COMISIÓN EUROPEA Estrasburgo, 13.12.2022 COM(2022) 729 final 2022/0424(COD) Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a la recogida y la transferencia de información anticipada sobre los pasajeros (API) para reforzar y facilitar los controles en las fronteras exteriores, por el que se modifican el Reglamento (UE) 2019/817 y el Reglamento (UE) 2018/1726 y se deroga la Directiva 2004/82/CE del Consejo {SEC(2022) 444 final} - {SWD(2022) 421 final} - {SWD(2022) 422 final} - {SWD(2022) 423 final}



EXPOSICIÓN DE MOTIVOS 1.CONTEXTO DE LA PROPUESTA •Razones y objetivos de la propuesta En las últimas décadas ha crecido el número de personas que viajan en avión, así como el de las innovaciones impulsadas por la eficiencia, que han dado lugar a aviones más grandes y a la necesidad de flujos de pasajeros más eficientes en los aeropuertos. En 2019, la Organización de Aviación Civil Internacional (OACI) notificó el transporte de 4 500 millones de pasajeros en todo el mundo por vía aérea en servicios regulares, con más de 500 millones de pasajeros que entran en la UE o salen de ella cada año, lo que ejerce presión en las fronteras aéreas exteriores. El tratamiento de la información anticipada sobre los pasajeros (API), tal como se establece en la Directiva API vigente y en la presente propuesta, es una herramienta de gestión de fronteras que contribuye a la eficacia y eficiencia de las inspecciones fronterizas, facilitando y acelerando el despacho de viajeros, así como un instrumento para luchar contra la inmigración ilegal. Los datos API son un conjunto de datos de identidad relativos a los pasajeros que figuran en sus documentos de viaje, combinados con información del vuelo recogida en la facturación y transferida a las autoridades fronterizas del país de destino. Dado que estas autoridades reciben los datos API antes de la llegada del vuelo, pueden realizar un control previo de los viajeros, de conformidad con la legislación aplicable, mediante perfiles de riesgo, listas de alerta rápida y bases de datos, agilizando así las inspecciones fronterizas de las personas que viajan de buena fe y dedicando más recursos y tiempo a identificar a los viajeros que requieren investigaciones ulteriores a su llegada. El establecimiento de sistemas de recogida y transferencia de datos API es una norma internacional en virtud del Convenio sobre Aviación Civil Internacional (Convenio de Chicago) desde 2017. En la UE, está regulado por la Directiva API. Si bien esta Directiva impone a las compañías aéreas la obligación de transferir los datos API, previa solicitud, a las autoridades fronterizas del país de destino antes del despegue del vuelo, no impone a los Estados miembros la obligación de solicitar los datos API a las compañías aéreas, lo que crea lagunas e incoherencias en cuanto al modo en que se recogen y utilizan los datos: unos cuantos Estados miembros recopilan los datos API de forma sistemática, mientras que otros no. Por término medio, para todos los Estados miembros combinados, se estima que los datos API se recogen en el 65 % de los vuelos de llegada. Esto crea una situación en la que las personas que desean eludir las inspecciones y evitar las rutas en las que los datos API se recogen sistemáticamente pueden optar fácilmente por viajar a su destino a través de rutas aéreas en las que los datos API se utilizan con menos frecuencia o no se utilizan en absoluto. La reciente evaluación de la Directiva API ha demostrado que, incluso cuando los Estados miembros solicitan los datos API, sus autoridades nacionales no siempre los utilizan de manera coherente. De hecho, los datos API permiten a los guardias de fronteras realizar inspecciones previas de la identidad de los pasajeros y de la validez del documento de viaje utilizado por medio de las bases de datos contempladas en el Código de fronteras Schengen. Sin embargo, no todos los Estados miembros utilizan los datos API para realizar inspecciones previas por medio de las bases de datos establecidas en el Código de fronteras Schengen. Irlanda, de hecho, que no participa en el Código de fronteras Schengen, aplica una legislación nacional similar. Esto no cambiará como consecuencia de la propuesta de Reglamento. La Directiva API solo establece criterios limitados para la recogida, la transmisión y el tratamiento de datos API en lo que respecta a la cobertura del vuelo para la recogida de datos, los elementos de datos que deben recogerse o los medios para captar los datos, que no tienen en cuenta la evolución de las normas y directrices internacionales relativas a la recogida de datos API. Esto da lugar a prácticas muy divergentes, lo que dificulta no solo la eficacia y la eficiencia de las inspecciones fronterizas, sino que también supone una carga adicional para las compañías aéreas, que deben cumplir un conjunto diferente de requisitos en función de las rutas en las que transportan pasajeros y del Estado miembro que solicita los datos API.La armonización de la recogida y transmisión de datos API con estas normas internacionales sobre los datos API garantizaría el cumplimiento de los requisitos API por parte del sector aéreo. Para que los datos API sean eficaces deben ser exactos y completos y estar actualizados. Si los datos de identidad no son fiables y no se verifican, lo que a veces ocurre en la actualidad, los controles cruzados en bases de datos no producirán resultados operativos fiables. Dado que la facturación en línea se ha convertido en una práctica habitual en los últimos veinte años, es cada vez más común que sean los propios pasajeros los que transcriban manualmente o declaren los datos API de su documento de viaje. El hecho de que se transfieran datos API incompletos, incorrectos u obsoletos a las autoridades nacionales puede dar lugar a lagunas en los tipos de inspecciones que las autoridades fronterizas pueden realizar y, en última instancia, afectar a los viajeros, que pueden ser objeto de inspecciones incorrectas e innecesarias. La necesidad de garantizar que los datos API recogidos sean de calidad suficiente está estrechamente relacionada con los medios utilizados por las compañías aéreas para garantizar que los datos API pertinentes recogidos se correspondan con la información mostrada en los documentos de viaje. El actual marco API no determina los medios para recoger los datos API de los viajeros. A diferencia de la información transcrita manualmente, la recogida automatizada de datos daría lugar a menos problemas de calidad y a un uso más eficaz y eficiente de los datos API, contribuyendo también a reducir el tiempo invertido por las autoridades fronterizas competentes en su interacción con los transportistas. Por lo tanto, la revisión del marco jurídico actual sobre la recogida y la transferencia de datos API brinda la oportunidad de mejorar la gestión de las fronteras exteriores y la lucha contra la inmigración ilegal. Lo hace al contribuir a garantizar que toda persona que viaje en avión desde un tercer país o un Estado miembro que no participa en la propuesta de Reglamento a la Unión [más concretamente, a los Estados que participan en el espacio Schengen sin controles en las fronteras interiores (en lo sucesivo, «espacio Schengen»), así como a Irlanda], es decir, los nacionales de terceros países, las personas apátridas y los ciudadanos de la UE, pueda ser objeto de una inspección previa mediante los datos API antes de su llegada, y que los Estados miembros apliquen criterios uniformes en relación con la recogida y transferencia de tales datos a efectos de los controles en las fronteras exteriores y de la lucha contra la inmigración ilegal. Al facilitar los flujos de pasajeros en los aeropuertos y acelerar las inspecciones fronterizas, la presente propuesta contribuye a garantizar que todos los pasajeros aéreos puedan someterse eficazmente a inspecciones sistemáticas, de conformidad con la legislación aplicable. •Coherencia con las disposiciones existentes en la misma política sectorial La presente propuesta aborda la necesidad de normas comunes sobre la recogida y la transferencia de datos API con fines de gestión de fronteras y de lucha contra la inmigración ilegal, que está vinculada a la existencia del espacio Schengen y al establecimiento de normas comunes que rijan el cruce de personas por las fronteras exteriores. La presente propuesta es coherente con las obligaciones establecidas en el Código de fronteras Schengen en materia de controles de las personas en las fronteras exteriores. El Reglamento propuesto se inscribe en el panorama más amplio de los sistemas de información a gran escala de la UE que se han desarrollado sustancialmente desde la adopción de la Directiva API en 2004. Además, las orientaciones estratégicas adoptadas por el Consejo Europeo en junio de 2014 prevén la ampliación de los procedimientos emprendidos por los guardias de fronteras en las fronteras exteriores para aumentar la eficacia de las inspecciones previas a la llegada al puesto de control fronterizo y limitar los efectos adversos en las fronteras. Por ejemplo: el Sistema de Información de Schengen (SIS), el Sistema de Información de Visados (VIS) y el sistema Eurodac. Asimismo, tres nuevos sistemas se encuentran actualmente en fase de desarrollo: el Sistema de Entradas y Salidas (SES), el Sistema Europeo de Información y Autorización de Viajes (SEIAV) y el sistema centralizado para la identificación de los Estados miembros que poseen información sobre condenas de nacionales de terceros países y apátridas (ECRIS-TCN). Todos estos sistemas actuales y futuros están vinculados a través del marco de interoperabilidad de los sistemas de información de la UE para la gestión de la seguridad, las fronteras y la migración, adoptado en 2019 y que actualmente se está poniendo en marcha. Las revisiones incluidas en la presente propuesta tienen en cuenta el marco de interoperabilidad. En particular, el encaminador propuesto evita la duplicación de componentes técnicos al compartir los componentes de la pasarela para los transportistas del SEIAV. La pasarela para los transportistas del SEIAV proporciona a los transportistas los medios técnicos para consultar la situación con relación al SEIAV de los nacionales de terceros países exentos de la obligación de visado que viajan a los Estados miembros. La propuesta de Reglamento garantiza que los distintos procesos de datos se diferencien y mantengan estrictamente separados y que se respeten los derechos de acceso establecidos en los distintos instrumentos de la UE. Por otra parte, la propuesta de Reglamento vincula el trabajo del actual grupo consultivo SES-SEIAV de eu-LISA a la labor futura en materia de datos API, generando eficiencia y economías de escala al evitar la duplicación de los grupos de trabajo. Como se ha explicado anteriormente, las inspecciones fronterizas que las normas de la propuesta de Reglamento pretenden facilitar y mejorar deben llevarse a cabo con arreglo al Código de fronteras Schengen, cuando proceda, o con arreglo al Derecho nacional. Además, los actos de aplicación general del Derecho de la UE se aplicarán de conformidad con las condiciones establecidas en ellos. En lo que respecta al tratamiento de datos personales, este es el caso, en particular, del Reglamento general de protección de datos (RGPD) y el Reglamento de protección de datos de la UE. Estos actos no se ven afectados por la presente propuesta. La aplicabilidad de los actos mencionados del Derecho de la UE al tratamiento de los datos API recibidos en virtud del presente Reglamento implica que los Estados miembros aplican el Derecho de la UE en el sentido del artículo 51, apartado 1, de la Carta, lo que significa que también se aplican las normas de la Carta. En particular, las normas de dichos actos del Derecho de la UE deben interpretarse a la luz de la Carta. Las directrices de la OACI sobre documentos de viaje de lectura mecánica se transponen en el Reglamento (CE) n.º 2019/1157 sobre el refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión y en el Reglamento (CE) n.º 2252/2004 sobre normas para las medidas de seguridad y datos biométricos en los pasaportes. Estos Reglamentos son los precursores que permiten la extracción automatizada de datos completos y de alta calidad de los documentos de viaje. El Reglamento propuesto seguiría formando parte del acervo de Schengen. Las autoridades fronterizas competentes de los Estados miembros seguirán recibiendo y tratando ulteriormente los datos API únicamente a efectos de la gestión de las fronteras y de la lucha contra la inmigración ilegal, para lo cual se recogieron los datos API con arreglo a la propuesta de Reglamento. La presente propuesta está estrechamente vinculada a la propuesta de Reglamento relativo a la recogida y la transferencia de datos API para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave, en la medida en que ambas propuestas contienen disposiciones similares sobre la lista de elementos de los datos API, la recogida de datos API por medios automatizados y la transferencia de los datos al encaminador. 2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD

•Base jurídica Para la presente propuesta de Reglamento sobre la recogida y la transferencia de datos API con fines de gestión de fronteras y de lucha contra la inmigración ilegal, teniendo en cuenta el objetivo y las medidas previstas, la base jurídica adecuada es el artículo 77, apartado 2, letras b) y d), y el artículo 79, apartado 2, letra c), del Tratado de Funcionamiento de la Unión Europea (TFUE). En virtud del artículo 77, apartado 2, letra b), del TFUE, la Unión está facultada para adoptar medidas relativas a las controles a los que están sujetas las personas que crucen las fronteras exteriores y, en virtud de la letra d), la Unión está facultada para adoptar cualquier medida necesaria para el establecimiento progresivo de un sistema integrado de gestión de las fronteras exteriores. En virtud del artículo 79, apartado 2, letra c), del TFUE, la Unión está facultada para adoptar medidas relativas a la inmigración ilegal. De este modo, se garantiza la coherencia con la actual Directiva API, que se basa en las mismas disposiciones. •Subsidiariedad El TFUE faculta explícitamente a la Unión para desarrollar una política común sobre los controles a los que están sujetas las personas que cruzan las fronteras exteriores, lo que constituye un objetivo claro que debe perseguirse a escala de la UE. Al mismo tiempo, se trata de un ámbito de competencia compartida entre la UE y los Estados miembros. La necesidad de normas comunes sobre la recogida y la transferencia de datos API para la gestión de las fronteras y la lucha contra la inmigración ilegal está vinculada, en particular y sin perjuicio de la posición específica de Irlanda, a la creación del espacio Schengen y al establecimiento de normas comunes para el cruce de personas por las fronteras exteriores, en especial al Código de fronteras Schengen. En este contexto, las decisiones de un Estado miembro afectan a otros Estados miembros, por lo que es necesario contar con normas y prácticas operativas comunes y claras en este ámbito. Unos controles en las fronteras exteriores eficientes y eficaces requieren un enfoque coherente en todo el espacio Schengen, también por lo que respecta a la posibilidad de realizar inspecciones previas a los viajeros por medio de los datos API. La necesidad de una acción de la UE en relación con los datos API en este momento también se deriva de los recientes avances legislativos sobre la gestión de las fronteras exteriores de Schengen, en particular: –El Reglamento de interoperabilidad de 2019 permitirá efectuar inspecciones sistemáticas de las personas que crucen las fronteras exteriores cotejando sus datos con toda la información pertinente y disponible en los sistemas de información centralizados de la UE para la gestión de la seguridad, las fronteras y la migración. El establecimiento de un mecanismo centralizado de transmisión de datos API a escala de la UE es la continuación lógica de este concepto. De acuerdo con los conceptos incluidos en los Reglamentos de interoperabilidad, la transmisión centralizada de datos API podría dar lugar en el futuro a utilizar estos datos para consultar diversas bases de datos (datos del SIS, datos de Europol) a través del portal europeo de búsqueda. –En las fronteras exteriores, el uso de datos API complementaría eficazmente la inminente aplicación del Sistema Europeo de Información y Autorización de Viajes (SEIAV) y del Sistema de Entradas y Salidas (SES). El uso de datos API seguiría siendo necesario para la gestión de las fronteras exteriores, ya que informa previamente a los guardias de fronteras de si un viajero ha embarcado efectivamente en un avión y está a punto de entrar en el espacio Schengen, facilitando así la inspección fronteriza que tendrá lugar una vez que el viajero llegue a las fronteras exteriores. •Proporcionalidad De conformidad con el principio de proporcionalidad establecido en el artículo 5, apartado 4, del TUE, es necesario adecuar la naturaleza y la intensidad de una determinada medida al problema detectado. Todos los problemas abordados en la presente iniciativa legislativa exigen, de una manera u otra, una acción legislativa a nivel de la UE que permita a los Estados miembros resolverlos eficazmente. Con esta propuesta se reforzará el marco jurídico para la recogida y la transferencia de los datos API a efectos de la gestión de las fronteras exteriores y de la lucha contra la inmigración ilegal. Reforzará los datos API como instrumento para mejorar las inspecciones previas de los viajeros en las fronteras exteriores, contribuyendo así no solo a la eficacia y eficiencia de las propias inspecciones, sino también al objetivo de luchar contra la inmigración ilegal, en particular en relación con el transporte aéreo transfronterizo y las responsabilidades de las compañías aéreas a este respecto. En consonancia con las normas internacionales y las prácticas recomendadas, la presente propuesta exigirá a las compañías aéreas que recojan y transfieran los datos API de todos los vuelos con destino a la Unión, tal como se definen en la propuesta. Las obligaciones establecidas en la presente propuesta se limitan a lo necesario para alcanzar este objetivo. Más concretamente, la presente propuesta establece normas claras, entre otras cosas, sobre lo que constituyen datos API, sobre los vuelos en los que las compañías aéreas deben recoger los datos API y sobre la transferencia de estos datos. La presente propuesta establecerá, por medio de un Reglamento, un enfoque coherente del uso de los datos API para la gestión de las fronteras exteriores y la lucha contra la inmigración ilegal. Esta normalización de los requisitos API en todos los Estados miembros contribuirá a aumentar la seguridad jurídica y la previsibilidad y, por tanto, también a aumentar el cumplimiento por parte de las compañías aéreas. La proporcionalidad se garantiza además a través de varios elementos de la propuesta de Reglamento, como la limitación únicamente a los vuelos entrantes, la restricción del requisito de utilizar medios automatizados a tan solo determinados datos API y las salvaguardias en lo que respecta a la manera de tratar los datos API y a la finalidad de su tratamiento. La propuesta de Reglamento prevé la creación de un encaminador que sirva de punto de conexión único entre los Estados miembros y las compañías aéreas, en consonancia con las recomendaciones internacionales, y establece un enfoque de la UE para la recogida y la transmisión de los datos API. La transmisión de los datos API a través del encaminador reducirá los costes para la industria aérea y garantizará que los guardias de fronteras tengan acceso rápido y expedito a los datos API que necesiten para llevar a cabo las inspecciones fronterizas avanzadas. Desde la perspectiva de los Estados miembros, este enfoque reducirá sustancialmente el número de conexiones que se deban establecer y mantener. De igual modo, esto reducirá la complejidad de las conexiones que las compañías aéreas deban mantener con las autoridades fronterizas competentes e introducirá economías de escala. Una agencia de la UE, a saber, eu-LISA, será responsable del diseño, el desarrollo, el alojamiento y la gestión técnica del encaminador. La transferencia de los datos API a través del encaminador facilitará la supervisión de los vuelos y reducirá así la probabilidad de que una compañía aérea incumpla la obligación de comunicar los datos API, tal como se establece en la presente propuesta. •Elección del instrumento Se propone un Reglamento. Tal como se concluyó en la evaluación de impacto que acompaña a la presente propuesta y teniendo en cuenta la necesidad de que las medidas propuestas sean directamente aplicables y se apliquen de manera uniforme en todos los Estados miembros, un Reglamento es la elección de instrumento jurídico adecuada. 3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO •Evaluaciones ex post de la legislación vigente La evaluación de la Directiva API concluyó que la razón de ser de la recogida de datos API y de su transferencia a las autoridades fronterizas competentes sigue siendo válida quince años después de la entrada en vigor de la Directiva. Los objetivos actuales de la Directiva, en particular, la mejora de la gestión de los controles fronterizos, que a su vez también pueden ayudar a combatir la migración irregular, siguen siendo muy pertinentes para las necesidades de las partes interesadas afectadas y de la sociedad en general. Además, la recogida y la transferencia de los datos API también se consideró pertinente para facilitar los viajes legítimos.

La evaluación puso de manifiesto que la falta de armonización en la aplicación de la Directiva constituye un obstáculo para su eficacia y coherencia. A consecuencia de que los requisitos impuestos por la Directiva sean mínimos, la aplicación de los sistemas API, así como el uso real de los datos API, muestran una imagen fragmentada. Además, la opción que se deja a los Estados miembros en relación con el uso de los datos API con fines policiales, sin proporcionar una definición clara de estos fines ni establecer un marco, dio lugar a una aplicación descoordinada a nivel nacional. La evaluación también detectó discrepancias con otros instrumentos de la UE que causaron problemas operativos en la práctica e incertidumbre para las partes afectadas, en particular los interesados. Los requisitos de protección de los datos personales contenidos en la Directiva API no están plenamente en consonancia con la evolución más reciente en este ámbito. Además, la Directiva API no es plenamente coherente con el marco regulador internacional en materia de información de los pasajeros, especialmente en lo que se refiere a los campos de datos y las normas de transmisión. La evaluación puso de relieve una serie de deficiencias relacionadas con la Directiva API, a saber, la falta de: i) normalización y armonización, ii) determinadas garantías de protección de datos y iii) una adaptación clara a los últimos avances políticos y jurídicos a escala de la UE. Estos aspectos afectan al impacto de la Directiva, crean una carga para las partes interesadas y generan un cierto nivel de inseguridad jurídica, tanto para las compañías aéreas que recogen y transfieren los datos API como para las autoridades fronterizas competentes que los reciben y tratan posteriormente, y, en última instancia, para los pasajeros. Los resultados de la evaluación apoyaron la elaboración de la evaluación de impacto y de la presente propuesta. •Consultas con las partes interesadas La elaboración de la presente propuesta incluyó una amplia gama de consultas con las partes interesadas afectadas, incluidas las autoridades de los Estados miembros (autoridades fronterizas competentes, Unidades de Información sobre los Pasajeros), los representantes del sector del transporte y compañías aéreas individuales. Las agencias de la UE, como la Agencia Europea de la Guardia de Fronteras y Costas (Frontex), la Agencia de la Unión Europea para la Cooperación Policial (Europol), la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA) y la Agencia de los Derechos Fundamentales de la Unión Europea (FRA), también aportaron información a la luz de su mandato y sus conocimientos especializados. Esta iniciativa también integra las opiniones y observaciones recibidas durante la consulta pública realizada a finales de 2019 en el marco de la evaluación de la Directiva API. Las actividades de consulta en el contexto de la preparación de la evaluación de impacto en apoyo de esta propuesta recabaron las observaciones de las partes interesadas utilizando diversos foros. Estas actividades incluían, en particular, una evaluación inicial de impacto, un estudio externo justificativo y una serie de talleres técnicos. Entre el 5 de junio de 2020 y el 14 de agosto de 2020 se publicó una evaluación inicial de impacto, acerca de la cual se recibieron siete contribuciones sobre la ampliación del ámbito de aplicación de la futura Directiva API, la calidad de los datos, las sanciones, la relación de los datos API y PNR y la protección de los datos personales. El estudio externo justificativo se basó en el trabajo de documentación, entrevistas y encuestas con expertos en la materia, en los que se examinaron diferentes medidas posibles para el tratamiento de los datos API con normas claras que facilitasen los viajes legítimos y fuesen coherentes con la interoperabilidad de los sistemas de información de la UE, los requisitos de protección de datos personales de la UE y otros instrumentos de la UE y normas internacionales existentes. Los servicios de la Comisión también organizaron una serie de talleres técnicos con expertos de los Estados miembros y de los países asociados a Schengen. Estos talleres tenían por objeto reunir a expertos para un intercambio de puntos de vista sobre las posibles opciones previstas para reforzar el futuro marco API a efectos de la gestión de las fronteras y de la lucha contra la inmigración ilegal, así como para luchar contra la delincuencia y el terrorismo. La evaluación de impacto adjunta ofrece una descripción más detallada de la consulta de las partes interesadas (anexo 2). •Evaluación de impacto En consonancia con las Directrices para la mejora de la legislación, la Comisión llevó a cabo una evaluación de impacto que se presenta en el documento de trabajo de los servicios de la Comisión adjunto. El Comité de Control Reglamentario revisó el proyecto de evaluación de impacto en una reunión celebrada el 28 de septiembre de 2022 y emitió su dictamen favorable el 30 de septiembre de 2022. A la vista de los problemas detectados en relación con la recogida y la transferencia de datos API, la evaluación de impacto evaluó opciones de actuación en cuanto al alcance de la recogida de datos API para los fines mencionados, junto con opciones relativas a los medios para mejorar la calidad de los datos API. Por lo que se refiere a la recogida de datos API para la gestión de las fronteras exteriores y la lucha contra la inmigración ilegal, la evaluación de impacto consideró la recogida de datos API sobre todos los vuelos exteriores del espacio Schengen entrantes, por una parte, y la recogida de datos API sobre todos los vuelos exteriores del espacio Schengen, entrantes y salientes, por otra. Además, la evaluación de impacto también consideró opciones para mejorar la calidad de los datos API, ya fuese para recoger los datos API utilizando medios automatizados y manuales, o para recoger los datos API utilizando únicamente medios automatizados. Dado que el conjunto completo de datos API se genera una vez que los pasajeros se encuentran a bordo de un avión, los guardias de fronteras solo recibirían los datos API tras los controles físicos de salida de los viajeros y el examen de sus pasaportes, y, por tanto, demasiado tarde para apoyar la labor de los guardias de fronteras, por lo que la opción de recoger datos API sobre todos los vuelos pertinentes entrantes y salientes no se seleccionó como parte de la opción preferida. Sobre la base de las conclusiones del informe de evaluación de impacto, la opción preferida para un instrumento API para dichos fines incluye la recogida de datos API sobre todos los vuelos entrantes pertinentes, con la recogida por parte de las compañías aéreas de determinados datos API únicamente por medios automatizados. Una combinación de estas opciones mejoraría la capacidad de los Estados miembros para utilizar los datos API con el fin de efectuar una inspección previa eficaz y eficiente de los viajeros aéreos antes de su llegada a las fronteras exteriores. La normalización de los requisitos para la recogida y la transferencia de datos API aumentaría el cumplimiento por parte del sector de las compañías aéreas, ya que se enfrentaría a los mismos requisitos en todos los Estados miembros. Unos datos API más fiables y verificados, incluidos los datos API recogidos por medios automatizados, permitirían la identificación de los viajeros de alto riesgo y garantizarían una facilitación más rápida de las inspecciones en las fronteras exteriores y del despacho de los pasajeros a su llegada. La propuesta es coherente con el objetivo de neutralidad climática establecido en la Ley Europea del Clima y con los objetivos de la Unión para 2030 y 2040. La evaluación de impacto también consideró, y descartó, opciones tales como la recogida de datos API de otros medios de transporte, como los operadores de transporte marítimo y ferroviario y de transporte en autobús. La evaluación de impacto estableció que ya existen normas internacionales y de la UE que exigen a los operadores de transporte marítimo que transmitan por anticipado información sobre los pasajeros a las autoridades fronterizas de los Estados miembros en las rutas entrantes y salientes. Por lo tanto, sería redundante la obligación adicional de la UE para los operadores de transporte marítimo de transferir datos API. En comparación con el sector del transporte aéreo, la recogida de datos de los pasajeros es más difícil para los operadores de transporte terrestre como el ferrocarril o el autobús (ausencia de procesos de facturación, no emisión sistemática de billetes nominativos) y requeriría grandes inversiones en la infraestructura física de los operadores, con consecuencias sustanciales para su modelo económico y para los pasajeros. La decisión de no incluir estos aspectos en la presente propuesta de Reglamento se entiende sin perjuicio de las prácticas de algunos Estados miembros que solicitan datos de pasajeros relativos a las conexiones ferroviarias sobre la base de la legislación nacional, siempre que cumplan el Derecho de la UE. •Derechos fundamentales y protección de los datos personales La presente iniciativa establece el tratamiento de los datos personales de los viajeros y, por tanto, limita el ejercicio del derecho fundamental a la protección de los datos personales garantizado por el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «la Carta») y por el artículo 16 del TFUE. Como ha subrayado el Tribunal de Justicia de la Unión Europea (TJUE), el derecho a la protección de los datos personales no es un derecho absoluto, pero cualquier limitación debe considerarse en relación con su función en la sociedad y cumplir los criterios establecidos en el artículo 52, apartado 1, de la Carta. La protección de los datos personales también está estrechamente vinculada al respeto del derecho a la intimidad, como parte del derecho a la vida privada y familiar protegido por el artículo 7 de la Carta. La obligación de las compañías aéreas de recoger datos API sobre todos los viajeros que crucen las fronteras exteriores y, posteriormente, de transferir dichos datos API, a través del encaminador, a las autoridades fronterizas competentes se corresponde con el objetivo de contribuir a garantizar que las inspecciones previas en las fronteras exteriores se lleven a cabo de manera eficaz y eficiente con respecto a todos los viajeros que entren en los Estados miembros, contribuyendo así también al objetivo de luchar contra la inmigración ilegal. Aunque las autoridades fronterizas competentes no tomarán decisiones basadas únicamente en los datos API, la presente propuesta permitirá a las autoridades fronterizas organizar sus actividades con antelación y facilitar la entrada de pasajeros de buena fe y la detección de otros pasajeros. La injerencia en los derechos fundamentales mencionados se limita a lo estrictamente necesario para alcanzar los objetivos mencionados, en particular limitando la recogida de datos de identidad a la información contenida en el documento de viaje del viajero y limitando el alcance del tratamiento al mínimo necesario, incluso en lo que se refiere al período de conservación de los datos personales. El uso obligatorio de medios automatizados por parte de las compañías aéreas para recoger los datos API de los viajeros puede dar lugar a riesgos adicionales desde el punto de vista de la protección de los datos personales. Sin embargo, tales riesgos se han limitado y mitigado. En primer lugar, el requisito solo se aplica a determinados datos API, en los que los medios automatizados deben utilizarse de manera responsable con respecto a los datos legibles por máquina que figuran en los documentos de los viajeros. En segundo lugar, el Reglamento propuesto contiene requisitos relativos a los medios automatizados que deben utilizarse, que deben detallarse en un acto delegado. Por último, se contemplan varias garantías, como el registro, las normas específicas sobre la protección de los datos personales y una supervisión eficaz.

La presente propuesta también incluye salvaguardias adicionales y específicas para garantizar el cumplimiento de la Carta, en particular en lo que respecta a la seguridad del tratamiento de los datos personales, la supresión, la limitación de la finalidad y el derecho de los viajeros a la información. Además, si bien, aparte de la disposición que garantiza el cumplimiento del principio de limitación de la finalidad, el Reglamento propuesto no regularía el uso que las autoridades fronterizas competentes hagan de los datos API que reciban en virtud del mismo, puesto que ya están cubiertos por otra legislación (el Código de fronteras Schengen, la legislación sobre protección de datos personales, la Carta), en aras de la claridad, en los considerandos se recuerda que tal uso no puede dar lugar a ninguna discriminación prohibida por el artículo 21 de la Carta. 4.REPERCUSIONES PRESUPUESTARIAS La presente iniciativa legislativa sobre la recogida y transferencia de datos API para facilitar los controles en las fronteras exteriores repercutiría en el presupuesto y las necesidades de personal de eu-LISA y de las autoridades fronterizas competentes de los Estados miembros. En el caso de eu-LISA, se estima que se requeriría un presupuesto adicional de alrededor de 45 millones EUR (33 millones EUR en el marco del actual MFP) para poner en marcha el encaminador y 9 millones EUR anuales a partir de 2029 para su gestión técnica, y que se necesitarían alrededor de veintisiete puestos adicionales para garantizar que eu-LISA disponga de los recursos necesarios para desempeñar las funciones que se le atribuyen en la presente propuesta de Reglamento y en la propuesta de Reglamento relativo a la recogida y la transferencia de datos API para la prevención, detección, investigación y enjuiciamiento de delitos terroristas y delitos graves. Para los Estados miembros, se estima que se requerirían 27 millones EUR (8 millones EUR en el marco financiero plurianual actual) destinados a la mejora de los sistemas e infraestructuras nacionales necesarios para las autoridades de gestión de fronteras y, progresivamente, hasta 5 millones EUR anuales a partir de 2028 para su mantenimiento, a cuyo reembolso por el fondo del Instrumento de Gestión de las Fronteras y Visados podrían tener derecho los Estados miembros. Todo derecho de este tipo deberá determinarse en última instancia de conformidad con las normas que regulan dichos fondos, así como con las normas sobre costes contenidas en la propuesta de Reglamento. Habida cuenta de la estrecha relación entre la presente propuesta de Reglamento y la propuesta de Reglamento relativo a la recogida y la transferencia de datos API para la prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos graves, en particular en lo que se refiere a la transferencia de datos API al encaminador, la ficha de financiación legislativa que figura en el anexo de la presente propuesta de Reglamento es idéntica en ambas propuestas. 5.OTROS ELEMENTOS •Planes de ejecución y modalidades de seguimiento, evaluación e información La Comisión debe garantizar que se disponga de las modalidades necesarias para supervisar el funcionamiento de las medidas propuestas y evaluarlas en relación con los principales objetivos fijados. Cuatro años después del inicio de las operaciones de la propuesta de Reglamento, y posteriormente cada cuatro años, la Comisión debe presentar un informe al Parlamento Europeo y al Consejo en el que se evalúe la aplicación del Reglamento y su valor añadido. El informe también ha de notificar cualquier impacto directo o indirecto en los derechos fundamentales pertinentes. Debe examinar los resultados obtenidos en relación con los objetivos y evaluar la vigencia de la validez de los fundamentos del sistema y las posibles consecuencias de futuras opciones. El carácter preceptivo de la recogida de los datos API y la introducción del encaminador permitirán obtener una visión más clara tanto de la recogida y la transmisión de los datos API por las compañías aéreas como del uso posterior de los datos API por parte de los Estados miembros, de conformidad con la legislación nacional y de la Unión aplicable. Esto ayudará a la Comisión Europea en sus funciones de evaluación y ejecución al proporcionarle estadísticas fiables sobre el volumen de datos transmitidos y sobre los vuelos para los que se soliciten datos API. •Geometría variable La presente propuesta se basa en el acervo de Schengen sobre fronteras exteriores y lo desarrolla en lo que respecta al cruce de las fronteras exteriores. Por consiguiente, deben considerarse las siguientes consecuencias en relación con el Protocolo (n.º 19) sobre el acervo de Schengen integrado en el marco de la Unión Europea anejo al TUE y al TFUE, y el Protocolo (n.º 22) sobre la posición de Dinamarca anejo al TUE y al TFUE. La propuesta está cubierta por las medidas del acervo de Schengen en las que Irlanda participa de conformidad con el artículo 6, apartado 2, de la Decisión 2002/192/CE del Consejo, de 28 de febrero de 2002, sobre la solicitud de Irlanda de participar en algunas de las disposiciones del acervo de Schengen. Concretamente, la participación de Irlanda en la presente propuesta está relacionada con las responsabilidades de la Unión de adoptar medidas que desarrollen las disposiciones del acervo de Schengen contra la inmigración ilegal, en las que participa Irlanda. Irlanda participa, en particular, habida cuenta de la inclusión en el artículo 1, apartado 1, de dicha Decisión del Consejo de una referencia al artículo 26 del Convenio de aplicación del Acuerdo de Schengen en relación con las responsabilidades de las compañías aéreas respecto de los extranjeros a los que se deniega la entrada y la posesión por parte de los extranjeros de los documentos de viaje exigidos. Irlanda participa en la totalidad de la propuesta de Reglamento. De conformidad con los artículos 1 y 2 del Protocolo n.º 22 sobre la posición de Dinamarca anejo al Tratado de la Unión Europea (TUE) y al TFUE, Dinamarca no participará en la adopción de la presente propuesta y no queda vinculada por esta ni sujeta a su aplicación. Dado que la presente propuesta de Reglamento desarrollará el acervo de Schengen, Dinamarca decidirá, de conformidad con el artículo 4 de dicho Protocolo, dentro de un período de seis meses a partir de que el Consejo haya tomado una medida sobre la presente propuesta, si la incorpora a su legislación nacional. Por lo que respecta a Chipre, Bulgaria, Rumanía y Croacia, la propuesta de Reglamento constituirá un acto que desarrolle el acervo de Schengen o esté relacionado con él de otro modo en el sentido, respectivamente, del artículo 3, apartado 1, del Acta de adhesión de 2003; del artículo 4, apartado 1, del Acta de adhesión de 2005 y del artículo 4, apartado 1, del Acta de adhesión de 2011. Por lo que respecta a Islandia, Noruega, Suiza y Liechtenstein, la propuesta de Reglamento constituirá un desarrollo de las disposiciones del acervo de Schengen en el sentido de sus respectivos acuerdos de asociación. •Explicación detallada de las disposiciones específicas de la propuesta El capítulo 1 establece las disposiciones generales del presente Reglamento, empezando por las normas sobre su objeto y ámbito de aplicación. También recoge una lista de definiciones. El capítulo 2 establece las disposiciones para la recogida y la transferencia de los datos API, a saber, un conjunto claro de normas para la recogida de los datos API por parte de las compañías aéreas, normas relativas a la transferencia de los datos API al encaminador, el tratamiento de los datos API por parte de las autoridades fronterizas competentes y el almacenamiento y la supresión de los datos API por las compañías aéreas y dichas autoridades.

El capítulo 3 contiene disposiciones relativas a la transmisión de los datos API a través del encaminador. Más concretamente, incluye disposiciones que describen las principales características del encaminador, normas sobre el uso del encaminador, el procedimiento para la transmisión de datos API del encaminador a las autoridades fronterizas competentes, la supresión de los datos API del encaminador, la conservación de los registros y los procedimientos en caso de imposibilidad técnica, parcial o total, de utilizar el encaminador. El capítulo 4 contiene un conjunto de disposiciones específicas sobre la protección de los datos personales. Más concretamente, especifica quiénes son los responsables del tratamiento de los datos y el encargado del tratamiento de los datos para el tratamiento de los datos API que constituyan datos personales con arreglo al presente Reglamento. También establece las medidas exigidas a eu-LISA para garantizar la seguridad del tratamiento de los datos, en consonancia con las disposiciones del Reglamento (UE) 2018/1725. Establece las medidas exigidas a las compañías aéreas y a las autoridades fronterizas competentes para garantizar su autocontrol del cumplimiento de las disposiciones pertinentes establecidas en el presente Reglamento y las normas sobre auditorías. El capítulo 5 regula determinadas cuestiones específicas relacionadas con el encaminador. Contiene requisitos sobre las conexiones con el encaminador de las autoridades fronterizas competentes y las compañías aéreas. También establece las funciones de eu-LISA en lo relacionado con el diseño, el desarrollo, el alojamiento y la gestión técnica del encaminador, así como otras funciones de apoyo relacionadas con el encaminador. Este capítulo contiene además disposiciones relativas a los costes a cargo de eu-LISA y los Estados miembros en virtud del presente Reglamento, en particular en lo que se refiere a las conexiones de los Estados miembros con el encaminador y la integración en él. También establece disposiciones relativas a la responsabilidad por los daños causados al encaminador, a la entrada en funcionamiento del encaminador y a la posibilidad de que las compañías aéreas utilicen voluntariamente el encaminador en determinadas condiciones. El capítulo 6 contiene disposiciones sobre la supervisión, las posibles sanciones aplicables a las compañías aéreas en caso de incumplimiento de las obligaciones establecidas en el presente Reglamento que les incumben, las normas relativas a la presentación de informes estadísticos por parte de eu-LISA y la elaboración de un manual práctico por parte de la Comisión. El capítulo 7 regula los efectos sobre otros actos del Derecho de la Unión. Más concretamente, contiene las disposiciones relativas a la derogación de la Directiva 2004/82/CE y las modificaciones necesarias de otros instrumentos vigentes, a saber, el Reglamento (UE) 2018/1726 y el Reglamento (UE) 2019/817. El capítulo 8 recoge las disposiciones finales del presente Reglamento, que se refieren a la adopción de actos delegados y de ejecución, al seguimiento y la evaluación del presente Reglamento, y a su entrada en vigor y aplicación. 2022/0424 (COD) Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a la recogida y la transferencia de información anticipada sobre los pasajeros (API) para reforzar y facilitar los controles en las fronteras exteriores, por el que se modifican el Reglamento (UE) 2019/817 y el Reglamento (UE) 2018/1726 y se deroga la Directiva 2004/82/CE del Consejo EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA, Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 77, apartado 2, letras b) y d), y su artículo 79, apartado 2, letra c), Vista la propuesta de la Comisión Europea, Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales, Visto el dictamen del Comité Económico y Social Europeo, De conformidad con el procedimiento legislativo ordinario, Considerando lo siguiente: (1)La realización de inspecciones de personas en las fronteras exteriores contribuye significativamente a garantizar la seguridad a largo plazo de la Unión, los Estados miembros y sus ciudadanos y, como tal, sigue siendo una salvaguardia importante, especialmente en el espacio sin controles en las fronteras interiores («el espacio Schengen»). Unos controles en las fronteras exteriores eficientes y eficaces, efectuados de conformidad, en particular, con el Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo, cuando proceda, contribuyen a la lucha contra la inmigración ilegal y a la prevención de amenazas para la seguridad interior, el orden público, la salud pública y las relaciones internacionales de los Estados miembros. (2)El uso de los datos de los viajeros y la información de vuelo transferidos con antelación a la llegada de los viajeros, conocidos como datos de información anticipada sobre los pasajeros («API», por sus siglas en inglés), contribuye a acelerar el proceso de realización de las inspecciones necesarias durante el proceso de cruce de fronteras. A efectos del presente Reglamento, dicho proceso se refiere, más concretamente, al cruce de fronteras entre un tercer país o un Estado miembro que no participe en el presente Reglamento, por una parte, y un Estado miembro que participe en el presente Reglamento, por otra. Este uso refuerza las inspecciones en las fronteras exteriores al proporcionar tiempo suficiente para permitir la realización de inspecciones detalladas y exhaustivas de todos los viajeros, sin tener un efecto negativo desproporcionado sobre las personas que viajan de buena fe. Por consiguiente, en aras de la eficacia y la eficiencia de las inspecciones en las fronteras exteriores, conviene establecer un marco jurídico adecuado para garantizar que las autoridades fronterizas competentes de los Estados miembros en dichos pasos fronterizos exteriores tengan acceso a los datos API antes de la llegada de los viajeros. (3)El marco jurídico vigente en materia de datos API, que consiste en la Directiva 2004/82/CE del Consejo y la legislación nacional por la que se transpone dicha Directiva, ha demostrado su importancia a la hora de mejorar los controles fronterizos, en particular mediante la creación de un marco que permite a los Estados miembros introducir disposiciones que imponen a las compañías aéreas la obligación de transferir los datos API sobre los pasajeros transportados a su territorio. Sin embargo, siguen existiendo divergencias a nivel nacional. En particular, los datos API no se solicitan sistemáticamente a las compañías aéreas y las compañías aéreas se enfrentan a requisitos diferentes en cuanto al tipo de información que debe recogerse y las condiciones en las que los datos API deben transferirse a las autoridades fronterizas competentes. Estas divergencias no solo dan lugar a complicaciones y costes innecesarios para las compañías aéreas, sino que también resultan perjudiciales a la hora de garantizar unas inspecciones previas eficaces y eficientes de las personas que llegan a las fronteras exteriores.

(4)Por consiguiente, el marco jurídico vigente debe actualizarse y sustituirse para garantizar que las normas relativas a la recogida y la transferencia de los datos API con el fin de mejorar y facilitar la eficacia y la eficiencia de las inspecciones fronterizas en las fronteras exteriores y de luchar contra la inmigración ilegal sean claras, armonizadas y eficaces. (5)Con el fin de garantizar, en la medida de lo posible, un enfoque coherente a escala internacional y habida cuenta de las normas sobre la recogida de datos API aplicables a esa escala, el marco jurídico actualizado establecido por el presente Reglamento debe tener en cuenta las prácticas pertinentes acordadas internacionalmente con el sector aéreo y en el contexto de las directrices relativas a la información anticipada sobre los pasajeros de la Organización Mundial de Aduanas, la Asociación de Transporte Aéreo Internacional y la Organización de Aviación Civil Internacional. (6)La recogida y la transferencia de los datos API afecta a la privacidad de las personas e implica el tratamiento de datos personales. A fin de respetar plenamente los derechos fundamentales, en particular el derecho al respeto de la vida privada y el derecho a la protección de los datos de carácter personal, de conformidad con la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «la Carta»), deben establecerse las garantías y los límites adecuados. En particular, todo tratamiento de datos API y, en particular, de datos API que constituyan datos personales, debe limitarse a lo necesario y proporcionado para alcanzar los objetivos perseguidos por el presente Reglamento. Además, debe garantizarse que los datos API recogidos y transferidos en virtud del presente Reglamento no den lugar a ninguna forma de discriminación prohibida por la Carta. (7)A fin de alcanzar sus objetivos, el presente Reglamento debe aplicarse a todas las compañías aéreas que efectúen vuelos que tengan como destino la Unión, tal como se definen en el presente Reglamento, abarcando tanto los vuelos programados como los no programados, con independencia del lugar de establecimiento de las compañías aéreas que efectúen dichos vuelos. (8)En aras de la eficacia y la seguridad jurídica, los elementos de información que constituyen conjuntamente los datos API que deben recogerse y transferirse posteriormente en virtud del presente Reglamento deben enumerarse de manera clara y exhaustiva, abarcando tanto la información relativa a cada viajero como la información sobre el vuelo de dicho viajero. Dicha información del vuelo debe abarcar la información sobre el paso fronterizo de entrada en el territorio del Estado miembro de que se trate en todos los casos cubiertos por el presente Reglamento, pero esa información solo debe recogerse cuando proceda en virtud del Reglamento (UE) [API con fines policiales], es decir, no cuando los datos API se refieran a vuelos interiores de la UE. (9)A fin de permitir la flexibilidad y la innovación, debe dejarse en principio a cada compañía aérea la tarea de determinar cómo va a cumplir sus obligaciones en cuanto a la recogida de datos API establecida en el presente Reglamento. No obstante, teniendo en cuenta que existen soluciones tecnológicas adecuadas que permiten recoger automáticamente determinados datos API, garantizando al mismo tiempo que los datos API en cuestión sean exactos, completos y actualizados, y teniendo en cuenta las ventajas del uso de dicha tecnología en términos de eficacia y eficiencia, debe exigirse a las compañías aéreas que recojan dichos datos API utilizando medios automatizados, mediante la lectura de la información a partir de los datos legibles por máquina del documento de viaje. (10)Los medios automatizados permiten que los propios viajeros proporcionen determinados datos API durante el proceso de facturación en línea. Tales medios podrían incluir, por ejemplo, una aplicación segura en el teléfono inteligente, ordenador o cámara web de los viajeros que sea capaz de leer los datos legibles por máquina del documento de viaje. Cuando los viajeros no hayan facturado en línea, las compañías aéreas deben ofrecerles, en la práctica, la posibilidad de facilitar los datos API de lectura mecánica de que se trate durante la facturación en el aeropuerto con la asistencia de un quiosco de autoservicio o del personal de la compañía aérea en el mostrador. (11)La Comisión debe estar facultada para adoptar los requisitos técnicos y las normas de procedimiento que deben cumplir las compañías aéreas en relación con el uso de medios automatizados para la recogida de los datos API legibles por máquina en virtud del presente Reglamento, a fin de aumentar la claridad y la seguridad jurídica y de contribuir a garantizar la calidad de los datos y el uso responsable de los medios automatizados. (12)Habida cuenta de las ventajas que ofrece el uso de medios automatizados para la recogida de datos API legibles por máquina y de la claridad resultante de los requisitos técnicos a este respecto que deben adoptarse en virtud del presente Reglamento, conviene aclarar que las compañías aéreas que decidan utilizar medios automatizados para recoger la información que están obligadas a transmitir en virtud de la Directiva 2004/82/CE tienen la posibilidad, pero no la obligación, de aplicar dichos requisitos, una vez adoptados, en relación con dicho uso de medios automatizados, en la medida en que lo permita dicha Directiva. No debe entenderse que tal aplicación voluntaria de esas especificaciones en aplicación de la Directiva 2004/82/CE afecte en modo alguno a las obligaciones de las compañías aéreas y de los Estados miembros en virtud de dicha Directiva. (13)Con el fin de garantizar que las inspecciones previas llevadas a cabo con antelación por las autoridades fronterizas competentes sean eficaces y eficientes, los datos API transferidos a dichas autoridades deben contener los datos de los viajeros que vayan a cruzar en efecto las fronteras exteriores, es decir, de los viajeros que se encuentren efectivamente a bordo de la aeronave. Por lo tanto, las compañías aéreas deben transferir los datos API directamente después del cierre del vuelo. Además, los datos API ayudan a las autoridades fronterizas competentes a distinguir a los viajeros legítimos de los viajeros que puedan ser de interés y, por tanto, puedan requerir verificaciones adicionales, lo que exigiría una mayor coordinación y preparación de las medidas de seguimiento que deban adoptarse a la llegada. Esto podría ocurrir, por ejemplo, en casos de un número inesperado de viajeros de interés cuyos controles físicos en las fronteras puedan afectar negativamente a las inspecciones fronterizas y a los tiempos de espera de otros viajeros legítimos en las fronteras. A fin de ofrecer a las autoridades fronterizas competentes la oportunidad de preparar medidas adecuadas y proporcionadas en la frontera, como el refuerzo del personal o la reasignación de personal con carácter temporal, en particular para los vuelos en los que el tiempo entre el cierre del vuelo y la llegada a las fronteras exteriores sea insuficiente para que las autoridades fronterizas competentes puedan preparar la respuesta más adecuada, los datos API también deben transmitirse antes del embarque, en el momento de la facturación de cada viajero. (14)Para aportar claridad sobre los requisitos técnicos aplicables a las compañías aéreas y necesarios para garantizar que los datos API recogidos en virtud del presente Reglamento se transfieran al encaminador de manera segura, eficaz y rápida, la Comisión debe estar facultada para establecer especificaciones sobre los protocolos comunes y los formatos de datos admitidos que deben utilizarse para dichas transferencias. (15)Para evitar cualquier riesgo de uso indebido y en consonancia con el principio de limitación de la finalidad, debe prohibirse expresamente a las autoridades fronterizas competentes el tratamiento de los datos API que reciban en virtud del presente Reglamento para cualquier otro fin que no sea la mejora y la facilitación de la eficacia y la eficiencia de las inspecciones fronterizas en las fronteras exteriores y la lucha contra la inmigración ilegal. (16)A fin de garantizar que las autoridades fronterizas competentes dispongan de tiempo suficiente para llevar a cabo inspecciones previas efectivas de todos los viajeros, incluidos los viajeros de vuelos de larga distancia y los que viajen en vuelos de conexión, así como de tiempo suficiente para garantizar que los datos API recogidos y transferidos por las compañías aéreas sean completos, exactos y actualizados y, en caso necesario, para solicitar aclaraciones, correcciones o compleciones adicionales a las compañías aéreas, las autoridades fronterizas competentes deben almacenar los datos API que hayan recibido en virtud del presente Reglamento durante un período de tiempo determinado que se limite a lo estrictamente necesario para esos fines. Del mismo modo, para poder responder a tales solicitudes, las compañías aéreas deben almacenar los datos API que transfieran en virtud del presente Reglamento durante el mismo período de tiempo determinado y estrictamente necesario. (17)A fin de evitar que las compañías aéreas tengan que establecer y mantener múltiples conexiones con las autoridades fronterizas competentes de los Estados miembros para la transferencia de los datos API recogidos en virtud del presente Reglamento, así como las consiguientes ineficiencias y riesgos para la seguridad, debe preverse un encaminador único, creado y explotado a escala de la Unión, que sirva de punto de conexión y distribución para dichas transferencias. En aras de la eficiencia y la rentabilidad, el encaminador debe basarse, en la medida en que sea técnicamente posible y respetando plenamente las normas del presente Reglamento y del Reglamento (UE) [API con fines policiales], en componentes técnicos de otros sistemas pertinentes creados en virtud del Derecho de la Unión. (18)El encaminador debe transmitir los datos API, de manera automatizada, a las autoridades fronterizas competentes pertinentes, que deben determinarse sobre la base del paso fronterizo de entrada en el territorio del Estado miembro incluido en los datos API en cuestión. A fin de facilitar el proceso de distribución, cada Estado miembro debe indicar qué autoridades fronterizas son competentes para recibir los datos API transmitidos a través del encaminador. Para garantizar el correcto funcionamiento del presente Reglamento y en aras de la transparencia, conviene hacer pública esa información. (19)El encaminador debe servir únicamente para facilitar la transmisión de los datos API de las compañías aéreas a las autoridades fronterizas competentes de conformidad con el presente Reglamento y a las UIP de conformidad con el Reglamento (UE) [API con fines policiales], y no debe ser un repositorio de datos API. Por consiguiente, y con el fin de minimizar cualquier riesgo de acceso no autorizado o de otro uso indebido, y de conformidad con el principio de minimización de datos, el almacenamiento de los datos API en el encaminador debe limitarse a lo estrictamente necesario para los fines técnicos relacionados con la transmisión, y los datos API deben suprimirse del encaminador, de forma inmediata, permanente y automatizada, desde el momento en que se haya completado la transmisión o, cuando proceda en virtud del Reglamento (UE) [API con fines policiales], los datos API no deben transmitirse en absoluto. (20)Con el fin de garantizar el correcto funcionamiento de la transmisión de los datos API desde el encaminador, la Comisión debe estar facultada para establecer normas técnicas y de procedimiento detalladas sobre dicha transmisión. Esas normas deben garantizar que la transmisión sea segura, eficaz y rápida y que sus repercusiones en los viajes y las compañías aéreas de los pasajeros no excedan de lo necesario. (21)A fin de que las compañías aéreas puedan beneficiarse cuanto antes de las ventajas que ofrece el uso del encaminador desarrollado por eu-LISA de conformidad con el presente Reglamento y adquirir experiencia al utilizarlo, las compañías aéreas deben tener la posibilidad, pero no la obligación, de utilizar el encaminador para transmitir la información que están obligadas a transmitir en virtud de la Directiva 2004/82/CE durante un período transitorio. Ese período transitorio debe comenzar en el momento en que el encaminador entre en funcionamiento y finalizar cuando dejen de aplicarse las obligaciones en virtud de dicha Directiva. Con el fin de garantizar que tal uso voluntario del encaminador se haga de manera responsable, debe exigirse el acuerdo previo por escrito de la autoridad responsable que vaya a recibir la información, a petición de la compañía aérea y una vez que dicha autoridad haya llevado a cabo las verificaciones y obtenido las garantías necesarias. Del mismo modo, a fin de evitar una situación en la que las compañías aéreas utilicen y dejen de utilizar el encaminador repetidamente, una vez que una compañía aérea empiece a utilizarlo con carácter voluntario, debe estar obligada a seguir utilizándolo, a menos que existan razones objetivas que lleven a interrumpir su utilización para la transmisión de información a la autoridad responsable de que se trate, tales como que se haya puesto de manifiesto que la información no se transmite de manera lícita, segura, eficaz y rápida. En aras de la correcta aplicación de esta posibilidad de utilizar voluntariamente el encaminador, teniendo debidamente en cuenta los derechos e intereses de todas las partes afectadas, deben establecerse las normas necesarias en materia de consultas y suministro de información. No debe entenderse que tal uso voluntario del encaminador en aplicación de la Directiva 2004/82/CE afecte en modo alguno a las obligaciones de las compañías aéreas y de los Estados miembros con arreglo a dicha Directiva. (22)El encaminador que se cree y explote en virtud del presente Reglamento debe reducir y simplificar las conexiones técnicas necesarias para transferir los datos API, limitándolas a una única conexión por compañía aérea y por autoridad fronteriza competente. Por consiguiente, el presente Reglamento establece la obligación de que las autoridades fronterizas competentes y las compañías aéreas establezcan dicha conexión con el encaminador y logren la integración necesaria en él, a fin de garantizar el correcto funcionamiento del sistema de transferencia de datos API establecido por el presente Reglamento. Para dar efecto a dichas obligaciones y garantizar el correcto funcionamiento del sistema establecido por el presente Reglamento, deben completarse con normas de desarrollo. (23)Habida cuenta de los intereses de la Unión en juego, los costes atribuidos a eu-LISA para el desempeño de sus funciones en virtud del presente Reglamento y del Reglamento (UE) [API con fines policiales] con respecto al encaminador deben sufragarse con cargo al presupuesto de la Unión. Lo mismo debe aplicarse a los costes correspondientes en que incurran los Estados miembros en relación con sus conexiones con el encaminador y su integración en él, tal como se exige en el presente Reglamento y de conformidad con la legislación aplicable, sin perjuicio de determinadas excepciones. Los costes cubiertos por esas excepciones deben ser sufragados por cada Estado miembro afectado.

(24)No puede excluirse que, debido a circunstancias excepcionales y a pesar de que se hayan tomado todas las medidas razonables de conformidad con el presente Reglamento, el encaminador o los sistemas o infraestructuras que lo conectan con las autoridades fronterizas competentes y las compañías aéreas no funcionen correctamente, lo que dé lugar a la imposibilidad técnica de utilizar el encaminador para transmitir los datos API. Habida cuenta de la indisponibilidad del encaminador y de que, por lo general, no será razonablemente posible que las compañías aéreas transfieran los datos API afectados por el fallo de una manera lícita, segura, eficaz y rápida por medios alternativos, la obligación de las compañías aéreas de transferir dichos datos API al encaminador debe dejar de aplicarse mientras persista la imposibilidad técnica. Con el fin de reducir al mínimo la duración y las consecuencias negativas de ello, las partes afectadas deben informarse mutuamente de inmediato y tomar inmediatamente todas las medidas necesarias para hacer frente a la imposibilidad técnica. Teniendo en cuenta que los datos API relativos a vuelos que ya han llegado no son útiles para las inspecciones fronterizas, en tal caso no existe justificación alguna para exigir a las compañías aéreas que recojan y almacenen los datos API. Esta disposición debe entenderse sin perjuicio de las obligaciones que impone el presente Reglamento a todas las partes interesadas de garantizar el correcto funcionamiento del encaminador y de sus respectivos sistemas e infraestructuras, así como del hecho de que las compañías aéreas estén sujetas a sanciones cuando incumplan dichas obligaciones, incluso cuando pretendan acogerse a esta disposición injustificadamente. Para disuadir de la comisión de tal abuso y facilitar la supervisión y, en su caso, la imposición de sanciones, las compañías aéreas que se acojan a esta disposición debido al fallo de su propio sistema e infraestructura deben informar al respecto a la autoridad de supervisión competente. (25)Con el fin de garantizar el respeto del derecho fundamental a la protección de los datos personales, el presente Reglamento debe identificar al responsable y al encargado del tratamiento y establecer normas sobre las auditorías. En aras de una supervisión eficaz que garantice la protección adecuada de los datos personales y reduzca al mínimo los riesgos para la seguridad, también deben establecerse normas sobre el registro, la seguridad del tratamiento y el autocontrol. Cuando se refieran al tratamiento de los datos personales, debe entenderse que dichas disposiciones completan los actos generalmente aplicables del Derecho de la Unión en materia de protección de datos personales, en particular el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo y el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo. Estos actos, que también se aplican al tratamiento de datos personales en virtud del presente Reglamento de conformidad con sus disposiciones, no deben verse afectados por el presente Reglamento. (26)En particular, los fines de las operaciones de tratamiento en virtud del presente Reglamento, a saber, la transmisión de datos API de las compañías aéreas a través del encaminador a las autoridades fronterizas competentes de los Estados miembros, son ayudar a dichas autoridades en el desempeño de sus obligaciones en materia de gestión de fronteras y en las funciones relacionadas con la lucha contra la inmigración ilegal. Por consiguiente, las autoridades fronterizas competentes que reciban los datos API deben ser las responsables del tratamiento para la transmisión de los datos API que constituyan datos personales a través del encaminador y para el almacenamiento de dichos datos en el encaminador, en la medida en que dicho almacenamiento sea necesario para fines técnicos, así como para todo tratamiento ulterior de los datos en el que se utilicen dichos datos para mejorar y facilitar las inspecciones fronterizas en las fronteras exteriores. Las compañías aéreas, a su vez, deben ser responsables independientes del tratamiento de los datos API que constituyan datos personales que estén obligadas a realizar en virtud del presente Reglamento. Sobre esta base, tanto las compañías aéreas como las autoridades fronterizas competentes deben ser responsables del tratamiento de datos independientes por lo que respecta a su propio tratamiento respectivo de los datos API en virtud del presente Reglamento. (27)A fin de garantizar la aplicación efectiva de las normas del presente Reglamento por parte de las compañías aéreas, conviene prever la designación y la habilitación de las autoridades nacionales encargadas de la supervisión de dichas normas. Las normas del presente Reglamento relativas a dicha supervisión, incluidas las relativas a la imposición de sanciones cuando sea necesario, no deben afectar a las funciones y competencias de las autoridades de control establecidas de conformidad con el Reglamento (UE) 2016/679, también en relación con el tratamiento de datos personales en virtud del presente Reglamento. (28)Los Estados miembros deben establecer sanciones efectivas, proporcionadas y disuasorias, incluidas sanciones financieras, contra las compañías aéreas que incumplan sus obligaciones en materia de recogida y transferencia de datos API en virtud del presente Reglamento. (29)Dado que el presente Reglamento prevé el establecimiento de nuevas normas sobre la recogida y la transferencia de datos API por parte de las autoridades fronterizas competentes con el fin de mejorar y facilitar la eficacia y la eficiencia de las inspecciones fronterizas en las fronteras exteriores, procede derogar la Directiva 2004/82/CE. (30)Dado que el encaminador debe ser diseñado, desarrollado, alojado y gestionado técnicamente por eu-LISA, creada por el Reglamento (UE) 2018/1726 del Parlamento Europeo y del Consejo, es necesario modificar dicho Reglamento añadiendo ese cometido a las funciones de eu-LISA. Con el fin de almacenar los informes y las estadísticas del encaminador en el repositorio común para la presentación de informes y estadísticas, es necesario modificar el Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo. (31)A fin de adoptar medidas relativas a los requisitos técnicos y las normas operativas aplicables a los medios automatizados de recogida de los datos API legibles por máquina, a los protocolos y formatos comunes que deben utilizarse para la transferencia de los datos API por las compañías aéreas, a las normas técnicas y de procedimiento para la transmisión de los datos API desde el encaminador a las autoridades fronterizas competentes y a las UIP, y a las conexiones de las UIP y las compañías aéreas al encaminador y a su integración en el encaminador, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea por lo que respecta a los artículos 5, 6, 11, 20 y 21, respectivamente. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional sobre la mejora de la legislación de 13 de abril de 2016. En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, conviene que el Parlamento Europeo y el Consejo reciban toda la documentación al mismo tiempo que los expertos de los Estados miembros, y que sus expertos tengan sistemáticamente acceso a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de los actos delegados. (32)A fin de garantizar condiciones uniformes para la aplicación del presente Reglamento en relación con la entrada en funcionamiento del encaminador, deben otorgarse a la Comisión competencias de ejecución. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) n.º 182/2011 del Parlamento Europeo y del Consejo. (33)Todas las partes interesadas, y en particular las compañías aéreas y las autoridades fronterizas competentes, deben disponer de tiempo suficiente para hacer los preparativos necesarios para poder cumplir sus respectivas obligaciones en virtud del presente Reglamento, teniendo en cuenta que algunos de esos preparativos, como los relativos a las obligaciones en materia de conexión con el encaminador e integración en él, no pueden finalizarse hasta que se hayan completado las fases de diseño y desarrollo del encaminador y el encaminador entre en funcionamiento. Por lo tanto, el presente Reglamento solo debe ser aplicable a partir de una fecha oportuna posterior a la fecha en que el encaminador entre en funcionamiento, especificada por la Comisión de conformidad con el presente Reglamento. (34)No obstante, las fases de diseño y desarrollo del encaminador deben iniciarse y completarse lo antes posible para que el encaminador pueda entrar en funcionamiento cuanto antes, lo que también requiere la adopción de los actos delegados y de ejecución pertinentes previstos en el presente Reglamento. La aclaración proporcionada por el presente Reglamento en relación con la aplicación de las especificaciones relativas al uso de medios automatizados en aplicación de la Directiva 2004/82/CE también debe facilitarse sin demora. Por consiguiente, los artículos sobre estas materias deben ser de aplicación a partir de la fecha de entrada en vigor del presente Reglamento. Además, a fin de permitir el uso voluntario del encaminador lo antes posible, el artículo sobre tal uso, así como algunos otros artículos necesarios para garantizar que dicho uso se haga de manera responsable, deben aplicarse lo antes posible, es decir, desde el momento en que el encaminador entre en funcionamiento. (35)El presente Reglamento no debe afectar a la posibilidad de que los Estados miembros establezcan, con arreglo a su Derecho nacional, un sistema de recogida de datos API de proveedores de transporte distintos de los especificados en el presente Reglamento, siempre que dicha legislación nacional sea conforme con el Derecho de la Unión. (36)Dado que los objetivos del presente Reglamento, a saber, mejorar y facilitar la eficacia y la eficiencia de las inspecciones fronterizas en las fronteras exteriores y luchar contra la inmigración ilegal, se refieren a cuestiones de carácter intrínsecamente transfronterizo, no pueden ser alcanzados de manera suficiente por los Estados miembros individualmente, sino que pueden lograrse mejor a escala de la Unión. La Unión puede, por tanto, adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo. (37)De conformidad con los artículos 1 y 2 del Protocolo n.º 22 sobre la posición de Dinamarca, anejo al TUE y al TFUE, Dinamarca no participa en la adopción del presente Reglamento y no queda vinculada por él ni sujeta a su aplicación. Dado que el presente Reglamento desarrolla el acervo de Schengen, Dinamarca decidirá, de conformidad con el artículo 4 de dicho Protocolo, dentro de un período de seis meses a partir de que el Consejo haya tomado una medida sobre el presente Reglamento, si lo incorpora a su Derecho interno. (38)Irlanda participa en el presente Reglamento de conformidad con el artículo 5, apartado 1, del Protocolo n.º 19 sobre el acervo de Schengen integrado en el marco de la Unión Europea, anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea, y con el artículo 6, apartado 2, de la Decisión 2002/192/CE del Consejo. (39)La participación de Irlanda en el presente Reglamento, con arreglo al artículo 6, apartado 2, de la Decisión 2002/192/CE del Consejo se refiere a las responsabilidades de la Unión de adoptar medidas que desarrollen las disposiciones del acervo de Schengen contra la inmigración ilegal, en las que participa Irlanda. (40)Por lo que respecta a Islandia y Noruega, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en el sentido del Acuerdo celebrado por el Consejo de la Unión Europea, la República de Islandia y el Reino de Noruega sobre la asociación de estos dos Estados a la ejecución, aplicación y desarrollo del acervo de Schengen, que entran en el ámbito mencionado en el artículo 1, punto A, de la Decisión 1999/437/CE del Consejo. (41)Por lo que respecta a Suiza, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en el sentido del Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, la aplicación y el desarrollo del acervo de Schengen que entran en el ámbito mencionado en el artículo 1, punto A, de la Decisión 1999/437/CE del Consejo, leído en relación con el artículo 3 de la Decisión 2008/146/CE del Consejo. (42)Por lo que respecta a Liechtenstein, el presente Reglamento constituye un desarrollo de las disposiciones del acervo de Schengen en el sentido del Protocolo entre la Unión Europea, la Comunidad Europea, la Confederación Suiza y el Principado de Liechtenstein sobre la adhesión del Principado de Liechtenstein al Acuerdo entre la Unión Europea, la Comunidad Europea y la Confederación Suiza sobre la asociación de la Confederación Suiza a la ejecución, la aplicación y el desarrollo del acervo de Schengen, que entran en el ámbito mencionado en el artículo 1, punto A, de la Decisión 1999/437/CE del Consejo, leído en relación con el artículo 3 de la Decisión 2011/350/UE del Consejo. (43)Por lo que respecta a Chipre, Bulgaria, Rumanía y Croacia, el presente Reglamento constituye un acto que desarrolla el acervo de Schengen o está relacionado con él de otro modo, en el sentido, respectivamente, del artículo 3, apartado 1, del Acta de adhesión de 2003, del artículo 4, apartado 1, del Acta de adhesión de 2005 y del artículo 4, apartado 1, del Acta de adhesión de 2011.

(44)El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, emitió su dictamen el [XX]. HAN ADOPTADO EL PRESENTE REGLAMENTO: CAPÍTULO 1 DISPOSICIONES GENERALES Artículo 1 Objeto Con el fin de mejorar y facilitar la eficacia y la eficiencia de las inspecciones fronterizas en las fronteras exteriores y de luchar contra la inmigración ilegal, el presente Reglamento establece las normas relativas a lo siguiente: a)la recogida por parte de las compañías aéreas de información anticipada sobre los pasajeros («datos API») de los vuelos con destino a la Unión; b)la transferencia de los datos API por parte de las compañías aéreas al encaminador; c)la transmisión de los datos API desde el encaminador a las autoridades fronterizas competentes. Artículo 2 Ámbito de aplicación El presente Reglamento se aplica a las compañías aéreas que realizan vuelos programados o no programados con destino a la Unión. Artículo 3 Definiciones A los efectos del presente Reglamento, se entenderá por: a)«compañía aérea», una empresa de transporte aéreo tal como se define en el artículo 3, punto 1, de la Directiva (UE) 2016/681; b)«inspecciones fronterizas», las inspecciones tal como se definen en el artículo 2, punto 11, del Reglamento (UE) 2016/399; c)«vuelos con destino a la Unión», los vuelos procedentes del territorio de un tercer país o de un Estado miembro que no participe en el presente Reglamento y que tengan previsto aterrizar en el territorio de un Estado miembro que participe en el presente Reglamento;

d)«paso fronterizo», el paso fronterizo tal como se define en el artículo 2, punto 8, del Reglamento (UE) 2016/399; e)«vuelo programado», un vuelo que se explota con arreglo a un horario fijo y para el cual el público en general puede adquirir billetes; f)«vuelo no programado», un vuelo que no se explota con arreglo a un horario fijo y que no forma parte necesariamente de una ruta regular o programada; g)«autoridad fronteriza competente», la autoridad encargada por un Estado miembro de llevar a cabo inspecciones fronterizas que ha sido designada y notificada por dicho Estado miembro de conformidad con el artículo 11, apartado 2; h)«pasajero», toda persona, a excepción de los miembros de la tripulación, transportada o que vaya a ser transportada en una aeronave con el consentimiento de la compañía aérea, consentimiento que se manifiesta mediante la inscripción de tal persona en la lista de pasajeros; i)«tripulación», toda persona a bordo de una aeronave durante el vuelo, a excepción de los pasajeros, que trabaje en la aeronave o la haga funcionar, incluida la tripulación de vuelo y la tripulación de cabina de pasajeros; j)«viajero», pasajero o miembro de la tripulación; k)«datos de la información anticipada sobre los pasajeros» o «datos API», los datos del viajero y la información de vuelo a que se refiere el artículo 4, apartados 2 y 3, respectivamente; l)«Unidad de Información sobre los Pasajeros» o «UIP», la autoridad competente a que se refiere el artículo 3, letra i), del Reglamento (UE) [API con fines policiales]; m)«el encaminador», el encaminador a que se refiere el artículo 9; n)«datos personales», la información tal como se define en el artículo 4, punto 1, del Reglamento (UE) 2016/679. CAPÍTULO 2 RECOGIDA Y TRANSFERENCIA DE DATOS API Artículo 4 Datos API que deben recoger las compañías aéreas 1.Las compañías aéreas recogerán los datos API de los viajeros, consistentes en los datos de los viajeros y la información de vuelo especificada en los apartados 2 y 3, respectivamente, sobre los vuelos a que se refiere el artículo 2, con el fin de transferir dichos datos API al encaminador de conformidad con el artículo 6. 2.Los datos API consistirán en los siguientes datos de viajeros relativos a cada viajero en el vuelo: a)los apellidos y los nombres de pila; b)la fecha de nacimiento, el sexo y la nacionalidad; c)el tipo y el número del documento de viaje y el código de tres letras del país expedidor del documento de viaje;

d)la fecha de expiración de la validez del documento de viaje; e)si el viajero es un pasajero o un miembro de la tripulación (condición del viajero); f)el número de identificación del registro de nombres de los pasajeros utilizado por las compañías aéreas para localizar a un pasajero en su sistema de información (localizador de registro PNR); g)la información sobre el asiento, como el número de asiento asignado a un pasajero en la aeronave, cuando la compañía aérea recoja dicha información; h)la información sobre el equipaje, como el número de bultos facturados, cuando la compañía aérea recoja dicha información. 3.Los datos API consistirán, asimismo, en la siguiente información sobre el vuelo relativa al vuelo de cada viajero: a)el número de identificación del vuelo o, en su defecto, otros medios claros y adecuados para identificar el vuelo; b)cuando proceda, el paso fronterizo de entrada en el territorio del Estado miembro; c)el código del aeropuerto de entrada en el territorio del Estado miembro; d)el lugar inicial de embarque; e)la fecha y hora local estimada de salida; f)la fecha y hora local estimada de llegada. Artículo 5 Medios de recogida de los datos API 1.Las compañías aéreas recogerán los datos API de conformidad con el artículo 4 de tal manera que los datos API que transfieran con arreglo al artículo 6 sean exactos, completos y actualizados. 2.Las compañías aéreas recogerán los datos API a que se refiere el artículo 4, apartado 2, letras a) a d), utilizando medios automatizados para recoger los datos legibles por máquina del documento de viaje del viajero de que se trate. Lo harán de conformidad con los requisitos técnicos detallados y las normas operativas a que se refiere el apartado 4, cuando dichas normas se hayan adoptado y sean aplicables. No obstante, cuando no sea posible utilizar medios automatizados debido a que los datos que contenga el documento de viaje no sean legibles por máquina, las compañías aéreas recogerán estos datos manualmente, de manera que se garantice el cumplimiento de lo dispuesto en el apartado 1. 3.Los medios automatizados utilizados por las compañías aéreas para recoger los datos API en virtud del presente Reglamento serán fiables, seguros y actualizados. 4.La Comisión está facultada para adoptar actos delegados con arreglo al artículo 37 a fin de completar el presente Reglamento estableciendo requisitos técnicos detallados y normas operativas para la recogida de los datos API a que se refiere el artículo 4, apartado 2, letras a) a d), utilizando medios automatizados de conformidad con los apartados 2 y 3. 5.Las compañías aéreas que usen medios automatizados para recoger la información a que se refiere el artículo 3, apartado 1, de la Directiva 2004/82/CE tendrán derecho a hacerlo aplicando los requisitos técnicos relativos a tal uso a que se refiere el apartado 4, de conformidad con dicha Directiva.

Artículo 6 Obligaciones de las compañías aéreas en relación con la transferencia de los datos API 1.Las compañías aéreas transferirán los datos API al encaminador por medios electrónicos. Lo harán de conformidad con las normas detalladas a que se refiere el apartado 3, cuando dichas normas se hayan adoptado y sean aplicables. 2.Las compañías aéreas transferirán los datos API tanto en el momento de la facturación como inmediatamente después del cierre del vuelo, es decir, una vez que los pasajeros hayan embarcado en la aeronave en preparación de la salida y ya no sea posible embarcar o desembarcar pasajeros. 3.La Comisión está facultada para adoptar actos delegados con arreglo al artículo 37 a fin de completar el presente Reglamento estableciendo las normas detalladas necesarias sobre los protocolos comunes y los formatos de datos admitidos que deben utilizarse para las transferencias de datos API al encaminador a que se refiere el apartado 1. 4.Cuando una compañía aérea tenga conocimiento, tras haber transferido datos al encaminador, de que los datos API son inexactos, están incompletos, han dejado de estar actualizados o han sido tratados ilegalmente, o de que los datos no constituyen datos API, informará inmediatamente de ello a la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA). Una vez recibida dicha información, eu-LISA informará inmediatamente a la autoridad fronteriza competente que haya recibido los datos API transmitidos a través del encaminador. Artículo 7 Tratamiento de los datos API recibidos Las autoridades fronterizas competentes tratarán los datos API que se les transfieran de conformidad con el presente Reglamento únicamente para los fines a que se hace referencia en el artículo 1. Artículo 8 Almacenamiento y supresión de los datos API 1.Las compañías aéreas almacenarán, durante un período de 48 horas a partir del momento de la salida del vuelo, los datos API relativos a cada pasajero que hayan recogido de conformidad con el artículo 4. Suprimirán inmediata y permanentemente dichos datos API una vez expirado dicho plazo. 2.Las autoridades fronterizas competentes almacenarán, durante un período de 48 horas a partir del momento de la salida del vuelo, los datos API relativos a cada pasajero que hayan recibido a través del encaminador de conformidad con el artículo 11. Suprimirán inmediata y permanentemente dichos datos API una vez expirado dicho plazo. 3.Cuando una compañía aérea o una autoridad fronteriza competente tenga conocimiento de que los datos que ha recogido, transferido o recibido en virtud del presente Reglamento son inexactos, están incompletos, han dejado de estar actualizados o han sido tratados ilegalmente, o de que los datos no constituyen datos API, o bien corregirá, completará o actualizará inmediatamente dichos datos API, o bien los suprimirá permanentemente. Esto se entiende sin perjuicio de la posibilidad de que las compañías aéreas conserven y utilicen los datos cuando sea necesario para el desarrollo normal de su actividad comercial de conformidad con la legislación aplicable. CAPÍTULO 3 DISPOSICIONES RELATIVAS AL ENCAMINADOR Artículo 9 El encaminador 1.eu-LISA diseñará, desarrollará, alojará y gestionará técnicamente, de conformidad con los artículos 22 y 23, un encaminador con el fin de facilitar la transferencia de datos API por parte de las compañías aéreas a las autoridades fronterizas competentes y a las UIP, de conformidad con el presente Reglamento y el Reglamento (UE) [API con fines policiales], respectivamente.

2.El encaminador estará compuesto por: a)una infraestructura central, incluido un conjunto de componentes técnicos que permitan la transmisión de datos API; b)un canal de comunicación seguro entre la infraestructura central y las autoridades fronterizas competentes y las UIP, y un canal de comunicación seguro entre la infraestructura central y las compañías aéreas, para la transferencia de datos API y para cualquier comunicación relacionada con ellos. 3.Sin perjuicio de lo dispuesto en el artículo 10 del presente Reglamento, el encaminador compartirá y reutilizará, en la medida en que sea técnicamente posible, los componentes técnicos, incluidos los componentes de hardware y software, del servicio web a que se refiere el artículo 13 del Reglamento (UE) 2017/2226 del Parlamento Europeo y del Consejo, la pasarela para los transportistas a que se refiere el artículo 6, apartado 2, letra k), del Reglamento (UE) 2018/1240 y la pasarela para los transportistas a que se refiere el artículo 2 bis, letra h), del Reglamento (CE) n.º 767/2008 del Parlamento Europeo y del Consejo. Artículo 10 Uso exclusivo del encaminador El encaminador solo será utilizado por las compañías aéreas para transferir datos API y por las autoridades fronterizas competentes y las UIP para recibir datos API, de conformidad con el presente Reglamento y el Reglamento (UE) [API con fines policiales], respectivamente. Artículo 11 Transmisión de datos API del encaminador a las autoridades fronterizas competentes 1.El encaminador transmitirá inmediatamente y de forma automatizada los datos API que le hayan sido transferidos con arreglo al artículo 6 a las autoridades fronterizas competentes del Estado miembro a que se refiere el artículo 4, apartado 3, letra c). Lo hará de conformidad con las normas detalladas a que se refiere el apartado 4, cuando dichas normas se hayan adoptado y sean de aplicación. A efectos de dicha transmisión, eu-LISA establecerá y mantendrá actualizado un cuadro de correspondencias entre los distintos aeropuertos de origen y de destino y los países a los que pertenecen. 2.Los Estados miembros designarán a las autoridades fronterizas competentes autorizadas para recibir del encaminador los datos API que les sean transferidos de conformidad con el presente Reglamento. Notificarán a eu-LISA y a la Comisión, a más tardar en la fecha de aplicación del presente Reglamento a que se refiere el artículo 39, párrafo segundo, el nombre y los datos de contacto de las autoridades fronterizas competentes y, en caso necesario, actualizarán la información notificada. La Comisión, sobre la base de dichas notificaciones y actualizaciones, recopilará y pondrá a disposición del público una lista de las autoridades fronterizas competentes notificadas, incluidos sus datos de contacto. 3.Los Estados miembros velarán por que solo el personal debidamente autorizado de las autoridades fronterizas competentes tenga acceso a los datos API que les hayan sido transmitidos a través del encaminador. Los Estados miembros establecerán las normas necesarias a tal efecto. Entre ellas se incluirán normas sobre la creación y actualización periódica de una lista de dicho personal y sus perfiles. 4.La Comisión está facultada para adoptar actos delegados con arreglo al artículo 37 a fin de completar el presente Reglamento estableciendo las normas técnicas y procedimentales detalladas necesarias para las transmisiones de datos API del encaminador a que se refiere el apartado 1. Artículo 12 Supresión de los datos API del encaminador Los datos API, transferidos al encaminador con arreglo al presente Reglamento y al Reglamento (UE) [API con fines policiales], se almacenarán en el encaminador únicamente en la medida en que sea necesario para completar la transmisión a las autoridades fronterizas competentes o UIP pertinentes, según proceda, de conformidad con dichos Reglamentos, y se suprimirán del encaminador inmediata y permanentemente de forma automatizada, en las dos situaciones siguientes: a)cuando se haya completado la transmisión de los datos API a las autoridades fronterizas competentes o UIP pertinentes, según proceda; b)en lo que respecta al Reglamento (UE) [API con fines policiales], cuando los datos API se refieran a vuelos interiores de la UE distintos de los incluidos en las listas a que se refiere el artículo 5, apartado 2, de dicho Reglamento.

Artículo 13 Conservación de registros 1.eu-LISA conservará registros de todas las operaciones de tratamiento relacionadas con la transferencia de datos API a través del encaminador en virtud del presente Reglamento y del Reglamento (UE) [API con fines policiales]. Dichos registros incluirán lo siguiente: a)la compañía aérea que transfirió los datos API al encaminador; b)las autoridades fronterizas competentes y las UIP a las que se transmitieron los datos API a través del encaminador; c)la fecha y hora de las transferencias a que se refieren las letras a) y b), y el lugar de la transferencia; d)todo acceso del personal de eu-LISA necesario para el mantenimiento del encaminador, tal como se contempla en el artículo 23, apartado 3; e)cualquier otra información relativa a esas operaciones de tratamiento necesaria para controlar la seguridad e integridad de los datos API y la legalidad de dichas operaciones de tratamiento. Dichos registros no incluirán datos personales distintos de la información necesaria para identificar al miembro pertinente del personal de eu-LISA a que se refiere el párrafo primero, letra d). 2.Las compañías aéreas crearán registros de todas las operaciones de tratamiento realizadas en virtud del presente Reglamento utilizando los medios automatizados a que se refiere el artículo 5, apartado 2. Dichos registros incluirán la fecha, la hora y el lugar de transferencia de los datos API. 3.Los registros a que se refieren los apartados 1 y 2 se utilizarán únicamente para garantizar la seguridad e integridad de los datos API y la legalidad del tratamiento, en particular en lo que se refiere al cumplimiento de los requisitos establecidos en el presente Reglamento y en el Reglamento (UE) [API con fines policiales], incluidos los procedimientos y sanciones por el incumplimiento de dichos requisitos de conformidad con los artículos 29 y 30 del presente Reglamento. 4.eu-LISA y las compañías aéreas tomarán las medidas adecuadas para proteger los registros que hayan creado de conformidad con los apartados 1 y 2, respectivamente, contra el acceso no autorizado y otros riesgos para la seguridad. 5.eu-LISA y las compañías aéreas conservarán los registros que hayan creado de conformidad con los apartados 1 y 2, respectivamente, durante un período de un año a partir del momento de la creación de dichos registros. Suprimirán inmediata y permanentemente dichos registros una vez expirado dicho plazo. No obstante, si dichos registros son necesarios para procedimientos destinados a supervisar o garantizar la seguridad e integridad de los datos API o la legalidad de las operaciones de tratamiento a que se refiere el apartado 2, y estos procedimientos ya han comenzado en el momento de la expiración del plazo a que se refiere el párrafo primero, eu-LISA y las compañías aéreas podrán conservar dichos registros durante el tiempo que sea necesario para dichos procedimientos. En tal caso, suprimirán inmediatamente esos registros cuando ya no sean necesarios para dichos procedimientos. Artículo 14 Acciones en caso de imposibilidad técnica de utilizar el encaminador 1.Cuando sea técnicamente imposible utilizar el encaminador para transmitir datos API debido a un fallo del encaminador, eu-LISA notificará inmediatamente de manera automatizada dicha imposibilidad técnica a las compañías aéreas y a las autoridades fronterizas competentes. En tal caso, eu-LISA tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el encaminador y lo notificará inmediatamente a dichas partes cuando esta se haya resuelto satisfactoriamente. Durante el período comprendido entre dichas notificaciones, no se aplicará el artículo 6, apartado 1, en la medida en que la imposibilidad técnica impida la transferencia de datos API al encaminador. En tal caso, el artículo 4, apartado 1, y el artículo 8, apartado 1, tampoco se aplicarán a los datos API en cuestión durante ese período. 2.Cuando sea técnicamente imposible utilizar el encaminador para transmitir los datos API debido a un fallo de los sistemas o las infraestructuras a que se refiere el artículo 20 de un Estado miembro, las autoridades fronterizas competentes de dicho Estado miembro notificarán inmediatamente esta imposibilidad técnica de manera automatizada a las compañías aéreas, a las autoridades competentes de los demás Estados miembros, a eu-LISA y a la Comisión. En tal caso, dicho Estado miembro tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el encaminador y lo notificará inmediatamente a dichas partes cuando esta se haya resuelto satisfactoriamente. Durante el período comprendido entre dichas notificaciones, no se aplicará el artículo 6, apartado 1, en la medida en que la imposibilidad técnica impida la transferencia de datos API al encaminador. En tal caso, el artículo 4, apartado 1, y el artículo 8, apartado 1, tampoco se aplicarán a los datos API en cuestión durante ese período.

3.Cuando sea técnicamente imposible utilizar el encaminador para transmitir los datos API debido a un fallo de los sistemas o las infraestructuras a que se refiere el artículo 21 de una compañía aérea, dicha compañía aérea notificará inmediatamente esta imposibilidad técnica de manera automatizada a las autoridades fronterizas competentes, a eu-LISA y a la Comisión. En tal caso, dicha compañía aérea tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el encaminador y lo notificará inmediatamente a dichas partes cuando esta se haya resuelto satisfactoriamente. Durante el período comprendido entre dichas notificaciones, no se aplicará el artículo 6, apartado 1, en la medida en que la imposibilidad técnica impida la transferencia de datos API al encaminador. En tal caso, el artículo 4, apartado 1, y el artículo 8, apartado 1, tampoco se aplicarán a los datos API en cuestión durante ese período. Cuando se haya resuelto satisfactoriamente la imposibilidad técnica, la compañía aérea afectada presentará sin demora a la autoridad nacional de supervisión competente a que se refiere el artículo 29 un informe que contenga todos los pormenores necesarios de la imposibilidad técnica, incluidas las razones de la imposibilidad técnica, su alcance y consecuencias, así como las medidas tomadas para resolverla. CAPÍTULO 4 DISPOSICIONES ESPECÍFICAS SOBRE LA PROTECCI