Datatilsynet behandlet i 1995 en sak som i hovedtrekk dreier seg om overføring av personopplysninger til USA. Det dreier seg om Sabre - et globalt reisereservasjonssystem som eies av American Airlines Inc.
Årsmelding 1995
Datatilsynet behandlet i 1995 en sak som i hovedtrekk dreier seg om overføring av personopplysninger til USA. Det dreier seg om Sabre - et globalt reisereservasjonssystem som eies av American Airlines Inc.
Sabre søkte om konsesjon for de reisebyråer som skal knytte seg opp til systemet og lagre personopplysninger om de reisende. Det innebærer overføring av personopplysningene til Sabres sentrale database som ligger i Oklahoma i USA. Basen inneholder opplysninger om reisemønster og andre reiserelaterte opplysninger til et stort antall personer. Datatilsynet har erfart at slike opplysninger gir informasjon som etterspørres til andre formål, både av offentlig og privat sektor. Det var derfor et hovedpoeng i Datatilsynets saksbehandling at opplysningene som overføres er lovbeskyttet.
LIKHETSTREKK MED AMADEUS
Saken har mange likhetstrekk med en tidligere sak; reisereservasjonssystemet Amadeus (beskrevet i Datatilsynets årsmelding for 1992). Forskjellen er at databasen Amadeus er lokalisert i München i Tyskland. Etter flere behandlinger i Datatilsynets styre, ble det gitt konsesjon til de reisebyråer som knyttet seg til dette reservasjonssystemet. Sentralt i vedtaket stod det faktum at mottakslandet (Tyskland) har ratifisert Europarådskonvensjonen og at mottakslandet har en tilfredsstillende personvernlovgivning.
På bakgrunn av dette vedtaket, avslo Datatilsynet søknaden fra Sabre, begrunnet blant annet med at USA ikke har ratifisert Europarådskonvensjonen (av 28. januar 1981) om personvern, og at det ikke ble dokumentert at staten Oklahoma (hvor den sentrale databasen er plassert) eller USA forøvrig har tilfredsstillende personvernlovgivning.
Datatilsynet er opptatt av hvilke personvernmessige konsekvenser som kan oppstå dersom personopplysninger overføres til et land som ikke har personvernlovgivning.
ANDRE INTERESSER
Det er påpekt at andre aktører enn de som besitter opplysningene kan ha interesse av dem. I tillegg til offentlige myndigheter, har Datatilsynet erfart at private aktører har interesse av opplysninger til for eksempel, markedsføring. Manglende lovgivning vil kunne føre til at opplysningene tillates brukt til andre formål enn det de er samlet inn for. Det er et sentralt prinsipp både i den norske personregisterloven og i Europarådskonvensjonen (se spesielt artikkel 5 i konvensjonen) at opplysninger ikke skal bli brukt til annet enn det de er samlet inn for. Sentrale rettigheter som den enkeltes innsynsrett og kontrollmuligheter for eksempel i forhold til sletting av opplysninger, er også rettigheter som vanskelig kan sikres dersom verken lovgivning eller kontrollmyndigheter kan bistå eventuelle krav.
Datatilsynets styre fremhevet spesielt muligheten for kontroll i forhold til andre land der man både har personvernlovgivning og en myndighet som forvalter loven. Norske myndigheter kan samarbeide med søsterorganisasjoner og be disse om å kontrollere eller behandle forespørsler og krav som kommer fra den registrerte.
Vedtaket ble påklaget.