COMISIÓN EUROPEA Estrasburgo, 13.12.2022 COM(2022) 731 final 2022/0425(COD) Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a la recogida y la transferencia de información anticipada sobre los pasajeros para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave, y por el que se modifica el Reglamento (UE) 2019/818 {SWD(2022) 424 final}



EXPOSICIÓN DE MOTIVOS 1.CONTEXTO DE LA PROPUESTA •Razones y objetivos de la propuesta Durante la última década, la UE y otras partes del mundo han experimentado un aumento de la delincuencia grave y organizada. Según la Evaluación de la amenaza de la delincuencia grave y organizada en la UE de Europol, la mayor parte de las actividades de delincuencia organizada entrañan viajes internacionales, normalmente destinados al contrabando de personas, drogas u otras mercancías ilícitas a la UE. En particular, los delincuentes usan a menudo los principales aeropuertos de la UE, así como los aeropuertos regionales más pequeños que explotan las compañías aéreas de bajo coste. Del mismo modo, el Informe sobre la situación y las tendencias del terrorismo en Europa de Europol muestra que la amenaza terrorista en la UE sigue siendo real y grave, y señala que la mayoría de las campañas terroristas tienen un carácter transnacional marcado por la participación de contactos transnacionales o por viajes fuera de la UE. En este contexto, la información sobre los viajeros aéreos es una herramienta importante que permite a las autoridades policiales luchar contra la delincuencia grave y el terrorismo en la UE. Los datos de los viajeros aéreos incluyen la información anticipada sobre los pasajeros (API) y los registros de nombres de los pasajeros (PNR), que cuando se utilizan conjuntamente son especialmente eficaces para identificar a los viajeros de alto riesgo y confirmar los patrones de viaje de las personas sospechosas. Cuando un pasajero compra un billete de una compañía aérea, los sistemas de reserva de las compañías aéreas generan un PNR con fines comerciales. Este incluye los datos sobre el itinerario completo, los datos de pago, los datos de contacto y las solicitudes especiales del pasajero. Estos datos PNR se envían a la Unidad de Información sobre los Pasajeros (UIP) del país de destino y, a menudo, del país de partida, cuando es de aplicación una obligación a tal efecto. La Directiva PNR se adoptó en la UE en 2016 para garantizar que todos los Estados miembros aplicasen las normas relativas a la recogida de datos PNR de las compañías aéreas a fin de prevenir, detectar, investigar y enjuiciar los delitos terroristas y los delitos graves, sin perjuicio de las normas vigentes de la UE sobre la obligación de las compañías aéreas de recoger datos API establecidas en la Directiva API. Con arreglo a la Directiva PNR, los Estados miembros deben adoptar las medidas necesarias para garantizar que las compañías aéreas transfieran los datos PNR en la medida en que ya los hayan recogido en el curso normal de sus actividades comerciales. La Directiva PNR permite el tratamiento conjunto tanto de los datos API como de los datos PNR, ya que su definición de datos PNR incluye «cualquier información recogida en el sistema de información anticipada sobre los pasajeros (sistema API)». Sin embargo, la Directiva PNR no obliga a las compañías aéreas a recoger datos más allá del curso normal de sus actividades comerciales. Por consiguiente, la Directiva PNR no da lugar a la recogida del conjunto completo de datos API, ya que para las compañías aéreas la recogida de estos datos no tiene finalidad comercial alguna. Solo cuando se aplica una obligación en este sentido, la compañía aérea recoge los datos API durante la facturación del pasajero (facturación en línea y en el aeropuerto). A continuación, se envían a las autoridades fronterizas competentes como «manifiesto de la lista de pasajeros» completo, que incluye a todos los pasajeros a bordo en el momento de la salida del avión. Si bien los datos API se consideran información «verificada», ya que corresponden a los viajeros que finalmente han embarcado en la aeronave, que también puede ser utilizada por las autoridades policiales para identificar a sospechosos y personas buscadas, los datos PNR son información «no verificada» facilitada por los pasajeros. Los datos PNR de un determinado pasajero no suelen contener todos los elementos posibles del PNR, sino únicamente los facilitados por el pasajero o los necesarios para la reserva y, por tanto, para los fines comerciales normales de la compañía aérea. Desde la adopción de la Directiva API en 2004, existe un consenso mundial en cuanto a que los datos API no solo son un instrumento clave para la gestión de las fronteras, sino también un instrumento importante a efectos policiales, en particular para luchar contra la delincuencia grave y el terrorismo. Así, a nivel internacional, desde 2014, las Resoluciones del Consejo de Seguridad de las Naciones Unidas han instado reiteradamente a la creación y el despliegue mundial de sistemas API y PNR con fines policiales. Además, el compromiso de los Estados participantes de la Organización para la Seguridad y la Cooperación en Europa (OSCE) de crear sistemas API confirma la importancia del uso de estos datos en la lucha contra el terrorismo y la delincuencia transnacional. Como muestra el informe de la Comisión sobre la revisión de la Directiva PNR, el tratamiento conjunto de los datos API y PNR por parte de las autoridades policiales competentes —es decir, la recogida de los datos PNR por parte de las compañías aéreas para sus fines comerciales normales y la transferencia de estos datos a las autoridades policiales competentes, complementada por la obligación de las compañías aéreas de recoger y transferir los datos API— aumenta considerablemente la eficacia de la lucha contra los delitos graves y el terrorismo en la UE. El uso combinado de los datos API y los datos PNR permite a las autoridades nacionales competentes confirmar la identidad de los pasajeros y mejora sustancialmente la fiabilidad de los datos PNR. Este uso combinado antes de la llegada también permite a las autoridades policiales llevar a cabo una evaluación y examinar con mayor detenimiento únicamente a las personas que, sobre la base de criterios y prácticas de evaluación objetivos y de conformidad con la legislación aplicable, tengan más probabilidades de suponer una amenaza para la seguridad. Esto facilita el viaje para el resto de los pasajeros y reduce el riesgo de que los pasajeros sean sometidos a un examen a su llegada por parte de las autoridades competentes sobre la base de elementos discrecionales como la raza o el origen étnico, que las autoridades policiales pueden asociar erróneamente a riesgos para la seguridad. Sin embargo, el actual marco jurídico de la UE solo regula el uso de datos PNR para luchar contra la delincuencia grave y el terrorismo, pero no hace lo mismo en el caso concreto de los datos API, que solo pueden solicitarse en vuelos procedentes de terceros países, lo que da lugar a una laguna en materia de seguridad, en particular en lo que respecta a los vuelos interiores de la UE para los que los Estados miembros solicitan a las compañías aéreas que transfieran los datos PNR. Las Unidades de Información sobre los Pasajeros obtienen los resultados operativos más eficaces en los vuelos en los que se recogen datos API y PNR. Esto significa que las autoridades policiales competentes no pueden beneficiarse de los resultados del tratamiento conjunto de datos API y datos PNR sobre los vuelos efectuados dentro de la UE, para los que solo se transfieren datos PNR. Para colmar esta laguna, la Estrategia de la Comisión para un espacio Schengen plenamente operativo y resiliente, de junio de 2021, instó a que se hiciese un mayor uso de los datos API en combinación con los datos PNR en los vuelos interiores del espacio Schengen, a fin de mejorar significativamente la seguridad interior, de conformidad con el derecho fundamental a la protección de los datos personales y el derecho fundamental a la libre circulación. Por consiguiente, la propuesta de Reglamento tiene por objeto establecer mejores normas para la recogida y la transferencia de datos API por parte de las compañías aéreas a fin de prevenir, detectar, investigar y enjuiciar los delitos terroristas y los delitos graves. Con el fin de garantizar el cumplimiento de los derechos fundamentales pertinentes consagrados en la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «la Carta»), en particular los derechos a la intimidad y a la protección de los datos personales, y los consiguientes requisitos de necesidad y proporcionalidad, la propuesta, como se explica más adelante, se limita cuidadosamente en su ámbito de aplicación y contiene estrictas garantías y límites de protección de los datos personales. •Coherencia con las disposiciones existentes en la misma política sectorial Las normas propuestas sobre la recogida y la transferencia de datos API con fines de prevención, detección, investigación y enjuiciamiento de delitos terroristas y delitos graves se ajustan a las normas aplicables al tratamiento de los datos PNR, tal como se establece en la Directiva PNR. Tienen en cuenta las interpretaciones del Tribunal de Justicia de la Unión Europea en su jurisprudencia reciente, en particular lo que se especificó en dicha jurisprudencia en relación con el tratamiento de los datos PNR para los vuelos interiores de la UE, según lo cual la transferencia de datos PNR a las autoridades competentes de los Estados miembros en vuelos interiores de la UE debe ser selectiva y no puede ser sistemática a menos que esté justificada por una amenaza terrorista real, actual o previsible. En la medida en que existe un posible solapamiento entre la propuesta de Reglamento y las normas de la Directiva PNR, teniendo en cuenta que, como se ha mencionado, la definición de «datos PNR» de la Directiva incluye «cualquier información recogida en el sistema de información anticipada sobre los pasajeros (sistema API)», prevalecen las normas de la propuesta de Reglamento, teniendo en cuenta que se trata tanto de lex specialis como de lex posterior. Si bien los Estados miembros deben adoptar, con arreglo a la Directiva PNR, las medidas necesarias para garantizar que las compañías aéreas transfieran datos PNR en la medida en que ya los hayan recogido en el curso normal de sus actividades comerciales, la propuesta de Reglamento impone a las compañías aéreas la obligación de recoger los datos API en determinadas situaciones y de transferirlos de una manera específica. Por lo tanto, el Reglamento propuesto completa la Directiva PNR, ya que garantiza que en todos los casos en que las autoridades policiales competentes, es decir, las Unidades de Información sobre los Pasajeros, reciban datos PNR en virtud de la Directiva PNR, las compañías aéreas tengan también la obligación de recoger y transferir los datos API a dichas autoridades competentes. Tras la transmisión de datos API a las Unidades de Información sobre los Pasajeros (UIP) establecidas por la Directiva PNR, aparte de los limitados requisitos a este respecto establecidos en la propuesta de Reglamento, las normas sobre el tratamiento ulterior de los datos API por las UIP son las establecidas en la Directiva PNR. Como se ha mencionado, la Directiva PNR permite el tratamiento conjunto de los datos API y los datos PNR, ya que su definición de los datos PNR incluye «cualquier información recogida en el sistema de información anticipada sobre los pasajeros (sistema API)», incluidos, por tanto, los datos API recibidos por las UIP con arreglo a la propuesta de Reglamento. En consecuencia, se aplican las normas del artículo 6 y de los artículos 9 y siguientes de la Directiva PNR, relativas a cuestiones como la finalidad exacta del tratamiento, los períodos de conservación, la supresión, el intercambio de información, la transferencia por los Estados miembros a terceros países y las disposiciones específicas sobre la protección de dichos datos personales. Además, los actos de aplicación general del Derecho de la UE se aplicarán de conformidad con las condiciones establecidas en ellos. En lo que respecta al tratamiento de datos personales, este es el caso, en particular, del Reglamento general de protección de datos (RGPD), la Directiva sobre protección de datos en el ámbito penal y el Reglamento de protección de datos de la UE. Estos actos no se ven afectados por la presente propuesta. La aplicabilidad de los actos mencionados del Derecho de la UE al tratamiento de los datos API recibidos en virtud del presente Reglamento implica que los Estados miembros aplican el Derecho de la UE en el sentido del artículo 51, apartado 1, de la Carta, lo que significa que también se aplican las normas de la Carta. En particular, las normas de dichos actos del Derecho de la UE deben interpretarse a la luz de la Carta. Para garantizar la coherencia con las normas establecidas en la propuesta de Reglamento sobre la recogida y la transferencia de datos API con fines de control fronterizo y la eficiencia en la transmisión de datos API, la presente propuesta establece la obligación de las compañías aéreas de recoger el mismo conjunto de datos API y transferirlo al mismo encaminador establecido en virtud de esa otra propuesta de Reglamento.

La recogida de los datos API a partir de los documentos de viaje también es coherente con las directrices de la OACI sobre documentos de viaje de lectura mecánica, que se transponen en el Reglamento (UE) 2019/1157 sobre el refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión, la Directiva 2019/997 del Consejo sobre los documentos provisionales de viaje de la UE y el Reglamento 2252/2004 sobre normas para las medidas de seguridad y datos biométricos en los pasaportes. Estos Reglamentos son los precursores que permiten la extracción automatizada de datos completos y de alta calidad de los documentos de viaje. 2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD •Base jurídica Para la presente propuesta de Reglamento sobre la recogida y la transferencia de datos API para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave, habida cuenta de su objetivo y de las medidas previstas, la base jurídica adecuada es el artículo 82, apartado 1, letra d), y el artículo 87, apartado 2, letra a), del Tratado de Funcionamiento de la Unión Europea (TFUE). En virtud del artículo 82, apartado 1, letra d), del TFUE, la Unión está facultada para adoptar medidas destinadas a facilitar la cooperación entre las autoridades judiciales o equivalentes de los Estados miembros en relación con los procedimientos en materia penal y la ejecución de resoluciones. En virtud del artículo 87, apartado 2, letra a), del TFUE, la Unión está facultada para adoptar medidas sobre la recogida, el almacenamiento, el tratamiento, el análisis y el intercambio de información pertinente a efectos de la cooperación policial en la UE. Por consiguiente, la base jurídica utilizada para la presente propuesta es la misma que la utilizada para la Directiva PNR, lo cual resulta oportuno teniendo en cuenta no solo que la propuesta de Reglamento persigue esencialmente el mismo objetivo, sino también que pretende completar la Directiva PNR. •Subsidiariedad Las autoridades policiales deben disponer de herramientas eficaces para luchar contra el terrorismo y los delitos graves. Dado que la mayoría de los delitos graves y los actos terroristas implican viajes internacionales, a menudo por vía aérea, los datos PNR han demostrado ser muy eficaces para proteger la seguridad interior de la UE. Además, las investigaciones destinadas a prevenir, detectar, investigar y enjuiciar los delitos de terrorismo y los delitos graves llevadas a cabo por las autoridades competentes de los Estados miembros dependen en gran medida de la cooperación internacional y transfronteriza. En un espacio sin controles en las fronteras interiores, la recogida, el tratamiento y el intercambio de datos de los pasajeros, incluidos los datos PNR y API, por parte de los Estados miembros también son medidas compensatorias eficaces. Al actuar de manera coherente a escala de la UE, la propuesta contribuirá a aumentar la seguridad de los Estados miembros y, por extensión, de la UE en su conjunto. La Directiva API forma parte del acervo de Schengen relativo al cruce de las fronteras exteriores. Por lo tanto, no regula la recogida y la transferencia de datos API sobre los vuelos interiores de la UE. A falta de datos API que completen los datos PNR de estos vuelos, los Estados miembros han aplicado diversas medidas destinadas a compensar la falta de datos de identidad de los pasajeros. Esto incluye controles físicos de conformidad para verificar los datos de identidad cotejando el documento de viaje y la tarjeta de embarque, que crean nuevos problemas y dejan sin resolver el problema subyacente de no disponer de datos API. La actuación a escala de la UE contribuirá a garantizar la aplicación de disposiciones armonizadas sobre la salvaguardia de los derechos fundamentales en los Estados miembros, en particular la protección de los datos personales. Los distintos sistemas de los Estados miembros que ya han establecido mecanismos similares, o que lo harán en el futuro, pueden afectar negativamente a las compañías aéreas, que pueden verse obligadas a cumplir requisitos nacionales divergentes, por ejemplo en lo que respecta a los tipos de información que deben transferirse y a las condiciones en las que debe facilitarse dicha información a los Estados miembros. Estas diferencias van en detrimento de una cooperación efectiva entre los Estados miembros a efectos de prevenir, detectar, investigar y enjuiciar los delitos de terrorismo y los delitos graves. Estas normas armonizadas solo pueden establecerse a escala de la UE. Dado que los objetivos de la presente propuesta no pueden alcanzarse suficientemente por los Estados miembros y pueden lograrse mejor a escala de la Unión, se puede concluir que la UE está legitimada y se encuentra en mejores condiciones para actuar que los Estados miembros de forma independiente. La propuesta respeta, por tanto, el principio de subsidiariedad enunciado en el artículo 5 del Tratado de la Unión Europea. •Proporcionalidad De conformidad con el principio de proporcionalidad establecido en el artículo 5, apartado 4, del TUE, es necesario adecuar la naturaleza y la intensidad de una determinada medida al problema detectado. Todos los problemas abordados en la presente iniciativa legislativa exigen, de una manera u otra, una acción legislativa a nivel de la UE que permita a los Estados miembros subsanarlos eficazmente. Las normas propuestas sobre la recogida y la transferencia de datos API, sujetas a estrictas limitaciones y salvaguardias, reforzarán la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y los delitos graves. Por consiguiente, las normas propuestas responden a una necesidad detectada de mejorar la seguridad interior, abordando eficazmente el problema derivado de la ausencia de tratamiento conjunto de los datos API y PNR, incluidos los de los vuelos interiores de la UE para los que los Estados miembros reciben datos PNR. El ámbito de aplicación de la propuesta se limita a lo estrictamente necesario, es decir, se limita a aquellos elementos que requieren un enfoque armonizado de la UE, a saber, los fines para los que las Unidades de Información sobre los Pasajeros pueden utilizar los datos API, los elementos de datos que deben recogerse y los medios para la recogida y la transferencia de los datos API de los viajeros. La transferencia de los datos API al encaminador reduce la complejidad que supone para las compañías aéreas mantener conexiones con las Unidades de Información sobre los Pasajeros e introduce economías de escala, al tiempo que reduce el margen de error y de abuso. La finalidad abarca únicamente los delitos de terrorismo y la delincuencia grave, tal como se definen en la propuesta, habida cuenta de su gravedad y de su dimensión transnacional. Para limitar la injerencia en los derechos de los pasajeros a lo estrictamente necesario, la propuesta establece una serie de salvaguardias. Más concretamente, el tratamiento de datos API con arreglo a la propuesta de Reglamento se limita a una lista cerrada y limitada de datos API. Más allá de ello, no deben recogerse datos adicionales de identidad. Además, la propuesta de Reglamento solo establece normas sobre la recogida y la transferencia de datos API a las UIP a través del encaminador para los fines limitados que se especifican en ella y no regula el tratamiento ulterior de los datos API por parte de las UIP, dado que, como se ha explicado anteriormente, esto está cubierto por otros actos del Derecho de la UE (Directiva PNR, legislación sobre protección de datos personales, Carta). Las funcionalidades del encaminador y, en particular, su capacidad de recoger y proporcionar información estadística exhaustiva también apoyan el seguimiento de la aplicación del presente Reglamento por parte de las compañías aéreas y las Unidades de Información sobre los Pasajeros. También se prevén determinadas garantías específicas, como las normas sobre registro, protección de datos personales y seguridad. Para garantizar la necesidad y proporcionalidad del tratamiento de datos con arreglo a la propuesta de Reglamento, y más concretamente en lo que se refiere a la recogida y la transferencia de datos API sobre vuelos interiores de la UE, los Estados miembros solo recibirán datos API de los vuelos interiores de la UE que hayan seleccionado de conformidad con la jurisprudencia del TJUE antes mencionada. Además, el tratamiento ulterior de los datos API por parte de las UIP quedaría sujeto a los límites y garantías establecidos en la Directiva PNR, según la interpretación del TJUE en el asunto Ligue des droits humains a la luz de la Carta. •Elección del instrumento La acción propuesta es un Reglamento. En vista de la necesidad de que las medidas propuestas sean directamente aplicables y se apliquen de manera uniforme en todos los Estados miembros, un Reglamento es, por tanto, la elección de instrumento jurídico adecuada.

3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO •Evaluación ex post de la legislación vigente La Directiva API no impide el tratamiento de datos API con fines policiales, tal como se establezca en la legislación nacional y con sujeción a los requisitos de protección de los datos personales. Sin embargo, la aplicación de esta posibilidad en todos los Estados miembros es problemática, como se desprende de la evaluación de la Directiva API, lo que da lugar a lagunas de seguridad debido a la falta de criterios de la UE definidos sobre la recogida y la transferencia de datos API con fines policiales: –La finalidad policial se interpreta en un sentido amplio en la legislación nacional de algunos Estados miembros, que contempla desde las infracciones administrativas, la mejora de la seguridad interior y el orden público, hasta la lucha contra el terrorismo y la protección de los intereses de la seguridad nacional. La evaluación de la Directiva API también señaló que un uso eficaz de los datos API con fines policiales requeriría un instrumento jurídico específico para este fin diferenciado. –La variedad de fines de la recogida de datos API añade complejidad a la garantía del cumplimiento del marco de protección de datos personales de la UE. El requisito de suprimir los datos API en un plazo de veinticuatro horas solo se establece en el caso de la utilización de datos API para el objetivo principal de la Directiva API, a saber, la gestión de las fronteras exteriores. No está claro si este requisito se aplica también al tratamiento realizado con fines policiales. –El conjunto de datos API que puede solicitarse a las compañías aéreas con fines policiales, además de la práctica de algunos Estados miembros de solicitar datos API que van más allá de la lista no exhaustiva incluida en la Directiva API, crea obstáculos adicionales para que las compañías aéreas cumplan los diferentes requisitos al transportar pasajeros a la UE. –Del mismo modo, la Directiva API no da indicaciones sobre los vuelos para los que pueden solicitarse datos API, sobre la autoridad a la que deben transferirse los datos API ni sobre las condiciones de acceso a dichos datos con fines policiales. •Consultas con las partes interesadas La elaboración de la presente propuesta incluyó una amplia gama de consultas con las partes interesadas afectadas, incluidas las autoridades de los Estados miembros (autoridades fronterizas competentes, Unidades de Información sobre los Pasajeros), los representantes del sector del transporte y compañías aéreas individuales. Las agencias de la UE, como la Agencia Europea de la Guardia de Fronteras y Costas (Frontex), la Agencia de la Unión Europea para la Cooperación Policial (Europol), la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA) y la Agencia de los Derechos Fundamentales de la Unión Europea (FRA), también aportaron información. Esta iniciativa integra, asimismo, las opiniones y observaciones recibidas durante la consulta pública realizada a finales de 2019 en el marco de la evaluación de la Directiva API. Las actividades de consulta en el contexto de la preparación de la evaluación de impacto en apoyo de esta propuesta recabaron las observaciones de las partes interesadas utilizando diversos foros. Estas actividades incluían, en particular, una evaluación inicial de impacto, un estudio externo justificativo y una serie de talleres técnicos. Entre el 5 de junio de 2020 y el 14 de agosto de 2020 se publicó una evaluación inicial de impacto, acerca de la cual se recibieron siete contribuciones sobre la ampliación del ámbito de aplicación de la futura Directiva API, la calidad de los datos, las sanciones, la relación de los datos API y PNR y la protección de los datos personales. El estudio externo justificativo se basó en el trabajo de documentación, entrevistas y encuestas con expertos en la materia, en los que se examinaron diferentes medidas posibles para el tratamiento de los datos API con normas claras que facilitasen los viajes legítimos y fuesen coherentes con la interoperabilidad de los sistemas de información de la UE, los requisitos de protección de datos personales de la UE y otros instrumentos de la UE y normas internacionales existentes. Los servicios de la Comisión también organizaron una serie de talleres técnicos con expertos de los Estados miembros y de los países asociados a Schengen. Estos talleres tenían por objeto reunir a expertos con el fin de intercambiar puntos de vista sobre las posibles opciones previstas para reforzar el futuro marco API a efectos de la gestión de las fronteras, así como para luchar contra la delincuencia y el terrorismo. La evaluación de impacto adjunta ofrece una descripción más detallada de la consulta de las partes interesadas (anexo 2). •Evaluación de impacto En consonancia con las Directrices para la mejora de la legislación, la Comisión llevó a cabo una evaluación de impacto que se presenta en el documento de trabajo de los servicios de la Comisión adjunto [referencia]. El Comité de Control Reglamentario revisó el proyecto de evaluación de impacto en una reunión celebrada el 28 de septiembre de 2022 y emitió su dictamen favorable el 30 de septiembre de 2022. A la vista de los problemas detectados en relación con la recogida y la transferencia de datos API, la evaluación de impacto evaluó opciones de actuación sobre el alcance de la recogida de datos API a efectos de la gestión de las fronteras y con fines policiales, junto con opciones sobre los medios para mejorar la calidad de los datos API. Por lo que se refiere a la recogida de datos API con fines policiales, la evaluación de impacto consideró la recogida de datos API sobre todos los vuelos exteriores de la UE, por una parte, y la recogida de datos API sobre todos los vuelos exteriores de la UE y sobre vuelos interiores de la UE seleccionados, por otra. Además, la evaluación de impacto también consideró opciones para mejorar la calidad de los datos API, ya fuese para recoger datos API utilizando medios automatizados y manuales, o para recoger datos API utilizando únicamente medios automatizados. Sobre la base de las conclusiones del informe de evaluación de impacto, la opción preferida para un instrumento API con fines policiales incluye la recogida de datos API de todos los vuelos procedentes de terceros países y con destino a terceros países, así como sobre vuelos interiores de la UE seleccionados para los que se transfieren datos PNR. Esto reforzará significativamente la solidez del necesario análisis de los datos pertinentes relativos a los viajeros aéreos en la lucha contra la delincuencia grave y el terrorismo, y las Unidades de Información sobre los Pasajeros se beneficiarán de la disponibilidad de datos API, verificados y, por tanto, de mayor calidad, con el fin de identificar a las personas implicadas en delitos graves o terrorismo. La recogida y la transferencia de datos API con fines policiales se basa en las capacidades desarrolladas para la transferencia de datos API, a través del encaminador, para la gestión de las fronteras exteriores, sin costes adicionales para eu-LISA. Las compañías aéreas solo transfieren los datos API al encaminador, que posteriormente los transmite a la Unidad de Información sobre los Pasajeros de cada Estado miembro afectado. La evaluación de impacto concluyó que se trataba de una solución rentable para las compañías aéreas, ya que reducía parte de los costes de transmisión en los que estas incurrían, al tiempo que limitaba el margen de error o abuso. Sin embargo, a diferencia de la situación actual, en virtud de la propuesta de Reglamento, las compañías aéreas tendrían que recoger y transferir los datos API de todos los vuelos cubiertos por ella, independientemente de sus necesidades comerciales normales y con inclusión también de los vuelos interiores de la UE. La propuesta es coherente con el objetivo de neutralidad climática establecido en la Ley Europea del Clima y con los objetivos de la Unión para 2030 y 2040. •Derechos fundamentales La presente iniciativa establece el tratamiento de los datos personales de los viajeros y, por tanto, limita el ejercicio del derecho fundamental a la protección de los datos personales garantizado por el artículo 8 de la Carta y por el artículo 16 del TFUE. Como ha subrayado el Tribunal de Justicia de la Unión Europea (TJUE), el derecho a la protección de los datos personales no es un derecho absoluto, pero cualquier limitación debe considerarse en relación con su función en la sociedad y cumplir los criterios establecidos en el artículo 52, apartado 1, de la Carta. La protección de los datos personales también está estrechamente vinculada al respeto del derecho a la intimidad, como parte del derecho a la vida privada y familiar protegido por el artículo 7 de la Carta.

En lo que respecta a la recogida y la transferencia de datos API para vuelos interiores de la UE seleccionados, esta iniciativa también afecta al ejercicio del derecho fundamental a la libre circulación establecido en el artículo 45 de la Carta y en el artículo 21 del TFUE. Según el TJUE, un obstáculo a la libre circulación de personas sólo podría justificarse si se basara en consideraciones objetivas y fuera proporcionado al objetivo legítimamente perseguido por el Derecho nacional. En virtud del presente Reglamento, la recogida y la transferencia de datos API solo puede tener por objeto la prevención, detección, investigación y enjuiciamiento del terrorismo y de la delincuencia grave, tal como se definen en la Directiva PNR. Las disposiciones de la presente propuesta establecen criterios uniformes para la recogida y la transferencia de datos API sobre los vuelos exteriores de la UE (de entrada y de salida), por una parte, y sobre vuelos interiores de la UE seleccionados, por otra, sobre la base de una evaluación realizada por los Estados miembros y sujeta a revisión periódica, en consonancia con los requisitos establecidos por el Tribunal de Justicia en el asunto Ligue des droits humains. La obligación de las compañías aéreas de recoger y transferir datos API al encaminador abarca todos los vuelos interiores de la UE. La transmisión por el encaminador a las UIP es una solución técnica para limitar la transmisión de datos API a las Unidades de Información sobre los Pasajeros únicamente a determinados vuelos, sin revelar información confidencial sobre qué vuelos interiores de la UE han sido seleccionados. Dicha información debe tratarse de forma confidencial, habida cuenta del riesgo de elusión que existiría si el público en general o, más concretamente, las personas implicadas en delitos graves o actividades terroristas tuvieran conocimiento de ella. El uso obligatorio de medios automatizados por parte de las compañías aéreas para recoger determinados datos API de los viajeros puede dar lugar a riesgos, también desde el punto de vista de la protección de los datos personales. Sin embargo, tales riesgos se han limitado y mitigado. En primer lugar, el requisito solo se aplica a determinados datos API en los que los medios automatizados pueden utilizarse de manera responsable, como, por ejemplo, en el caso de los datos legibles por máquina que figuran en los documentos de los viajeros. En segundo lugar, el Reglamento propuesto contiene requisitos relativos a los medios automatizados que deben utilizarse, que deben detallarse en un acto delegado. Por último, se contemplan varias garantías, como el registro, las normas específicas sobre la protección de los datos personales y una supervisión eficaz. Además, si bien, aparte de la disposición que garantiza el cumplimiento del principio de limitación de la finalidad, el Reglamento propuesto no regularía el uso que las autoridades fronterizas competentes hagan de los datos API que reciban en virtud del mismo, dado que, como se ha explicado anteriormente, este ya está cubierto por otra legislación, en aras de la claridad, en los considerandos se recuerda que tal uso no puede dar lugar a ninguna discriminación prohibida por el artículo 21 de la Carta. 4.REPERCUSIONES PRESUPUESTARIAS La presente iniciativa legislativa sobre la recogida y la transferencia de datos API para facilitar los controles en las fronteras exteriores y para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y la delincuencia grave, respectivamente, repercutiría en el presupuesto y las necesidades de personal de eu-LISA y de las autoridades competentes de los Estados miembros. En el caso de eu-LISA, se estima que se requeriría un presupuesto adicional de alrededor de 45 millones EUR (33 millones EUR en el marco del actual MFP) para poner en marcha el encaminador y 9 millones EUR anuales a partir de 2029 para su gestión técnica, y que se necesitarían alrededor de veintisiete puestos adicionales para garantizar que eu-LISA disponga de los recursos necesarios para desempeñar las funciones que se le atribuyen en la presente propuesta de Reglamento y en la propuesta de Reglamento sobre la recogida y la transferencia de datos API para facilitar los controles en las fronteras exteriores. En el caso de los Estados miembros, se estima que se requerirían 11 millones EUR (3 millones EUR en el marco financiero plurianual actual) destinados a mejorar los sistemas e infraestructuras nacionales necesarios para las UIP, a cuyo reembolso por parte del Fondo de Seguridad Interior podrían tener derecho, y, progresivamente, a partir de 2028, hasta un importe estimado de 2 millones EUR al año. Todo derecho de este tipo deberá determinarse en última instancia de conformidad con las normas que regulan dichos fondos, así como con las normas sobre costes contenidas en la propuesta de Reglamento. Habida cuenta de la estrecha relación existente entre la presente propuesta de Reglamento y la propuesta de Reglamento relativo a la recogida y la transferencia de datos API para facilitar los controles en las fronteras exteriores, en particular en lo que se refiere a la transferencia de datos API al encaminador, la ficha de financiación legislativa que figura en el anexo de la presente propuesta de Reglamento es idéntica en ambas propuestas. 5.OTROS ELEMENTOS •Planes de ejecución y modalidades de seguimiento, evaluación e información La Comisión debe garantizar que se disponga de las modalidades necesarias para supervisar el funcionamiento de las medidas propuestas y evaluarlas en relación con los principales objetivos fijados. Cuatro años después del inicio de las operaciones de la propuesta de Reglamento API, y posteriormente cada cuatro años, la Comisión debe presentar un informe al Parlamento Europeo y al Consejo en el que se evalúe la aplicación del Reglamento y su valor añadido. El informe también ha de notificar cualquier impacto directo o indirecto en los derechos fundamentales. Debe examinar los resultados obtenidos en relación con los objetivos y evaluar la vigencia de la validez de los fundamentos del sistema y las posibles consecuencias de futuras opciones. El carácter preceptivo de la obligación de las compañías aéreas de recoger los datos API de los vuelos exteriores de la UE y de vuelos interiores de la UE seleccionados y la introducción del encaminador API permitirán obtener una visión más clara tanto de la transmisión de los datos API por las compañías aéreas como del uso de los datos API por parte de los Estados miembros, de conformidad con la legislación nacional y de la Unión aplicable. Esto ayudará a la Comisión en sus funciones de evaluación y ejecución al proporcionarle estadísticas fiables sobre el volumen de datos transmitidos y sobre los vuelos para los que se soliciten datos API. •Explicación detallada de las disposiciones específicas de la propuesta El capítulo 1 establece las disposiciones generales del presente Reglamento, empezando por las normas sobre su objeto y ámbito de aplicación. También recoge una lista de definiciones. El capítulo 2 establece las disposiciones para la recogida, la transferencia al encaminador y la supresión de datos API por parte de las compañías aéreas, así como normas relativas a la transmisión de datos API del encaminador a las Unidades de Información sobre los Pasajeros. El capítulo 3 contiene disposiciones específicas sobre los registros, las especificaciones sobre quiénes son los responsables del tratamiento de datos personales en relación con el tratamiento de datos API que constituyen datos personales con arreglo al presente Reglamento, la seguridad y el autocontrol por parte de las compañías aéreas y las UIP. El capítulo 4 establece normas sobre las conexiones con el encaminador y la integración en él por lo que respecta a las Unidades de Información sobre los Pasajeros y las compañías aéreas, así como sobre los costes derivados de ello para los Estados miembros. También recoge disposiciones relativas a la situación de imposibilidad técnica total o parcial de utilizar el encaminador y a la responsabilidad por los daños causados al encaminador. El capítulo 5 contiene disposiciones sobre la supervisión, las posibles sanciones aplicables a las compañías aéreas en caso de incumplimiento de las obligaciones establecidas en el presente Reglamento que les incumben y la elaboración de un manual práctico por parte de la Comisión. El capítulo 6 prevé modificaciones de otros instrumentos vigentes, a saber, el Reglamento (UE) 2019/818.

El capítulo 7 recoge las disposiciones finales del presente Reglamento, que se refieren a la adopción de actos delegados, al seguimiento y la evaluación del presente Reglamento, y a su entrada en vigor y aplicación. 2022/0425 (COD) Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a la recogida y la transferencia de información anticipada sobre los pasajeros para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave, y por el que se modifica el Reglamento (UE) 2019/818 EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA, Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 82, apartado 1, letra d), y su artículo 87, apartado 2, letra a), Vista la propuesta de la Comisión Europea, Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales, Visto el dictamen del Comité Económico y Social Europeo, De conformidad con el procedimiento legislativo ordinario, Considerando lo siguiente: (1)La dimensión transnacional de la delincuencia grave y organizada y la amenaza continua de atentados terroristas en suelo europeo requieren una actuación a escala de la Unión para adoptar medidas adecuadas que garanticen la seguridad en un espacio de libertad, seguridad y justicia sin fronteras interiores. La información sobre los viajeros aéreos, como los registros de nombres de los pasajeros (PNR) y, en particular, la información anticipada sobre los pasajeros (API), es esencial para identificar a los viajeros de alto riesgo, incluidos aquellos de los que las autoridades policiales no tengan conocimiento de otro modo, y para establecer vínculos entre los miembros de grupos delictivos y luchar contra las actividades terroristas. (2)Si bien la Directiva 2004/82/CE del Consejo establece un marco jurídico para la recogida y la transferencia de datos API por parte de las compañías aéreas con el objetivo de mejorar los controles fronterizos y luchar contra la inmigración ilegal, también dispone que los Estados miembros pueden utilizar los datos API con fines policiales. Sin embargo, el hecho de ofrecer simplemente esta posibilidad da lugar a lagunas y deficiencias. Esto significa, en particular, que, a pesar de su pertinencia a efectos policiales, los datos API no son recogidos y transferidos en todos los casos por las compañías aéreas para esos fines. También significa que, cuando los Estados miembros actúan con arreglo a la posibilidad que se les ofrece, las compañías aéreas se enfrentan a requisitos divergentes con arreglo a la legislación nacional en cuanto a cuándo y cómo deben recopilar y transferir datos API con este fin. Estas divergencias no solo dan lugar a costes y complicaciones innecesarios para las compañías aéreas, sino que también resultan perjudiciales para la seguridad interior de la Unión y la cooperación eficaz entre las autoridades policiales competentes de los Estados miembros. Además, habida cuenta de la diferente naturaleza de los fines de la facilitación de los controles fronterizos y los fines policiales, conviene establecer un marco jurídico diferenciado para la recogida y la transferencia de datos API para cada uno de ellos. (3)La Directiva (UE) 2016/681 del Parlamento Europeo y del Consejo establece normas relativas a la utilización de datos del registro de nombres de los pasajeros (PNR) para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave. Con arreglo a esta Directiva, los Estados miembros deben adoptar las medidas necesarias para garantizar que las compañías aéreas transfieran los datos PNR, incluidos cualesquiera datos API recogidos, a las Unidades de Información sobre los Pasajeros («UIP») nacionales creadas de conformidad con dicha Directiva en la medida en que ya los hayan recogido en el curso normal de sus actividades comerciales. Por consiguiente, dicha Directiva no garantiza la recogida y la transferencia de datos API en todos los casos, ya que para las compañías aéreas la recogida de un conjunto completo de tales datos no tiene finalidad comercial alguna. Es importante garantizar que las UIP reciban los datos API junto con los datos PNR, ya que el tratamiento conjunto de dichos datos es necesario para que las autoridades policiales competentes de los Estados miembros puedan prevenir, detectar, investigar y enjuiciar eficazmente los delitos de terrorismo y los delitos graves. En particular, este tratamiento conjunto permite la identificación exacta de los pasajeros que puedan tener que ser examinados con más detenimiento, de conformidad con la legislación aplicable, por dichas autoridades. Además, dicha Directiva no especifica en detalle qué información constituye datos API. Por estas razones, deben establecerse normas complementarias que exijan a las compañías aéreas recoger y transferir posteriormente un conjunto definido específicamente de datos API, requisitos que deben aplicarse en la medida en que las compañías aéreas estén obligadas, en virtud de dicha Directiva, a recoger y transferir datos PNR del mismo vuelo. (4)Por consiguiente, es necesario establecer a escala de la Unión normas claras, armonizadas y eficaces sobre la recogida y la transferencia de datos API con el fin de prevenir, detectar, investigar y enjuiciar los delitos de terrorismo y los delitos graves. (5)Teniendo en cuenta la estrecha relación entre ambos actos, debe entenderse que el presente Reglamento completa las normas establecidas en la Directiva (UE) 2016/681. Por lo tanto, los datos API deben recogerse y transferirse de conformidad con los requisitos específicos del presente Reglamento, también en lo que respecta a las situaciones y la manera en que debe hacerse. No obstante, las normas de dicha Directiva se aplican a asuntos en los que no incide específicamente el presente Reglamento, en particular las normas sobre el tratamiento posterior de los datos API recibidos por las UIP, el intercambio de información entre Estados miembros, las condiciones de acceso por parte de la Agencia de la Unión Europea para la Cooperación Policial (Europol), las transferencias a terceros países, la conservación y despersonalización, así como la protección de los datos personales. En la medida en que esas normas sean de aplicación, también se aplicarán las normas de dicha Directiva sobre las sanciones y las autoridades nacionales de supervisión. El presente Reglamento no debe afectar a dichas normas. (6)La recogida y la transferencia de los datos API afectan a la privacidad de las personas y entrañan el tratamiento de datos personales. A fin de respetar plenamente los derechos fundamentales, en particular el derecho al respeto de la vida privada y el derecho a la protección de los datos de carácter personal, de conformidad con la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «la Carta»), deben establecerse las garantías y los límites adecuados. En particular, todo tratamiento de datos API y, más concretamente, de datos API que constituyan datos personales, debe limitarse a lo necesario y proporcionado para alcanzar los objetivos perseguidos por el presente Reglamento. Además, debe garantizarse que los datos API recogidos y transferidos en virtud del presente Reglamento no den lugar a ninguna forma de discriminación prohibida por la Carta. (7)Habida cuenta del carácter complementario del presente Reglamento en relación con la Directiva (UE) 2016/681, las obligaciones de las compañías aéreas en virtud del presente Reglamento deben aplicarse a todos los vuelos con respecto a los cuales los Estados miembros deban exigir a las compañías aéreas que transmitan datos PNR en virtud de la Directiva (UE) 2016/681, a saber, los vuelos, programados y no programados, tanto entre Estados miembros y terceros países (vuelos exteriores de la UE), como entre varios Estados miembros (vuelos interiores de la UE), en la medida en que dichos vuelos hayan sido seleccionados de conformidad con la Directiva (UE) 2016/681, con independencia del lugar de establecimiento de las compañías aéreas que efectúen dichos vuelos. 8)Por consiguiente, dado que la Directiva (UE) 2016/681 no abarca los vuelos nacionales, es decir, los vuelos con origen y destino en el territorio del mismo Estado miembro sin escala en el territorio de otro Estado miembro o de un tercer país, y habida cuenta de la dimensión transnacional de los delitos terroristas y de los delitos graves contemplados en el presente Reglamento, el presente Reglamento tampoco debe incidir en dichos vuelos. No debe entenderse que el presente Reglamento afecte a la posibilidad de que los Estados miembros establezcan, en virtud de su legislación nacional y de conformidad con el Derecho de la Unión, obligaciones para las compañías aéreas de recoger y transferir datos API de tales vuelos nacionales.

(9)Habida cuenta de la estrecha relación entre los actos del Derecho de la Unión afectados y en aras de la consistencia y la coherencia, las definiciones establecidas en el presente Reglamento deben ajustarse, en la medida de lo posible, a las definiciones establecidas en la Directiva (UE) 2016/681 y en el Reglamento (UE) [API con fines de gestión de fronteras], y deben interpretarse y aplicarse a la luz de las mismas. (10)En particular, los elementos de información que constituyen conjuntamente los datos API que deben recogerse y transferirse posteriormente en virtud del presente Reglamento deben ser los enumerados de manera clara y exhaustiva en el Reglamento (UE) [API con fines de gestión de fronteras], abarcando tanto la información relativa a cada pasajero como la información del vuelo de ese viajero. En virtud del presente Reglamento, dicha información de vuelo debe abarcar la información sobre el paso fronterizo de entrada en el territorio del Estado miembro de que se trate solo cuando proceda, es decir, no cuando los datos API se refieran a vuelos interiores de la UE. (11)A fin de garantizar un enfoque coherente en cuanto a la recogida y la transferencia de datos API por parte de las compañías aéreas en la medida de lo posible, las normas establecidas en el presente Reglamento deben armonizarse, cuando proceda, con las establecidas en el Reglamento (UE) [API con fines de gestión de fronteras]. Se trata, en particular, de las normas relativas a la calidad de los datos, a la utilización por las compañías aéreas de los medios automatizados de recogida, a las modalidades precisas de transferencia de los datos API recogidos al encaminador y a la supresión de los datos API. (12)Con el fin de garantizar el tratamiento conjunto de los datos API y los datos PNR para luchar eficazmente contra el terrorismo y la delincuencia grave en la Unión y, al mismo tiempo, minimizar la injerencia en los derechos fundamentales de los pasajeros protegidos en virtud de la Carta, las UIP deben ser las autoridades competentes de los Estados miembros encargadas de recibir, y posteriormente tratar y proteger, los datos API recogidos y transferidos en virtud del presente Reglamento. En aras de la eficiencia y para mitigar cualquier riesgo para la seguridad, el encaminador, tal como esté diseñado, desarrollado, alojado y mantenido técnicamente por la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA), de conformidad con el Reglamento (UE) [API con fines de gestión de fronteras], debe transmitir los datos API, recogidos y transferidos a él por las compañías aéreas en virtud del presente Reglamento, a las UIP pertinentes. Dado el nivel necesario de protección de los datos API que constituyen datos personales, en particular para garantizar la confidencialidad de la información de que se trate, el encaminador debe transmitir los datos API a las UIP pertinentes de manera automatizada. (13)En el caso de los vuelos exteriores de la UE, la UIP del Estado miembro en cuyo territorio vaya a aterrizar el vuelo o de cuyo territorio salga el vuelo debe recibir del encaminador los datos API de todos esos vuelos, dado que los datos PNR de todos esos vuelos se recogen de conformidad con la Directiva (UE) 2016/681. El encaminador debe identificar el vuelo y las UIP correspondientes utilizando la información contenida en el localizador del registro PNR, un elemento de datos común a los conjuntos de datos API y PNR que permite el tratamiento conjunto de datos API y PNR por parte de las UIP. (14)Por lo que se refiere a los vuelos interiores de la UE, en consonancia con la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE), a fin de evitar injerencias indebidas en los derechos fundamentales pertinentes protegidos en virtud de la Carta y garantizar el cumplimiento de los requisitos del Derecho de la Unión en materia de libre circulación de personas y supresión de los controles en las fronteras interiores, debe preverse un enfoque selectivo. Habida cuenta de la importancia de garantizar que los datos API puedan tratarse junto con los datos PNR, este enfoque debe armonizarse con el de la Directiva (UE) 2016/681. Por estas razones, los datos API de esos vuelos solo deben transmitirse desde el encaminador a las UIP pertinentes cuando los Estados miembros hayan seleccionado los vuelos en cuestión en aplicación del artículo 2 de la Directiva (UE) 2016/681. Como recordó el TJUE, la selección implica que los Estados miembros se centren en las obligaciones en cuestión únicamente, entre otras cosas, en determinadas rutas, patrones de viaje o aeropuertos, a reserva de la revisión periódica de dicha selección. (15)A fin de permitir la aplicación de ese enfoque selectivo en virtud del presente Reglamento a los vuelos interiores de la UE, debe exigirse a los Estados miembros que elaboren y presenten a eu-LISA las listas de los vuelos que hayan seleccionado, de manera que eu-LISA pueda garantizar que se transmitan datos API relativos únicamente a esos vuelos desde el encaminador a las UIP pertinentes y que los datos API de otros vuelos interiores de la UE se supriman de forma inmediata y permanente. (16)A fin de no poner en peligro la eficacia del sistema basado en la recogida y la transferencia de datos API establecido por el presente Reglamento, y de los datos PNR en el marco del sistema establecido por la Directiva (UE) 2016/681, con el fin de prevenir, detectar, investigar y enjuiciar los delitos de terrorismo y los delitos graves, en particular creando un riesgo de elusión, la información relativa a los vuelos interiores de la UE que hayan seleccionado los Estados miembros ha de tratarse de manera confidencial. Por este motivo, dicha información no debe compartirse con las compañías aéreas, a quienes, por tanto, se les debe exigir que recojan datos API sobre todos los vuelos cubiertos por el presente Reglamento, incluidos todos los vuelos interiores de la UE, y posteriormente la transfieran al encaminador, cuando deba activarse dicha selección. Además, al recoger datos API sobre todos los vuelos interiores de la UE, no se informa a los pasajeros sobre qué datos API de los vuelos interiores de la UE seleccionados —y, por tanto, tampoco sobre qué datos PNR— se transmiten a las UIP de conformidad con la evaluación de los Estados miembros. Este enfoque también garantiza que cualquier cambio relacionado con dicha selección pueda aplicarse con rapidez y eficacia, sin imponer cargas económicas y operativas indebidas a las compañías aéreas. (17)Con el fin de garantizar el cumplimiento del derecho fundamental a la protección de los datos personales y en consonancia con el Reglamento (UE) [API con fines de gestión de fronteras], el presente Reglamento debe identificar a los responsables del tratamiento. En aras de una supervisión eficaz que garantice la protección adecuada de los datos personales y reduzca al mínimo los riesgos para la seguridad, también deben establecerse normas sobre el registro, la seguridad del tratamiento y el autocontrol. Cuando se refieran al tratamiento de los datos personales, debe entenderse que dichas disposiciones completan los actos generalmente aplicables del Derecho de la Unión en materia de protección de datos personales, en particular el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo y el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo. Estos actos, que también se aplican al tratamiento de datos personales en virtud del presente Reglamento de conformidad con sus disposiciones, no deben verse afectados por el presente Reglamento. (18)El encaminador que se cree y explote en virtud del Reglamento (UE) [API con fines de gestión de fronteras] debe reducir y simplificar las conexiones técnicas necesarias para transferir los datos API, limitándolas a una única conexión por compañía aérea y por UIP. Por consiguiente, el presente Reglamento establece la obligación de que las UIP y las compañías aéreas establezcan dicha conexión con el encaminador y logren la integración necesaria en él, a fin de garantizar el correcto funcionamiento del sistema de transferencia de datos API establecido por el presente Reglamento. (19)Habida cuenta de los intereses de la Unión en juego, los costes correspondientes en que incurran los Estados miembros en relación con sus conexiones con el encaminador y su integración en él, tal como se exige en el presente Reglamento, deben correr a cargo del presupuesto de la Unión, de conformidad con la legislación aplicable y con sujeción a determinadas excepciones. Los costes cubiertos por esas excepciones deben ser sufragados por cada Estado miembro afectado. (20)De conformidad con el Reglamento (UE) 2018/1726, los Estados miembros pueden confiar a eu-LISA la tarea de facilitar la conectividad con las compañías aéreas con el fin de ayudar a los Estados miembros en la aplicación de la Directiva (UE) 2016/681, en particular mediante la recogida y la transferencia de datos PNR a través del encaminador. (21)No puede excluirse que, debido a circunstancias excepcionales y a pesar de que se hayan tomado todas las medidas razonables de conformidad con el presente Reglamento y, por lo que respecta al encaminador, el Reglamento (UE) [API con fines de gestión de fronteras], el encaminador o los sistemas o infraestructuras que lo conectan con las UIP y las compañías aéreas no funcionen correctamente, lo que dé lugar a la imposibilidad técnica de utilizar el encaminador para transmitir los datos API. Habida cuenta de la indisponibilidad del encaminador y de que, por lo general, no será razonablemente posible que las compañías aéreas transfieran los datos API afectados por el fallo de una manera lícita, segura, eficaz y rápida por medios alternativos, la obligación de las compañías aéreas de transferir dichos datos API al encaminador debe dejar de aplicarse mientras persista la imposibilidad técnica. Con el fin de reducir al mínimo la duración y las consecuencias negativas de ello, las partes afectadas deben informarse mutuamente de inmediato y tomar inmediatamente todas las medidas necesarias para hacer frente a la imposibilidad técnica. Esta disposición debe entenderse sin perjuicio de las obligaciones que impone el presente Reglamento a todas las partes interesadas de garantizar el correcto funcionamiento del encaminador y de sus respectivos sistemas e infraestructuras, así como del hecho de que las compañías aéreas estén sujetas a sanciones cuando incumplan dichas obligaciones, incluso cuando pretendan acogerse a esta disposición injustificadamente. Para disuadir de la comisión de tal abuso y facilitar la supervisión y, en su caso, la imposición de sanciones, las compañías aéreas que se acojan a esta disposición debido al fallo de su propio sistema e infraestructura deben informar al respecto a la autoridad de supervisión competente. (22)A fin de garantizar la aplicación efectiva de las normas del presente Reglamento por parte de las compañías aéreas, conviene prever la designación y la habilitación de las autoridades nacionales encargadas de la supervisión de dichas normas. Las normas del presente Reglamento relativas a dicha supervisión, incluidas las relativas a la imposición de sanciones cuando sea necesario, no deben afectar a las funciones y competencias de las autoridades de control establecidas de conformidad con el Reglamento (UE) 2016/679 y la Directiva (UE) 2016/680, también en relación con el tratamiento de datos personales en virtud del presente Reglamento. (23)Los Estados miembros deben establecer sanciones efectivas, proporcionadas y disuasorias, incluidas sanciones financieras, contra las compañías aéreas que incumplan sus obligaciones en materia de recogida y transferencia de datos API en virtud del presente Reglamento. (24)A fin de adoptar medidas relativas a los requisitos técnicos y las normas operativas aplicables a los medios automatizados de recogida de los datos API legibles por máquina, a los protocolos y formatos comunes que deben utilizarse para la transferencia de los datos API por las compañías aéreas, a las normas técnicas y de procedimiento para la transmisión de los datos API desde el encaminador a las UIP, y a las conexiones de las UIP y las compañías aéreas con el encaminador y a su integración en el encaminador, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea por lo que respecta a los artículos 4, 5, 10 y 11, respectivamente. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional sobre la mejora de la legislación de 13 de abril de 2016. En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, conviene que el Parlamento Europeo y el Consejo reciban toda la documentación al mismo tiempo que los expertos de los Estados miembros, y que sus expertos tengan sistemáticamente acceso a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de los actos delegados. (25)Todas las partes interesadas, y en particular las compañías aéreas y las UIP, deben disponer de tiempo suficiente para hacer los preparativos necesarios a fin de poder cumplir sus respectivas obligaciones en virtud del presente Reglamento, teniendo en cuenta que algunos de esos preparativos, como los relativos a las obligaciones en materia de conexión con el encaminador e integración en él, no pueden finalizarse hasta que se hayan completado las fases de diseño y desarrollo del encaminador y el encaminador entre en funcionamiento. Por lo tanto, el presente Reglamento solo debe ser aplicable a partir de una fecha oportuna posterior a la fecha en que el encaminador entre en funcionamiento, especificada por la Comisión de conformidad con el Reglamento (UE) [API con fines de gestión de fronteras]. No obstante, la Comisión debe tener la posibilidad de adoptar actos delegados en virtud del presente Reglamento a partir de una fecha anterior, a fin de garantizar que el sistema establecido por el presente Reglamento sea operativo lo antes posible. (26)Los objetivos del presente Reglamento, a saber, contribuir a la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave, habida cuenta de la dimensión transnacional de los delitos en cuestión y de la necesidad de cooperar a escala transfronteriza para hacerles frente eficazmente, no pueden ser alcanzados de manera suficiente por los Estados miembros individualmente, sino que pueden lograrse mejor a escala de la Unión. La Unión puede, por tanto, adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo. (27)De conformidad con los artículos 1 y 2 del Protocolo n.º 22 sobre la posición de Dinamarca, anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea, Dinamarca no participa en la adopción del presente Reglamento y no queda vinculada por él ni sujeta a su aplicación. (28)[De conformidad con el artículo 3 del Protocolo (n.º 21) sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea, Irlanda ha notificado su deseo de participar en la adopción y aplicación del presente Reglamento.] O BIEN [De conformidad con los artículos 1 y 2 del Protocolo n.º 21 sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, anejo al Tratado de la Unión Europea y al Tratado de Funcionamiento de la Unión Europea, y sin perjuicio del artículo 4 de dicho Protocolo, Irlanda no participa en la adopción del presente Reglamento y no queda vinculada por él ni sujeta a su aplicación.]

(29)El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, emitió su dictamen el [XX]. HAN ADOPTADO EL PRESENTE REGLAMENTO: CAPÍTULO 1 DISPOSICIONES GENERALES Artículo 1 Objeto Con el fin de prevenir, detectar, investigar y enjuiciar los delitos de terrorismo y los delitos graves, el presente Reglamento establece las normas sobre: a)la recogida por parte de las compañías aéreas de información anticipada sobre los pasajeros («datos API») de los vuelos exteriores de la UE y de vuelos interiores de la UE seleccionados; b)la transferencia de los datos API por parte de las compañías aéreas al encaminador; c)la transmisión desde el encaminador a las Unidades de Información sobre los Pasajeros («UIP») de los datos API de los vuelos exteriores de la UE y de vuelos interiores de la UE seleccionados. Artículo 2 Ámbito de aplicación El presente Reglamento se aplica a las compañías aéreas que realizan vuelos exteriores o interiores de la UE programados o no programados. Artículo 3 Definiciones A los efectos del presente Reglamento, se entenderá por: a)«compañía aérea», una empresa de transporte aéreo tal como se define en el artículo 3, punto 1, de la Directiva (UE) 2016/681; b)«vuelo exterior de la UE», cualquier vuelo tal como se define en el artículo 3, punto 2, de la Directiva (UE) 2016/681; c)«vuelo interior de la UE», cualquier vuelo tal como se define en el artículo 3, punto 3, de la Directiva (UE) 2016/681;

d)«vuelo programado», un vuelo tal como se define en el artículo 3, letra e), del Reglamento (UE) [API con fines de gestión de fronteras]; e)«vuelo no programado», un vuelo tal como se define en el artículo 3, letra f), del Reglamento (UE) [API con fines de gestión de fronteras]; f)«pasajero», cualquier persona tal como se define en el artículo 3, punto 4, de la Directiva (UE) 2016/681; g)«tripulación», cualquier persona tal como se define en el artículo 3, letra h), del Reglamento (UE) [API con fines de gestión de fronteras]; h)«viajero», cualquier persona tal como se define en el artículo 3, letra i), del Reglamento (UE) [API con fines de gestión de fronteras]; i)«datos de información anticipada sobre los pasajeros» o «datos API», los datos tal como se definen en el artículo 3, letra j), del Reglamento (UE) [API con fines de gestión de fronteras]; j)«registro de nombres de los pasajeros» o «PNR», una relación de los requisitos de viaje impuestos a cada pasajero, tal como se definen en el artículo 3, punto 5), de la Directiva (UE) 2016/681; k)«Unidad de Información sobre los Pasajeros» o «UIP», la autoridad competente establecida por un Estado miembro, tal como figure en las notificaciones y modificaciones publicadas por la Comisión con arreglo al artículo 4, apartados 1 y 5, respectivamente, de la Directiva (UE) 2016/681; l)«delitos de terrorismo», los delitos definidos en los artículos 3 a 12 de la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo; m)«delitos graves», los delitos tal como se definen en el artículo 3, punto 9, de la Directiva (UE) 2016/681; n)«el encaminador», el encaminador tal como se define en el artículo 3, letra k), del Reglamento (UE) [API con fines de gestión de fronteras]; o)«datos personales», cualquier información tal como se define en el artículo 4, punto 1, del Reglamento (UE) 2016/679. CAPÍTULO 2 TRATAMIENTO DE LOS DATOS API Artículo 4 Recogida, transferencia y supresión de datos API por las compañías aéreas 1.Las compañías aéreas recopilarán los datos API de los viajeros en los vuelos a que se refiere el artículo 2, con el fin de transferir dichos datos API al encaminador de conformidad con el apartado 6. Cuando el código del vuelo se comparta entre una o varias compañías aéreas, la obligación de transferir los datos API recaerá en la compañía aérea que explote el vuelo. 2.Las compañías aéreas recogerán los datos API de tal manera que los datos API que transfieran con arreglo al apartado 6 sean exactos, completos y actualizados. 3.Las compañías aéreas recogerán los datos API a que se refiere el artículo 4, apartado 2, letras a) a d), del Reglamento (UE) [API con fines de gestión de fronteras] utilizando medios automatizados para recoger los datos legibles por máquina del documento de viaje del viajero de que se trate. Lo harán de conformidad con los requisitos técnicos detallados y las normas operativas a que se refiere el apartado 5, siempre y cuando dichas normas se hayan adoptado y sean aplicables.

No obstante, cuando no sea posible utilizar medios automatizados debido a que los datos que contenga el documento de viaje no sean legibles por máquina, las compañías aéreas recogerán estos datos manualmente, de manera que se garantice el cumplimiento de lo dispuesto en el apartado 2. 4.Los medios automatizados utilizados por las compañías aéreas para recoger los datos API en virtud del presente Reglamento serán fiables, seguros y actualizados. 5.La Comisión está facultada para adoptar actos delegados con arreglo al artículo 19 a fin de completar el presente Reglamento estableciendo requisitos técnicos detallados y normas operativas para la recogida de los datos API a que se refiere el artículo 4, apartado 2, letras a) a d), del Reglamento (UE) [API con fines de gestión de fronteras] utilizando medios automatizados de conformidad con los apartados 3 y 4. 6.Las compañías aéreas transferirán los datos API recogidos con arreglo al apartado 1 al encaminador por medios electrónicos. Lo harán de conformidad con las normas detalladas a que se refiere el apartado 9, siempre y cuando dichas normas se hayan adoptado y sean aplicables. 7.Las compañías aéreas transferirán los datos API tanto en el momento de la facturación como inmediatamente después del cierre del vuelo, es decir, una vez que los viajeros hayan embarcado en la aeronave en preparación de la salida y ya no sea posible embarcar o desembarcar viajeros. 8.Sin perjuicio de la posibilidad de que las compañías aéreas conserven y utilicen los datos cuando sea necesario para el desarrollo normal de su actividad comercial de conformidad con la legislación aplicable, las compañías aéreas deberán corregir, completar o actualizar, o suprimir definitivamente los datos API de que se trate en las dos situaciones siguientes: a)cuando tengan constancia de que los datos API recogidos son inexactos, incompletos o ya no están actualizados o han sido tratados ilegalmente, o de que los datos transferidos no constituyen datos API; b)cuando se haya completado la transferencia de los datos API de conformidad con lo dispuesto en el apartado 3. Cuando las compañías aéreas tengan constancia de lo mencionado en el párrafo primero, letra a), después de haber completado la transferencia de los datos de conformidad con el apartado 6, informarán inmediatamente de ello a la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA). Una vez recibida dicha información, eu-LISA informará inmediatamente a las UIP que hayan recibido los datos API transmitidos a través del encaminador. 9.La Comisión está facultada para adoptar actos delegados con arreglo al artículo 19 a fin de completar el presente Reglamento estableciendo las normas detalladas necesarias sobre los protocolos comunes y los formatos de datos admitidos que deben utilizarse para las transferencias de datos API al encaminador a que se refiere el apartado 6. Artículo 5 Transmisión de datos API del encaminador a las UIP 1.El encaminador transmitirá inmediatamente y de forma automatizada los datos API que le hayan transferido las compañías aéreas con arreglo al artículo 4 a las UIP del Estado miembro en cuyo territorio vaya a aterrizar o desde cuyo territorio vaya a salir el vuelo, o a ambos en el caso de los vuelos interiores de la UE. Cuando un vuelo tenga una o más escalas en el territorio de otros Estados miembros distintos de aquel de donde salió, el encaminador transmitirá los datos API a las UIP de todos los Estados miembros afectados. A efectos de dicha transmisión, eu-LISA establecerá y mantendrá actualizado un cuadro de correspondencias entre los distintos aeropuertos de origen y destino y los países a los que pertenecen. No obstante, en el caso de los vuelos interiores de la UE, el encaminador solo transmitirá los datos API a esa UIP con respecto a los vuelos incluidos en la lista a que se refiere el apartado 2. El encaminador transmitirá los datos API de conformidad con las normas detalladas a que se refiere el apartado 3, siempre y cuando dichas normas se hayan adoptado y sean aplicables.2.Los Estados miembros que decidan aplicar la Directiva (UE) 2016/681 a los vuelos interiores de la UE de conformidad con el artículo 2 de dicha Directiva establecerán una lista de los vuelos interiores de la UE de que se trate y, a más tardar en la fecha de aplicación del presente Reglamento a que se refiere el artículo 21, párrafo segundo, facilitarán a eu-LISA dicha lista. Esos Estados miembros, de conformidad con el artículo 2 de dicha Directiva, revisarán periódicamente y, en caso necesario, actualizarán dichas listas y facilitarán inmediatamente a eu-LISA esas listas actualizadas. La información contenida en dichas listas se tratará de forma confidencial. 3.La Comisión está facultada para adoptar actos delegados con arreglo al artículo 19 a fin de completar el presente Reglamento estableciendo las normas técnicas y procedimentales detalladas necesarias para las transmisiones de datos API del encaminador a que se refiere el apartado 1. CAPÍTULO 3 REGISTRO, PROTECCIÓN DE DATOS PERSONALES Y SEGURIDAD

Artículo 6 Conservación de registros 1.Las compañías aéreas crearán registros de todas las operaciones de tratamiento realizadas en virtud del presente Reglamento utilizando los medios automatizados a que se refiere el artículo 4, apartado 3. Dichos registros incluirán la fecha, la hora y el lugar de transferencia de los datos API. 2.Los registros a que se refiere el apartado 1 se utilizarán únicamente para garantizar la seguridad e integridad de los datos API y la legalidad del tratamiento, en particular en lo que se refiere al cumplimiento de los requisitos establecidos en el presente Reglamento, incluidos los procedimientos y sanciones por el incumplimiento de dichos requisitos de conformidad con los artículos 15 y 16. 3.Las compañías aéreas tomarán las medidas adecuadas para proteger los registros que hayan creado de conformidad con el apartado 1 contra el acceso no autorizado y otros riesgos para la seguridad. 4.Las compañías aéreas conservarán los registros que hayan creado de conformidad con el apartado 1 durante un período de un año a partir del momento de su creación. Suprimirán inmediata y permanentemente dichos registros una vez expirado dicho plazo. No obstante, si dichos registros son necesarios para procedimientos destinados a supervisar o garantizar la seguridad e integridad de los datos API o la legalidad de las operaciones de tratamiento a que se refiere el apartado 2, y estos procedimientos ya han comenzado en el momento de la expiración del plazo a que se refiere el párrafo primero, las compañías aéreas podrán conservar dichos registros durante el tiempo que sea necesario para dichos procedimientos. En tal caso, suprimirán inmediatamente esos registros cuando ya no sean necesarios para dichos procedimientos. Artículo 7 Responsables del tratamiento de datos personales Las UIP serán las responsables del tratamiento, en el sentido del artículo 3, punto 8), de la Directiva (UE) 2016/680, en relación con el tratamiento de datos API que constituyan datos personales con arreglo al presente Reglamento a través del encaminador, incluida la transmisión y el almacenamiento por razones técnicas de dichos datos en el encaminador. Las compañías aéreas serán las responsables del tratamiento, en el sentido del artículo 4, punto 7), del Reglamento (UE) 2016/679, para el tratamiento de los datos API que constituyan datos personales en relación con la recogida y la transferencia de dichos datos por su parte al encaminador en virtud del presente Reglamento. Artículo 8 Seguridad Las UIP y las compañías aéreas garantizarán la seguridad de los datos API, en particular de los datos API que constituyan datos personales, que traten con arreglo al presente Reglamento. Las UIP y las compañías aéreas cooperarán, de conformidad con sus responsabilidades respectivas y con el Derecho de la Unión, entre sí y con eu-LISA para garantizar dicha seguridad. Artículo 9 Autocontrol Las compañías aéreas y las UIP supervisarán el cumplimiento de sus respectivas obligaciones en virtud del presente Reglamento, en particular en lo que respecta al tratamiento por su parte de los datos API que constituyan datos personales, incluso mediante la verificación frecuente de los registros de conformidad con el artículo 7. CAPÍTULO 4

ASUNTOS RELACIONADOS CON EL ENCAMINADOR Artículo 10 Conexiones de las UIP con el encaminador 1.Los Estados miembros se asegurarán de que sus UIP estén conectadas al encaminador. Velarán por que sus sistemas e infraestructuras nacionales para la recepción y el tratamiento ulterior de los datos API transferidos con arreglo al presente Reglamento estén integrados en el encaminador. Los Estados miembros velarán por que la conexión con el encaminador y la integración en él permitan a sus UIP recibir y seguir tratando los datos API, así como intercambiar cualquier comunicación relacionada con ellos, de manera lícita, segura, eficaz y rápida. 2.La Comisión está facultada para adoptar actos delegados con arreglo al artículo 19 a fin de completar el presente Reglamento estableciendo las normas detalladas necesarias sobre las conexiones con el encaminador y la integración en él a que se refiere el apartado 1. Artículo 11 Conexiones de las compañías aéreas con el encaminador 1.Las compañías aéreas se asegurarán de estar conectadas al encaminador. Velarán por que sus sistemas e infraestructuras para la transferencia de los datos API al encaminador con arreglo al presente Reglamento estén integrados en el encaminador. Las compañías aéreas velarán por que la conexión con el encaminador y la integración en él les permitan transferir los datos API, así como intercambiar cualquier comunicación relacionada con ellos, de manera lícita, segura, eficaz y rápida. 2.La Comisión está facultada para adoptar actos delegados con arreglo al artículo 19 a fin de completar el presente Reglamento estableciendo las normas detalladas necesarias sobre las conexiones con el encaminador y la integración en él a que se refiere el apartado 1. Artículo 12 Costes de los Estados miembros 1.Los costes en que incurran los Estados miembros en relación con sus conexiones con el encaminador y su integración en él a que se refiere el artículo 10 se sufragarán con cargo al presupuesto general de la Unión. No obstante, quedarán excluidos y serán sufragados por los Estados miembros los siguientes costes: a)los costes de la gestión de proyectos, incluidos los costes de reuniones, misiones y oficinas; b)los costes de alojamiento de los sistemas informáticos nacionales, incluidos los costes del espacio, la ejecución, la electricidad y la refrigeración; c)los costes de funcionamiento de los sistemas informáticos nacionales, incluidos los operadores y los contratos de apoyo; d)los costes del diseño, el desarrollo, la ejecución, la explotación y el mantenimiento de las redes de comunicación nacionales. 2.Los Estados miembros también sufragarán los costes derivados de la administración, el uso y el mantenimiento de sus conexiones con el encaminador y su integración en él.

Artículo 13 Acciones en caso de imposibilidad técnica de utilizar el encaminador 1.Cuando sea técnicamente imposible utilizar el encaminador para transmitir datos API debido a un fallo del encaminador, eu-LISA notificará inmediatamente de manera automatizada dicha imposibilidad técnica a las compañías aéreas y a las UIP. En tal caso, eu-LISA tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el encaminador y lo notificará inmediatamente a dichas partes cuando esta se haya resuelto satisfactoriamente. Durante el período comprendido entre dichas notificaciones, no se aplicará el artículo 4, apartado 6, en la medida en que la imposibilidad técnica impida la transferencia de datos API al encaminador. En tal caso, el artículo 4, apartado 1, tampoco se aplicará a los datos API en cuestión durante ese período. 2.Cuando sea técnicamente imposible utilizar el encaminador para transmitir los datos API debido a un fallo de los sistemas o las infraestructuras a que se refiere el artículo 10 de un Estado miembro, la UIP de dicho Estado miembro notificará inmediatamente esta imposibilidad técnica de manera automatizada a las compañías aéreas, a las demás UIP, a eu-LISA y a la Comisión. En tal caso, dicho Estado miembro tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el encaminador y lo notificará inmediatamente a dichas partes cuando esta se haya resuelto satisfactoriamente. Durante el período comprendido entre dichas notificaciones, no se aplicará el artículo 4, apartado 6, en la medida en que la imposibilidad técnica impida la transferencia de datos API al encaminador. En tal caso, el artículo 4, apartado 1, tampoco se aplicará a los datos API en cuestión durante ese período. 3.Cuando sea técnicamente imposible utilizar el encaminador para transmitir los datos API debido a un fallo de los sistemas o las infraestructuras a que se refiere el artículo 11 de una compañía aérea, dicha compañía aérea notificará inmediatamente esta imposibilidad técnica de manera automatizada a las UIP, a eu-LISA y a la Comisión. En tal caso, dicha compañía aérea tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el encaminador y lo notificará inmediatamente a dichas partes cuando esta se haya resuelto satisfactoriamente. Durante el período comprendido entre dichas notificaciones, no se aplicará el artículo 4, apartado 6, en la medida en que la imposibilidad técnica impida la transferencia de datos API al encaminador. En tal caso, el artículo 4, apartado 1, tampoco se aplicará a los datos API en cuestión durante ese período. Cuando se haya resuelto satisfactoriamente la imposibilidad técnica, la compañía aérea afectada presentará sin demora a la autoridad nacional de supervisión competente a que se refiere el artículo 15 un informe que contenga todos los pormenores necesarios de la imposibilidad técnica, incluidas las razones de la imposibilidad técnica, su alcance y consecuencias, así como las medidas tomadas para resolverla. Artículo 14 Responsabilidad relativa al encaminador Si el incumplimiento por parte de un Estado miembro o de una compañía aérea de las obligaciones que les impone el presente Reglamento causa daños al encaminador, dicho Estado miembro o dicha compañía aérea serán considerados responsables de los daños, a no ser que eu-LISA no hubiese tomado medidas razonables para impedir que se produjeran dichos daños o para atenuar sus efectos. CAPÍTULO 5 SUPERVISIÓN, SANCIONES Y MANUAL Artículo 15 Autoridad nacional de supervisión 1.Los Estados miembros designarán una o varias autoridades nacionales de supervisión responsables de controlar la aplicación en su territorio por parte de las compañías aéreas de las disposiciones del presente Reglamento y de garantizar el cumplimiento de dichas disposiciones. 2.Los Estados miembros velarán por que las autoridades nacionales de supervisión dispongan de todos los medios necesarios y de todas las competencias de investigación y ejecución necesarias para desempeñar sus funciones con arreglo al presente Reglamento, incluso imponiendo, en su caso, las sanciones a que se refiere el artículo 16. Establecerán normas detalladas sobre el desempeño de dichas funciones y el ejercicio de dichas competencias, garantizando que su desempeño y ejercicio sean efectivos, proporcionados y disuasorios y estén sujetos a salvaguardias de conformidad con los derechos fundamentales garantizados por el Derecho de la Unión. 3. A más tardar en la fecha de aplicación del presente Reglamento a que se refiere el artículo 21, párrafo segundo, los Estados miembros notificarán a la Comisión el nombre y los datos de contacto de las autoridades que hayan designado con arreglo al apartado 1, así como las normas detalladas que hayan establecido de conformidad con el apartado 2. Notificarán a la Comisión sin demora cualquier variación o modificación ulterior al respecto.

4.El presente artículo se entiende sin perjuicio de las competencias de las autoridades de control a que hacen referencia el artículo 51 del Reglamento (UE) 2016/679 y el artículo 41 de la Directiva (UE) 2016/680. Artículo 16 Sanciones Los Estados miembros establecerán el régimen de sanciones aplicables a cualquier infracción del presente Reglamento y adoptarán todas las medidas necesarias para garantizar su ejecución. Tales sanciones serán efectivas, proporcionadas y disuasorias. Los Estados miembros comunicarán dicho régimen y medidas a la Comisión, a más tardar en la fecha de aplicación del presente Reglamento a que hace referencia el artículo 21, párrafo segundo, y le notificarán sin demora toda modificación posterior que les afecte. Artículo 17 Manual práctico La Comisión, en estrecha cooperación con las UIP, otras autoridades pertinentes de los Estados miembros, las compañías aéreas y las agencias pertinentes de la Unión, elaborará y pondrá a disposición del público un manual práctico que contenga las directrices, recomendaciones y mejores prácticas para la aplicación del presente Reglamento. El manual práctico tendrá en cuenta, asimismo, otros manuales pertinentes ya existentes. La Comisión adoptará el manual práctico en forma de recomendación. CAPÍTULO 6 RELACIÓN CON OTROS INSTRUMENTOS EN VIGOR Artículo 18 Modificaciones del Reglamento (UE) 2019/818 ___________ En el artículo 39, los apartados 1 y 2 se sustituyen por el texto siguiente: «1. Se crea un repositorio central para la presentación de informes y estadísticas (RCIE) con el fin de apoyar los objetivos del SIS, Eurodac y ECRIS-TCN, de conformidad con los respectivos instrumentos jurídicos que rigen dichos sistemas, y de proporcionar datos estadísticos transversales entre sistemas e informes analíticos con fines operativos, de formulación de políticas y de calidad de los datos. El RCIE apoyará, asimismo, los objetivos del Reglamento (UE).../... del Parlamento Europeo y del Consejo* [el presente Reglamento].»

* Reglamento (UE) [número] del Parlamento Europeo y del Consejo, de xy, relativo a [título adoptado oficialmente] (DO L...).»; «2. eu-LISA establecerá, implementará y alojará en sus sitios técnicos el RCIE que contenga los datos y estadísticas a que se hace referencia en el artículo 74 del Reglamento (UE) 2018/1862 y el artículo 32 del Reglamento (UE) 2019/816, separados de forma lógica por el sistema de información de la UE. eu-LISA recogerá también los datos y estadísticas del encaminador a que se hace referencia en el artículo 13, apartado 1, del Reglamento (UE) …/… * [el presente Reglamento]. El acceso al RCIE se concederá por medio de un acceso seguro, con un control de acceso y unos perfiles de usuario específicos, únicamente a efectos de la presentación de informes y estadísticas, a las autoridades a las que se refieren el artículo 74 del Reglamento (UE) 2018/1862, el artículo 32 del Reglamento (UE) 2019/816 y el artículo 13, apartado 1, del Reglamento (UE) …/… * [el presente Reglamento].». CAPÍTULO 7 DISPOSICIONES FINALES Artículo 19 Ejercicio de la delegación 1.Se otorgan a la Comisión las competencias para adoptar actos delegados en las condiciones establecidas en el presente artículo. 2.Las competencias para adoptar los actos delegados a que se hace referencia en el artículo 4, apartados 5 y 9, el artículo 5, apartado 3, el artículo 10, apartado 2, y el artículo 11, apartado 2, se otorgan a la Comisión por un período de cinco años a partir del [fecha de adopción del Reglamento]. La Comisión elaborará un informe sobre la delegación de competencias a más tardar nueve meses antes de que finalice el período de cinco años. La delegación de competencias se prorrogará tácitamente por períodos de idéntica duración, excepto si el Parlamento Europeo o el Consejo se oponen a dicha prórroga a más tardar tres meses antes del final de cada período. 3.El Parlamento Europeo o el Consejo podrán revocar en cualquier momento la delegación de competencias a que se refieren el artículo 4, apartados 5 y 9, el artículo 5, apartado 3, el artículo 10, apartado 2, y el artículo 11, apartado 2. La Decisión de revocación pondrá término a la delegación de las competencias que en ella se especifiquen. La Decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en la misma. No afectará a la validez de los actos delegados que ya estén en vigor. 4.Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional sobre la mejora de la legislación de 13 de abril de 2016. 5.Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo. Artículo 20 Supervisión y evaluación 1.A más tardar [cuatro años después de la fecha de entrada en vigor del presente Reglamento], y posteriormente cada cuatro años, la Comisión elaborará un informe que contenga una evaluación global del presente Reglamento que incluya un examen de: a)la aplicación del presente Reglamento; b)la medida en que el presente Reglamento ha alcanzado sus objetivos; c)el impacto del presente Reglamento en los derechos fundamentales protegidos por el Derecho de la Unión. d)La Comisión presentará el informe de evaluación al Parlamento Europeo, al Consejo, al Supervisor Europeo de Protección de Datos y a la Agencia de los Derechos Fundamentales de la Unión Europea. Si procede, a la luz de la evaluación realizada, la Comisión presentará una propuesta legislativa al Parlamento Europeo y al Consejo con vistas a modificar el presente Reglamento.