Daarvoor bestond op EU-vlak immers geen wettelijk kader : de richtlijn gegevensbescherming (95/46/EG) is een instrument onder de eerste pijler en laat dergelijke transfers niet toe, terwijl het kaderbesluit gegevensbescherming onder de derde pijler op het ogenblik dat de Overeenkomst afgesloten werd, nog in volle onderhandeling was (dit kaderbesluit handelt echter enkel over het beschermen en doorgeven van persoonsgegevens die ingewonnen worden in het kader van de politiële en justitiële samenwerking).
En effet, il n'existait précédemment au niveau de l'UE aucun cadre légal autorisant ces transferts: la directive sur la protection des données (95/46/CE) est un instrument relevant du premier pilier qui n'autorise pas pareils transferts, tandis que la décision-cadre sur la protection des données relevant du troisième pilier était encore en pleine procédure de négociations au moment où l'Accord fut conclu (cette décision-cadre porte toutefois exclusivement sur la protection et le transfert de données personnelles recueillies dans le cadre de la coopération policière et judiciaire).
