Lagring av elevmapper

Jeg ser at en del kommuner lagrer elevmapper i ephorte i "åpen" sone ("kontorsonen"), I disse elevmappene finnes blant annet utredninger fra PPT og en del helseopplysninger som skannes inn siden de er "helelektroniske". I mitt hodet skurrer det at dette kan lagres utenfor sikker sone. I en presentasjon som Evry hadde for KDRS i 2011 så sier de selv at dette løses ved å ha en ephortebase i hver sone. Jeg ser også at Datatilsynet i en del tilsyn tidligere har påpekt at behandling av sensitiv informasjon bør foregå i sikker sone. Dette i samsvar med det de skriver i veilederen fra 2011: https://www.datatilsynet.no/globalassets/global/04_veiledere/sikkerhetsarkitektur_veil.pdf

Har noen av dere noe erfaring med denne problemstillingen? Gjør kommunene feil eller har det vært noen endringer av lovverk, tekniske løsninger ... som gjør at det jeg betrakter som sensistive og helseopplysningsdata kan lagres i "kontorsonen"?