Lov om behandling av personopplysninger (personopplysningsloven) av 14. april 2000 nr. 31 gjennomførte direktiv 95/46/EF om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (personverndirektivet). Loven regulerer blant annet adgangen til å overføre personopplysninger fra Norge til andre stater. Hovedregelen er at personopplysninger bare kan overføres til mottakere i stater som sikrer en forsvarlig behandling av opplysningene, jf. § 29 i loven. Direktivet gir Kommisjonen myndighet til å forhandle og inngå avtaler med stater utenfor EØS-området som i utgangspunktet ikke oppfyller kravene til behandling av personopplysninger. Vedtak 2004/535/EF om overføring av passasjeropplysninger til USA ble godkjent av Rådet 17. mai 2004.

Norge, representert ved Datatilsynet, deltar i det forberedende arbeidet i den komiteen som bistår Kommisjonen (artikkel 29-gruppen), og reserverte seg ikke mot rettsakten før vedtaket trådte i kraft i EU. Norge var da iflg. regelverket forpliktet til å gi tiltakene anvendelse samtidig med EU-landene, jf. EØS-komiteens beslutning nr. 83/1999.

Norge har et nært samarbeid med EU og USA om tiltak mot internasjonal terrorisme, både i internasjonale fora og bilateralt. Avtalen mellom EU og USA om utveksling av passasjeropplysninger er inngått i forlengelsen av dette nære samarbeidet. Grunnleggende personvernprinsipp er at det ikke skal samles inn og lagres flere personopplysninger enn det som er nødvendig for et formål, at slike opplysninger ikke skal lagres lengre enn det som er nødvendig, at tilgangen til personopplysningene skal begrenses og at overføringen av personopplysninger skal stå i forhold til formålet. Artikkel 29-gruppen (en ekspertgruppe under Kommisjonen) påpekte personvernhensyn som etter deres syn ikke var helt ut ivaretatt i rettsakten, og disse hensyn ble tatt med i Kommisjonens videre behandling av saken. Kommisjonens forhandlere oppnådde vesentlige innrømmelser i forhold til kravene som opprinnelig ble fremsatt fra USAs side. Konsekvensene ved ikke å akseptere rettsakten ville være betydelige for EØS-samarbeidet, flyselskap og reisende til USA – uten at gevinster for personvernet av denne grunn ville kunne oppnås.

Beslutningen faller inn under nåværende § 6-1 i personopplysningsforskriften, og det er derfor ikke nødvendig å supplere personopplysningsloven eller forskriften i dette tilfellet.

Sakkyndige instansers merknader
Kommisjonsvedtaket har vært forelagt Finansdepartementet, Justisdepartementet, Samferdselsdepartementet og Utenriksdepartementet. Ingen av departementene hadde merknader til Moderniseringsdepartementets fremstilling og vurdering av saken. Moderniseringsdepartementet har derfor gitt sin tilslutning.