EUROPA-KOMMISSIONEN Strasbourg, den 13.12.2022 COM(2022) 729 final 2022/0424(COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om indsamling og overførsel af forhåndsinformation om passagerer (API) med henblik på at forbedre og lette kontrollen ved de ydre grænser, om ændring af forordning (EU) 2019/817 og forordning (EU) 2018/1726 og om ophævelse af Rådets direktiv 2004/82/EF {SEC(2022) 444 final} - {SWD(2022) 421 final} - {SWD(2022) 422 final} - {SWD(2022) 423 final}



BEGRUNDELSE 1.BAGGRUND FOR FORSLAGET •Forslagets begrundelse og formål I de seneste årtier har der været en stigning i antallet af personer, der rejser med fly, samt i effektivitetsdrevne innovationer, som resulterer i større fly og fører til et behov for mere effektive passagerstrømme i lufthavne. I 2019 rapporterede Organisationen for International Civil Luftfart (ICAO), at der på verdensplan blev befordret 4,5 mia. passagerer med ruteflyvning, og at der rejser over en halv milliard passagerer ind i eller ud af EU hvert år, hvilket lægger pres på de ydre luftgrænser. Behandlingen af forhåndsinformation om passagerer (API) som fastsat i det nuværende API-direktiv og dette forslag er et grænseforvaltningsredskab, der bidrager til effektiviteten af ind- og udrejsekontrollen ved at lette og fremskynde klareringen af rejsende samt et instrument til bekæmpelse af ulovlig indvandring. API-oplysninger er et sæt identitetsoplysninger om passagererne i deres rejsedokumenter kombineret med flyoplysninger, der bliver indsamlet ved indtjekningen og overført til grænsemyndighederne i bestemmelseslandet. Da disse myndigheder modtager API-oplysninger forud for et flys ankomst, kan de i overensstemmelse med den gældende lovgivning screene rejsende i forhold til risikoprofiler, overvågningslister og databaser og dermed fremskynde grænsekontrollen for personer, der rejser i god tro, og bruge flere ressourcer og tid på at identificere rejsende, der kræver yderligere efterforskning ved ankomsten. Oprettelsen af systemer til indsamling og overførsel af API-oplysninger har siden 2017 været en international standard i henhold til konventionen angående international civil luftfart (Chicagokonventionen). I EU er dette reguleret af API-direktivet. Direktivet pålægger luftfartsselskaberne en forpligtelse til efter anmodning at overføre API-oplysninger til grænsemyndighederne i bestemmelseslandet forud for flyets start. Det pålægger dog ikke medlemsstaterne en forpligtelse til at anmode luftfartsselskaberne om API-oplysninger, hvilket skaber huller og uoverensstemmelser i den måde, hvorpå data indsamles og anvendes, idet nogle få medlemsstater systematisk indsamler API-oplysninger, mens andre ikke gør det. I gennemsnit anslås det for alle medlemsstater tilsammen, at API-oplysninger indsamles for 65 % af de indgående flyvninger. Dette skaber en situation, hvor det er let for personer, der ønsker at undgå kontrol, at omgå ruter, hvor API-oplysninger konsekvent indsamles, og i stedet rejse til deres bestemmelsessted via flyruter, hvor API-oplysninger anvendes mindre hyppigt eller slet ikke. Den nylige evaluering af API-direktivet viste, at selv når medlemsstaterne anmoder om API-oplysninger, anvender deres nationale myndigheder ikke altid API-oplysninger på en konsekvent måde. API-oplysninger gør det faktisk muligt for grænsevagterne at foretage forudgående kontrol af passagerernes identitet og gyldigheden af det anvendte rejsedokument i de databaser, der er omhandlet i Schengengrænsekodeksen. Det er imidlertid ikke alle medlemsstater, der anvender API-oplysningerne til forudgående kontrol i de databaser, der er fastsat i Schengengrænsekodeksen. Irland, som ikke deltager i Schengengrænsekodeksen, anvender tilsvarende national lovgivning. Dette vil ikke ændre sig som følge af den foreslåede forordning. API-direktivet fastsætter kun begrænsede kriterier for indsamling, overførsel og behandling af API-oplysninger for så vidt angår flydækning med henblik på indsamling af oplysninger, de dataelementer, der skal indsamles, eller midlerne til at indsamle oplysninger — som ikke tager hensyn til udviklingen i internationale standarder og retningslinjer for indsamling af API-oplysninger. Dette fører til meget forskellige praksisser, som ikke blot hæmmer effektiviteten af ind- og udrejsekontrollen, men også udgør en yderligere byrde for luftfartsselskaber, der skal overholde forskellige krav afhængigt af de ruter, hvorpå de transporterer passagerer, og den medlemsstat, der anmoder om API-oplysninger.Tilpasning af indsamlingen og overførslen af API-oplysninger til disse internationale API-datastandarder vil sikre, at luftfartsindustrien overholder API-kravene. En effektiv anvendelse af API-oplysninger kræver, at dataene er nøjagtige, fuldstændige og ajourførte. Hvis identitetsdata ikke er pålidelige og verificerede, hvilket undertiden ikke er tilfældet i dag, vil krydskontrol i databaser ikke give pålidelige operationelle resultater. Da onlineindtjekning er blevet en almindelig praksis i de seneste 20 år, bliver API-oplysninger fra et rejsedokument i stigende grad transskriberet manuelt eller "selvdeklareret" af passagererne. Ufuldstændige, ukorrekte eller forældede API-oplysninger, der overføres til nationale myndigheder, kan føre til smuthuller i de former for kontrol, som grænsemyndighederne kan foretage, og i sidste ende berøre rejsende, som kan blive genstand for ukorrekt og unødvendig kontrol. Behovet for at sikre, at de indsamlede API-oplysninger er af tilstrækkelig kvalitet, hænger nøje sammen med de midler, der anvendes af luftfartsselskaberne til at sikre, at de relevante indsamlede API-oplysninger svarer til de oplysninger, der vises på rejsedokumenter. Den nuværende API-ramme foreskriver ikke midler til indsamling af API-oplysninger fra rejsende. I modsætning til manuelt transskriberede oplysninger vil automatisk indsamling af data føre til færre problemer med kvaliteten og en mere effektiv anvendelse af API-oplysninger, hvilket også vil bidrage til at reducere den tid, som de kompetente grænsemyndigheder bruger på deres interaktion med transportvirksomhederne. Revisionen af den nuværende retlige ramme for indsamling og overførsel af API-oplysninger giver derfor mulighed for at forbedre forvaltningen af de ydre grænser og bekæmpelsen af ulovlig indvandring. Dette sker ved at bidrage til at sikre, at alle personer, der rejser med fly fra et tredjeland eller en medlemsstat, der ikke deltager i den foreslåede forordning, til Unionen (nærmere bestemt til de stater, der deltager i Schengenområdet uden kontrol ved de indre grænser ("Schengenområdet"), samt Irland), dvs. tredjelandsstatsborgere, statsløse personer og EU-borgere, kan forhåndstjekkes med API-oplysninger forud for deres ankomst, og at medlemsstaterne anvender ensartede kriterier for sådan indsamling og overførsel med henblik på kontrol ved de ydre grænser og bekæmpelse af ulovlig indvandring. Ved at lette passagerstrømmene i lufthavne og fremskynde grænsekontrollen bidrager dette forslag til at sikre, at der effektivt kan foretages systematisk kontrol af alle flypassagerer i overensstemmelse med gældende lovgivning. •Sammenhæng med de gældende regler på samme område Dette forslag imødekommer behovet for fælles regler for indsamling og overførsel af API-oplysninger med henblik på grænseforvaltning og bekæmpelse af ulovlig indvandring, hvilket hænger sammen med eksistensen af Schengenområdet og indførelsen af fælles regler for personers passage af de ydre grænser. Dette forslag er i overensstemmelse med forpligtelserne i Schengengrænsekodeksen for personkontrol ved de ydre grænser. Den foreslåede forordning indgår i det bredere landskab af de store EU-informationssystemer, der har udviklet sig betydeligt siden vedtagelsen af API-direktivet i 2004. Desuden indeholder de strategiske retningslinjer, som Det Europæiske Råd vedtog i juni 2014, en udvidelse af de procedurer, der gennemføres af grænsevagterne ved de ydre grænser, for at øge effektiviteten af kontrollen forud for grænsekontrolstedet og begrænse de negative virkninger ved grænserne. Dette omfatter bl.a. Schengeninformationssystemet (SIS), visuminformationssystemet (VIS) og Eurodac. Derudover befinder tre nye systemer sig i øjeblikket i udviklingsfasen, nemlig ind- og udrejsesystemet (EES), det europæiske system vedrørende rejseinformation og rejsetilladelse (ETIAS) og det centraliserede system til indkredsning af medlemsstater, der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og statsløse personer (ECRIS-TCN-systemet). Alle disse nuværende og fremtidige systemer er forbundet gennem interoperabilitetsrammen for EU's informationssystemer for sikkerhedsadministration og grænse- og migrationsforvaltning, der blev vedtaget i 2019, og som i øjeblikket er ved at blive indført. De revisioner, der indgår i dette forslag, tager hensyn til interoperabilitetsrammen. Den foreslåede router undgår navnlig overlapning af tekniske komponenter ved at dele komponenter af ETIAS-gatewayfaciliteten for transportvirksomheder. ETIAS-gatewayfaciliteten for transportvirksomheder giver transportvirksomheder de tekniske midler til at søge i ETIAS-systemet på status for tredjelandsstatsborgere, der er fritaget for visumpligt, og som rejser til medlemsstaterne. Den foreslåede forordning sikrer, at de forskellige dataprocesser differentieres og holdes strengt adskilt, og at de adgangsrettigheder, der er fastsat i de forskellige EU-instrumenter, respekteres. Desuden kæder den foreslåede forordning arbejdet i eu-LISA's eksisterende rådgivende gruppe for ind- og udrejsesystemet og ETIAS sammen med det fremtidige arbejde med API, hvilket skaber effektivitet og stordriftsfordele ved at undgå overlapning af arbejdsgrupper. Som forklaret ovenfor skal den ind- og udrejsekontrol, som reglerne i den foreslåede forordning har til formål at lette og forbedre, gennemføres i henhold til Schengengrænsekodeksen, hvor det er relevant, eller i henhold til national ret. Desuden vil generelt gældende EU-retsakter finde anvendelse i overensstemmelse med de betingelser, der er fastsat heri. For så vidt angår behandling af personoplysninger gælder dette navnlig for den generelle forordning om databeskyttelse (GDPR) og EU's forordning om databeskyttelse. Disse retsakter berøres ikke af dette forslag. Anvendelsen af ovennævnte EU-retsakter betyder, at medlemsstaterne gennemfører EU-retten som omhandlet i chartrets artikel 51, stk. 1, hvilket betyder, at chartrets regler også finder anvendelse på behandlingen af API-oplysninger, der modtages i henhold til denne forordning. Navnlig skal reglerne i disse EU-retsakter fortolkes i lyset af chartret. ICAO's retningslinjer for maskinlæsbare rejsedokumenter er gennemført i forordning (EF) nr. 2019/1157 om styrkelse af sikkerheden ved unionsborgeres identitetskort og forordning (EF) nr. 2252/2004 om standarder for sikkerhedselementer og biometriske identifikatorer i pas. Disse forordninger er forløbere til at muliggøre en automatiseret udtrækning af fuldstændige data af høj kvalitet fra rejsedokumenter. Den foreslåede forordning vil fortsat være en del af Schengenreglerne. API-oplysningerne vil fortsat blive modtaget og yderligere behandlet af medlemsstaternes kompetente grænsemyndigheder udelukkende med henblik på grænseforvaltning og bekæmpelse af ulovlig indvandring, hvortil API-oplysningerne blev indsamlet i henhold til den foreslåede forordning. Dette forslag er tæt forbundet med forslaget til forordning om indsamling og overførsel af API-oplysninger til forebyggelse, afsløring, efterforskning og retsforfølgning af terrorhandlinger og grov kriminalitet, for så vidt som begge forslag indeholder lignende bestemmelser om listen over API-dataelementer, automatisk indsamling af API-oplysninger og overførsel af oplysninger til routeren. 2.RETSGRUNDLAG, NÆRHEDSPRINCIPPET OG PROPORTIONALITETSPRINCIPPET

•Retsgrundlag For nærværende forslag til forordning om indsamling og overførsel af API-oplysninger med henblik på grænseforvaltning og bekæmpelse af ulovlig indvandring er det relevante retsgrundlag artikel 77, stk. 2, litra b) og d), og artikel 79, stk. 2, litra c), i traktaten om Den Europæiske Unions funktionsmåde (TEUF) i betragtning af formålet med og foranstaltningerne i denne forordning. I henhold til artikel 77, stk. 2, litra b), i TEUF har Unionen beføjelse til at vedtage foranstaltninger vedrørende personkontrol ved passage af de ydre grænser, og i henhold til litra d) har Unionen beføjelse til at vedtage alle nødvendige foranstaltninger til gradvis indførelse af en integreret forvaltning af de ydre grænser. I henhold til artikel 79, stk. 2, litra c), i TEUF har Unionen beføjelse til at vedtage foranstaltninger vedrørende ulovlig indvandring. På denne måde sikres der overensstemmelse med det nuværende API-direktiv, som er baseret på de samme bestemmelser. •Nærhedsprincippet Da TEUF udtrykkeligt giver Unionen beføjelse til at udvikle en fælles politik for den kontrol, som personer, der passerer de ydre grænser, skal underkastes, er dette et klart mål, der skal forfølges på EU-plan. Samtidig er dette et område med delt kompetence mellem EU og medlemsstaterne. Behovet for fælles regler for indsamling og overførsel af API-oplysninger til grænseforvaltning og bekæmpelse af ulovlig indvandring hænger navnlig sammen med oprettelsen af Schengenområdet og indførelsen af fælles regler for personers passage af de ydre grænser, navnlig Schengengrænsekodeksen, uden at dette berører Irlands særlige stilling. I den forbindelse berører en medlemsstats beslutninger andre medlemsstater, og det er derfor nødvendigt at have fælles og klare regler og operationel praksis på dette område. Effektiv kontrol ved de ydre grænser kræver en sammenhængende tilgang i hele Schengenområdet, herunder muligheden for forudgående kontrol af rejsende med API-oplysninger. Behovet for en EU-indsats vedrørende API-oplysninger på nuværende tidspunkt skyldes også den seneste lovgivningsmæssige udvikling vedrørende forvaltningen af Schengenområdets ydre grænser, navnlig: –Interoperabilitetsforordningen fra 2019 vil muliggøre systematisk kontrol af personer, der passerer de ydre grænser, i forhold til alle tilgængelige og relevante oplysninger i EU's centrale informationssystemer for sikkerhed, grænse- og migrationsforvaltning. Oprettelsen af en centraliseret mekanisme for overførsel af API-oplysninger på EU-plan er en logisk fortsættelse af dette koncept. I overensstemmelse med begreberne i interoperabilitetsforordningerne kan den centraliserede overførsel af API-oplysninger i fremtiden føre til, at disse data anvendes til at søge i forskellige databaser (SIS, Europoloplysninger) via den europæiske søgeportal. –Ved de ydre grænser vil anvendelsen af API-oplysninger effektivt supplere den forestående gennemførelse af det europæiske system vedrørende rejseinformation og rejsetilladelse (ETIAS) og ind- og udrejsesystemet (EES). Brugen af API-oplysninger vil fortsat være nødvendig for forvaltningen af de ydre grænser, da det forhåndsinformerer grænsevagterne om, hvorvidt en rejsende rent faktisk er gået om bord på et fly og er ved at rejse ind i Schengenområdet, og dermed letter den grænsekontrol, der vil finde sted, når den rejsende ankommer til de ydre grænser. •Proportionalitetsprincippet I henhold til proportionalitetsprincippet, som er fastsat i artikel 5, stk. 4, i TEU, er der behov for at afpasse arten og intensiteten af en given foranstaltning efter det konstaterede problem. Alle de problemer, der behandles i dette lovgivningsinitiativ, kræver på den ene eller anden måde lovgivning på EU-plan, der sætter medlemsstaterne i stand til at tackle disse problemer effektivt uden at gå ud over, hvad der er nødvendigt for at løse disse problemer. Med dette forslag vil de retlige rammer for indsamling og overførsel af API-oplysninger med henblik på forvaltning af de ydre grænser og bekæmpelse af ulovlig indvandring blive styrket. Det vil styrke API-oplysningerne som et instrument, der forbedrer forhåndskontrollen af rejsende ved de ydre grænser, og dermed bidrage ikke blot til effektiviteten af selve kontrollen, men også til at bekæmpe ulovlig indvandring, navnlig i forbindelse med grænseoverskridende flyrejser og luftfartsselskabernes ansvar i denne henseende. I overensstemmelse med internationale standarder og anbefalet praksis vil dette forslag kræve, at luftfartsselskaberne indsamler og overfører API-oplysninger for alle flyvninger til Unionen som defineret i forslaget. Forpligtelserne i dette forslag er begrænset til, hvad der er nødvendigt for at nå dette mål. Mere specifikt fastsætter dette forslag klare regler, bl.a. om, hvad der udgør API-oplysninger, om hvilke luftfartsselskaber der skal indsamle API-oplysninger og om overførslen heraf. Ved hjælp af en forordning vil dette forslag fastlægge en konsekvent tilgang til anvendelsen af API-oplysninger til forvaltning af de ydre grænser og bekæmpelse af ulovlig indvandring. En sådan standardisering af API-kravene på tværs af medlemsstaterne vil bidrage til øget retssikkerhed og forudsigelighed og dermed også til øget overholdelse fra luftfartsselskabernes side. Proportionaliteten sikres yderligere gennem flere elementer i den foreslåede forordning, såsom begrænsningen til kun at omfatte indgående flyvninger, målretning af kravet om at anvende automatiserede midler til kun at omfatte visse API-oplysninger og garantier med hensyn til måden og formålet med behandlingen af API-oplysninger. Ifølge forslaget til forordning skal der oprettes en router, der skal fungere som et enkelt forbindelsespunkt mellem medlemsstaterne og luftfartsselskaberne i overensstemmelse med internationale anbefalinger, og det fastlægger en EU-tilgang til indsamling og overførsel af API-oplysninger. Overførsel af API-oplysninger gennem routeren vil reducere omkostningerne for luftfartsindustrien og sikre, at grænsevagterne har hurtig og problemfri adgang til API-oplysninger, som de har brug for i forbindelse med avanceret grænsekontrol. Denne tilgang vil drastisk reducere antallet af forbindelser, der skal etableres og opretholdes fra medlemsstaternes perspektiv. Omvendt vil dette gøre det mindre kompliceret for luftfartsselskaberne at opretholde forbindelserne med de kompetente grænsemyndigheder og skabe stordriftsfordele. Et EU-agentur, nemlig eu-LISA, vil være ansvarligt for udformning, udvikling, hosting og teknisk forvaltning af routeren. Overførslen af API-oplysninger gennem routeren vil understøtte overvågningen af flyvninger og dermed mindske sandsynligheden for, at et luftfartsselskab ikke har overholdt forpligtelsen til at meddele API-oplysninger som foreskrevet i dette forslag. •Valg af retsakt Der foreslås en forordning. Som vurderet i den konsekvensanalyse, der ledsager dette forslag, og i betragtning af behovet for, at de foreslåede foranstaltninger finder direkte anvendelse og anvendes ensartet i medlemsstaterne, er en forordning det mest hensigtsmæssige valg af retsakt. 3.RESULTATER AF EFTERFØLGENDE EVALUERINGER, HØRINGER AF INTERESSEREDE PARTER OG KONSEKVENSANALYSER •Efterfølgende evalueringer af gældende lovgivning Evalueringen af API-direktivet viste, at begrundelsen for at indsamle API-oplysninger og overføre dem til de kompetente grænsemyndigheder stadig er gældende 15 år efter direktivets ikrafttræden. Direktivets nuværende mål, navnlig forbedring af grænsekontrollen, som igen også kan bidrage til at bekæmpe irregulær migration, er fortsat yderst relevante for de pågældende interessenters og samfundenes behov. Desuden blev indsamling og overførsel af API-oplysninger også fundet relevant for at lette lovlig rejseaktivitet.

Evalueringen viste, at den manglende harmonisering i gennemførelsen af direktivet er en hindring for dets effektivitet og sammenhæng. Som følge af de minimumskrav, der er fastsat i direktivet, viser gennemførelsen af API-systemer og den faktiske anvendelse af API-oplysninger et fragmenteret billede. Desuden førte den mulighed, der er overladt til medlemsstaterne i forbindelse med anvendelsen af API-oplysninger til retshåndhævelsesformål, uden at der gives en klar definition af dette formål eller fastlægges en ramme, til en usammenhængende gennemførelse på nationalt plan. Evalueringen viste også uoverensstemmelser med andre EU-instrumenter, der skaber operationelle udfordringer i praksis og usikkerhed for de berørte parter, navnlig de registrerede. Kravene til beskyttelse af personoplysninger i API-direktivet er ikke helt på linje med den seneste udvikling på området. Desuden er API-direktivet ikke fuldt ud i overensstemmelse med de internationale lovgivningsmæssige rammer for passageroplysninger, navnlig for så vidt angår datafelter og transmissionsstandarder. Evalueringen fremhævede en række mangler i forbindelse med API-direktivet, nemlig manglen på i) standardisering og harmonisering, ii) visse databeskyttelsesgarantier og iii) klar tilpasning til den seneste politiske og retlige udvikling på EU-plan. Disse elementer påvirker direktivets indvirkning, skaber en byrde for interessenterne og medfører en vis grad af retsusikkerhed, både for luftfartsselskaber, der indsamler og overfører API-oplysninger, for de kompetente grænsemyndigheder, der modtager og viderebehandler dem, og i sidste ende for passagererne. Resultaterne af evalueringen støttede udarbejdelsen af konsekvensanalysen og dette forslag. •Høringer af interessenter Udarbejdelsen af dette forslag omfattede en bred vifte af høringer af berørte interessenter, herunder medlemsstaternes myndigheder (kompetente grænsemyndigheder, passageroplysningsenheder), repræsentanter for transportsektoren og individuelle luftfartsselskaber. EU-agenturer — såsom Det Europæiske Agentur for Grænse- og Kystbevogtning (Frontex), EU's Agentur for Retshåndhævelsessamarbejde (Europol), EU's Agentur for den Operationelle Forvaltning af Store IT-systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) og EU's Agentur for Grundlæggende Rettigheder (FRA) — gav også input i lyset af deres mandat og ekspertise. Dette initiativ integrerer også de synspunkter og tilbagemeldinger, som blev modtaget under den offentlige høring, der blev gennemført i slutningen af 2019 inden for rammerne af evalueringen af API-direktivet. Høringsaktiviteter i forbindelse med udarbejdelsen af konsekvensanalysen til støtte for dette forslag indsamlede feedback fra interessenter ved hjælp af forskellige metoder. Disse aktiviteter omfattede bl.a. en indledende konsekvensanalyse, en ekstern støtteundersøgelse og en række tekniske workshopper. Der blev offentliggjort en indledende konsekvensanalyse med henblik på feedback fra den 5. juni 2020 til den 14. august 2020 med i alt syv bidrag med feedback om udvidelsen af anvendelsesområdet for det fremtidige API-direktiv, datakvalitet, sanktioner, forholdet mellem API- og PNR-oplysninger og beskyttelse af personoplysninger. Den eksterne støtteundersøgelse blev gennemført på grundlag af skrivebordsundersøgelser, interviews og undersøgelser med eksperter på emneområdet, som undersøgte forskellige mulige foranstaltninger til behandling af API-oplysninger med klare regler, der letter lovlig rejseaktivitet, er i overensstemmelse med EU-informationssystemernes interoperabilitet, EU's krav til beskyttelse af personoplysninger og andre eksisterende EU-instrumenter og internationale standarder. Kommissionens tjenestegrene afholdt også en række uformelle tekniske workshopper med eksperter fra medlemsstaterne og de associerede Schengenlande. Formålet med disse workshopper var at samle eksperter med henblik på en udveksling af synspunkter om de tilgængelige muligheder for at styrke den fremtidige API-ramme med henblik på grænseforvaltning og bekæmpelse af ulovlig indvandring samt bekæmpelse af kriminalitet og terrorisme. Den ledsagende konsekvensanalyse indeholder en mere detaljeret beskrivelse af høringen af interessenter (bilag 2). •Konsekvensanalyse I overensstemmelse med retningslinjerne for bedre regulering gennemførte Kommissionen en konsekvensanalyse som fremlagt i det ledsagende arbejdsdokument fra Kommissionens tjenestegrene. Udvalget for Forskriftskontrol gennemgik udkastet til konsekvensanalyse på mødet den 28. september 2022 og afgav en positiv udtalelse den 30. september 2022. I betragtning af de problemer, der blev konstateret i forbindelse med indsamling og overførsel af API-oplysninger, evaluerede konsekvensanalysen de politiske løsningsmodeller vedrørende omfanget af indsamlingen af API-oplysninger til ovennævnte formål sammen med mulighederne for at forbedre kvaliteten af API-oplysninger. Med hensyn til indsamling af API-oplysninger til forvaltning af de ydre grænser og bekæmpelse af ulovlig indvandring omfattede konsekvensanalysen indsamling af API-oplysninger om alle indgående flyvninger uden for Schengenområdet på den ene side og indsamling af API-oplysninger om alle indgående og udgående flyvninger uden for Schengenområdet på den anden side. Desuden blev der i konsekvensanalysen også overvejet muligheder for at forbedre kvaliteten af API-oplysninger — enten at indsamle API-oplysninger ved hjælp af automatiserede og manuelle midler eller at indsamle API-oplysninger udelukkende ved hjælp af automatiserede midler. Da det fuldstændige API-datasæt genereres, når passagererne befinder sig om bord på et fly, vil grænsevagterne først modtage API-oplysningerne efter den fysiske udrejsekontrol af de rejsende og undersøgelsen af deres pas og dermed for sent til at støtte grænsevagternes arbejde, og derfor blev muligheden for at indsamle API-oplysninger om alle relevante indgående og udgående flyvninger ikke valgt som en del af den foretrukne løsning. På grundlag af resultaterne i konsekvensanalysen omfatter den foretrukne løsningsmodel for et API-instrument til disse formål indsamling af API-oplysninger om alle relevante indgående flyvninger, idet luftfartsselskaberne kun indsamler visse API-oplysninger automatisk. En kombination af disse muligheder vil forbedre medlemsstaternes kapacitet til at anvende API-oplysninger til effektivt at foretage forudgående kontrol af flyrejsende forud for deres ankomst til de ydre grænser. En standardisering af kravene til indsamling og overførsel af API-oplysninger vil øge luftfartsindustriens overholdelse af kravene, da den vil stå over for de samme krav i alle medlemsstater. Mere pålidelige og verificerede API-oplysninger, herunder API-oplysninger, der indsamles automatisk, vil gøre det muligt at identificere rejsende med høj risiko og sikre en hurtigere lettelse af kontrollen ved de ydre grænser og kontrollen af passagerer ved ankomsten. Forslaget er i overensstemmelse med det mål om klimaneutralitet, der er fastsat i den europæiske klimalov, og med Unionens 2030- og 2040-mål. I konsekvensanalysen blev der også overvejet — og forkastet — muligheder såsom indsamling af API-oplysninger fra andre transportmidler såsom sø-, jernbane- og bustransportoperatører. Konsekvensanalysen fastslog, at der allerede findes EU-regler og internationale regler, der kræver, at søtransportvirksomheder på forhånd overfører passageroplysninger til medlemsstaternes grænsemyndigheder på ind- og udgående ruter. En yderligere EU-forpligtelse for søtransportoperatører til at overføre API-oplysninger ville derfor være overflødig. Sammenlignet med lufttransportsektoren er indsamlingen af passagerdata mere udfordrende for landtransportoperatører såsom tog eller bus (manglende indtjekningsprocesser, ingen systematisk udstedelse af personelbilletter) og ville kræve store investeringer i operatørernes fysiske infrastruktur med betydelige konsekvenser for deres økonomiske model og for passagererne. Beslutningen om ikke at medtage disse aspekter i dette forslag til forordning berører ikke praksis i nogle medlemsstater, der anmoder om passageroplysninger om jernbaneforbindelser på grundlag af national lovgivning, forudsat at de er i overensstemmelse med EU-retten. •Grundlæggende rettigheder og beskyttelse af personoplysninger Dette initiativ indeholder bestemmelser om behandling af rejsendes personoplysninger og begrænser derfor udøvelsen af den grundlæggende ret til beskyttelse af personoplysninger, der er sikret ved artikel 8 i EU's charter om grundlæggende rettigheder ("chartret") og artikel 16 i TEUF. Som understreget af EU-Domstolen er retten til beskyttelse af personoplysninger ikke en absolut rettighed, men enhver begrænsning skal tages i betragtning i forhold til dens funktion i samfundet og opfylde kriterierne i chartrets artikel 52, stk. 1. Beskyttelse af personoplysninger er også tæt forbundet med respekten for retten til privatlivets fred som en del af retten til privatliv og familieliv, der er beskyttet ved chartrets artikel 7. Luftfartsselskabernes forpligtelse til at indsamle API-oplysninger om alle rejsende, der passerer de ydre grænser, og efterfølgende overføre disse API-oplysninger via routeren til de kompetente grænsemyndigheder er i overensstemmelse med målet om at bidrage til at sikre, at forudgående kontrol ved de ydre grænser foretages effektivt og virkningsfuldt af alle rejsende, der rejser ind i medlemsstaterne, hvilket også bidrager til målet om at bekæmpe ulovlig indvandring. De kompetente grænsemyndigheder træffer ingen afgørelser udelukkende på grundlag af API-oplysninger, men dette forslag vil gøre det muligt for grænsemyndighederne at tilrettelægge deres aktiviteter på forhånd og lette indrejse for bona fide-passagerer og afsløring af andre passagerer. Indgrebet i ovennævnte grundlæggende rettigheder er begrænset til, hvad der er strengt nødvendigt for at nå de nævnte mål, navnlig ved at begrænse indsamlingen af identitetsoplysninger til oplysninger i rejsendes rejsedokument og ved at begrænse omfanget af behandlingen til det nødvendige minimum, herunder med hensyn til den periode, hvor personoplysningerne opbevares. Luftfartsselskabernes obligatoriske brug af automatiserede metoder til indsamling af API-oplysninger fra rejsende kan medføre yderligere risici med hensyn til beskyttelse af personoplysninger. Disse er imidlertid blevet begrænset og afbødet. For det første gælder kravet kun for visse API-oplysninger, hvor automatiserede midler skal anvendes ansvarligt med hensyn til maskinlæsbare data om rejsendes dokumenter. For det andet indeholder den foreslåede forordning krav vedrørende de automatiserede metoder, der skal anvendes, som skal uddybes yderligere i en delegeret retsakt. Endelig er der fastsat en række garantier, såsom logning, specifikke regler om beskyttelse af personoplysninger og effektivt tilsyn.

Dette forslag omfatter også yderligere og specifikke garantier for at sikre overholdelse af chartret, herunder med hensyn til sikkerheden i forbindelse med behandling af personoplysninger, sletning og formålsbegrænsning og rejsendes ret til information. Selv om den foreslåede forordning — bortset fra den bestemmelse, der sikrer overholdelse af princippet om formålsbegrænsning — ikke regulerer de kompetente grænsemyndigheders anvendelse af de API-oplysninger, de modtager i henhold hertil, da dette allerede er omfattet af anden lovgivning (Schengengrænsekodeksen, lovgivningen om beskyttelse af personoplysninger, chartret), skal det af klarhedshensyn erindres i betragtningerne, at en sådan anvendelse ikke må føre til nogen forskelsbehandling, der er udelukket i henhold til chartrets artikel 21. 4.VIRKNINGER FOR BUDGETTET Dette lovgivningsinitiativ om indsamling og overførsel af API-oplysninger med henblik på at lette kontrollen ved de ydre grænser vil have indvirkning på eu-LISA's og medlemsstaternes kompetente grænsemyndigheders budget og personalebehov. For eu-LISA anslås det, at der vil være behov for et yderligere budget på ca. 45 mio. EUR (33 mio. EUR under den nuværende FFR) til oprettelse af routeren og 9 mio. EUR om året fra 2029 og fremefter til den tekniske forvaltning heraf, og at der vil være behov for ca. 27 yderligere stillinger for at sikre, at eu-LISA har de nødvendige ressourcer til at udføre de opgaver, det er blevet pålagt i denne foreslåede forordning og i forslaget til forordning om indsamling og overførsel af API-oplysninger til forebyggelse, afsløring, efterforskning og retsforfølgning af terrorhandlinger og grov kriminalitet. For medlemsstaterne anslås det, at 27 mio. EUR (8 mio. EUR under den nuværende flerårige finansielle ramme), der er afsat til opgradering af de nødvendige nationale systemer og infrastrukturer for grænseforvaltningsmyndigheder, og gradvist op til 5 mio. EUR om året fra 2028 og fremefter til vedligeholdelse heraf, kan være berettiget til godtgørelse fra fonden for instrumentet for finansiel støtte til grænseforvaltning og visumpolitik. En sådan ret skal i sidste ende fastlægges i overensstemmelse med de regler, der regulerer disse fonde, samt reglerne om omkostninger i den foreslåede forordning. I betragtning af den tætte forbindelse mellem dette forslag til forordning og forslaget til forordning om indsamling og overførsel af API-oplysninger til forebyggelse, afsløring, efterforskning og retsforfølgning af terrorhandlinger og grov kriminalitet, navnlig for så vidt angår overførsel af API-oplysninger til routeren, er finansieringsoversigten i bilaget til denne foreslåede forordning identisk i begge forslag. 5.ANDRE FORHOLD •Planer for gennemførelsen og foranstaltninger til overvågning, evaluering og rapportering Kommissionen vil sikre, at der er truffet de nødvendige foranstaltninger til at overvåge, hvordan de foreslåede foranstaltninger fungerer, og evaluere dem i forhold til de vigtigste politiske mål. Fire år efter idriftsættelsen af den foreslåede forordning og derefter hvert fjerde år forelægger Kommissionen en rapport for Europa-Parlamentet og Rådet med en vurdering af gennemførelsen af forordningen og dens merværdi. Rapporten skal også rapportere om enhver direkte eller indirekte indvirkning på relevante grundlæggende rettigheder. Den skal gennemgå de opnåede resultater set i forhold til målene og vurdere de grundlæggende princippers fortsatte gyldighed og eventuelle konsekvenser for fremtidige muligheder. Den obligatoriske karakter af forpligtelsen til at indsamle API-oplysninger og indførelsen af routeren vil give et klarere billede af både luftfartsselskabernes indsamling og overførsel af API-oplysninger og medlemsstaternes efterfølgende anvendelse af API-oplysninger i overensstemmelse med gældende national lovgivning og EU-lovgivning. Dette vil støtte Europa-Kommissionen i dens evaluerings- og håndhævelsesopgaver ved at forsyne Kommissionen med pålidelige statistikker om mængden af overførte data og om de flyvninger, for hvilke der vil blive anmodet om API-oplysninger. •Variabel geometri Dette forslag bygger på og udvikler Schengenreglerne vedrørende de ydre grænser, idet det vedrører passage af de ydre grænser. Der bør derfor tages hensyn til følgende konsekvenser i forhold til protokol (nr. 19) om Schengenreglerne som integreret i Den Europæiske Union, der er knyttet som bilag til TEU og til TEUF, samt protokol (nr. 22) om Danmarks stilling, der er knyttet som bilag til TEU og til TEUF. Forslaget er omfattet af de foranstaltninger i Schengenreglerne, som Irland deltager i, jf. artikel 6, stk. 2, i Rådets afgørelse 2002/192/EF af 28. februar 2002 om anmodningen fra Irland om at deltage i visse bestemmelser i Schengenreglerne. Irlands deltagelse i dette forslag vedrører specifikt Unionens ansvar for at træffe foranstaltninger til udvikling af de bestemmelser i Schengenreglerne om bekæmpelse af ulovlig indvandring, som Irland deltager i. Irland deltager navnlig i betragtning af, at der i artikel 1, stk. 1, i Rådets afgørelse er indsat en henvisning til artikel 26 i konventionen om gennemførelse af Schengenkonventionen vedrørende luftfartsselskabers ansvar over for udlændinge, der nægtes indrejse, og udlændinges besiddelse af de krævede rejsedokumenter. Irland deltager i hele forslaget til forordning. I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til traktaten om Den Europæiske Union (TEU) og til TEUF, deltager Danmark ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Danmark, når den er vedtaget. Inden seks måneder efter Rådet har truffet foranstaltning om den foreslåede forordning til udbygning af Schengenreglerne, træffer Danmark afgørelse om, hvorvidt det vil gennemføre dette forslag i sin nationale lovgivning, jf. artikel 4 i protokollen. For så vidt angår Cypern, Bulgarien, Rumænien og Kroatien udgør den foreslåede forordning en retsakt, der bygger på Schengenreglerne eller på anden måde har tilknytning dertil, jf. henholdsvis artikel 3, stk. 1, i tiltrædelsesakten af 2003, artikel 4, stk. 1, i tiltrædelsesakten af 2005 og artikel 4, stk. 1, i tiltrædelsesakten af 2011. For så vidt angår Island, Norge, Schweiz og Liechtenstein vil den foreslåede forordning udgøre en udvikling af bestemmelser i Schengenreglerne som omhandlet i deres respektive associeringsaftaler. •Nærmere redegørelse for de enkelte bestemmelser i forslaget Kapitel 1 indeholder de generelle bestemmelser for denne forordning, begyndende med regler om dens genstand og anvendelsesområde. Det indeholder også en liste over definitioner. Kapitel 2 indeholder bestemmelser om indsamling og overførsel af API-oplysninger, nemlig et klart sæt regler for luftfartsselskabers indsamling af API-oplysninger, regler for overførsel af API-oplysninger til routeren, kompetente grænsemyndigheders behandling af API-oplysninger og luftfartsselskabers og disse myndigheders lagring og sletning af API-oplysninger.

Kapitel 3 indeholder bestemmelser om overførsel af API-oplysninger gennem routeren. Det indeholder mere specifikt bestemmelser, der beskriver routerens vigtigste karakteristika, regler for brugen af routeren, proceduren for overførsel af API-oplysninger fra routeren til de kompetente grænsemyndigheder, sletning af API-oplysninger fra routeren, opbevaring af logfiler og procedurerne i tilfælde af, at det er helt eller delvist teknisk umuligt at anvende routeren. Kapitel 4 indeholder en række specifikke bestemmelser om beskyttelse af personoplysninger. Mere specifikt præciseres det, hvem de dataansvarlige og databehandleren i forbindelse med behandling af API-oplysninger, der udgør personoplysninger i henhold til denne forordning. Det fastsætter også de foranstaltninger, der kræves af eu-LISA for at garantere databehandlingssikkerheden i overensstemmelse med bestemmelserne i forordning (EU) 2018/1725. Det fastsætter de foranstaltninger, som luftfartsselskaberne og de kompetente grænsemyndigheder skal træffe for at sikre deres egenkontrol med overholdelsen af de relevante bestemmelser i denne forordning og regler om revisioner. Kapitel 5 regulerer visse specifikke spørgsmål vedrørende routeren. Det indeholder krav om forbindelser til de kompetente grænsemyndigheders og luftfartsselskabers router. Det fastsætter også eu-LISA's opgaver i forbindelse med udformning og udvikling af, hosting og teknisk forvaltning af og andre støtteopgaver i forbindelse med routeren. Kapitlet indeholder desuden bestemmelser om de omkostninger, som eu-LISA og medlemsstaterne skal afholde i henhold til denne forordning, navnlig for så vidt angår medlemsstaternes forbindelser til og integration med routeren. Det indeholder også bestemmelser om erstatningsansvar for skader, der forvoldes routeren, om routerens idriftsættelse og om luftfartsselskabers mulighed for frivilligt at benytte routeren på visse betingelser. Kapitel 6 indeholder bestemmelser om tilsyn, mulige sanktioner over for luftfartsselskaber for manglende overholdelse af deres forpligtelser som fastsat i denne forordning, regler om eu-LISA's statistiske rapportering og om Kommissionens udarbejdelse af en praktisk håndbog. Kapitel 7 regulerer virkningerne for andre EU-retsakter. Mere specifikt indeholder den bestemmelserne om ophævelse af direktiv 2004/82/EF og de nødvendige ændringer af andre eksisterende instrumenter, nemlig forordning (EU) 2018/1726 og forordning (EU) 2019/817. Kapitel 8 indeholder de afsluttende bestemmelser i denne forordning, som vedrører vedtagelse af delegerede retsakter og gennemførelsesretsakter, overvågning og evaluering af denne forordning samt dens ikrafttræden og anvendelse. 2022/0424 (COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om indsamling og overførsel af forhåndsinformation om passagerer (API) med henblik på at forbedre og lette kontrollen ved de ydre grænser, om ændring af forordning (EU) 2019/817 og forordning (EU) 2018/1726 og om ophævelse af Rådets direktiv 2004/82/EF EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR — under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 77, stk. 2, litra b) og d), og artikel 79, stk. 2, litra c), under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg, efter den almindelige lovgivningsprocedure, og ud fra følgende betragtninger: 1)Gennemførelsen af personkontrol ved de ydre grænser bidrager væsentligt til at garantere Unionens, medlemsstaternes og borgernes sikkerhed på lang sigt og er som sådan fortsat en vigtig sikkerhedsforanstaltning, navnlig i området uden kontrol ved de indre grænser ("Schengenområdet"). En effektiv kontrol ved de ydre grænser, der foretages i overensstemmelse med navnlig Europa-Parlamentets og Rådets forordning (EU) 2016/399, hvor det er relevant, bidrager til at bekæmpe ulovlig indvandring og forebygge trusler mod medlemsstaternes indre sikkerhed, offentlige orden, folkesundhed og internationale forbindelser. 2)Anvendelsen af oplysninger om rejsende og flyinformation, der er overført forud for de rejsendes ankomst, kendt som forhåndsoplysninger om passagerer ("API-oplysninger"), bidrager til at fremskynde processen med at foretage de krævede kontroller under grænsepassagen. I denne forordning vedrører denne proces mere specifikt grænsepassage mellem på den ene side et tredjeland eller en medlemsstat, der ikke deltager i denne forordning og på den anden side en medlemsstat, der deltager i denne forordning. En sådan anvendelse styrker kontrollen ved disse ydre grænser ved at give tilstrækkelig tid til, at der kan foretages detaljeret og omfattende kontrol af alle rejsende, uden at det har en uforholdsmæssig negativ indvirkning på personer, der rejser i god tro. Af hensyn til effektiviteten af kontrollen ved de ydre grænser bør der derfor fastlægges en passende retlig ramme for at sikre, at medlemsstaternes kompetente grænsemyndigheder ved sådanne overgangssteder ved de ydre grænser har adgang til API-oplysninger, inden de rejsende ankommer. 3)Den eksisterende retlige ramme for API-oplysninger, som består af Rådets direktiv 2004/82/EF og national lovgivning til gennemførelse af dette direktiv, har vist sig at være vigtig for at forbedre grænsekontrollen, navnlig ved at etablere en ramme for medlemsstaternes indførelse af forpligtelser for luftfartsselskaber til at overføre API-oplysninger om passagerer, der transporteres til deres område. Der er dog stadig forskelle på nationalt plan. Navnlig anmodes luftfartsselskaberne ikke systematisk om API-oplysninger, og luftfartsselskaberne stilles over for forskellige krav med hensyn til, hvilken type oplysninger der skal indsamles, og under hvilke betingelser API-oplysningerne skal overføres til de kompetente grænsemyndigheder. Disse forskelle fører ikke blot til unødvendige omkostninger og komplikationer for luftfartsselskaberne, men er også til hinder for at sikre en effektiv forudgående kontrol af personer, der ankommer til de ydre grænser.

4)Den eksisterende retlige ramme bør derfor ajourføres og erstattes for at sikre, at reglerne for indsamling og overførsel af API-oplysninger med henblik på at forbedre og lette effektiviteten af ind- og udrejsekontrollen ved de ydre grænser og for at bekæmpe ulovlig indvandring er klare, harmoniserede og effektive. 5)For så vidt muligt at sikre en konsekvent tilgang på internationalt plan og i lyset af de regler for indsamling af API-oplysninger, der finder anvendelse på dette niveau, bør den ajourførte retlige ramme, der fastlægges ved denne forordning, tage hensyn til den relevante praksis, der er internationalt aftalt med luftfartsindustrien og inden for rammerne af Verdenstoldorganisationen, Den Internationale Luftfartssammenslutning og Organisationen for International Civil Luftfarts retningslinjer for forhåndsinformation om passagerer. 6)Indsamling og overførsel af API-oplysninger påvirker fysiske personers privatliv og indebærer behandling af personoplysninger. For fuldt ud at respektere de grundlæggende rettigheder, navnlig retten til respekt for privatliv og retten til beskyttelse af personoplysninger i overensstemmelse med Den Europæiske Unions charter om grundlæggende rettigheder ("chartret"), bør der fastsættes passende begrænsninger og garantier. Navnlig bør enhver behandling af API-oplysninger og navnlig API-oplysninger, der udgør personoplysninger, fortsat være begrænset til, hvad der er nødvendigt for og står i rimeligt forhold til at nå de mål, der forfølges med denne forordning. Desuden bør det sikres, at API-oplysninger, der indsamles og overføres i henhold til denne forordning, ikke fører til nogen form for forskelsbehandling, som er i strid med chartret. 7)For at nå målene bør denne forordning finde anvendelse på alle luftfartsselskaber, der foretager flyvninger til Unionen som defineret i denne forordning, og som omfatter både regelmæssige og ikkeregelmæssige flyvninger, uanset hvor de luftfartsselskaber, der gennemfører disse flyvninger, er etableret. 8)Af hensyn til effektiviteten og retssikkerheden bør de oplysninger, der tilsammen udgør de API-oplysninger, der skal indsamles og efterfølgende overføres i henhold til denne forordning, angives klart og udtømmende og omfatte både oplysninger om hver enkelt rejsende og oplysninger om den rejsendes fly. Sådanne flyveoplysninger bør omfatte oplysninger om grænseovergangsstedet for indrejse på den pågældende medlemsstats område i alle de tilfælde, der er omfattet af denne forordning, men disse oplysninger bør kun indsamles, hvor det er relevant i henhold til forordning (EU) [API-retshåndhævelse], dvs. ikke når API-oplysningerne vedrører flyvninger inden for EU. 9)For at give mulighed for fleksibilitet og innovation bør det i princippet overlades til hvert luftfartsselskab at bestemme, hvordan det opfylder sine forpligtelser med hensyn til indsamling af API-oplysninger som fastsat i denne forordning. I betragtning af at der findes passende teknologiske løsninger, der gør det muligt automatisk at indsamle visse API-oplysninger, samtidig med at det sikres, at de pågældende API-oplysninger er nøjagtige, fuldstændige og ajourførte, og under hensyntagen til fordelene ved at anvende en sådan teknologi med hensyn til effektivitet, bør luftfartsselskaberne imidlertid pålægges at indsamle disse API-oplysninger ved hjælp af automatiserede midler ved at læse oplysninger fra rejsedokumentets maskinlæsbare data. 10)Automatiserede midler gør det muligt for rejsende selv at give visse API-oplysninger under en onlineindtjekningsproces. Sådanne midler kan f.eks. omfatte en sikker app på en rejsendes smartphone, computer eller webcam med mulighed for at læse rejsedokumentets maskinlæsbare data. Hvis de rejsende ikke foretager indtjekning online, bør luftfartsselskaberne i praksis give dem mulighed for at opgive de maskinlæsbare API-oplysninger under indtjekningen i lufthavnen ved hjælp af en selvbetjeningskiosk eller luftfartspersonalet ved skranken. 11)Kommissionen bør tillægges beføjelser til at vedtage tekniske krav og procedureregler, som luftfartsselskaberne skal overholde i forbindelse med anvendelsen af automatiserede metoder til indsamling af maskinlæsbare API-oplysninger i henhold til denne forordning, for at øge klarheden og retssikkerheden og bidrage til at sikre datakvalitet og ansvarlig brug af de automatiserede midler. 12)I betragtning af de fordele, der er forbundet med at anvende automatiserede metoder til indsamling af maskinlæsbare API-oplysninger, og den klarhed, der følger af de tekniske krav i den forbindelse, der skal vedtages i henhold til denne forordning, bør det præciseres, at luftfartsselskaber, der beslutter at anvende automatiserede metoder til at indsamle de oplysninger, som de skal fremsende i henhold til direktiv 2004/82/EC, har mulighed for, men ikke pligt til, at anvende disse krav, når de er vedtaget, i forbindelse med en sådan anvendelse af automatiserede midler, for så vidt som nævnte direktiv tillader det. En sådan frivillig anvendelse af disse specifikationer i henhold til direktiv 2004/82/EF bør ikke forstås således, at den på nogen måde påvirker luftfartsselskabernes og medlemsstaternes forpligtelser i henhold til nævnte direktiv. 13)For at sikre, at de forudgående kontroller, som de kompetente grænsemyndigheder foretager på forhånd, er effektive og virkningsfulde, bør de API-oplysninger, der overføres til disse myndigheder, indeholde oplysninger om rejsende, der reelt forventes at passere de ydre grænser, dvs. om rejsende, der reelt befinder sig om bord på flyet. Luftfartsselskaberne bør derfor overføre API-oplysninger direkte efter lukning af flyvningen. Desuden hjælper API-oplysninger de kompetente grænsemyndigheder med at skelne lovlige rejsende fra rejsende, som kan være af interesse og derfor kan kræve yderligere kontrol, hvilket vil kræve yderligere koordinering og forberedelse af opfølgningsforanstaltninger, der skal træffes ved ankomsten. Dette kan f.eks. ske i tilfælde af et uventet antal rejsende af interesse, hvis fysiske kontrol ved grænserne kan have en negativ indvirkning på ind- og udrejsekontrollen og ventetiden ved grænsen for andre lovlige rejsende. For at give de kompetente grænsemyndigheder mulighed for at udarbejde passende og forholdsmæssige foranstaltninger ved grænsen, f.eks. midlertidigt at styrke eller omplacere personale, navnlig for flyvninger, hvor tidsrummet mellem flylukningen og ankomsten til de ydre grænser er utilstrækkelig til, at de kompetente grænsemyndigheder kan forberede den mest hensigtsmæssige reaktion, bør API-oplysninger også overføres forud for ombordstigning, når hver rejsende indtjekkes. 14)For at skabe klarhed om de tekniske krav, der gælder for luftfartsselskaber, og som er nødvendige for at sikre, at de API-oplysninger, som de indsamler i henhold til denne forordning, overføres til routeren på en sikker, effektiv og hurtig måde, bør Kommissionen tillægges beføjelser til at fastsætte specifikationer for de fælles protokoller og understøttede dataformater, der skal anvendes til disse overførsler. 15)For at undgå enhver risiko for misbrug og i overensstemmelse med princippet om formålsbegrænsning bør de kompetente grænsemyndigheder udtrykkeligt udelukkes fra at behandle de API-oplysninger, som de modtager i henhold til denne forordning, til andre formål end at forbedre og lette effektiviteten af ind- og udrejsekontrollen ved de ydre grænser og bekæmpe ulovlig indvandring. 16)For at sikre, at de kompetente grænsemyndigheder har tilstrækkelig tid til effektivt at foretage forudgående kontrol af alle rejsende, herunder rejsende på langdistanceflyvninger og rejsende på flyvninger med omstigning, samt tilstrækkelig tid til at sikre, at de API-oplysninger, der indsamles og overføres af luftfartsselskaberne, er fuldstændige, nøjagtige og ajourførte, og om nødvendigt for at anmode luftfartsselskaberne om yderligere præciseringer, rettelser eller tilføjelser, bør de kompetente grænsemyndigheder opbevare de API-oplysninger, som de har modtaget i henhold til denne forordning, i en bestemt periode, som fortsat er begrænset til, hvad der er strengt nødvendigt til disse formål. For at kunne besvare sådanne anmodninger bør luftfartsselskaberne ligeledes lagre de API-oplysninger, som de har overført i henhold til denne forordning, i samme faste og strengt nødvendige tidsrum. 17)For at undgå, at luftfartsselskaberne skal etablere og opretholde flere forbindelser til medlemsstaternes kompetente grænsemyndigheder med henblik på overførsel af API-oplysninger, der er indsamlet i henhold til denne forordning, og den dermed forbundne ineffektivitet og sikkerhedsrisici, bør der fastsættes bestemmelser om en enkelt router, der oprettes og drives på EU-plan, og som fungerer som forbindelses- og distributionspunkt for disse overførsler. Af hensyn til effektiviteten og omkostningseffektiviteten bør routeren i det omfang, det er teknisk muligt, og under fuld overholdelse af bestemmelserne i denne forordning og forordning (EU) [API-retshåndhævelse] anvende tekniske komponenter fra andre relevante systemer, der er oprettet i henhold til EU-retten. 18)Routeren bør automatisk overføre API-oplysningerne til de relevante kompetente grænsemyndigheder, som bør fastlægges på grundlag af det grænseovergangssted for indrejse på medlemsstatens område, der er registreret i de pågældende API-oplysninger. For at lette distributionsprocessen bør hver medlemsstat angive, hvilke grænsemyndigheder der er kompetente til at modtage de API-oplysninger, der overføres fra routeren. For at sikre, at denne forordning fungerer korrekt, og af hensyn til gennemsigtigheden bør disse oplysninger offentliggøres. 19)Routeren bør kun tjene til at lette overførslen af API-oplysninger fra luftfartsselskaberne til de kompetente grænsemyndigheder i overensstemmelse med denne forordning og til passageroplysningsenheder i overensstemmelse med forordning (EU) [API-retshåndhævelse] og bør ikke være et register over API-oplysninger. For at minimere enhver risiko for uautoriseret adgang eller andet misbrug og i overensstemmelse med princippet om dataminimering bør enhver lagring af API-oplysninger på routeren derfor fortsat være begrænset til, hvad der er strengt nødvendigt til tekniske formål i forbindelse med overførslen, og API-oplysningerne bør slettes fra routeren straks, permanent og automatisk fra det tidspunkt, hvor overførslen er afsluttet, eller, hvis det er relevant i henhold til forordning (EU) [API-retshåndhævelse], må API-oplysningerne slet ikke overføres. 20)For at sikre, at overførslen af API-oplysninger fra routeren fungerer korrekt, bør Kommissionen tillægges beføjelser til at fastsætte detaljerede tekniske og proceduremæssige regler for denne overførsel. Disse regler bør sikre, at overførslen er sikker, effektiv og hurtig og ikke påvirker passagerernes rejser og luftfartsselskaberne mere end nødvendigt. 21)For at gøre det muligt for luftfartsselskaberne så hurtigt som muligt at få gavn af de fordele, som anvendelsen af routeren, der er udviklet af eu-LISA i henhold til denne forordning, giver, og for at få erfaring med at bruge den, bør luftfartsselskaberne have mulighed for, men ikke pligt til, at anvende routeren til at overføre de oplysninger, som de skal overføre i henhold til direktiv 2004/82/EC i en overgangsperiode. Denne overgangsperiode bør begynde på det tidspunkt, hvor routeren påbegynder driften, og ophøre, når forpligtelserne i henhold til nævnte direktiv ophører med at finde anvendelse. For at sikre, at en sådan frivillig anvendelse af routeren finder sted på en ansvarlig måde, bør der kræves forudgående skriftlig tilladelse fra den ansvarlige myndighed, som skal modtage oplysningerne, efter anmodning fra luftfartsselskabet og efter, at denne myndighed har foretaget verifikationer og om nødvendigt opnået garantier. For at undgå en situation, hvor luftfartsselskaberne gentagne gange påbegynder og ophører med at benytte routeren, bør luftfartsselskaberne ligeledes, når det påbegynder en sådan anvendelse på frivillig basis, være forpligtede til at fortsætte den, medmindre der er objektive grunde til at ophøre med at anvende oplysningerne til overførsel til den berørte ansvarlige myndighed, f.eks. når det er blevet klart, at oplysningerne ikke overføres på en lovlig, sikker, effektiv og hurtig måde. Med henblik på en korrekt anvendelse af denne mulighed for frivillig anvendelse af routeren bør der under behørig hensyntagen til alle berørte parters rettigheder og interesser fastsættes de nødvendige regler for konsultationer og meddelelse af oplysninger. En sådan frivillig anvendelse af routeren i medfør af direktiv 2004/82/EF som fastsat i denne forordning bør ikke på nogen måde forstås således, at den berører luftfartsselskabernes og medlemsstaternes forpligtelser i henhold til nævnte direktiv. 22)Den router, der skal oprettes og drives i henhold til denne forordning, bør reducere og forenkle de tekniske forbindelser, der er nødvendige for at overføre API-oplysninger, og begrænse dem til en enkelt forbindelse for hvert luftfartsselskab og for hver kompetent grænsemyndighed. Denne forordning fastsætter derfor en forpligtelse for de kompetente grænsemyndigheder og luftfartsselskaber til hver især at etablere en sådan forbindelse til og opnå den krævede integration med routeren for at sikre, at det system til overførsel af API-oplysninger, der oprettes ved denne forordning, kan fungere korrekt. For at opfylde disse forpligtelser og sikre, at den ordning, der indføres ved denne forordning, fungerer efter hensigten, bør de suppleres med detaljerede regler. 23)I betragtning af de af Unionens interesser, der står på spil, bør de omkostninger, som eu-LISA afholder i forbindelse med udførelsen af sine opgaver i henhold til denne forordning og forordning (EU) [API-retshåndhævelse] i forbindelse med routeren, afholdes over Unionens budget. Det samme bør gælde for passende udgifter, som afholdes af medlemsstaterne i forbindelse med deres tilslutning til og integration med routeren, som krævet i henhold til denne forordning og i overensstemmelse med den gældende lovgivning, dog med visse undtagelser. De omkostninger, der er omfattet af disse undtagelser, bør afholdes af hver enkelt berørt medlemsstat selv.

24)Det kan ikke udelukkes, at routeren eller de systemer eller infrastrukturer, der forbinder de kompetente grænsemyndigheder og luftfartsselskaberne hertil, på grund af ekstraordinære omstændigheder og på trods af alle rimelige foranstaltninger, der er truffet i overensstemmelse med denne forordning, ikke fungerer korrekt, hvilket vil føre til, at det er teknisk umuligt at anvende routeren til at overføre API-oplysninger. Hvis routeren ikke er tilgængelig, og det generelt ikke med rimelighed er muligt for luftfartsselskaberne at overføre de API-oplysninger, der er berørt af fejlen, på en lovlig, sikker, effektiv og hurtig måde ved hjælp af alternative midler, bør luftfartsselskabernes forpligtelse til at overføre disse API-oplysninger til routeren ophøre med at gælde, så længe det er teknisk umuligt. For at minimere varigheden og de negative konsekvenser heraf bør de berørte parter i et sådant tilfælde straks underrette hinanden og straks træffe alle nødvendige foranstaltninger for at afhjælpe den tekniske umulighed. I betragtning af, at API-oplysninger vedrørende flyvninger, der allerede er ankommet, ikke er nyttige i forbindelse med ind- og udrejsekontrol, er der i et sådant tilfælde ingen begrundelse for at anmode luftfartsselskaberne om at indsamle og lagre API-oplysningerne. Denne ordning bør ikke berøre alle relevante parters forpligtelser i henhold til denne forordning til at sikre, at routeren og deres respektive systemer og infrastruktur fungerer korrekt, eller det forhold, at luftfartsselskaber pålægges sanktioner, hvis de ikke opfylder disse forpligtelser, herunder når de ønsker at påberåbe sig denne ordning, hvor en sådan påberåbelse ikke er berettiget. For at forhindre et sådant misbrug og lette tilsynet og om nødvendigt pålægge sanktioner bør luftfartsselskaber, der benytter sig af denne ordning på grund af svigt i deres eget system og infrastruktur, indberette dette til den kompetente tilsynsmyndighed. 25)For at sikre overholdelse af den grundlæggende ret til beskyttelse af personoplysninger bør denne forordning identificere den dataansvarlige og databehandleren og fastsætte regler for revisioner. Af hensyn til en effektiv overvågning, tilstrækkelig beskyttelse af personoplysninger og minimering af sikkerhedsrisici bør der også fastsættes regler for logning, behandlingssikkerhed og egenkontrol. Hvis de vedrører behandling af personoplysninger, bør disse bestemmelser forstås som et supplement til de generelt gældende EU-retsakter om beskyttelse af personoplysninger, navnlig Europa-Parlamentets og Rådets forordning (EU) 2016/679 og Europa-Parlamentets og Rådets forordning (EU) 2018/1725. Disse retsakter, som også finder anvendelse på behandling af personoplysninger i henhold til denne forordning i overensstemmelse med dens bestemmelser, bør ikke berøres af denne forordning. 26)Formålet med behandlingen i henhold til denne forordning, nemlig overførsel af API-oplysninger fra luftfartsselskaber via routeren til medlemsstaternes kompetente grænsemyndigheder, er navnlig at bistå disse myndigheder med opfyldelsen af deres grænseforvaltningsforpligtelser og opgaver i forbindelse med bekæmpelse af ulovlig indvandring. De kompetente grænsemyndigheder, der modtager API-oplysninger, bør derfor være dataansvarlige for overførsel af API-oplysninger, der udgør personoplysninger, via router og lagring af disse oplysninger på routeren, for så vidt en sådan lagring er nødvendig til tekniske formål, og for enhver af deres behandlinger, der efterfølgende anvender disse oplysninger for at forbedre og lette grænsekontrollen ved de ydre grænser. Luftfartsselskaberne bør til gengæld være særskilte dataansvarlige for så vidt angår behandling af API-oplysninger, der udgør personoplysninger, som de er forpligtet til at foretage i henhold til denne forordning. På dette grundlag bør både luftfartsselskaberne og de kompetente grænsemyndigheder være særskilte dataansvarlige med hensyn til deres egen behandling af API-oplysninger i henhold til denne forordning. 27)For at sikre, at bestemmelserne i denne forordning anvendes effektivt af luftfartsselskaberne, bør der fastsættes bestemmelser om udpegelse af og beføjelser til de nationale myndigheder, der har til opgave at føre tilsyn med disse regler. Bestemmelserne i denne forordning om et sådant tilsyn, herunder for så vidt angår pålæggelse af sanktioner, hvor det er nødvendigt, bør ikke berøre de tilsynsmyndigheders opgaver og beføjelser, der er oprettet i henhold til forordning (EU) 2016/679, herunder i forbindelse med behandling af personoplysninger i henhold til nærværende forordning. 28)Medlemsstaterne bør fastsætte sanktioner, der er effektive, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, herunder økonomiske sanktioner, over for luftfartsselskaber, der ikke opfylder deres forpligtelser med hensyn til indsamling og overførsel af API-oplysninger i henhold til denne forordning. 29)Da denne forordning fastsætter nye regler for kompetente grænsemyndigheders indsamling og overførsel af API-oplysninger med henblik på at forbedre og lette effektiviteten af ind- og udrejsekontrollen ved de ydre grænser, bør direktiv 2004/82/EF ophæves. 30)Da routeren bør udformes, udvikles, hostes og teknisk forvaltes af eu-LISA, der er oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2018/1726, er det nødvendigt at ændre nævnte forordning ved at tilføje denne opgave til eu-LISA's opgaver. For at lagre routerens rapporter og statistikker i det fælles register for rapportering og statistik er det nødvendigt at ændre Europa-Parlamentets og Rådets forordning (EU) 2019/817. 31)Med henblik på at vedtage foranstaltninger vedrørende de tekniske krav og operationelle regler for den automatiserede metode til indsamling af maskinlæsbare API-oplysninger, de fælles protokoller og formater, der skal anvendes ved luftfartsselskabers overførsel af API-oplysninger, de tekniske og proceduremæssige regler for overførsel af API-oplysninger fra routeren til de kompetente grænsemyndigheder og til passageroplysningsenhederne samt til passageroplysningsenhedernes og luftfartsselskabernes forbindelser til og integration med routeren bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i traktaten om Den Europæiske Unions funktionsmåde for så vidt angår henholdsvis artikel 5, 6, 11, 20 og 21. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelsen af delegerede retsakter. (32)For at sikre ensartede betingelser for gennemførelsen af denne forordning, navnlig for så vidt angår routerens idriftsættelse, bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011. 33)Alle interesserede parter, navnlig luftfartsselskaberne og de kompetente grænsemyndigheder, bør have tilstrækkelig tid til at træffe de nødvendige forberedelser til at kunne opfylde deres respektive forpligtelser i henhold til denne forordning, idet der tages hensyn til, at nogle af disse forberedelser, f.eks. vedrørende forpligtelserne omkring tilslutning til og integration med routeren, først kan afsluttes, når routerens udformnings- og udviklingsfase er afsluttet, og routeren påbegynder driften. Denne forordning bør derfor først finde anvendelse fra en passende dato efter den dato, hvor routeren påbegynder driften, som fastsat af Kommissionen i overensstemmelse med denne forordning. 34)Routerens udformnings- og udviklingsfaser bør dog påbegyndes og afsluttes så hurtigt som muligt, således at routeren kan påbegynde driften så hurtigt som muligt, hvilket også kræver vedtagelse af de relevante gennemførelsesretsakter og delegerede retsakter, der er omhandlet i denne forordning. Præciseringen i denne forordning angående anvendelsen af specifikationer vedrørende brugen af automatiserede midler i medfør af direktiv 2004/82/EF bør også foretages hurtigst muligt. Artiklerne om disse spørgsmål bør derfor finde anvendelse fra datoen for denne forordnings ikrafttræden. For at give mulighed for frivillig brug af routeren så hurtigt som muligt bør artiklen om en sådan anvendelse samt visse andre artikler, der er nødvendige for at sikre, at en sådan anvendelse finder sted på en ansvarlig måde, desuden finde anvendelse fra det tidligst mulige tidspunkt, dvs. fra det tidspunkt, hvor routeren påbegynder driften. 35)Denne forordning bør ikke berøre medlemsstaternes mulighed for i henhold til deres nationale lovgivning at indføre et system til indsamling af API-oplysninger fra andre transportvirksomheder end dem, der er fastsat i denne forordning, forudsat at denne nationale lovgivning er i overensstemmelse med EU-retten. 36)Målene for denne forordning, nemlig at styrke og lette effektiviteten af ind- og udrejsekontrollen ved de ydre grænser og bekæmpe ulovlig indvandring, vedrører spørgsmål, der i sagens natur er af grænseoverskridende karakter, og de kan derfor ikke i tilstrækkelig grad opfyldes af medlemsstaterne hver for sig, men kan bedre nås på EU-plan. Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå dette mål. (37)I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til TEU og til TEUF, deltager Danmark ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Danmark. Inden seks måneder efter at Rådet har truffet foranstaltning om denne forordning til udbygning af Schengenreglerne, træffer Danmark afgørelse om, hvorvidt det vil gennemføre denne forordning i sin nationale lovgivning, jf. artikel 4 i protokollen. 38)Irland deltager i denne forordning i overensstemmelse med artikel 5, stk. 1, i protokol nr. 19 om Schengenreglerne som integreret i Den Europæiske Union, der er knyttet som bilag til traktaten om Den Europæiske Union og til traktaten om Den Europæiske Unions funktionsmåde, og artikel 6, stk. 2, i Rådets afgørelse 2002/192/EF. 39) Irlands deltagelse i denne forordning i henhold til artikel 6, stk. 2, i afgørelse 2002/192/EF vedrører Unionens ansvar for at træffe foranstaltninger til udbygning af Schengenreglerne om bekæmpelse af organiseret ulovlig indvandring, som Irland deltager i. 40)For så vidt angår Island og Norge udgør denne forordning en udvikling af de bestemmelser i Schengenreglerne, jf. aftalen indgået mellem Rådet for Den Europæiske Union og Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne, der henhører under det område, som er nævnt i artikel 1, litra A, i Rådets afgørelse 1999/437/EF. 41)For så vidt angår Schweiz udgør denne forordning en udvikling af de bestemmelser i Schengenreglerne, jf. aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne, der henhører under det område, som er nævnt i artikel 1, litra A, i afgørelse 1999/437/EF sammenholdt med artikel 3 i Rådets afgørelse 2008/146/EF. 42)For så vidt angår Liechtenstein udgør denne forordning en udvikling af de bestemmelser i Schengenreglerne, jf. protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne, der henhører under det område, der er nævnt i artikel 1, litra A, i Rådets afgørelse 1999/437/EF sammenholdt med artikel 3 i Rådets afgørelse 2011/350/EU. 43)For så vidt angår Cypern, Bulgarien, Rumænien og Kroatien udgør denne forordning en retsakt, der bygger på Schengenreglerne eller på anden måde har tilknytning dertil, jf. henholdsvis artikel 3, stk. 1, i tiltrædelsesakten af 2003, artikel 4, stk. 1, i tiltrædelsesakten af 2005 og artikel 4, stk. 1, i tiltrædelsesakten af 2011.

44)Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav en udtalelse den [XX] — VEDTAGET DENNE FORORDNING — KAPITEL 1 ALMINDELIGE BESTEMMELSER Artikel 1 Genstand Med henblik på at øge og lette effektiviteten af ind- og udrejsekontrollen ved de ydre grænser og bekæmpe ulovlig indvandring fastsættes der ved denne forordning regler for: a)luftfartsselskabers indsamling af forhåndsinformation om passagerer ("API-oplysninger") på flyvninger til Unionen b)luftfartsselskabers overførsel af API-oplysninger til routeren c)overførsel af API-oplysninger fra routeren til de kompetente grænsemyndigheder. Artikel 2 Anvendelsesområde Denne forordning finder anvendelse på luftfartsselskaber, der foretager regelmæssige og ikkeregelmæssige flyvninger til Unionen. Artikel 3 Definitioner I denne forordning forstås ved: a)"luftfartsselskab": en lufttransportvirksomhed som defineret i artikel 3, nr. 1), i direktiv (EU) 2016/681 b)"ind- og udrejsekontrol": kontrol som defineret i artikel 2, nr. 11, i forordning (EU) 2016/399 c)"flyvninger til Unionen": flyvninger fra enten et i denne forordning ikke deltagende tredjelands eller en i denne forordning ikke deltagende medlemsstats område, som er planlagt til landing på en i denne forordning deltagende medlemsstats område

d)"grænseovergangssted": overgangssted som defineret i artikel 2, nr. 8), i forordning (EU) 2016/399 e)"regelmæssig flyvning": en flyvning, der gennemføres i henhold til en fast tidsplan, og hvortil den brede offentlighed kan købe billet f)"ikkeregelmæssig flyvning": en flyvning, der ikke gennemføres i henhold til en fast tidsplan, og som ikke nødvendigvis er en del af en regelmæssig eller planlagt rute g)"kompetent grænsemyndighed": den myndighed, som en medlemsstat har givet til opgave at foretage ind- og udrejsekontrol, og som er udpeget og meddelt af den pågældende medlemsstat i overensstemmelse med artikel 11, stk. 2 h)"passager": enhver person, bortset fra besætningsmedlemmer, der medbringes eller skal befordres i et luftfartøj med luftfartsselskabets samtykke, idet dette samtykke kommer til udtryk ved, at den pågældende person er optaget på passagerlisten i)"besætning": enhver person om bord på et luftfartøj under flyvningen, som ikke er passager, og som arbejder på eller betjener luftfartøjet, herunder flyvebesætning og kabinebesætning j)"rejsende": passagerer eller besætningsmedlemmer k)"forhåndsoplysninger om passagerer" eller "API-oplysninger": de oplysninger om rejsende og flyinformation, der er omhandlet i henholdsvis artikel 4, stk. 2 og 3 l)"passageroplysningsenhed": den kompetente myndighed, der er omhandlet i artikel 3, litra i), i forordning (EU) [API-retshåndhævelse] m)"routeren": den router, der er omhandlet i artikel 9 n)"personoplysninger": enhver form for oplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679. KAPITEL 2 INDSAMLING OG OVERFØRSEL AF API-OPLYSNINGER Artikel 4 API-oplysninger, der skal indsamles af luftfartsselskaber 1.Luftfartsselskaberne indsamler API-oplysninger om rejsende bestående af de rejsendes oplysninger og de i nærværende artikels stk. 2 og 3 omhandlede flyoplysninger om de flyvninger, der er omhandlet i artikel 2, med henblik på at overføre disse API-oplysninger til routeren i overensstemmelse med artikel 6. 2.API-oplysningerne skal bestå af følgende oplysninger om rejsende for hver enkelt rejsende på flyvningen: a)efternavn og fornavn(e) b)fødselsdato, køn og nationalitet c)rejsedokumentets type og nummer samt koden på tre bogstaver for det land, der har udstedt rejsedokumentet

d)datoen for rejsedokumentets udløb e)om den rejsende er passager eller besætningsmedlem (den rejsendes status) f)det nummer til identifikation af passagerlisteoplysninger, som et luftfartsselskab anvender til at lokalisere en passager i sit informationssystem (PNR-nummer) g)oplysninger om flysæde, f.eks. nummeret på det sæde i luftfartøjet, som en passager er tildelt, hvis luftfartsselskabet indsamler sådanne oplysninger h)bagageoplysninger, f.eks. antal indtjekkede tasker, hvis luftfartsselskabet indsamler sådanne oplysninger. 3.API-oplysningerne skal også bestå af følgende flyveoplysninger for hver enkelt rejsendes flyvning: a)flyets identifikationsnummer eller, hvis et sådant nummer ikke findes, andre klare og egnede midler til at identificere flyvningen b)hvis det er relevant, grænseovergangsstedet for indrejse på medlemsstatens område c)koden for den lufthavn, hvor indrejsen på medlemsstatens område finder sted d)første ombordstigningssted e)dato og forventet afgangstidspunkt i lokal tid f)dato og forventet ankomsttidspunkt i lokal tid. Artikel 5 Metoder til indsamling af API-oplysninger 1.Luftfartsselskaberne indsamler API-oplysningerne i henhold til artikel 4 på en sådan måde, at de API-oplysninger, de overfører i overensstemmelse med artikel 6, er nøjagtige, fuldstændige og ajourførte. 2.Luftfartsselskaberne indsamler de API-oplysninger, der er omhandlet i artikel 4, stk. 2, litra a)-d), ved hjælp af automatiserede metoder til indsamling af maskinlæsbare data i den pågældende rejsendes rejsedokument. De gør dette i overensstemmelse med de detaljerede tekniske krav og operationelle regler, der er omhandlet i stk. 4, hvis sådanne regler er blevet vedtaget og finder anvendelse. Hvis en sådan anvendelse af automatiserede midler ikke er mulig, fordi rejsedokumentet ikke indeholder maskinlæsbare data, indsamler luftfartsselskaberne oplysningerne manuelt på en sådan måde, at stk. 1 overholdes. 3.Alle automatiserede midler, som luftfartsselskaberne anvender til at indsamle API-oplysninger i henhold til denne forordning, skal være pålidelige, sikre og ajourførte. 4.Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 37 med henblik på at supplere denne forordning ved at fastsætte detaljerede tekniske krav og operationelle regler for indsamling af de API-oplysninger, der er omhandlet i artikel 4, stk. 2, litra a)-d), ved hjælp af automatiserede metoder i overensstemmelse med nærværende artikels stk. 2 og 3. 5.De luftfartsselskaber, der anvender automatiserede metoder til at indsamle de oplysninger, der er omhandlet i artikel 3, stk. 1, i direktiv 2004/82/EF, har ret til at gøre dette under anvendelse af de tekniske krav i forbindelse med en sådan anvendelse, jf. stk. 4, i overensstemmelse med nævnte direktiv.

Artikel 6 Luftfartsselskabernes forpligtelser vedrørende overførsel af API-oplysninger 1.Luftfartsselskaberne overfører API-oplysningerne til routeren elektronisk. De gør dette i overensstemmelse med de detaljerede regler, der er omhandlet i stk. 3, når sådanne regler er vedtaget og finder anvendelse. 2.Luftfartsselskaberne overfører API-oplysningerne både ved indtjekningen og umiddelbart efter lukningen af flyvningen, dvs. når passagererne er gået om bord på luftfartøjet som forberedelse til afgang, og det ikke længere er muligt for passagerer at stige om bord på eller forlade luftfartøjet. 3.Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 37 med henblik på at supplere denne forordning ved at fastsætte de nødvendige detaljerede regler for de fælles protokoller og understøttede dataformater, der skal anvendes til overførsel af API-oplysninger til routeren, som er omhandlet i stk. 1. 4.Hvis et luftfartsselskab efter at have overført oplysninger til routeren bliver opmærksom på, at API-oplysningerne er ukorrekte, ufuldstændige, ikke længere ajourførte eller er blevet behandlet ulovligt, eller at oplysningerne ikke udgør API-oplysninger, underretter det straks Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA). Efter modtagelsen af sådanne oplysninger underretter eu-LISA straks den kompetente grænsemyndighed, der har modtaget API-oplysningerne, som er overført via routeren. Artikel 7 Behandling af modtagne API-oplysninger De kompetente grænsemyndigheder behandler API-oplysninger, der overføres til dem i overensstemmelse med denne forordning, udelukkende med henblik på de formål, der er omhandlet i artikel 1. Artikel 8 Lagring og sletning af API-oplysninger 1.Luftfartsselskaberne lagrer i en periode på 48 timer fra flyets afgang API-oplysningerne om den pågældende passager, som de har indsamlet i henhold til artikel 4. De sletter straks og permanent disse API-oplysninger efter udløbet af denne frist. 2.De kompetente grænsemyndigheder opbevarer i en periode på 48 timer fra flyets afgang API-oplysninger om den pågældende passager, som de har modtaget gennem routeren i henhold til artikel 11. De sletter straks og permanent disse API-oplysninger efter udløbet af denne frist. 3.Hvis et luftfartsselskab eller en kompetent grænsemyndighed bliver opmærksom på, at de oplysninger, som det har indsamlet, overført eller modtaget i henhold til denne forordning, er ukorrekte, ufuldstændige, ikke længere ajourførte eller er blevet behandlet ulovligt, eller at oplysningerne ikke udgør API-oplysninger, skal de straks rette, supplere eller ajourføre eller permanent slette de pågældende API-oplysninger. Dette berører ikke luftfartsselskabernes mulighed for at opbevare og anvende oplysningerne, hvis det er nødvendigt for deres normale drift i overensstemmelse med gældende ret. KAPITEL 3 BESTEMMELSER VEDRØRENDE ROUTEREN Artikel 9 Routeren 1.eu-LISA udformer, udvikler, hoster og forvalter i overensstemmelse med artikel 22 og 23 en router med henblik på at lette luftfartsselskabernes overførsel af API-oplysninger til de kompetente grænsemyndigheder og passageroplysningsenhederne i overensstemmelse med henholdsvis denne forordning og forordning (EU) [API-retshåndhævelse].

2.Routeren skal bestå af: a)en central infrastruktur, herunder et sæt tekniske komponenter, der gør det muligt at overføre API-oplysninger b)en sikker kommunikationskanal mellem den centrale infrastruktur og de kompetente grænsemyndigheder og passageroplysningsenhederne og en sikker kommunikationskanal mellem den centrale infrastruktur og luftfartsselskaberne til overførsel af API-oplysninger og al kommunikation i forbindelse hermed. 3.Uden at det berører denne forordnings artikel 10, deler og videreanvender routeren, i det omfang det er teknisk muligt, de tekniske komponenter, herunder hardware- og softwarekomponenter, i den webtjeneste, der er omhandlet i artikel 13 i Europa-Parlamentets og Rådets forordning (EU) 2017/2226, gateway-faciliteten for transportvirksomheder, jf. artikel 6, stk. 2, litra k), i forordning (EU) 2018/1240, og gatewayfaciliteten for transportvirksomheder som omhandlet i artikel 2a, litra h), i Europa-Parlamentets og Rådets forordning (EF) nr. 767/2008. Artikel 10 Eksklusiv brug af routeren Routeren må kun anvendes af luftfartsselskaber til at overføre API-oplysninger og af de kompetente grænsemyndigheder og passageroplysningsenheder til at modtage API-oplysninger i overensstemmelse med henholdsvis denne forordning og forordning (EU) [API-retshåndhævelse]. Artikel 11 Overførsel af API-oplysninger fra routeren til de kompetente grænsemyndigheder 1.Routeren overfører straks og automatisk de API-oplysninger, der er overført til den i henhold til artikel 6, til de kompetente grænsemyndigheder i den medlemsstat, der er omhandlet i artikel 4, stk. 3, litra c). Den gør dette i overensstemmelse med de detaljerede regler, der er omhandlet i nærværende artikels stk. 4, når sådanne regler er vedtaget og finder anvendelse. Med henblik på en sådan overførsel udarbejder og ajourfører eu-LISA en sammenligningstabel mellem de forskellige oprindelses- og bestemmelseslufthavne og de lande, som de tilhører. 2.Medlemsstaten udpeger de kompetente grænsemyndigheder, der er bemyndiget til at modtage de API-oplysninger, der overføres til dem fra routeren i overensstemmelse med denne forordning. De meddeler inden datoen for denne forordnings anvendelse, jf. artikel 39, andet afsnit, eu-LISA og Kommissionen navn og kontaktoplysninger på de kompetente grænsemyndigheder og ajourfører om nødvendigt de meddelte oplysninger. Kommissionen udarbejder og offentliggør på grundlag af disse underretninger og ajourføringer en liste over de underrettede kompetente grænsemyndigheder, herunder deres kontaktoplysninger. 3.Medlemsstaterne sikrer, at kun behørigt bemyndigede medarbejdere hos de kompetente grænsemyndigheder har adgang til de API-oplysninger, der overføres til dem via routeren. De fastsætter de nødvendige regler med henblik herpå. Disse regler skal omfatte regler om oprettelse og regelmæssig ajourføring af en liste over disse medarbejdere og deres profiler. 4.Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 37 med henblik på at supplere denne forordning ved at fastsætte de nødvendige detaljerede tekniske og proceduremæssige regler for fremsendelse af API-oplysninger fra routeren som omhandlet i stk. 1. Artikel 12 Sletning af API-oplysninger fra routeren API-oplysninger, der er overført til routeren i henhold til denne forordning og forordning (EU) [API-retshåndhævelse], må kun lagres på routeren i det omfang, det er nødvendigt for at afslutte overførslen til de relevante kompetente grænsemyndigheder eller passageroplysningsenheder, alt efter hvad der er relevant, i overensstemmelse med disse forordninger, og slettes straks, permanent og automatisk fra routeren i begge følgende situationer: a)hvis overførslen af API-oplysninger til de relevante kompetente grænsemyndigheder eller passageroplysningsenheder, alt efter hvad der er relevant, er afsluttet b)for så vidt angår forordning (EU) [API-retshåndhævelse], hvis API-oplysningerne vedrører andre flyvninger inden for EU end dem, der er opført på de lister, som er omhandlet i artikel 5, stk. 2, i nævnte forordning.

Artikel 13 Opbevaring af logfiler 1.eu-LISA fører logfiler over alle behandlingsaktiviteter i forbindelse med overførslen af API-oplysninger gennem routeren i henhold til denne forordning og forordning (EU) [API-retshåndhævelse]. Disse logfiler skal omfatte følgende: a)det luftfartsselskab, der har overført API-oplysningerne til routeren b)de kompetente grænsemyndigheder og passageroplysningsenheder, som API-oplysningerne blev overført til via routeren c)dato og klokkeslæt for de overførsler, der er omhandlet i litra a) og b), og stedet for overførslen d)enhver adgang for eu-LISA's personale, der er nødvendig for vedligeholdelsen af routeren, jf. artikel 23, stk. 3 e)alle andre oplysninger vedrørende disse behandlingsaktiviteter, der er nødvendige for at overvåge API-dataenes sikkerhed og integritet og lovligheden af disse behandlingsaktiviteter. Disse logfiler må ikke indeholde andre personoplysninger end de oplysninger, der er nødvendige for at identificere den relevante medarbejder i eu-LISA, jf. første afsnit, litra d). 2.Luftfartsselskaberne opretter logfiler over alle behandlingsaktiviteter i henhold til denne forordning, der foretages ved hjælp af de automatiserede metoder, som er omhandlet i artikel 5, stk. 2. Disse logfiler skal omfatte dato, klokkeslæt og sted for overførsel af API-oplysninger. 3.De logfiler, der er omhandlet i stk. 1 og 2, må kun anvendes til at garantere API-dataenes sikkerhed og integritet og lovligheden af behandlingen, navnlig for så vidt angår overholdelse af kravene i denne forordning og forordning (EU) [API-retshåndhævelse], herunder procedurer for sanktioner for overtrædelse af disse krav i overensstemmelse med denne forordnings artikel 29 og 30. 4.eu-LISA og luftfartsselskaberne træffer passende foranstaltninger til at beskytte de logfiler, som de har oprettet i henhold til henholdsvis stk. 1 og 2, mod uautoriseret adgang og andre sikkerhedsrisici. 5.eu-LISA og luftfartsselskaberne opbevarer de logfiler, som de har oprettet i henhold til henholdsvis stk. 1 og 2, i en periode på et år fra det tidspunkt, hvor logfilerne er oprettet. De sletter straks og permanent disse logfiler ved udløbet af denne frist. Hvis disse logfiler er nødvendige for procedurer til overvågning eller sikring af API-dataenes sikkerhed og integritet eller lovligheden af behandlingsaktiviteterne, jf. stk. 2, og disse procedurer allerede er indledt på tidspunktet for udløbet af den frist, der er omhandlet i første afsnit, kan eu-LISA og luftfartsselskaberne imidlertid opbevare disse logfiler, så længe det er nødvendigt for disse procedurer. I så fald sletter de straks disse logfiler, når de ikke længere er nødvendige for disse procedurer. Artikel 14 Foranstaltninger i tilfælde af, at det er teknisk umuligt at anvende routeren 1.Hvis det er teknisk umuligt at anvende routeren til at overføre API-oplysninger, fordi routeren svigter, underretter eu-LISA straks luftfartsselskaberne og de kompetente grænsemyndigheder om denne tekniske umulighed på en automatiseret måde. I så fald træffer eu-LISA straks foranstaltninger til at afhjælpe den tekniske umulighed af at benytte routeren og underretter straks disse parter, når den er blevet afhjulpet på tilfredsstillende vis. I perioden mellem disse meddelelser finder artikel 6, stk. 1, ikke anvendelse, for så vidt som det er teknisk umuligt at overføre API-oplysninger til routeren. I det omfang dette er tilfældet, finder artikel 4, stk. 1, og artikel 8, stk. 1, heller ikke anvendelse på de relevante API-oplysninger i den pågældende periode. 2.Hvis det er teknisk umuligt at anvende routeren til at overføre API-oplysninger på grund af svigt i en medlemsstats systemer eller infrastruktur, jf. artikel 20, underretter den pågældende medlemsstats kompetente grænsemyndigheder straks luftfartsselskaberne, de kompetente myndigheder i de øvrige medlemsstater, eu-LISA og Kommissionen om denne tekniske umulighed på en automatiseret måde. I så fald træffer den pågældende medlemsstat straks foranstaltninger for at afhjælpe den tekniske umulighed for at benytte routeren og underretter straks disse parter, når den er blevet afhjulpet på tilfredsstillende vis. I perioden mellem disse meddelelser finder artikel 6, stk. 1, ikke anvendelse, for så vidt som det er teknisk umuligt at overføre API-oplysninger til routeren. I det omfang dette er tilfældet, finder artikel 4, stk. 1, og artikel 8, stk. 1, heller ikke anvendelse på de pågældende API-oplysninger i den pågældende periode.

3.Hvis det er teknisk umuligt at anvende routeren til at overføre API-oplysninger på grund af svigt i et luftfartsselskabs systemer eller infrastruktur som omhandlet i artikel 21, underretter luftfartsselskabet straks de kompetente grænsemyndigheder, eu-LISA og Kommissionen om denne tekniske umulighed på en automatiseret måde. I så fald skal luftfartsselskabet straks træffe foranstaltninger til at afhjælpe den tekniske umulighed af at benytte routeren og straks underrette disse parter, når den er blevet afhjulpet på tilfredsstillende vis. I perioden mellem disse meddelelser finder artikel 6, stk. 1, ikke anvendelse, for så vidt som det er teknisk umuligt at overføre API-oplysninger til routeren. I det omfang dette er tilfældet, finder artikel 4, stk. 1, og artikel 8, stk. 1, heller ikke anvendelse på de pågældende API-oplysninger i den pågældende periode. Når det er lykkedes at afhjælpe den tekniske umulighed, forelægger det pågældende luftfartsselskab straks den i artikel 29a omhandlede kompetente nationale tilsynsmyndighed en rapport med alle nødvendige oplysninger om den tekniske umulighed, herunder årsagerne til, at det var teknisk umuligt, problemets omfang og konsekvenser samt de foranstaltninger, der er truffet for at afhjælpe det. KAPITEL 4 SÆRLIGE BESTEMMELSER OM BESKYTTELSE AF PERSONOPLYSNINGER Artikel 15 Persondataansvarlige De kompetente grænsemyndigheder er dataansvarlige som omhandlet i artikel 4, nr. 7), i forordning (EU) 2016/679 for så vidt angår behandling af API-oplysninger, der udgør personoplysninger, gennem routeren, herunder overførsel og lagring af disse oplysninger af tekniske årsager i routeren, samt i forbindelse med deres behandling af API-oplysninger, der udgør personoplysninger som omhandlet i nærværende forordnings artikel 7. Luftfartsselskaberne er dataansvarlige som omhandlet i artikel 4, nr. 7), i forordning (EU) 2016/679 for så vidt angår behandling af API-oplysninger, der udgør personoplysninger i forbindelse med deres indsamling af disse oplysninger og deres overførsel til routeren i henhold til denne forordning. Artikel 16 Persondatabehandler eu-LISA er databehandler som omhandlet i artikel 3, nr. 12), i forordning (EU) 2018/1725 for så vidt angår behandling af API-oplysninger, der udgør personoplysninger, gennem routeren i overensstemmelse med denne forordning og forordning (EU) [API-retshåndhævelse]. Artikel 17 Sikkerhed 1.eu-LISA sørger for sikkerheden af de API-oplysninger, navnlig API-oplysninger, der udgør personoplysninger, som det behandler i henhold til denne forordning og forordning (EU) [API-retshåndhævelse]. De kompetente grænsemyndigheder og luftfartsselskaberne sørger for sikkerheden af de API-oplysninger, navnlig API-oplysninger, der udgør personoplysninger, som de behandler i henhold til denne forordning. eu-LISA, de kompetente grænsemyndigheder og luftfartsselskaberne samarbejder i overensstemmelse med deres respektive ansvarsområder og i overensstemmelse med EU-retten med hinanden for at sikre en sådan sikkerhed. 2.Eu-LISA træffer navnlig de nødvendige foranstaltninger for at sørge for sikkerheden for routeren og API-oplysningerne, navnlig API-oplysninger, der udgør personoplysninger, og som overføres via routeren, herunder ved at udarbejde, gennemføre og regelmæssigt ajourføre en sikkerhedsplan, en forretningskontinuitetsplan og en katastrofeberedskabsplan med henblik på at: a)fysisk beskytte routeren, herunder ved at udarbejde beredskabsplaner for beskyttelse af kritiske komponenter hertil b)forhindre uautoriseret behandling af API-oplysninger, herunder uautoriseret adgang hertil og kopiering, ændring eller sletning heraf, både under overførslen af API-oplysningerne til og fra routeren og under enhver lagring af API-oplysninger på routeren, hvis det er nødvendigt for at afslutte overførslen, navnlig ved hjælp af passende krypteringsteknikker c)sikre, at det er muligt at kontrollere og fastslå, til hvilke kompetente grænsemyndigheder eller passageroplysningsenheder API-oplysninger overføres via routeren d)rapportere behørigt til bestyrelsen om eventuelle fejl i routerens funktion

e)overvåge effektiviteten af de sikkerhedsforanstaltninger, der kræves i henhold til denne artikel og forordning (EU) 2018/1725, og vurdere og ajourføre disse sikkerhedsforanstaltninger, hvis det er nødvendigt i lyset af den teknologiske eller operationelle udvikling. De foranstaltninger, der er omhandlet i dette stykkes første afsnit, berører ikke artikel 33 i forordning (EU) 2018/1725 og artikel 32 i forordning (EU) 2016/679. Artikel 18 Egenkontrol Luftfartsselskaberne og de kompetente myndigheder overvåger, at de overholder deres respektive forpligtelser i henhold til denne forordning, navnlig med hensyn til deres behandling af API-oplysninger, der udgør personoplysninger, herunder gennem hyppig kontrol af de logfiler, der er omhandlet i artikel 13. Artikel 19 Revisioner af beskyttelsen af personoplysninger 1.De kompetente nationale databeskyttelsesmyndigheder, der er omhandlet i artikel 51 i forordning (EU) 2016/679, sikrer, at der mindst hvert fjerde år foretages en revision af behandlingen af API-oplysninger, der udgør personoplysninger, som skal foretages af de kompetente grænsemyndigheder med henblik på nærværende forordning i overensstemmelse med relevante internationale revisionsstandarder. 2.Den Europæiske Tilsynsførende for Databeskyttelse sikrer, at der mindst én gang om året foretages en revision af behandlingen af API-oplysninger, der udgør personoplysninger, og som foretages af eu-LISA, med henblik på denne forordning og forordning (EU) [API-retshåndhævelse] i overensstemmelse med relevante internationale revisionsstandarder. En rapport om denne revision sendes til Europa-Parlamentet, Rådet, Kommissionen, medlemsstaterne og eu-LISA. eu-LISA skal have lejlighed til at fremsætte bemærkninger, inden rapporterne vedtages. 3.I forbindelse med de behandlingsaktiviteter, der er omhandlet i stk. 2, leverer eu-LISA efter anmodning de oplysninger, som Den Europæiske Tilsynsførende for Databeskyttelse anmoder om, giver Den Europæiske Tilsynsførende for Databeskyttelse adgang til alle de dokumenter, som den anmoder om, og til de logfiler, der er omhandlet i artikel 13, stk. 1, samt giver til enhver tid Den Europæiske Tilsynsførende for Databeskyttelse adgang til alle eu-LISA's lokaler. KAPITEL 5 FORBINDELSER OG YDERLIGERE BESTEMMELSER VEDRØRENDE ROUTEREN Artikel 20 De kompetente grænsemyndigheders forbindelser til routeren 1.Medlemsstaterne sikrer, at deres kompetente grænsemyndigheder er tilsluttet routeren. De sikrer, at de kompetente grænsemyndigheders systemer og infrastruktur til modtagelse af API-oplysninger, der overføres i henhold til denne forordning, er integreret med routeren. Medlemsstaterne sikrer, at forbindelsen til routeren og integrationen med denne gør det muligt for deres kompetente grænsemyndigheder at modtage og viderebehandle API-oplysninger samt at udveksle al kommunikation i forbindelse hermed på en lovlig, sikker, effektiv og hurtig måde. 2.Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 37 med henblik på at supplere denne forordning ved at fastsætte de nødvendige detaljerede regler for tilslutning til og integration med den router, der er omhandlet i stk. 1. Artikel 21 Luftfartsselskabernes forbindelser til routeren

1.Luftfartsselskaberne sikrer, at de er tilsluttet routeren. De sikrer, at deres systemer og infrastruktur til overførsel af API-oplysninger til routeren i henhold til denne forordning er integreret med routeren. Luftfartsselskaberne sikrer, at forbindelsen til denne router og integrationen med denne gør det muligt for dem at overføre API-oplysningerne og udveksle al kommunikation i forbindelse hermed på en lovlig, sikker, effektiv og hurtig måde. 2.Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 37 med henblik på at supplere denne forordning ved at fastsætte de nødvendige detaljerede regler for tilslutning til og integration med den router, der er omhandlet i stk. 1. Artikel 22 eu-LISA's opgaver i forbindelse med udformningen og udviklingen af routeren 1.eu-LISA er ansvarligt for udformningen af routerens fysiske arkitektur, herunder fastlæggelse af de tekniske specifikationer. 2.eu-LISA er ansvarligt for udviklingen af routeren, herunder for eventuelle tekniske tilpasninger, der er nødvendige for routerens drift. Udviklingen af routeren skal bestå i udarbejdelse og gennemførelse af de tekniske specifikationer, afprøvning og overordnet projektstyring og koordinering af udviklingsfasen. 3.eu-LISA sikrer, at routeren er udformet og udviklet på en sådan måde, at routeren leverer de funktioner, der er specificeret i denne forordning og forordning (EU) [API-retshåndhævelse], og at routeren idriftsættes hurtigst muligt efter Kommissionens vedtagelse af de delegerede retsakter, der er omhandlet i artikel 5, stk. 4, artikel 6, stk. 3, artikel 11, stk. 4, artikel 20, stk. 2, og artikel 21, stk. 2. 4.Hvis eu-LISA vurderer, at udviklingsfasen er afsluttet, foretager det uden unødig forsinkelse en omfattende test af routeren i samarbejde med de kompetente grænsemyndigheder, passageroplysningsenheder og andre relevante myndigheder i medlemsstaterne og luftfartsselskaber og underretter Kommissionen om resultatet af denne test. Artikel 23 eu-LISA's opgaver i forbindelse med hosting og teknisk forvaltning af routeren 1.eu-LISA hoster routeren på sine tekniske lokaliteter. 2.eu-LISA er ansvarligt for den tekniske forvaltning af routeren, herunder dens vedligeholdelse og tekniske udvikling, på en sådan måde, at det sikres, at API-oplysningerne overføres sikkert, effektivt og hurtigt gennem routeren i overensstemmelse med denne forordning og forordning (EU) [API-retshåndhævelse]. Den tekniske forvaltning af routeren består i at udføre alle de opgaver og vedtage alle de tekniske løsninger, der er nødvendige for, at routeren kan fungere korrekt i overensstemmelse med denne forordning og forordning (EU) [API-retshåndhævelse], uden afbrydelser, 24 timer i døgnet, syv dage om ugen. Den tekniske forvaltning omfatter det vedligeholdelsesarbejde og den tekniske udvikling, der er nødvendig for at sikre, at routeren fungerer på et tilfredsstillende niveau af teknisk kvalitet, navnlig med hensyn til tilgængeligheden, nøjagtigheden og pålideligheden af overførslen af API-oplysninger, i overensstemmelse med de tekniske specifikationer og så vidt muligt i overensstemmelse med de kompetente grænsemyndigheders, passageroplysningsenheders og luftfartsselskabers operationelle behov. 3.eu-LISA har ikke adgang til nogen af de API-oplysninger, der overføres gennem routeren. Dette forbud er dog ikke til hinder for, at eu-LISA har en sådan adgang, i det omfa