sikres like godt ved bruk av sky-tjenester som ved bruk av andre leveranseplattformer Copyright 2015 Foyen Torkildsen All Right Reserved 7

Hva slags vilkår bør Riksarkivaren stille? Stille krav om gjennomføring av risiko- og sårbarhetsanalyse, for å identifisere risiko og stille krav til risikoavdempende tiltak Dokumentere informasjonssystemet og sikkerhetstiltakene, og gjøre dokumentasjonen tilgjengelig for Riksarkivaren Inngå en tilfredsstillende databehandleravtale, som sikrer kommunens rettigheter og som er i tråd med Riksarkivets (tilsv som Datatilsynets) krav og føringer Sikre Riksarkivarens tilsynsansvar i henhold til arkivloven, ved å gi Riksarkivaren adgang til enten å foreta revisjoner av skyløsningen, der det er mulig, eller ved å gi tilgang til revisjon utført av tredjepart. Copyright 2015 Foyen Torkildsen All Right Reserved 8

Søknad til Riksarkivaren Vi har bistått en kommune med utarbeidelse av søknad til Riksarkivaren om dispensasjon til å føre arkivmaterialet ut av landet Riksarkivaren har selv uttalt at de til nå har mottatt to konkrete søknader om særskilt samtykke til å lagre offentlig arkivmateriale på servere utenfor Norge Riksarkivaren har uttalt at hva utfallet av søknadene vil bli fortsatt er uviss, og har bedt om utfyllende informasjon Søknaden er foreløpig ikke ferdig behandlet av Riksarkivaren og de gir i svaret på søknaden klart uttrykk for at det er uvisst hva som vil kunne bli utfallet av saken Copyright 2015 Foyen Torkildsen All Right Reserved 9

Søknad til Riksarkivaren forts. I søknaden har vi blant annet foreslått følgende: Riksarkivarens mulighet til å oppfylle sitt tilsynsansvar vil bli ivaretatt ved å gi Riksarkivaren adgang til enten selv å foreta revisjoner av cloud løsningene i de tilfellene hvor det er mulig, eventuelt ved å gi tilgang til revisjon utført av tredjepart. Ved ønske fra Riksarkivaren kan identisk kopi lagres i Norge Copyright 2015 Foyen Torkildsen All Right Reserved 10

Søknad til Riksarkivaren forts. Riksarkivaren kan stille som vilkår at kommunen legger til grunn en tilsvarende metodikk for vurdering av sikkerheten ved slik lagring og behandling, som den som fremgår av personopplysningsloven 13 At kommunen kan for å oppnå tilfredsstillende informasjonssikkerhet pålegges å dokumentere informasjonssystemet og sikkerhetstiltakene, Sørge for at dokumentasjonen er tilgjengelig for Riksarkivet Tittel på presentasjon 11

Foreløpig tilbakemelding på søknad Riksarkivaren har foreløpig ikke fattet en endelig beslutning Derimot har Riksarkivaren bedt om at kommunen utdyper en rekke punkter, som for eksempel: - hva slags skyløsning kommunen skal bruke - hvilket materiale det søkes dispensasjon for - hvor er informasjonen lagret på nåværende tidspunkt - er det utarbeidet bevarings- og kassasjonsplan - hvordan vil kommunen sørge for at arkivloven med forskrifter blir etterlevd - hvordan forsikrer kommunen seg om at de vil beholde eierskap til dataene Copyright 2015 Foyen Torkildsen All Right Reserved 12

Tilgjengelig verktøy/veileder for bruk av skytjenester På KS sine nettsider kan dere finne følgende: - Mal for søknad til Riksarkivet for å føre arkiv ut av landet - Sjekkliste ved anskaffelse av skybaserte løsninger - Endelig rapport om bruk av skytjenester i kommunal sektor I tillegg har Datatilsynet utarbeidet en egen veileder om bruk av skytjenester, som er tilgjengelig på datatilsynet sine nettsider Copyright 2015 Foyen Torkildsen All Right Reserved 15