OVEREENKOMST TUSSEN DE EUROPESE UNIE EN HET KONINKRIJK NOORWEGEN INZAKE DE DOORGIFTE VAN PERSOONSGEGEVENS VAN PASSAGIERS (PNR-GEGEVENS) MET HET OOG OP HET VOORKOMEN, OPSPOREN, ONDERZOEKEN EN VERVOLGEN VAN TERRORISTISCHE MISDRIJVEN EN ERNSTIGE CRIMINALITEIT

DE EUROPESE UNIE, hierna ook “de Unie” of “de EU” genoemd,

HET KONINKRIJK NOORWEGEN, hierna “Noorwegen” genoemd,

hierna gezamenlijk “de partijen” genoemd,

ERKENNENDE dat het van algemeen belang is om, bij het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en andere ernstige criminaliteit, de mensenrechten en fundamentele vrijheden, met name het recht op bescherming van het privéleven en gegevensbescherming, te eerbiedigen;

ERKENNENDE dat de uitwisseling van informatie een essentieel onderdeel is van de bestrijding van terroristische misdrijven en andere ernstige criminaliteit, en dat het gebruik van persoonsgegevens van passagiers (Passenger Name Record — PNR-gegevens) in dit verband een belangrijk instrument is;

ERKENNENDE dat het belangrijk is dat de PNR-gegevens en relevante en passende analytische informatie die overeenkomstig deze overeenkomst op PNR-gegevens is gebaseerd, worden gedeeld met de bevoegde politiële en justitiële autoriteiten van Noorwegen, de lidstaten van de Unie (lidstaten), Europol en Eurojust, teneinde de internationale politiële en justitiële samenwerking te bevorderen;

IN EEN STREVEN NAAR versterking en aanmoediging van de samenwerking tussen de partijen op het gebied van PNR-gegevens door middel van informatie-uitwisseling en technische samenwerking tussen nationale deskundigen van de lidstaten en de passagiersinformatie-eenheden (PIE’s) van de met de Schengenruimte geassocieerde landen, met name wat betreft de ontwikkeling van vooraf vastgestelde criteria en andere aspecten van de verwerking van PNR-gegevens;

GEZIEN Resoluties 2396 (2017) en 2482 (2019) van de Veiligheidsraad van de Verenigde Naties, die alle staten oproepen de capaciteit voor het verzamelen en verwerken van PNR-gegevens te ontwikkelen, en de normen en aanbevolen praktijken van de Internationale Burgerluchtvaartorganisatie voor het verzamelen, gebruiken, verwerken en beschermen van PNR-gegevens, die zijn aangenomen als wijziging 28 van bijlage 9 bij het Verdrag inzake de internationale burgerluchtvaart (het Verdrag van Chicago);

ERAAN HERINNEREND dat de partijen een gedeelde verantwoordelijkheid hebben om de interne veiligheid in het Schengengebied te waarborgen, onder meer door relevante informatie uit te wisselen, en dat deze overeenkomst de bevoegde autoriteiten van de partijen een doeltreffend instrument biedt om dat doel te bereiken met binnengrenzen in het Schengengebied zonder toezicht;

ERKENNENDE dat deze overeenkomst niet van toepassing moet zijn op op voorhand af te geven passagiersgegevens (API) die de luchtvaartmaatschappijen verzamelen en aan Noorwegen doorgeven voor grensbewakingsdoeleinden;

INDACHTIG de verbintenissen van de Unie op grond van artikel 6 van het Verdrag betreffende de Europese Unie, dat betrekking heeft op de grondrechten, het recht op bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens, op grond van artikel 16 van het Verdrag betreffende de werking van de Europese Unie, en de beginselen van evenredigheid en noodzakelijkheid met betrekking tot het recht op eerbiediging van het privéleven, en het familie- en gezinsleven, op eerbiediging van de persoonlijke levenssfeer en op bescherming van persoonsgegevens krachtens de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie overeenkomstig de desbetreffende jurisprudentie van het Hof van Justitie van de Europese Unie, artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en Verdrag nr. 108 van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens en aanvullend Protocol nr. 181 daarbij;

ERKENNENDE dat de doorgifte van PNR-gegevens door luchtvaartmaatschappijen aan Noorwegen krachtens de Noorse wetgeving verplicht is;

ERKENNENDE dat Richtlijn (EU) 2016/681 van het Europees Parlement en de Raad (1) de basis vormt voor de doorgifte van PNR-gegevens door luchtvaartmaatschappijen aan de bevoegde autoriteiten van de lidstaten. Samen met Verordening (EU) 2016/679 van het Europees Parlement en de Raad (2) en Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (3), biedt Richtlijn (EU) 2016/681 een hoog niveau van bescherming van de grondrechten, met name het recht op privacy en de bescherming van persoonsgegevens;

ERKENNENDE dat Noorwegen, overeenkomstig de Overeenkomst van 1999 met de Raad van de Europese Unie (4) inzake de wijze waarop Noorwegen wordt betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis, Richtlijn (EU) 2016/680 heeft aanvaard, uitgevoerd en toegepast, aangezien die richtlijn een ontwikkeling van het Schengenacquis vormt. Voorts, en gezien het feit dat de toepassing door Noorwegen van Richtlijn (EU) 2016/680 van toepassing is op de verwerking van persoonsgegevens in het kader van rechtsinstrumenten die deel uitmaken van het Schengenacquis, moet worden verduidelijkt dat de toepassing van Richtlijn (EU) 2016/680 door Noorwegen ook de verwerking van persoonsgegevens door bevoegde autoriteiten in het kader van deze overeenkomst omvat;

ERKENNENDE dat luchtvaartmaatschappijen die in de Unie zijn gevestigd of hun diensten aanbieden, verplicht zijn persoonsgegevens te verwerken overeenkomstig Verordening (EU) 2016/679, en dat die verordening ook van toepassing is in de Europese Economische Ruimte (EER), zoals ze is opgenomen in de EER-overeenkomst bij Besluit nr. 154/2018 van het Gemengd Comité van de EER van 6 juli 2018;

HERINNEREND aan het recht op vrij verkeer van personen in de Europese Economische Ruimte (EER), zoals bepaald in de artikel 1, lid 2, en de artikelen 28 en 31 van de EER-overeenkomst, en eraan herinnerend dat een nationaal systeem dat de doorgifte door luchtvaartmaatschappijen en de verwerking van PNR-gegevens door de bevoegde autoriteiten voorschrijft, de uitoefening van het vrije verkeer van personen kan belemmeren, en dat derhalve elke inmenging met de uitoefening van die vrijheid slechts gerechtvaardigd is indien zij gebaseerd is op objectieve overwegingen en evenredig is aan het nagestreefde legitieme doel,

ZIJN ALS VOLGT OVEREENGEKOMEN:

HOOFDSTUK I

ALGEMENE BEPALINGEN

Artikel 1

Doelstelling en toepassingsgebied

1. Deze overeenkomst heeft tot doel de doorgifte van persoonsgegevens van passagiers (PNR-gegevens) door luchtvaartmaatschappijen van de Unie aan Noorwegen mogelijk te maken en regels en voorwaarden vast te stellen voor de verwerking van die PNR-gegevens door Noorwegen.

2. Het doel van deze overeenkomst is ook de politiële en justitiële samenwerking tussen de Unie en Noorwegen op het gebied van PNR-gegevens te versterken.

3. Deze overeenkomst heeft betrekking op luchtvaartmaatschappijen die passagiersvluchten tussen de Unie en Noorwegen uitvoeren en op luchtvaartmaatschappijen die in de Unie zijn geregistreerd of daar gegevens opslaan en die passagiersvluchten naar of vanuit Noorwegen uitvoeren.

Artikel 2

Definities

Voor de toepassing van deze overeenkomst wordt verstaan onder:

1)	“luchtvaartmaatschappij”: een luchtvervoersonderneming met een geldige exploitatievergunning of een equivalent daarvan voor het luchtvervoer van passagiers tussen de Unie en Noorwegen;

2)	“bevoegde autoriteiten”: de overheidsinstanties die krachtens het Noorse nationale recht verantwoordelijk zijn voor het voorkomen, opsporen, onderzoeken of vervolgen van terroristische misdrijven of ernstige criminaliteit;

“passagier”: iedere persoon, met inbegrip van de transferpassagiers en transitpassagiers en met uitsluiting van de bemanningsleden, die met toestemming van de luchtvaartmaatschappij in een luchtvaartuig wordt vervoerd of zal worden vervoerd, en waarbij die toestemming blijkt uit de vermelding van die persoon op de passagierslijst;

4)	“Passagiersinformatie-eenheid van Noorwegen” of “Noorse PIE”: de autoriteit die is opgericht of aangewezen als verantwoordelijke voor het ontvangen en verwerken van PNR-gegevens door Noorwegen overeenkomstig artikel 6 van deze overeenkomst;

“passenger name record” of “PNR”: een bestand met de reisgegevens van iedere passagier, dat informatie bevat die de boekende en de deelnemende luchtvaartmaatschappijen nodig hebben om reserveringen te kunnen verwerken en controleren bij elke reis die door of namens iemand wordt geboekt; dit bestand kan zich bevinden in een reserveringssysteem, een vertrekcontrolesysteem dat wordt gebruikt bij het inchecken van passagiers op vluchten, of een soortgelijk systeem dat dezelfde functies vervult; voor de toepassing van deze overeenkomst omvatten PNR-gegevens specifiek de elementen die in de bijlage limitatief zijn opgesomd;

“ernstige criminaliteit”: de feiten die volgens het nationale recht van Noorwegen strafbaar zijn gesteld met een maximale vrijheidsstraf of een tot vrijheidsbeneming strekkende maatregel van ten minste drie jaar en die minstens een indirect objectief verband met het luchtvervoer van passagiers hebben;

“terroristisch misdrijf”:

een handelen of nalaten gepleegd met een politiek, religieus of ideologisch doel, oogmerk of motief, met de intentie de veiligheid van het publiek, ook wat economische zekerheid betreft, te ondermijnen, of met de intentie een persoon, regering of binnen- of buitenlandse organisatie te dwingen iets te doen of na te laten, en met dat handelen of nalaten opzettelijk:

i)	de dood of ernstig lichamelijk letsel toe te brengen;

ii)	het leven van een persoon in gevaar te brengen;

iii)	de gezondheid of de veiligheid van het publiek aan ernstig gevaar bloot te stellen;

iv)	aanzienlijke materiële schade toe te brengen die naar alle waarschijnlijkheid leidt tot het in de punten i), ii) en iii) bedoelde letsel, of

een ernstige verstoring of ontwrichting teweeg te brengen van een dienst, faciliteit of systeem van wezenlijk belang, anders dan door wettige of onwettige vormen van steunbetuiging, protest, dissidentie of werkonderbreking, zoals staking, die niet tot doel heeft het in de punten i), ii) en iii) bedoelde letsel te veroorzaken, of

b)	activiteiten die een strafbaar feit uitmaken zoals bedoeld en gedefinieerd in de toepasselijke internationale verdragen en protocollen inzake terrorisme, of

het welbewust deelnemen aan of bijdragen tot een activiteit, dan wel een persoon, groep of organisatie opdracht geven tot het uitvoeren van een activiteit, met als doel het vergroten van het vermogen van een terroristische entiteit om het in punt a) of punt b) bedoelde handelen of nalaten te faciliteren of te volvoeren, of

d)	het plegen van een strafbaar feit waarbij het handelen of nalaten waarin het strafbare feit bestaat, gepleegd is ten behoeve van, in opdracht van of in samenwerking met een terroristische entiteit, of

het verzamelen van middelen of het uitnodigen van een persoon, groep of organisatie om middelen te verstrekken, het verstrekken of het beschikbaar stellen van middelen of financiële of aanverwante diensten met het oog op het plegen van een handelen of nalaten als bedoeld in punt a) of punt b), of het gebruiken of bezitten van middelen met het oog op het plegen van een handelen of nalaten als bedoeld in punt a) of punt b), of

een poging tot handelen of nalaten als bedoeld in punt a) of punt b) of het dreigen met een dergelijk handelen of nalaten; het samenzweren, faciliteren, instrueren of advies verlenen in verband met een handelen of nalaten als bedoeld in punt a) of punt b), medeplichtigheid post factum of het onderdak bieden of verbergen, teneinde een terroristische entiteit in staat te stellen een handelen of nalaten als bedoeld in punt a) of punt b) te faciliteren of te volvoeren, of

reizen naar of vanuit Noorwegen of een lidstaat om een terroristisch misdrijf in de zin van punt a) of punt b) te plegen of daaraan bij te dragen, of om deel te nemen aan de activiteiten van een terroristische entiteit in de zin van lid 8, in de wetenschap dat die deelname zal bijdragen tot de criminele activiteiten van de terroristische entiteit.

“terroristische entiteit”:

a)	een persoon, groep of organisatie die zich onder meer ten doel stelt of als activiteit heeft het faciliteren of volvoeren van een handelen of nalaten als bedoeld in lid 7, punt a) of punt b), of

b)	een persoon, groep of organisatie die welbewust handelt namens, in opdracht van of in samenwerking met een persoon, groep of organisatie als bedoeld in punt a).

HOOFDSTUK II

DOORGIFTE VAN PNR-GEGEVENS

Artikel 3

Wijze en frequentie van de doorgifte

1. Noorwegen ziet erop toe dat de luchtvaartmaatschappijen de PNR-gegevens aan de Noorse PIE uitsluitend doorgeven op basis van een doorgifte van de vereiste PNR-gegevens in de database van de verzoekende autoriteit (“push”-methode), conform de volgende procedures die door de luchtvaartmaatschappijen moeten worden in acht genomen:

a)	langs elektronische weg, in overeenstemming met de technische vereisten van de Noorse PIE, of, in geval van technische problemen, met een ander passend middel dat een voldoende niveau van gegevensbeveiliging waarborgt;

b)	door gebruik te maken van een wederzijds aanvaard berichtenuitwisselingsformaat en op veilige wijze met gebruikmaking van gemeenschappelijke protocollen zoals vereist door de Noorse PIE;

c)	hetzij rechtstreeks, hetzij via gemachtigde agenten die namens en onder verantwoordelijkheid van een luchtvaartmaatschappij optreden met het oog op de doeleinden van en onder de voorwaarden vastgesteld bij deze overeenkomst.

2. Noorwegen verlangt van luchtvaartmaatschappijen niet dat zij PNR-gegevenselementen verstrekken die niet reeds worden verzameld of bewaard voor reserveringsdoeleinden of in het kader van hun normale bedrijfsvoering.

3. Noorwegen zorgt ervoor dat de Noorse PIE elk gegevenselement dat een luchtvaartmaatschappij overeenkomstig deze overeenkomst aan Noorwegen heeft doorgegeven, na ontvangst van de PNR-gegevens verwijdert, indien dat gegevenselement niet in de bijlage is vermeld.

4. Noorwegen ziet erop toe dat de Noorse PIE eist dat de luchtvaartmaatschappijen de PNR-gegevens doorgeven:

a)	op regelmatige basis, ten vroegste maximaal 48 uur voor de geplande vertrektijd, en

b)	ten hoogste vijfmaal voor elke afzonderlijke vlucht.

5. Noorwegen staat de luchtvaartmaatschappijen toe om de in lid 4, punt b), bedoelde doorgifte te beperken tot wijzigingen van de in dat lid, punt a), bedoelde PNR-gegevens.

6. Noorwegen ziet erop toe dat de Noorse PIE de luchtvaartmaatschappijen inlicht over de vastgestelde tijden waarop de doorgiften moeten plaatsvinden.

7. In specifieke gevallen, waarin er aanwijzingen zijn dat aanvullende toegang noodzakelijk is om een specifieke dreiging in verband met de in artikel 5 genoemde doeleinden af te wenden, kan de Noorse PIE verlangen dat een luchtvaartmaatschappij PNR-gegevens vóór de geplande doorgiften, tussen twee geplande doorgiften of na de laatste geplande doorgifte verstrekt. Bij de uitoefening van deze discretionaire bevoegdheid betracht Noorwegen behoedzaamheid en evenredigheid en schrijft Noorwegen het gebruik van de in lid 1 bedoelde wijze van doorgifte voor.

Artikel 4

API-PNR-router

1. De partijen kunnen besluiten dat Noorwegen luchtvaartmaatschappijen kan verplichten PNR-gegevens door te geven aan de Noorse PIE via de API-PNR-router die is opgezet overeenkomstig Verordening (EU) 2025/13 van het Europees Parlement en de Raad (5). In dat geval

a)	mag Noorwegen luchtvaartmaatschappijen niet verplichten PNR-gegevens op andere wijze door te geven;

b)	is Noorwegen gebonden door de regels inzake de werking en de voorwaarden voor het gebruik van een API-PNR-router zoals vastgesteld in Verordening (EU) 2025/13, in afwijking van artikel 3, leden 1, 4 en 6 van deze overeenkomst.

2. Noorwegen stelt de Unie in kennis van zijn verzoek om een API-PNR-router te gebruiken. Een dergelijk verzoek wordt door de Unie schriftelijk via diplomatieke kanalen aanvaard.

3. De Unie stelt Noorwegen langs diplomatieke weg schriftelijk in kennis van elke wijziging van Verordening (EU) 2025/13 die van invloed is op de regels inzake de werking van en de voorwaarden voor het gebruik van de API-PNR-router. Binnen 120 dagen na ontvangst van een dergelijke kennisgeving kan Noorwegen de Unie via diplomatieke kanalen schriftelijk in kennis stellen van zijn voornemen om het gebruik van die router stop te zetten. In dat geval treden de partijen in overleg als bedoeld in artikel 23, lid 1, en wordt artikel 3, leden 1, 4 en 6, opnieuw van toepassing.

HOOFDSTUK III

VERWERKING EN BESCHERMING VAN PNR-GEGEVENS

Artikel 5

Doeleinden van de verwerking van PNR-gegevens

Noorwegen ziet erop toe dat de PNR-gegevens die op basis van deze overeenkomst zijn ontvangen, uitsluitend worden verwerkt met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven of ernstige criminaliteit.

Artikel 6

Verwerkingswijze van PNR-gegevens

De Noorse PIE mag PNR-gegevens uitsluitend verwerken door middel van de volgende specifieke verwerkingswijzen:

het beoordelen van passagiers voorafgaand aan hun geplande aankomst in of vertrek uit Noorwegen om personen te identificeren die nader moeten worden onderzocht door de bevoegde autoriteiten, gezien het feit dat deze personen betrokken kunnen zijn bij een terroristisch misdrijf of ernstige criminaliteit overeenkomstig de realtimebeoordeling die wordt verricht uit hoofde van artikel 7;

b)	het doorzoeken van de databank van bewaarde PNR-gegevens om per geval te kunnen reageren op een overeenkomstig de artikelen 13 en 14 ingediend met redenen omkleed verzoek, en, in voorkomend geval, alle relevante PNR-gegevens of de resultaten van de verwerking ervan vrij te geven;

het analyseren van PNR-gegevens voor het bijstellen en testen van bestaande of het formuleren van nieuwe criteria die moeten worden gebruikt bij de beoordelingen die worden verricht uit hoofde van artikel 7, lid 1, punt b), om te bepalen welke personen betrokken zouden kunnen zijn bij een terroristisch misdrijf of bij ernstige criminaliteit.

Artikel 7

Realtimebeoordeling

1. Bij de verrichting van de in artikel 6, punt a), bedoelde beoordeling kan de Noorse PIE:

a)	PNR-gegevens uitsluitend vergelijken met databanken over gezochte of gesignaleerde personen of voorwerpen, in overeenstemming met de Unie-, internationale en nationale regels die op dergelijke databanken van toepassing zijn, en

b)	de PNR-gegevens verwerken overeenkomstig vooraf bepaalde criteria.

2. Noorwegen zorgt ervoor dat de in lid 1, punt a), van dit artikel bedoelde databanken niet-discriminerend, betrouwbaar en actueel zijn en beperkt zijn tot de databanken die door de bevoegde autoriteiten van Noorwegen worden gebruikt met betrekking tot artikel 5 en relevant zijn voor de in artikel 5 genoemde doeleinden.

3. Noorwegen zorgt ervoor dat elke beoordeling van PNR-gegevens als bedoeld in lid 1, punt b), van dit artikel gebaseerd is op niet-discriminerende, specifieke en betrouwbare vooraf vastgestelde modellen en criteria om de Noorse PIE in staat te stellen tot resultaten te komen die gericht zijn op personen ten aanzien van wie een redelijk vermoeden van betrokkenheid bij of deelname aan terroristische misdrijven of ernstige criminaliteit bestaat. Noorwegen zorgt ervoor dat deze criteria onder geen beding gebaseerd zijn op ras of etnische afstamming, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuiging, vakbondslidmaatschap, gezondheid, seksueel gedrag of seksuele gerichtheid van de betrokkene.

4. Noorwegen zorgt ervoor dat elke positieve overeenkomst die voortvloeit uit de realtimeverwerking van PNR-gegevens door de Noorse PIE afzonderlijk op niet-geautomatiseerde wijze wordt beoordeeld.

Artikel 8

Bijzondere categorieën van gegevens

1. Verwerking van PNR-gegevens waaruit ras of etnische afstamming, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuiging, of vakbondslidmaatschap blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn in het kader van deze overeenkomst verboden.

2. Voor zover de PNR-gegevens die de Noorse PIE in het kader van deze overeenkomst ontvangt, dergelijke bijzondere categorieën persoonsgegevens omvatten, wist de Noorse PIE deze gegevens onmiddellijk.

Artikel 9

Gegevensbeveiliging en -integriteit

1. Noorwegen zorgt ervoor dat de in het kader van deze overeenkomst ontvangen PNR-gegevens worden verwerkt op een wijze die een hoog niveau van gegevensbeveiliging waarborgt dat is afgestemd op de risico’s die de verwerking en de aard van de in het kader van deze overeenkomst ontvangen PNR-gegevens met zich meebrengen. Met name worden door de Noorse PIE:

a)	passende technische en organisatorische maatregelen en procedures ten uitvoer gelegd om een dergelijk beveiligingsniveau te waarborgen;

b)	de PNR-gegevens onderworpen aan procedures voor versleuteling, autorisatie en documentatie;

c)	de toegangsrechten tot PNR-gegevens beperkt tot daartoe gemachtigde personeelsleden, en

d)	de PNR-gegevens bewaard in een beveiligde fysieke omgeving die met toegangscontroles wordt beschermd.

2. Noorwegen ziet erop toe dat elke inbreuk op de gegevensbeveiliging, met name als die leidt tot accidentele of onwettige vernietiging, accidenteel verlies of accidentele wijziging, ongeoorloofde vrijgave of toegang, alsmede alle overige onwettige vormen van verwerking, strafbaar is met effectieve en ontradende corrigerende maatregelen.

3. Noorwegen meldt elke inbreuk op de gegevensbeveiliging aan de overeenkomstig artikel 41 van Richtlijn (EU) 2016/680 ingestelde nationale toezichthoudende autoriteit.

Artikel 10

Vastlegging en documentering van de verwerking van PNR-gegevens

1. De Noorse PIE legt elke verwerking van PNR-gegevens vast, en protocolleert deze. Noorwegen gebruikt deze vastlegging of protocollering uitsluitend:

a)	voor zelfevaluatie en controle van de wettigheid van de gegevensverwerking;

b)	om de gegevensintegriteit of systeemfunctionaliteit te waarborgen;

c)	om de veiligheid van de gegevensverwerking te waarborgen, en

d)	om de uitoefening van het toezicht op of de verantwoordingsplicht van de overheid te waarborgen.

2. De uit hoofde van lid 1 bijgehouden logbestanden of documentatie worden op verzoek meegedeeld aan de nationale toezichthoudende autoriteit, die deze informatie uitsluitend gebruikt voor het toezicht op de gegevensbescherming, en voor het waarborgen van een goede gegevensverwerking en de integriteit en beveiliging van de gegevens.

HOOFDSTUK IV

OPSLAG EN VRIJGAVE VAN PNR-GEGEVENS

Artikel 11

Opslagperioden

1. Noorwegen zorgt ervoor dat de in het kader van deze overeenkomst ontvangen PNR-gegevens worden opgeslagen:

a)	alleen zolang er een objectief, zelfs indirect, verband bestaat tussen de opgeslagen PNR-gegevens en ten minste één van de in artikel 5 genoemde doeleinden, en

b)	in ieder geval voor perioden van ten hoogste vijf jaar.

2. Op grond van lid 1 van dit artikel mag de Noorse PIE PNR-gegevens van alle luchtreizigers alleen opslaan gedurende een initiële periode die in haar nationale wetgeving moet worden vastgesteld. De duur van deze initiële periode mag niet verder gaan dan wat strikt noodzakelijk is om de PIE in staat te stellen de in artikel 6, punt b), bedoelde bevragingen uit te voeren met het oog op de identificatie van personen die nog niet zijn verdacht van betrokkenheid bij terroristische misdrijven of ernstige criminaliteit op basis van de realtimebeoordeling die wordt verricht uit hoofde van artikel 6, punt a).

3. Na de in lid 2 bedoelde initiële periode mag de Noorse PIE alleen PNR-gegevens opslaan met betrekking tot passagiers van wie er objectieve aanwijzingen zijn waaruit een risico in verband met terroristische misdrijven of ernstige criminaliteit kan blijken.

4. Noorwegen zorgt ervoor dat de Noorse PIE regelmatig nagaat of er behoefte is aan verdere opslag van PNR-gegevens overeenkomstig de leden 2 en 3 van dit artikel.

5. Bij het verstrijken van de passende opslagperiode zorgt Noorwegen ervoor dat PNR-gegevens op zodanige wijze onherroepelijk worden gewist of geanonimiseerd dat de betrokkenen niet langer identificeerbaar zijn.

6. In afwijking van lid 1, punt b), kan Noorwegen toestaan dat PNR-gegevens die nodig zijn voor toetsing, onderzoek, handhavingsmaatregelen, gerechtelijke procedures, vervolging of de tenuitvoerlegging van sancties, worden opgeslagen totdat het desbetreffende proces is afgerond.

Artikel 12

Depersonalisering

1. De Noorse PIE depersonaliseert PNR-gegevens uiterlijk zes maanden na ontvangst ervan. Daartoe worden de volgende gegevenselementen afgeschermd aan de hand waarvan de passagier op wie de PNR-gegevens betrekking hebben, rechtstreeks kan worden geïdentificeerd:

a)	naam/namen, waaronder de namen van andere passagiers in de PNR-gegevens en het aantal reizigers in de PNR-gegevens dat samen reist;

b)	adres en contactgegevens;

c)	alle betalingsinformatie, met inbegrip van het factuuradres, voor zover daarin informatie is vervat waaruit de identiteit van de passagier op wie de PNR-gegevens betrekking hebben of van andere personen rechtstreeks zou kunnen worden afgeleid;

d)	informatie betreffende reizigers die gebruikmaken van een loyaliteitsprogramma voor frequent rreizen (“frequent flyer”);

e)	algemene opmerkingen, voor zover deze informatie bevatten waaruit rechtstreeks de identiteit zou kunnen worden afgeleid van de passagier op wie de PNR-gegevens betrekking hebben, en

f)	verzamelde API-gegevens.

2. De Noorse PIE mag de in lid 1 van dit artikel bedoelde gegevenselementen alleen vrijgeven voor de doeleinden van artikel 5 en onder de voorwaarden van de artikel 13 of artikel 14.

Artikel 13

Vrijgave binnen Noorwegen

1. Bij het beantwoorden van een met redenen omkleed verzoek van een bevoegde autoriteit overeenkomstig artikel 6, punt b), geeft de Noorse PIE per geval PNR-gegevens of de resultaten van de verwerking ervan alleen vrij indien:

a)	een dergelijke vrijgave noodzakelijk is om een van de in artikel 5 genoemde doeleinden te verwezenlijken;

b)	het noodzakelijke minimum aan PNR-gegevens wordt vrijgegeven;

c)	de ontvangende bevoegde autoriteit waarborgen biedt die gelijkwaardig zijn aan de in deze overeenkomst vastgelegde waarborgen;

d)	de vrijgave wordt goedgekeurd door een rechterlijke instantie of een andere onafhankelijke instantie die krachtens het nationale recht bevoegd is om na te gaan of aan de voorwaarden voor vrijgave is voldaan.

2. In afwijking van lid 1, punt d), kan de Noorse PIE PNR-gegevens in naar behoren gemotiveerde urgentie zonder voorafgaande toetsing of goedkeuring vrijgeven. In dergelijke gevallen moet de in lid 1, punt b), bedoelde toetsing snel plaatsvinden.

3. Noorwegen zorgt ervoor dat de ontvangende bevoegde autoriteit geen PNR-gegevens aan een andere autoriteit vrijgeeft, tenzij de Noorse PIE uitdrukkelijk toestemming heeft gegeven voor de vrijgave.

Artikel 14

Vrijgave buiten Noorwegen en de EU

1. Bij het beantwoorden van een met redenen omkleed verzoek van een bevoegde autoriteit van andere landen dan de lidstaten overeenkomstig artikel 6, punt b), maakt de Noorse PIE per geval PNR-gegevens of de resultaten van de verwerking ervan alleen vrij indien:

a)	een dergelijke vrijgave noodzakelijk is om een van de in artikel 5 genoemde doeleinden te verwezenlijken;

b)	het noodzakelijke minimum aan PNR-gegevens wordt vrijgegeven;

het land aan de autoriteit waarvan de PNR-gegevens worden vrijgegeven, met de Unie een overeenkomst heeft gesloten die voorziet in een bescherming van persoonsgegevens die vergelijkbaar is met deze overeenkomst, of bij een besluit van de Europese Commissie op grond van het recht van de Unie is vastgesteld dat het betrokken land een passend niveau van gegevensbescherming in de zin van het recht van de Unie waarborgt;

d)	de vrijgave wordt goedgekeurd door een rechterlijke instantie of een andere onafhankelijke instantie die krachtens het nationale recht bevoegd is om na te gaan of aan de voorwaarden voor vrijgave is voldaan.

2. In afwijking van lid 1, punt c), kan de Noorse PIE PNR-gegevens met een ander land delen indien zij van oordeel is dat vrijgave noodzakelijk is voor het voorkomen of onderzoeken van een ernstige en imminente dreiging voor de openbare veiligheid, en indien dat land, op grond van een regeling, overeenkomst of anderszins, schriftelijk garandeert dat de informatie zal worden beschermd op een wijze die in overeenstemming is met de waarborgen beschreven in deze overeenkomst.

3. In afwijking van lid 1, punt d), kan de Noorse PIE PNR-gegevens in naar behoren gemotiveerde urgentie zonder voorafgaande toetsing en goedkeuring vrijgeven. In dergelijke gevallen moet de in lid 1 bedoelde toetsing snel plaatsvinden.

Artikel 15

Uitwisseling van PNR-gerelateerde informatie

1. De Noorse PIE verstrekt Europol of Eurojust, binnen de grenzen van hun respectieve mandaat, of de PIE's van de lidstaten zo spoedig mogelijk en wanneer dat in een specifieke zaak noodzakelijk is voor het voorkomen, opsporen, onderzoeken of vervolgen van terroristische misdrijven of ernstige criminaliteit, PNR-gegevens, de resultaten van de verwerking van die gegevens of op PNR-gegevens gebaseerde analytische informatie. De Noorse PIE deelt deze informatie op eigen initiatief of op verzoek van Europol of Eurojust, binnen de grenzen van hun respectieve mandaten, of van de PIE’s van de lidstaten.

2. De PIE’s van de lidstaten verstrekken de Noorse PIE zo spoedig mogelijk en wanneer dat in een specifieke zaak noodzakelijk is voor het voorkomen, opsporen, onderzoeken of vervolgen van terroristische misdrijven of ernstige criminaliteit, PNR-gegevens, de resultaten van de verwerking van die gegevens of op PNR-gegevens gebaseerde analytische informatie. De PIE’s van de lidstaten delen deze informatie op eigen initiatief of op verzoek van de Noorse PIE.

3. De partijen zien erop toe dat de in de leden 1 en 2 bedoelde informatie wordt gedeeld overeenkomstig de toepasselijke regels inzake samenwerking op het gebied van rechtshandhaving of informatie-uitwisseling tussen Noorwegen en Europol of Eurojust of de desbetreffende lidstaat. Met name vindt de uitwisseling van informatie met Europol uit hoofde van dit artikel plaats via een voor de uitwisseling van informatie gecreëerd beveiligd communicatiekanaal.

HOOFDSTUK V

GEGEVENSBESCHERMING

Artikel 16

Rechten en verplichtingen uit hoofde van Richtlijn (EU) 2016/680

1. Noorwegen zorgt ervoor dat het met betrekking tot de verwerking van persoonsgegevens door bevoegde autoriteiten voor de toepassing van deze overeenkomst dezelfde rechten en verplichtingen toepast als die waarin Richtlijn (EU) 2016/680 voorziet, met inbegrip van alle wijzigingen van die richtlijn die door Noorwegen zijn aanvaard en uitgevoerd overeenkomstig de Overeenkomst tussen de Raad van de Europese Unie en IJsland en Noorwegen inzake de wijze waarop IJsland en Noorwegen worden betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis.

2. Op de verwerking van persoonsgegevens door de Noorse PIE wordt toezicht gehouden door een onafhankelijke toezichthoudende autoriteit die is opgericht overeenkomstig de uitvoering en toepassing door Noorwegen van Richtlijn (EU) 2016/680, met inbegrip van alle wijzigingen daarvan die door Noorwegen zijn aanvaard en uitgevoerd overeenkomstig de Overeenkomst tussen de Raad van de Europese Unie en IJsland en Noorwegen inzake de wijze waarop IJsland en Noorwegen worden betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis.

3. Dit artikel laat de toepassing van eventuele meer specifieke bepalingen in deze overeenkomst betreffende de verwerking van persoonsgegevens onverlet.

Artikel 17

Transparantie en informatie

1. Noorwegen ziet erop toe dat de Noorse PIE op haar website de volgende informatie beschikbaar stelt:

a)	een lijst van de wetgeving op grond waarvan de doorgifte van PNR-gegevens door luchtvaartmaatschappijen is toegestaan;

b)	de reden voor het verzamelen en opslaan van PNR-gegevens;

c)	de wijze waarop PNR-gegevens worden verwerkt en beschermd;

d)	de wijze waarop en de mate waarin de gegevens mogen worden vrijgegeven aan andere bevoegde autoriteiten, en

e)	contactgegevens voor inlichtingen.

2. Noorwegen werkt samen met belanghebbende derde partijen, zoals de luchtvaart- en luchtreissector, om bij boeking transparantie te bevorderen inzake het doel waarvoor PNR-gegevens worden verzameld en verwerkt, en inzake de mogelijkheden om toegang tot en rectificatie van die gegevens te vragen en beroep in te stellen.

3. Indien PNR-gegevens die overeenkomstig artikel 11 worden bewaard, zijn vrijgegeven overeenkomstig artikel 13 of artikel 14, levert Noorwegen redelijke inspanningen om de betrokken passagiers door middel van de overeenkomstig artikel 13, lid 2, punt d), van Richtlijn (EU) 2016/680 vastgestelde werkwijzen in kennis te stellen binnen een redelijke termijn wanneer een dergelijke kennisgeving de onderzoeken door de betrokken overheidsinstanties niet meer in gevaar kan brengen en voor zover de desbetreffende contactgegevens van de passagiers beschikbaar zijn of met redelijke inspanning kunnen worden achterhaald.

HOOFDSTUK VI

SLOTBEPALINGEN

Artikel 18

Kennisgevingen

1. Noorwegen stelt de Unie langs diplomatieke weg schriftelijk in kennis van de gegevens van de volgende autoriteiten:

a)	de Noorse PIE als bedoeld in artikel 2, lid 4;

b)	de in artikel 9, lid 3, genoemde nationale toezichthoudende autoriteit.

2. Noorwegen meldt onverwijld alle wijzigingen in de in lid 1 bedoelde informatie.

3. De Unie maakt de in de leden 1 en 2 bedoelde informatie toegankelijk voor het publiek.

Artikel 19

Inwerkingtreding

1. Deze overeenkomst wordt door de partijen goedgekeurd volgens hun eigen procedures.

2. Deze overeenkomst treedt in werking op de eerste dag van de maand volgende op de datum van ontvangst van de schriftelijke kennisgeving waarmee Noorwegen de Unie in kennis heeft gesteld van de in artikel 18, lid 1, bedoelde autoriteiten of van de schriftelijke kennisgevingen waarmee de partijen elkaar via diplomatieke kanalen ervan in kennis hebben gesteld dat de in lid 1 van dit artikel bedoelde procedures zijn voltooid, indien dat later is.

Artikel 20

Beslechting van geschillen en opschorting van de toepassing

1. De partijen beslechten alle geschillen betreffende de interpretatie, de toepassing of de uitvoering van deze overeenkomst via overleg om tot een wederzijds aanvaardbare oplossing te komen, waarbij onder meer aan beide partijen de mogelijkheid wordt geboden binnen een redelijke termijn aan hun verplichtingen te voldoen.

2. Iedere partij kan de toepassing van deze overeenkomst geheel of gedeeltelijk opschorten na schriftelijke kennisgeving aan de andere partij via diplomatieke kanalen. Een dergelijke schriftelijke kennisgeving vindt pas plaats nadat de partijen binnen een redelijke termijn overleg hebben gepleegd. De opschorting wordt van kracht twee maanden na ontvangst van deze kennisgeving, tenzij de partijen anders overeenkomen.

3. De partij die de toepassing van deze overeenkomst heeft opgeschort, stelt de andere partij onverwijld in kennis van de datum waarop deze overeenkomst opnieuw van toepassing wordt, zodra zij van oordeel is dat de redenen voor de opschorting zijn vervallen. De opschortende partij stelt de andere partij daarvan schriftelijk in kennis.

4. Noorwegen blijft de voorwaarden van deze overeenkomst toepassen ten aanzien van alle PNR-gegevens die het vóór opschorting van de toepassing van de overeenkomst heeft ontvangen.

Artikel 21

Opzegging

1. Deze overeenkomst kan te allen tijde door een van de partijen worden opgezegd door middel van een schriftelijke kennisgeving langs diplomatieke weg. De opzegging wordt drie maanden na de datum van de kennisgeving van kracht.

2. Indien een van de partijen overeenkomstig dit artikel kennisgeeft van de opzegging, beslissen de partijen welke maatregelen nodig zijn om ervoor te zorgen dat de in het kader van deze overeenkomst opgezette samenwerking op passende wijze wordt afgerond.

3. Noorwegen blijft de voorwaarden van deze overeenkomst toepassen ten aanzien van alle PNR-gegevens die het vóór opzegging van de toepassing van de overeenkomst heeft ontvangen.

Artikel 22

Wijzigingen

1. Deze overeenkomst kan te allen tijde met wederzijdse instemming van de partijen worden gewijzigd. De wijziging van deze overeenkomst wordt van kracht overeenkomstig artikel 19.

2. De bijlage bij deze overeenkomst kan met wederzijdse instemming van de partijen worden geactualiseerd door middel van een schriftelijke kennisgeving die langs diplomatieke weg wordt uitgewisseld. Deze actualiseringen treden in werking op de in artikel 19, lid 2, bedoelde datum.

Artikel 23

Raadpleging en evaluatie

1. De partijen plegen overleg over kwesties in verband met het toezicht op de uitvoering van deze overeenkomst. Zij stellen elkaar in kennis van elke maatregel die gevolgen heeft voor deze overeenkomst.

2. De partijen voeren een gezamenlijke evaluatie uit van de uitvoering van deze overeenkomst indien een van beide partijen daarom verzoekt en daartoe gezamenlijk wordt besloten. Bij deze evaluatie besteden de partijen bijzondere aandacht aan de noodzakelijkheid en evenredigheid van de verwerking van PNR-gegevens voor elk van de in artikel 5 genoemde doeleinden. De partijen nemen vooraf een besluit over de wijze waarop dergelijke evaluaties worden uitgevoerd.

Artikel 24

Territoriaal toepassingsgebied

1. Deze overeenkomst is van toepassing op het grondgebied van de Unie overeenkomstig het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, en op het grondgebied van Noorwegen.

2. Uiterlijk op de datum van inwerkingtreding van deze overeenkomst stelt de Unie Noorwegen in kennis van de lidstaten op het grondgebied waarvan deze overeenkomst van toepassing is. Zij kan vervolgens te allen tijde kennisgeving doen van wijzigingen.

Deze overeenkomst is in tweevoud opgesteld in de Bulgaarse, de Deense, de Duitse, de Engelse, de Estse, de Finse, de Franse, de Griekse, de Hongaarse, de Ierse, de Italiaanse, de Kroatische, de Letse, de Litouwse, de Maltese, de Nederlandse, de Poolse, de Portugese, de Roemeense, de Sloveense, de Slowaakse, de Spaanse, de Tsjechische, de Zweedse en de Noorse taal, waarbij alle teksten gelijkelijk authentiek zijn. In geval van verschillen tussen de teksten van deze overeenkomst heeft de Engelse tekst voorrang.

TEN BLIJKE WAARVAN de ondergetekende gevolmachtigden, daartoe naar behoren gemachtigd, deze overeenkomst hebben ondertekend.

(1) Richtlijn (EU) 2016/681 van het Europees Parlement en de Raad van 27 april 2016 over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit (PB EU L 119 van 4.5.2016, blz. 132, ELI: http://data.europa.eu/eli/dir/2016/681/oj).

(2) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB EU L 119 van 4.5.2016, blz. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(3) Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB EU L 119 van 4.5.2016, blz. 89, ELI: http://data.europa.eu/eli/dir/2016/680/oj).

(4) Overeenkomst tussen de Raad van de Europese Unie de Republiek IJsland en het Koninkrijk Noorwegen inzake de wijze waarop IJsland en Noorwegen worden betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis (PB EU L 176 van 10.7.1999, blz. 36, ELI: http://data.europa.eu/eli/agree_internation/1999/439(1)/oj).

(5) Verordening (EU) 2025/13 van het Europees Parlement en de Raad van 19 december 2024 betreffende de verzameling en de doorgifte van advance passenger information met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit, en tot wijziging van Verordening (EU) 2019/818 (PB EU L, 2025/13, 8.1.2025, ELI: http://data.europa.eu/eli/reg/2025/13/oj).