Bestemmelsen har unntaksregler med "dobbelt bunn", dvs unntak som det er gjort unntak fra! (se nedenfor).
- Selv om formålet ikke tilsier videre lagring etter hovedregelen i § 28 første ledd, kan de på nærmere vilkår beholdes når formålet med videre lagring er historisk, statistisk eller vitenskapelig. Se forklaringen til § 18 fjerde ledd om forståelsen av hva som menes med historisk, statistisk og vitenskapelig.
- Opplysningene kan bare beholdes for historiske, statistiske eller vitenskapelige formål dersom samfunnets interesser klart overstiger personverninteressene. Loven gir med andre ord anvisning på en bred og vanskelig interesseavveining. Dersom det kan treffes tiltak som ivaretar personvernet samtidig som formålet med videre lagring blir oppfylt, vil dette ofte kunne gi grunnlag for fortsatt lagring. Bestemmelsen gir selv anvisning på at det skal skje anonymisering når dette er mulig og forenlig med formålet for den videre behandlingen. I mange tilfelle vil det nettopp være et poeng å kunne identifisere enkeltpersoner i forbindelse med forskning mv. Samtidig kan det imidlertid være akseptabelt at identitetene bare er tilgjengelig på snevre/utilgjengelige måter, for eksempel ved at identitetene pseudonymiseres og bare er tilgjengelige for forskere.
- Selv om opplysningene kan beholdes ut i fra en bred interesseavveining (jf forrige kulepunkt), kan enkeltpersoner likevel kreve at opplysninger om dem skal sperres eller slettes. Forutsetningen er at vilkårene i tredje ledd bokstavene a og b er oppfylt (ikke lovstridig + samlet vurdering). Her kommer vi ikke nærmere inn på disse vilkårene. Dette "unntaket fra unntaket" er beregnet på helt spesielle tilfelle, for eksempel for personer som ønsker opplysninger om seg som gjelder overgrep og særlig nedverdigende forhold mv fjernet fordi det er sterkt personlig belastende at opplysningene finnes. Stikkord kan være opplysninger om tidligere tiders ulovlige og/eller etisk forkastelige behandling av samer, tatere, visse psykiske pasienter mv. Slik sletting kan skje uavhengig av bestemmelsene i arkivloven § 9 (kassasjon) og § 18 (innskrenket råderett over særlig verneverdig arkiv).
- I noen sjeldne tilfelle vil det som er igjen av restopplysninger etter at sletting og/eller sperring har skjedd, gi et så mangelfullt og misvisende bilde at det ikke blir forsvarlig å bruke restinformasjonen. I så fall kan alle opplysninger slettes.
- Det er Datatilsynet som, etter at Riksarkivaren er hørt, kan treffe vedtak om sletting/sperring av opplysninger som ellers skal beholdes. Vedtaket kan klages inn for Personvernnemnda, jf § 42 siste ledd.
- Datatilsynets avgjørelser etter § 28 kan klages inn for Personvernnemnda. Videre klage kan skje til Kongen i statsråd dersom opplysningene behandles for historiske formål, se § 42 siste ledd.
