11 Krav til publisering av metadata

11.1 Innledning

Store norske leksikon definerer metadata som informasjon som beskriver annen informasjon, altså data om data. Metadata kan for eksempel si noe om hvem som har laget dataene, når de ble opprettet, hva de gjelder og hvilket format de har. Slik informasjon gjør det lettere å finne og forstå dataene.

Mens dataene inneholder selve innholdet, gir metadata opplysninger som gjør det mulig å finne, forstå og bruke dataene. Uten metadata kan data være vanskelig å oppdage og tolke. Metadata er derfor en viktig forutsetning for at data kan viderebrukes.

11.2 Gjeldende rett

Tilgjengeliggjøring av metadata reguleres i dag i offentleglova § 30 tredje ledd som lyder:

«Dersom verksemder som nemnde i andre ledd gjer dokument med tilhøyrande metadata allment tilgjengelege, skal tilgjengeleggjeringa skje i alle eksisterande format og språkversjonar, så langt slik tilgjengeleggjering er i samsvar med lova her og tilhøyrande forskrift. Plikta omfattar maskinleselege format. Plikta etter første punktum omfattar ikkje format som berre blir brukte til lagring eller annan intern bruk, eller som elles er ueigna for tilgjengeleggjering.»

Tilgjengeliggjøringen kan for eksempel skje på virksomhetens egne nettsider eller i nasjonal datakatalog (data.norge.no). Virksomheter som er nevnt i andre ledd er virksomheter omfattet av virkeområde til PSI-direktivet. Bestemmelsen sier at dersom offentlige virksomheter gjør metadata tilgjengelig sammen med tilhørende data, skal det gjøres i eksisterende formater og språkversjoner, og så langt slik tilgjengeliggjøring er i samsvar med offentleglova og tilhørende forskrift. Denne plikten gjelder ikke formater som kun blir brukt til lagring eller annen intern bruk, eller som er uegnet for tilgjengeliggjøring. Av tredje ledd andre punktum fremgår det at plikten omfatter maskinleselige formater.

Digitaliseringsrundskrivet inneholder krav og anbefalinger til departementer og statlige forvaltningsorganer om blant annet tilrettelegging for gjenbruk og viderebruk av informasjon. Rundskrivet datert 27. mai 2025 viser til at data og metadata skal gjøres tilgjengelig i tråd med viderebruksbestemmelsene i offentleglova og Nasjonale retningslinjer ved tilgjengeliggjøring av offentlige data. Punkt 1.2 av rundskrivet tredje avsnitt under «krav», lyder:

«Virksomheten skal registrere datasett i Felles datakatalog (data.norge.no). Dette skal som et minimum gjøres når virksomheten endrer eller etablerer tjenester, herunder etablerer nye, eller oppgraderer eksisterende fagsystemer eller digitale tjenester. Registrering av geodata via geonorge.no tilfredsstiller kravet.»

Digitaliseringsrundskrivet gjelder imidlertid kun for departementene, statens ordinære forvaltningsorganer, forvaltningsorganer med særskilte fullmakter og forvaltningsbedrifter. Det gjelder ikke for eksempelvis kommuner og fylkeskommuner. Rundskrivet gjelder heller ikke for offentlige foretak eller andre selvstendige rettssubjekter som er omfattet av offentleglova, jf. offentleglova § 2 første ledd bokstav b og c.

11.3 Direktivet

Åpne data-direktivet artikkel 5 nr. 1 fastsetter plikten til virksomheter omfattet av direktivet om å gjøre tilhørende metadata tilgjengelig, dersom data gjøres allment tilgjengelig. Bestemmelsen angir også plikt til at slike virksomheter skal sørge for at både data og metadata skal være i samsvar med åpne formelle standarder, der det er mulig. Dette reguleres i dag i offentleglova § 30 tredje ledd. Forskjellen mellom offentleglova § 30 og åpne data-direktivet er at bestemmelsen i åpne data-direktivet artikkel 5 nr. 1 også gjelder for de offentlige foretakene som faller under virkeområde i direktivet, jf. artikkel 1 nr. 1 bokstav b. PSI-direktivet, og dermed også offentleglova § 30 første ledd tredje punktum, § 30 andre og tredje ledd, gjelder kun for offentlige organer.

Åpne data-direktivet artikkel 9 nr. 1 lyder:

«Medlemsstatene skal sørge for praktiske ordninger som gjør det lettere å søke etter dokumenter som er tilgjengelige for viderebruk, for eksempel i form av lister over de viktigste dokumentene med relevante metadata, som er tilgjengelige via internett og i maskinleselig format dersom det er mulig og hensiktsmessig, og nettportaler med lenker til disse listene over informasjonskilder. Når det er mulig, skal medlemsstatene legge til rette for tverrspråklig søk etter dokumenter, særlig ved å muliggjøre aggregering av metadata på unionsplan.

Medlemsstatene skal også oppmuntre offentlige organer til å lage praktiske ordninger for å gjøre det lettere å bevare dokumenter som er tilgjengelige for viderebruk.»

Direktivet pålegger ikke medlemsstatene å innføre en generell plikt til å registrere metadata i en nasjonal katalog.

11.4 Utvalgets forslag

Utvalget foreslår i § 6 å innføre plikt for offentlige virksomheter til å publisere en oversikt over data som er gjort allment tilgjengelig, sammen med tilhørende metadata i nasjonal datakatalog. Utvalget foreslår også at det innføres en plikt for offentlige virksomheter til å vedlikeholde og publisere en oversikt over data med tilhørende metadata og dokumentasjon som de forvalter.

Forslaget innebærer at norsk regulering går lenger enn minimumskravet i åpne data-direktivet artikkel 5 nr. 1 og artikkel 9 nr. 1. Direktivet krever at medlemslandene etablerer praktiske ordninger for viderebruk, men ikke en generell plikt til å registrere metadata i en nasjonal katalog.

Utvalget legger til grunn at en slik plikt innebærer at dagens krav i digitaliseringsrundskrivet lovfestes og utvides til å gjelde alle offentlige virksomheter. I dag gjelder kravene i rundskrivet kun for departementene, statens ordinære forvaltningsorganer, forvaltningsorganer med særskilte fullmakter og forvaltningsbedrifter. Statseide selskaper, kommuner og fylkeskommuner vil derfor bli underlagt nye lovkrav.

Utvalget begrunner forslaget med at de ønsker å tydeliggjøre overfor offentlige virksomheter at de i størst mulig grad skal arbeide for å gjøre metadata tilgjengelige åpent slik at det blir enklere for allmennheten å finne data det offentlige besitter. Dette vil også bidra til større åpenhet i forvaltningen. Utvalget påpeker at forslaget kan ha økonomiske og administrative konsekvenser, men at de ikke har hatt grunnlag for å vurdere disse nærmere.

11.5 Høringsinstansenes syn

Ettersom krav om publisering av metadata er et punkt der utvalget foreslår bestemmelser som går lenger enn minimumskravene i åpne data-direktivet, ba departementet særskilt om merknader til dette forslaget under høringen av NOU 2024: 14.

Flere høringsinstanser uttalte seg om utvalgets forslag til krav om publisering av metadata. Dette inkluderer Abelia, Arbeids- og velferdsdirektoratet (NAV), Borgarting lagmannsrett, Buskerud fylkeskommune, Digitaliseringsdirektoratet (Digdir), Landbruksdirektoratet, Direktoratet for forvaltning og økonomistyring (DFØ), Direktoratet for høyere utdanning og kompetanse (HK-dir), HelseVest RHF, Norges miljø- og biovitenskapelige universitet (NMBU), Geovekst, Norges teknisk-naturvitenskapelige universitet (NTNU), Norsk Presseforbund, Norsk Journalistlag, Norsk Redaktørforening, Mediebedriftenes Landsforening, Skatteetaten, Kommunesektorens organisasjon (KS) og Stavanger kommune.

Flere høringsinstanser, inkludert Digdir, NAV, Norsk Presseforbund, Norsk Journalistlag, Norsk Redaktørforening, Mediebedriftenes Landsforening, Landbruksdirektoratet og Abelia, hadde positive merknader til utvalgets forslag.

Digdir støtter utvalgets forslag, men anmoder departementet om å nærmere vurdere hvordan vilkåret «mulig og hensiktsmessig» skal vurderes. HK-dir påpeker også at skjønnsrommet til vilkåret trolig vil føre til ulik praksis. Norsk Presseforbund, Norsk Journalistlag, Norsk Redaktørforening, Mediebedriftenes Landsforening skriver at de støtter utvalgets forslag til § 6 andre ledd ettersom dette vil bidra til bedre intern orden og gjøre det lettere å se og søke på hva som rent faktisk finnes i det offentliges databaser. Norsk Presseforbund, Norsk Journalistlag, Norsk Redaktørforening, Mediebedriftenes Landsforening mener imidlertid at vilkåret om «mulig og hensiktsmessig» skaper unødvendig usikkerhet. Abelia mener også at vilkåret om «mulig og hensiktsmessig» gjør kravet unødvendig vagt og bør kuttes.

NAV støtter utvalgets forslag til § 6 første og andre ledd. NAV viser i sin høringsuttalelse til lovens formål om at det skal bli enklere for næringslivet, forskere, presse og sivilsamfunnet med flere, å kunne både finne og ta i bruk data fra offentlig sektor for å lage nye produkter og tjenester, i tillegg til at det bidrar til åpenhet i forvaltningen.

Landbruksdirektoratet skriver:

«Hva gjelder § 6, krav til oversikt over og publisering av data og metadata, så støtter Landbruksdirektoratet samtlige ledd. At offentlige virksomheter skal (og ikke bare «bør») publisere og vedlikeholde metadata om egne data som er gjort offentlig tilgjengelig, i nasjonal datakatalog, er et betimelig krav. § 6 andre ledd gjelder etter Landbruksdirektoratets forståelse krav om publisering av samtlige data virksomheten forvalter, dersom det er mulig og hensiktsmessig for virksomheten. Landbruksdirektoratet støtter en slik sterk oppfordring til at offentlige virksomheter skal dele oversikt over alle sine forvaltede data, men uten at det er et eksplisitt krav. En slik åpenhet rundt datatilfanget i virksomhetene anser vi å bidra til transparens og økt viderebruk av offentlige data.»

Borgarting lagmannsrett skriver i sin høringsuttalelse at det er viktig at plikt til å publisere metadata avgrenses mot den typen data som for øvrig ikke er omfattet av plikten til innsyn, og presiserer at de ønsker dette punktet klargjort.

«Lagmannsretten leser videre utvalgets forslag slik at det ikke vil være en plikt for domstolene til å publisere en oversikt over rettslige avgjørelser som sendes til Lovdata og/eller som tilgjengeliggjøres i pressemappe, jf. forskrift om offentlighet i rettspleien § 10. Slik vi leser forslaget, er data i disse tilfeller bare gjort tilgjengelig for en aktør eller en begrenset gruppe aktører, og dermed ikke «gjort allmenn tilgjengelig» i lovforslagets forstand.»

HelseVest RHF uttaler at de støtter forslaget i første ledd, men ikke det brede forslaget i § 6 andre ledd. HelseVest RHF påpeker også at intensjonen er å prioritere data som har verdi for viderebruk, men at dette ikke kommer tydelig nok frem i lovteksten. Slik de forstår utvalget, så skal oversikten over data som forvaltes publiseres når en slik publisering er mulig og hensiktsmessig.

HelseVest RHF foreslår en alternativ ordlyd til § 6 andre ledd, som sier:

«Offentlige virksomheter skal vedlikeholde og publisere en oversikt i nasjonal datakatalog over data som de forvalter, med tilhørende metadata og dokumentasjon, for de data der slik publisering er mulig og hensiktsmessig, og dataene er vurdert til å kunne ha verdi for andre.»

Enkelte høringsinstanser inkludert Skatteetaten og KS støtter ikke utvalgets forslag til § 6 andre ledd. Skatteetaten mener utvalget ikke har utredet tilstrekkelig de budsjettmessige konsekvensene av forslaget, og viser til egen erfaring som tilsier at dette vil kreve et større arbeid selv for de som har god oversikt over egne data, ettersom ikke alle metadata er klare for publisering. Skatteetaten skriver videre at de har forståelse for ønsket om bedre oversikt over alle data en offentlig virksomhet besitter, men at de mener det vil kreve uforholdsmessig mye arbeid å etterleve et slikt krav, særlig når disse dataene uansett ikke kan tilgjengeliggjøres som åpne data for allmennheten etter direktivet for øvrig.

KS og Buskerud fylkeskommune påpeker også at oppfylling av kravene vil kreve økte menneskelige og økonomiske ressurser til dokumentasjonsforvaltning, samt utvikling av automatiserte og innebygde løsninger for å begrense økende driftskostnader. KS uttaler at de støtter målsetningen om orden i eget hus, men mener at dette ikke bør innføres som et lovkrav. KS trekker særlig frem behovet for at krav som innføres er realiserbare, og anmoder departementet om å utforme pliktene i § 6 som anbefalinger i stedet.

DFØ anbefaler at det innledningsvis bør vurderes et kravomfang og en tilnærming som kan redusere terskelen for etterlevelse, slik at etterlevelsen ikke medfører uforholdsmessig stor innsats og kostnad. DFØ peker på at et enkelt skjema med parameter som tittel, beskrivelse, tema, og kilde som minstekrav, kan være en løsning for å redusere terskelen.

Geovekst påpeker at de allerede er pålagt et slikt krav etter sektorlovgivning, som i deres tilfelle er geodataforskriften § 8, og at forslaget derfor ikke vil innebære konsekvenser for de.

Innlandet fylkeskommune støtter forslaget, men trekker frem at økte krav til tilgjengeliggjøring kan medføre betydelige kostnader for virksomhetene som forvalter data. Hver enkelt kommune bør derfor ikke forventes å ha nødvendig kompetanse eller bære disse kostnadene alene.

Stavanger kommune etterlyser nærmere presisering av hva kravet innebærer i praksis. De skriver:

«Kommunen ønsker imidlertid å bemerke at ordlyden «dersom det er mulig og hensiktsmessig» i andre ledd er vag. Da kommunen forvalter ekstreme mengder data, oppfattes det lite hensiktsmessig, praktisk vanskelig og krevende å etablere oversikt over alle data og metadata virksomheten forvalter. Det vil bli problematisk å klare holde oversikt, samt finne frem til relevante data og metadata. Dette vil gi liten nytteverdi for eksterne og dermed virke mot lovens hensikt. Vi ønsker derfor be departementet presisere hvor terskelen går og klassifisere hvilke data det vil gi tilstrekkelig merverdi at det har en verdi for næringslivet og andre at offentlige virksomheter gjennomfører deling.»

11.6 Departementets vurderinger

11.6.1 Bakgrunnen for kravet

Departementetstøtter utvalgets forslag om å innføre et krav om publisering av metadata. Forslaget går lenger enn minimumskravet i åpne data-direktivet. Departementet viderefører utvalgets forslag med enkelte språklige justeringer. Departementet mener at innføringen av et krav om at offentlig sektor skal publisere metadata for data de besitter, representerer et betydelig skritt mot økt åpenhet og tilgjengelighet. Metadata gir oversikt over hvilke data som finnes i offentlig sektor. Dette vil gjøre det enklere for innbyggere, forskere og næringslivet å forstå hvilke data som finnes og hvor, og legger til rette for innovasjon, bedre beslutningsgrunnlag og styrket åpenhet og tillit til forvaltningen. Et krav om publisering av metadata vil være et viktig bidrag for at flere aktører kan utvikle og ta i bruk kunstig intelligens, ettersom data er en avgjørende forutsetning for utvikling og anvendelse av denne teknologien.

Oversikt over hvilke data som finnes vil også være et viktig kunnskapsgrunnlag for pressen, innbyggere, sivilsamfunnet og andre interessenter overfor forvaltningen. Ved å legge til rette for økt åpenhet om hvilke data offentlig sektor forvalter, kan også tilliten til offentlig sektor styrkes.

Publisering av metadata kan også bidra til mer effektiv gjenbruk av data på tvers av sektorer innad i forvaltningen, noe som har en sentral verdi i digitaliseringsprosesser. Departementetmener forslaget kan gi gevinster i form av bedre tjenester, mer effektiv ressursbruk, økt åpenhet og styrket samarbeid mellom aktører uten at kravet pålegger virksomheter i offentlig sektor å gjøre selve dataene tilgjengelige. Kravet bygger også videre på kravet i digitaliseringsrundskrivet som pålegger statlige organer å registrere datasett i nasjonal datakatalog. Kravet i rundskrivet fremhever at datadeling for gjenbruk og viderebruk har sentral verdi i offentlig sektor.

Offentlig sektor i Norge kan karakteriseres av stor grad av modenhet på dataområdet. Dette gjør Norge bedre rustet for strengere krav enn minimumskravene i direktivet. Dersom politikk og lovgivning skal drive utviklingen på datadelingsfeltet fremover, er det derfor viktig at lovreguleringen legger seg på et høyere nivå enn minimumskravet i direktivet og gjeldende rett. Dette samsvarer med nasjonal politikk i Fremtidens digitale Norge – Nasjonal digitaliseringsstrategi 2024–2030 og Meld. St. 22 (2020–2021) Data som ressurs – Datadrevet økonomi og innovasjon.

11.6.2 Innholdet i kravet

Å lovfeste krav om publisering av metadata vil innebære en utvidelse av gjeldende rett. Som nevnt i omtalen av gjeldende rett, gjelder digitaliseringsrundskrivet kun for statlige organer inkludert departementene, statens ordinære forvaltningsorganer, forvaltningsorganer med særskilte fullmakter og forvaltningsbedrifter, men ikke for kommuner og fylkeskommuner. Rundskrivet gjelder heller ikke for offentlige foretak. Videre gjelder kravet i departementets forslag for metadata om data og ikke bare metadata om datasett.

En utvidelse av gjeldende rett vil derfor ha økonomiske og administrative konsekvenser for statlige virksomheter, slik som offentlige foretak, og for kommunal sektor som ikke er omfattet av digitaliseringsrundskrivet. Unntakene fra kravene i hhv. digitaliseringsrundskrivet og departementets forslag § 10 er også ulike. Unntakene i forslaget til dataforvaltningsloven er etter departementets vurdering snevrere enn etter digitaliseringsrundskrivet.

Imidlertid vil virksomheter som er omfattet av krav om publisering av metadata etter geodataforskriften § 8, allerede være underlagt strengere krav enn etter digitaliseringsrundskrivet, jf. høringsuttalelsen fra Geovekst. Innføringen av et nytt lovkrav vil derfor ikke vesentlig påvirke slike virksomheter. Det samme gjelder kommuner og fylkeskommuner som frivillig følger kravet i digitaliseringsrundskrivet.

KS påpeker også i sin høringsuttalelse at kommunene vil treffes ulikt. Enkelte ligger langt fremme, mens andre ikke er like modne i sitt arbeid med datadeling. Et nytt krav om å publisere en oversikt over all data virksomheten forvalter vil derfor treffe de umodne kommunene på en mer inngripende måte.

Departementetlegger til grunn at innføringen av kravet vil treffe offentlig sektor ujevnt og at å lovfeste et krav om å publisere metadata vil ha konsekvenser. Administrativt vil det kreve tid og ressurser å kartlegge, strukturere og vedlikeholde oversikt over metadata. Økonomisk kan det innebære investeringer i systemer og kompetanse for å sikre kvalitet og oppdatering. For små virksomheter kan dette oppleves som en byrde, dersom kravene ikke tilpasses virksomhetenes størrelse og kapasitet. For å lykkes må det finnes en balanse der datadeling gir merverdi, samtidig som kostnader og administrativt arbeid holdes på et nivå som er håndterbart.

Departementethar lagt vekt på hva som gir størst mulig nytteverdi for samfunnet, sett opp mot konsekvensene forslaget kan medføre for den enkelte virksomhet. Mot denne bakgrunnen mener departementet at forslaget fra utvalget bør beholdes, men at ordlyden justeres. Departementet har også vurdert om kravet kan utformes mer lempelig eller utgå. Muligheten for å utforme kravet mer lempelig enn utvalgets forslag er begrenset, ettersom forslaget allerede åpner for skjønn med ordlyden «dersom det er mulig og formålstjenlig» og derfor ikke er et absolutt krav. Departementet har likevel valgt å legge til «og dersom det ikke medfører en uforholdsmessig arbeidsmengde» som en ytterligere sikkerhetsventil, jf. § 10 første ledd første punktum. Forslaget er dermed en betinget plikt der hovedregelen er at kravet gjelder, men med unntak dersom vilkårene til unntaket er oppfylt.

Departementet foreslår å bruke begrepet «formålstjenlig» fremfor «hensiktsmessig» i bestemmelsen, fordi dette får tydeligere frem at vurderingen knyttes til formålet med kravet. Ved utøving av skjønn om hvorvidt det er formålstjenlig skal også den enkelte virksomheten se hen til § 1 og om publiseringen av metadata(ene) understøtter formålene til loven. Hva som er «mulig og formålstjenlig» må vurderes konkret sett opp mot den den enkelte virksomhetens forutsetninger, faktiske forhold knyttet til selve dataene og formålet med både bestemmelsen om metadata og lovens formålsbestemmelse.

Vurderingen av «uforholdsmessig arbeidsmengde» er relativ og må stå i rimelig forhold til formålet med regelen. Dette innebærer en proporsjonalitetsvurdering der ressursbruk, tid, kostnader og kompetanse vurderes opp mot belastningen på organisasjonen og alternative løsninger som kan oppnå samme formål med mindre innsats. Vilkårene gir fleksibilitet og åpner for skjønn, men skjønnet må være saklig. Kommunen eller virksomheten må kunne vise til betydelig belastning og mangel på ressurser for å oppfylle kravet. Gitt denne vurderingen viderefører departementet lovforslaget fra utvalget med enkelte språklige justeringer og med tillegg av formuleringen «dersom det ikke medfører en uforholdsmessig arbeidsmengde». Dermed vil ikke en kommune eller annen virksomhet som ikke er pålagt digitaliseringsrundskrivet i dag, men som blir omfattet av dataforvaltningsloven, bli pålagt kravet dersom de ikke reelt kan etterleve det. Enkelte kommuner og mindre statlige etater vil etter departementets vurdering falle inn under unntaksformuleringen i lovforslaget § 10 dersom de for eksempel må anskaffe nye systemer for å innfri kravet om publisering av oversikt over metadata. Dette innebærer for eksempel at kommuner som ikke har forutsetning for å etterleve kravet ikke er bundet av kravet. Departementetvil også påpeke at lovforslaget ikke har bestemmelser om overprøving, sanksjoner eller tilsyn med den vurderingen den enkelte virksomhet gjør av sin evne til å etterleve kravet.

Departementethar også vurdert om kravet bør begrenses til publisering av metadata om data som kan gjøres allment tilgjengelig. Det vil si at virksomheter blir pålagt å publisere en oversikt over åpne data de besitter som kan gjøres allment tilgjengelig. Dette vil harmonere med forslaget fra Skatteetaten. Etter departementets syn er imidlertid et slikt forslag ikke hensiktsmessig, ettersom det ikke påfører virksomhetene mindre arbeidsbelastning, da utarbeidelsen og vedlikeholdet av en slik oversikt vil kreve gjennomgang og vurdering av hvorvidt alle data virksomheten besitter kan gjøres allment tilgjengelig. Slik departementet ser det er slike vurderinger mer inngripende enn en publisering uten tilsvarende vurderinger av hvorvidt dataene også kan gjøres tilgjengelig for allmennheten. Det finnes eksempler på åpne metadata om beskyttede data i nasjonal datakatalog. Departementet viser ellers til omtale av avgrensningen mot viderebruk av sikkerhetshensyn i punkt 5.1.7 ovenfor.

Departementetvil også påpeke at offentlig sektor allerede har et ansvar for å ha oversikt over hvilke personopplysninger de besitter, jf. personvernforordningen (GDPR) artikkel 30 om protokoller over behandlingsaktiviteter. Denne bestemmelsen pålegger behandlingsansvarlige plikt til å føre en intern oversikt over alle behandlingsaktiviteter, inkludert formål, kategorier av registrerte og personopplysninger, mottakere, overføringer til tredjeland, tidsfrister for sletting og sikkerhetstiltak. Dette innebærer at virksomhetene allerede må vite hvilke personopplysninger de har og hvordan de behandles. Et krav om publisering av metadata bygger videre på dette prinsippet, men utvider perspektivet til å omfatte alle typer data i offentlig sektor, ikke bare personopplysninger.

Departementetforeslår en hjemmel for Kongen til å gi forskrift om metadata, jf. forslaget § 10 første ledd tredje punktum. Hjemmelen omfatter mulige krav til hvilke konkrete metadata og hvilke typer metadata som skal publiseres. Forskriftshjemmelen omfatter også hjemmel til å fastsette at konkrete navngitte virksomheter skal publisere metadata. Hjemmelen må forstås innenfor rekkevidden av § 10 og vil derfor kunne omfatte alle data som virksomheten forvalter. Forskriftshjemmelen gir også mulighet til å gradvis øke kravene for de virksomhetene som er modne nok for dette.