arrow_back Krav til bevaring av system og uttrekk iht. ny arkivlov med forskrift?

Question

Spørsmålet er
1. Hva står i ny arkivlov med forskrift om arkivskaper (kommune) krav om bevaring av bevaringsverdige data?
2. Altså fra systemets database, uavhengig av papirarkiv?

Regelen har vært at hvis der er bevaringsverdige data i databasen som ikke er på papir så skal databasen bevares gjennom uttrekk, med mindre man har fattet et kassasjonsvedtak. Der man i forkant har gjort en Bevarings- og Kassasjons--vurdering iht. kommunens BK-plan.

Tekst basert på gammel arkivlov og forskrift

Hjemmelsgrunnlag for test, validering, godkjenning eller avvisning

Depot ivaretar arkivdepotfunksjonen for papirarkiv og elektronisk skapt arkiv for Arkivskaper med hjemmel i § 18 i ”Forskrift om offentlege arkiv”. Det er med utgangspunkt i dette hjemmelsgrunnlaget at Depot vil foreta en gjennomgang av denne innleveringen av System.

Gjennomgang av innleveringen mot regelverket

For innlevering av eldre og avsluttet elektronisk arkiv til kommunalt arkivdepot gjelder følgende regelverk:

A. "Forskrift om utfyllende tekniske og arkivfaglige bestemmelser om behandling av offentlige arkiver (riksarkivarens forskrift) (https://lovdata.no/dokument/SF/forskrift/2017-12-19-2286). Fastsatt av Riksarkivaren 19. desember 2017 med hjemmel i lov 4. desember 1992 nr. 126 om arkiv § 12, forskrift 15. desember 2017 nr. 2105 om offentlege arkiv § 3, § 4, § 5, § 6, § 7, § 11, § 12, § 13, § 16, § 18, § 19 og § 20.

B. Normalinstruks for arkivdepot i kommunar og fylkeskommunar. Gitt med hjemmel i arkivforskriften § 5-12 av Riksarkivaren 01.06.2002.

C. Egne instrukser/retningslinjer, iht. normalinstruksen.

I arbeidet med å få til et så godt som mulig vern av elektronisk arkivmateriale skapt av Depot sine eierkommuner, følger Depot de statlige bestemmelsene i "Bestemmelser om elektronisk arkivmateriale som avleveres eller overføres som depositum til Arkivverket" så langt dette er hensiktsmessig. Depot vil derfor sjekke innleveringen fra Arkivskaper av data fra System opp mot paragrafene § 5-6 t.o.m. § 5-32 i A. (nevnt ovenfor). De første 5 paragrafene er ikke relevante som testpunkt for en innlevering.

Comments

Jeg har to [antatte] utfordringer med dette, og vil gjerne høre med andre som har gjort dette flere ganger.

Den ene utfordringen går på "bevaringsverdige data i databasen". Nei, det er "i systemet". Ikke den ene datakilden man vet systemet bruker, men alt fra logikk i sammenstilling og visningslaget, konfigurasjonsfiler, api-kall mot systemer for korrekt identifisering av bruker, felles datakilder for andre brukere av samme system, datakilder som blir brukt av flere system med flere. "Finnes det på papir? Nei, ok. Finnes det andre datakilder?" Om databasen inneholder brukernavn, mens fullt navn gjøres som oppslag mot en AD-løsning, er "menneskelig leselig versjon av" informasjon om hvem som gjorde en handling borte. Om systemleverandør har en skybasert datakilde for klassifikasjon eller lignende hjelpe- / kodetabeller, siden "alle våre systemer bruker dette allikevel", har man mistet dette. Logikk i applikasjonslaget blir ikke overført, så da er det borte.

Den andre er at det ikke er "databasen bevares gjennom uttrekk", det er "uttrekk av strukturert informasjon fra databaser", og legger bare krav til dokumentasjon skapt på "et database-format" [nei, det står ikke relasjonsdatabase eller databasetabeller]. Man er ute etter dokumentasjonen som forvaltes som arkiv, og da ideelt organets egen dokumentasjon. Men i dragsuget av i hvert fall et av uttrekksformatene, kan det komme med mye dokumentasjon som ikke tilhører et organ. Jeg tenker her på system-tabeller / diagnosedata, lagrede prosedyrer, valg av optimalisering og sammenstillinger / views.
Denne dokumentasjonen tilhører et annet organ [systemeier], som brukeren av systemet (potensielt juridisk) ikke har rett til å "skaffe seg adgang til, ta med seg, eller kopiere" (https://lovdata.no/dokument/NL/lov/2020-03-27-15, forretningshemmelighetsloven paragraf 3). Den loven inneholder flere ord som treffer nært, blant annet "oppnå kunnskap om eller rådighet over" eller definisjonen av forretningshemmelighet som "opplysninger som a) er hemmelige i den forstand at opplysningene ikke som helhet, eller slik de er satt sammen eller ordnet, er allment kjent eller lett tilgjengelig, b) har kommersiell verdi fordi de er hemmelige, c) innehaveren har truffet rimelige tiltak for å holde hemmelige". Faller ikke "diagnosedata for stabilitet av systemet, lagret i egne logg-tabeller, aldri presentert til sluttbruker, kun tilgjengelig fra en administrator-konto" under dette? Og hva skjer, når kunden ber om tilgang på basen for å hente ut sine egne data og blir tildelt feil rettigheter? I mitt hodet blir det som å bli tildelt adgang på feil nivå i et nettverk, og så å ha tilgang på server-nivå i stedet for mappe. "Jøss, er alt dette mitt? Da trenger jeg større disk å kopiere til…".

Så jeg har to spørsmål tilbake; 1) Hvordan vet man at all dokumentasjon til et organ har kommet med i uttrekket, og 2) hvordan vet man at bare dokumentasjonen til organet har kommet med i uttrekket.