COMMISSION EUROPÉENNE Strasbourg, le 13.12.2022 COM(2022) 729 final 2022/0424(COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à la collecte et au transfert des informations préalables sur les passagers (API) en vue de renforcer et de faciliter les contrôles aux frontières extérieures, modifiant le règlement (UE) 2019/817 et le règlement (UE) 2018/1726, et abrogeant la directive 2004/82/CE du Conseil {SEC(2022) 444 final} - {SWD(2022) 421 final} - {SWD(2022) 422 final} - {SWD(2022) 423 final}



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION •Justification et objectifs de la proposition Ces dernières décennies ont vu une augmentation des voyageurs aériens ainsi que des innovations axées sur l’efficience, avec pour résultat des avions plus grands et la nécessité d’améliorer l’efficience des flux de passagers dans les aéroports. En 2019, l’Organisation de l’aviation civile internationale (OACI) a fait état de 4,5 milliards de passagers dans le monde ayant emprunté des services réguliers de transport aérien, dont plus d’un demi-milliard de passagers entrant dans l’Union européenne ou en sortant chaque année, créant une pression sur les frontières aériennes extérieures. Le traitement des informations préalables sur les passagers (API), tel que prévu dans l’actuelle directive API ainsi que dans la présente proposition, est un outil de gestion des frontières qui contribue à l’efficacité et à l’efficience des vérifications aux frontières, en facilitant et en accélérant les formalités de contrôle des voyageurs, ainsi qu’un instrument permettant de lutter contre l’immigration illégale. Les données API sont un ensemble d’informations d’identité concernant les passagers, qui sont contenues dans leurs documents de voyage et qui sont combinées aux informations de vol recueillies lors de l’enregistrement et transférées aux autorités frontalières du pays de destination. Comme ces autorités reçoivent les données API avant l’arrivée d’un vol, elles peuvent, conformément à la législation applicable, filtrer préalablement les voyageurs sur la base de profils de risque, de listes de surveillance et de bases de données, accélérant ainsi les vérifications aux frontières pour les personnes voyageant de bonne foi, et consacrer davantage de ressources et de temps à l’identification des voyageurs qui doivent faire l’objet d’un examen plus approfondi à leur arrivée. La mise en place de systèmes de collecte et de transfert de données API est une norme internationale au titre de la convention relative à l’aviation civile internationale (convention de Chicago) depuis 2017. Dans l’Union, elle est régie par la directive API. Cette directive impose aux transporteurs aériens de transférer, à la demande des autorités frontalières du pays de destination, les données API avant le décollage. Elle n’impose cependant pas aux États membres de réclamer les données API aux transporteurs aériens, ce qui crée des disparités et des incohérences dans la manière dont les données sont recueillies et utilisées, certains États membres recueillant systématiquement les données API tandis que d’autres pas. En moyenne, pour l’ensemble des États membres, l’on estime que les données API sont recueillies sur 65 % des vols entrants. En découle une situation dans laquelle les individus qui le souhaitent peuvent facilement esquiver les vérifications et éviter les lignes sur lesquelles les données API sont systématiquement recueillies et se rendre sur leur lieu de destination en empruntant plutôt des lignes sur lesquelles les données API sont moins souvent utilisées, voire pas du tout. Il ressort de la récente évaluation de la directive API que, même lorsque les États membres réclament les données API, leurs autorités nationales ne les utilisent pas toujours de manière cohérente. En effet, les données API permettent aux gardes-frontières de procéder à des vérifications préalables de l’identité des passagers et de la validité du document de voyage utilisé à l’aide des bases de données prévues dans le code frontières Schengen. Tous les États membres n’utilisent cependant pas les données API pour procéder aux vérifications préalables dans ces bases de données. En effet, l’Irlande, qui ne participe pas au code frontières Schengen, applique une législation nationale similaire. La proposition de règlement ne changera pas cet état de fait. La directive API se contente d’établir des critères limités pour la collecte, la transmission et le traitement des données API, concernant les vols couverts par la collecte des données, les données à recueillir ou les moyens d’obtenir les données – qui ne tiennent pas compte des évolutions dans les normes et lignes directrices internationales relatives à la collecte des données API. En découlent des pratiques très divergentes, qui non seulement compromettent l’efficacité et l’efficience des vérifications aux frontières, mais représentent aussi une charge supplémentaire pour les transporteurs aériens qui doivent satisfaire à un ensemble d’exigences qui diffèrent selon les lignes sur lesquelles ils transportent des passagers et selon que l’État membre réclame les données API.L’harmonisation de la collecte et de la transmission des données API avec ces normes internationales en la matière garantirait le respect des exigences API par le secteur aérien. Pour que leur utilisation soit efficace, les données API doivent être exactes, complètes et à jour. Si les données d’identité ne sont pas fiables et vérifiées, ce qui n’est pas toujours le cas actuellement, les vérifications par recoupement dans les bases de données ne donnent pas de résultats opérationnels fiables. Comme l’enregistrement en ligne est devenu pratique courante ces 20 dernières années, les données API provenant d’un document de voyage sont de plus en plus souvent transcrites manuellement ou «autodéclarées» par les passagers. Les données API incomplètes, incorrectes ou obsolètes transmises aux autorités nationales peuvent conduire à des lacunes dans les types de vérifications que les autorités frontalières peuvent effectuer et finalement avoir des répercussions sur les voyageurs qui peuvent être soumis à des vérifications incorrectes ou inutiles. La nécessité de garantir que les données API recueillies sont de qualité suffisante est étroitement liée aux moyens utilisés par les compagnies aériennes pour garantir que les données API pertinentes recueillies correspondent aux informations figurant sur les documents de voyage. Le cadre API actuel ne prescrit pas les moyens de recueillir les données API auprès des voyageurs. Contrairement aux informations transcrites manuellement, la collecte automatisée des données permettrait de réduire les problèmes de qualité ainsi que de renforcer l’efficacité et l’efficience de l’utilisation des données API, contribuant ainsi par ailleurs à réduire le temps investi par les autorités compétentes dans leur interaction avec les transporteurs. La révision du cadre juridique actuel en matière de collecte et de transfert des données API est donc l’occasion d’améliorer la gestion des frontières extérieures et la lutte contre l’immigration illégale. Elle contribue en effet à garantir que chaque personne empruntant les transports aériens depuis un pays tiers ou depuis un État membre qui ne participe pas à la proposition de règlement, et voyageant à destination de l’Union [plus précisément, des États membres de l’espace Schengen sans contrôles aux frontières intérieures (l’«espace Schengen») et de l’Irlande], autrement dit les ressortissants de pays tiers, les apatrides et les citoyens de l’Union, peuvent être soumis à des vérifications préalables sur la base des données API avant leur arrivée, et que les États membres appliquent des critères uniformes au regard de la collecte de ces données et de leur transfert à des fins de contrôle aux frontières extérieures et de lutte contre l’immigration illégale. En facilitant les flux de passagers dans les aéroports et en accélérant les vérifications aux frontières, la présente proposition contribue à garantir que des vérifications systématiques peuvent être effectuées de manière efficiente sur chaque passager aérien, conformément à la législation applicable. •Cohérence avec les dispositions existantes dans le domaine d’action La présente proposition répond à la nécessité de mettre en place des règles communes concernant la collecte et le transfert des données API aux fins de la gestion des frontières et de la lutte contre l’immigration illégale, qui est liée à l’existence de l’espace Schengen et à l’établissement de règles communes régissant le franchissement des frontières extérieures. La présente proposition est compatible avec les obligations définies dans le code frontières Schengen concernant les vérifications des personnes aux frontières extérieures. La proposition de règlement s’inscrit dans le paysage plus large des systèmes d’information à grande échelle de l’Union qui a considérablement évolué depuis l’adoption de la directive API en 2004. En outre, les orientations stratégiques adoptées par le Conseil en juin 2014 prévoient des extensions des procédures appliquées par les gardes-frontières aux frontières extérieures afin de renforcer l’efficacité des vérifications avant le poste de contrôle frontalier et de limiter les effets négatifs aux frontières. Citons notamment: le système d’information Schengen (SIS), le système d’information sur les visas (VIS) et le système Eurodac. En outre, trois nouveaux systèmes sont actuellement en phase de développement: le système d’entrée/de sortie (EES), le système européen d’information et d’autorisation concernant les voyages (ETIAS) et le système centralisé permettant d’identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN). Tous ces systèmes actuels et futurs sont reliés par le cadre pour l’interopérabilité des systèmes d’information de l’Union pour la sécurité, les frontières et la gestion des migrations, qui a été adopté en 2019 et dont la mise en place est en cours. Les révisions prévues dans la présente proposition tiennent compte dudit cadre pour l’interopérabilité. En particulier, le routeur proposé permet d’éviter de dupliquer les composants techniques en partageant les composants du portail pour les transporteurs de l’ETIAS. Le portail pour les transporteurs de l’ETIAS offre aux transporteurs les moyens techniques de s’enquérir du statut ETIAS des ressortissants des pays tiers exemptés de l’obligation de visa se rendant dans les États membres. La proposition de règlement garantit que les différents processus de traitement de données sont différenciés et strictement séparés et que les droits d’accès prévus dans les différents instruments de l’Union sont respectés. De plus, la proposition de règlement lie les travaux du groupe consultatif EES-ETIAS d’eu-LISA existant aux futurs travaux sur les données API, renforçant ainsi l’efficience et créant des économies d’échelle en évitant la duplication des groupes de travail. Comme expliqué ci-dessus, les vérifications aux frontières que les règles de la proposition de règlement entendent faciliter et améliorer doivent être effectuées au titre du code frontières Schengen, le cas échéant, ou au titre du droit national. En outre, les actes du droit de l’Union généralement applicables s’appliqueront conformément aux conditions qui y sont prévues. En ce qui concerne le traitement des données à caractère personnel, c’est, notamment, le cas du règlement général sur la protection des données (RGPD) et du règlement relatif à la protection à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union. Ces actes ne sont pas affectés par la présente proposition. L’applicabilité des actes du droit de l’Union susvisés au traitement des données API reçues au titre du présent règlement signifie que les États membres appliquent le droit de l’Union au sens de l’article 51, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne (ci-après, la «charte»), et donc que les dispositions de la charte s’appliquent également. En particulier, les dispositions de ces actes du droit de l’Union doivent être interprétées à la lumière de la charte. Les lignes directrices de l’OACI sur les documents de voyage lisibles à la machine sont transposées dans le règlement (UE) 2019/1157 relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union, et dans le règlement (CE) nº 2252/2004 établissant des normes pour les éléments de sécurité et les éléments biométriques intégrés dans les passeports. Ces règlements sont les précurseurs en vue de permettre une extraction automatisée de données complètes et de qualité au départ des documents de voyage. La proposition de règlement continuerait de faire partie de l’acquis Schengen. Les autorités frontalières compétentes des États membres continueront de recevoir et de traiter les données API, uniquement pour les finalités en matière de gestion des frontières et de lutte contre l’immigration illégale pour lesquelles les données API ont été recueillies au titre de la proposition de règlement. La présente proposition est étroitement liée à la proposition de règlement relatif à la collecte et au transfert des données API pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière, dans la mesure où les deux propositions contiennent des dispositions similaires concernant la liste des données API, la collecte des données API par des moyens automatisés ainsi que le transfert des données au routeur. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ

•Base juridique Pour la présente proposition de règlement relatif à la collecte et au transfert des données API aux fins de la gestion des frontières et de la lutte contre l’immigration illégale, au vu de l’objectif et des mesures prévus, la base juridique appropriée est l’article 77, paragraphe 2, points b) et d), et l’article 79, paragraphe 2, point c), du traité sur le fonctionnement de l’Union européenne (TFUE). Au titre de l’article 77, paragraphe 2, point b), du TFUE, l’Union a le pouvoir d’adopter des mesures portant sur les contrôles auxquels sont soumises les personnes franchissant les frontières extérieures, et, au titre du point d) de la même disposition, l’Union a le pouvoir d’adopter toute mesure nécessaire pour l’établissement progressif d’un système intégré de gestion des frontières extérieures. Au titre de l’article 79, paragraphe 2, point c), du TFUE, l’Union a le pouvoir d’adopter des mesures concernant l’immigration clandestine. La compatibilité est ainsi garantie avec l’actuelle directive API, qui est basée sur les mêmes dispositions. •Subsidiarité Le fait que le TFUE confère explicitement à l’Union le pouvoir d’élaborer une politique commune en matière de contrôles auxquels sont soumises les personnes franchissant les frontières extérieures signifie qu’il s’agit d’un objectif clair à poursuivre au niveau de l’Union. Dans le même temps, il s’agit d’un domaine de compétence partagée entre l’Union et les États membres. La nécessité d’établir des règles communes en matière de collecte et de transfert des données API aux fins de la gestion des frontières et de la lutte contre l’immigration illégale est liée, en particulier et sans préjudice de la position particulière de l’Irlande, à la création de l’espace Schengen et à l’établissement de règles communes régissant le franchissement des frontières extérieures, notamment avec le code frontières Schengen. Dans ce contexte, les décisions d’un État membre affectent les autres États membres, et il est donc nécessaire de disposer de règles et de pratiques opérationnelles communes et claires dans ce domaine. Une approche uniforme dans l’ensemble de l’espace Schengen est nécessaire pour garantir des vérifications aux frontières extérieures efficientes et efficaces, y compris en ce qui concerne la possibilité de procéder à des vérifications préalables des voyageurs sur la base des données API. La nécessité actuelle d’une action de l’Union dans le domaine des données API découle également des récentes évolutions législatives en matière de gestion des frontières extérieures Schengen, notamment: –le règlement sur l’interopérabilité de 2019 permettra de procéder à des vérifications systématiques des personnes franchissant les frontières extérieures sur la base de toutes les informations pertinentes et disponibles dans les systèmes d’information centralisés de l’Union pour la gestion de la sécurité, des frontières et de la migration. La création d’un mécanisme de transmission centralisé pour les données API au niveau de l’Union est une suite logique de ce concept. Suivant les concepts figurant dans le règlement sur l’interopérabilité, la transmission centralisée des données API pourrait à l’avenir mener à l’utilisation de ces données pour interroger diverses bases de données (SIS, données d’Europol) au moyen du portail de recherche européen; –aux frontières extérieures, l’utilisation des données API compléterait efficacement la mise en œuvre imminente du système européen d’information et d’autorisation concernant les voyages (ETIAS) et du système d’entrée/de sortie (EES). L’utilisation des données API resterait nécessaire aux fins de la gestion des frontières extérieures, étant donné qu’elles indiquent à l’avance aux gardes-frontières si un voyageur a effectivement embarqué à bord d’un avion et est sur le point d’entrer dans l’espace Schengen, facilitant ainsi les vérifications aux frontières effectuées à l’arrivée du voyageur aux frontières extérieures. •Proportionnalité En vertu du principe de proportionnalité établi à l’article 5, paragraphe 4, du traité sur l’Union européenne, la nature et l’intensité d’une mesure donnée doivent correspondre au problème détecté. Tous les problèmes abordés dans la présente initiative législative nécessitent, d’une manière ou d’une autre, une action législative à l’échelle de l’Union pour que les États membres puissent y répondre efficacement sans aller au-delà de ce qui est nécessaire pour remédier à ces problèmes. Grâce à la présente proposition, le cadre juridique relatif à la collecte et au transfert des données API aux fins de la gestion des frontières extérieures et de la lutte contre l’immigration illégale sera renforcé. L’instrument permettant d’améliorer les vérifications préalables des voyageurs aux frontières extérieures que constituent les données API s’en trouvera renforcé, contribuant ainsi non seulement à l’efficacité et à l’efficience des vérifications elles-mêmes, mais aussi à l’objectif de lutte contre l’immigration illégale, plus particulièrement en relation avec les voyages aériens transfrontières et les responsabilités des transporteurs aériens à cet égard. Conformément aux normes internationales et aux pratiques recommandées, la présente proposition imposera aux transporteurs aériens de recueillir et de transférer les données API sur tous les vols à destination de l’Union, ainsi que défini dans la proposition. Les obligations énoncées dans la proposition sont limitées à ce qui est nécessaire pour atteindre cet objectif. Plus précisément, la présente proposition établit des règles claires, entre autres, concernant ce qui constitue des données API, les vols sur lesquels les transporteurs aériens doivent recueillir les données API, et le transfert de ces dernières. Par la voie d’un règlement, la présente proposition établira une approche cohérente de l’utilisation des données API aux fins de la gestion des frontières extérieures et de la lutte contre l’immigration illégale. Une telle normalisation des exigences en matière de données API dans tous les États membres contribuera à renforcer la sécurité juridique et à accroître la prévisibilité, et donc également le respect des obligations par les transporteurs aériens. La proportionnalité est en outre garantie par plusieurs éléments de la proposition de règlement, tels que la limitation aux seuls vols entrants, le fait de limiter l’obligation d’utiliser des moyens automatisés à certaines données API seulement, et les garanties concernant le mode de traitement des données API et la finalité de ce traitement. La proposition de règlement prévoit la création d’un routeur qui servira de point de connexion unique entre les États membres et les transporteurs aériens, conformément aux recommandations internationales, et il établit une approche de l’Union pour la collecte et la transmission des données API. La transmission des données API via le routeur réduira les coûts pour le secteur aérien et garantira que les gardes-frontières ont un accès rapide et fluide aux données API dont ils ont besoin dans le contexte des vérifications préalables aux frontières. Cette approche réduira de manière drastique le nombre de connexions à établir et maintenir du point de vue des États membres. Inversement, les transporteurs aériens pourront ainsi maintenir plus facilement les connexions avec les autorités frontalières compétentes et introduire des économies d’échelle. Une agence de l’Union, l’eu-LISA, sera chargée de la conception, de la mise au point, de l’hébergement et de la gestion technique du routeur. Le transfert des données API via le routeur facilitera le suivi des vols et permettra donc de réduire la probabilité qu’un transporteur ne respecte pas l’obligation de communiquer les données API comme prescrit dans la présente proposition. •Choix de l’instrument L’instrument proposé est un règlement. Comme établi dans l’analyse d’impact accompagnant la présente proposition, au vu de la nécessité que les mesures proposées soient directement applicables et uniformément appliquées dans tous les États membres, le règlement est l’instrument juridique approprié. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT •Évaluation ex post de la législation existante Il a été conclu dans l’évaluation de la directive API que la collecte des données API et leur transfert aux autorités frontalières compétentes continuaient de se justifier 15 ans après l’entrée en vigueur de la directive. Les objectifs actuels de la directive, notamment l’amélioration de la gestion des contrôles aux frontières, qui peuvent à leur tour également contribuer à lutter contre la migration irrégulière, restent très pertinents pour les besoins des parties concernées et des sociétés au sens plus large. En outre, la collecte et le transfert des données API ont également été jugés pertinents pour faciliter les déplacements des voyageurs en règle.

Il ressort de l’évaluation que l’absence d’harmonisation dans la mise en œuvre de la directive constituait un obstacle à son efficacité et à sa cohérence. En raison des exigences minimales imposées par la directive, la mise en œuvre des systèmes API et l’utilisation réelle des données API offrent une image hétérogène. En outre, la possibilité laissée aux États membres de faire usage des données API pour répondre aux besoins des services répressifs, sans fournir ni définition claire de cette finalité ni cadre, a conduit à une mise en œuvre incohérente au niveau national. L’évaluation a également conclu à des discordances avec d’autres instruments de l’Union, qui se traduisent par des problèmes opérationnels en pratique et par une incertitude pour les parties concernées, en particulier les personnes dont les données sont recueillies. Les exigences en matière de protection des données à caractère personnel figurant dans la directive API ne sont pas totalement conformes aux développements les plus récents dans ce domaine. Enfin, la directive API n’est pas entièrement compatible avec le cadre réglementaire international en matière d’information sur les passagers, en particulier en ce qui concerne les champs de données et les normes de transmission. L’évaluation a mis en lumière un certain nombre de lacunes liées à la directive API savoir i) un défaut de normalisation et d’harmonisation, ii) l’absence de certaines garanties en matière de protection des données, et iii) un manque d’alignement clair sur les politiques et les aspects juridiques les plus récents au niveau de l’UE. Ces éléments ont des répercussions sur l’incidence de la directive, créent une charge pour les parties concernées et génèrent un certain niveau d’insécurité juridique, pour les transporteurs aériens qui recueillent et transmettent les données API comme pour les autorités frontalières compétentes qui les reçoivent et se chargent de leur traitement ultérieur et, en fin de compte, pour les passagers. Les résultats de l’évaluation ont permis d’élaborer l’analyse d’impact et la présente proposition. •Consultation des parties intéressées La préparation de la présente proposition s’est accompagnée de toute une série de consultations des parties concernées, dont les autorités des États membres (autorités frontalières compétentes, unités d’informations passagers), les représentants du secteur des transports, et les différents transporteurs aériens. Les agences de l’Union – telles que l’Agence européenne de garde-frontières et de garde-côtes (Frontex), l’Agence de l’Union européenne pour la coopération des services répressifs (Europol), l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (eu-LISA), et l’Agence des droits fondamentaux de l’Union européenne (FRA) – ont aussi apporté leur contribution à la lumière de leur mandat et de leur expertise. La présente initiative intègre également les points de vue et les avis reçus au cours de la consultation publique réalisée à la fin de 2019 dans le cadre de l’évaluation de la directive API. Les activités de consultation menées dans le cadre de la préparation de l’analyse d’impact qui sous-tend la présente proposition ont permis de recueillir les avis des parties intéressées à l’aide de différentes méthodes. Ces activités comprenaient notamment une analyse d’impact initiale, une étude auxiliaire externe et une série d’ateliers techniques. Une analyse d’impact initiale a été publiée afin de recueillir des avis entre le 5 juin 2020 et le 14 août 2020, avec un total de sept contributions reçues concernant l’extension du champ d’application de la future directive API, la qualité des données, les sanctions, la relation entre les données API et les données de dossiers passagers, et la protection des données à caractère personnel. L’étude auxiliaire externe a été menée sur la base d’une recherche documentaire, d’entretiens et d’enquêtes auprès d’experts en la matière qui ont examiné différentes mesures possibles pour le traitement des données API avec des dispositions claires qui facilitent les déplacements des voyageurs en règle et qui sont cohérentes avec l’interopérabilité des systèmes d’information de l’Union, les exigences de l’Union en matière de protection des données à caractère personnel ainsi que d’autres instruments de l’Union et normes internationales existants. Les services de la Commission ont également organisé une série d’ateliers techniques avec des experts des États membres et des pays associés à l’espace Schengen. Ces ateliers avaient pour but de réunir des experts afin d’échanger des points de vue sur les options possibles envisagées pour renforcer le futur cadre API aux fins de la gestion des frontières et de la lutte contre l’immigration illégale, ainsi que de la lutte contre la criminalité et le terrorisme. L’analyse d’impact qui accompagne la présente proposition contient une description plus détaillée de la consultation des parties intéressées (annexe 2). •Analyse d’impact Conformément aux lignes directrices pour une meilleure réglementation, la Commission a réalisé une analyse d’impact, présentée dans le document de travail des services de la Commission qui accompagne la présente proposition. Le comité d’examen de la réglementation a examiné le projet d’analyse d’impact lors de sa réunion du 28 septembre 2022 et a émis un avis favorable le 30 septembre 2022. Compte tenu des problèmes décelés à l’égard de la collecte et du transfert des données API, l’analyse d’impact a évalué les options stratégiques concernant la portée de la collecte des données API aux fins susvisées, ainsi que les options concernant les moyens d’améliorer la qualité des données API. En ce qui concerne la collecte des données API aux fins de la gestion des frontières extérieures et de la lutte contre l’immigration illégale, l’analyse d’impact a envisagé la collecte des données API sur tous les vols extra-Schengen entrants, d’une part, et la collecte des données API sur tous les vols extra-Schengen entrants et sortants, d’autre part. En outre, l’analyse d’impact a également envisagé des options en vue d’améliorer la qualité des données API – recueillir les données API par des moyens automatisés et manuels ou par des moyens automatisés uniquement. Comme l’ensemble complet de données API est généré une fois que les passagers se trouvent à bord d’un avion, les gardes-frontières ne recevraient les données API qu’après les vérifications physiques des voyageurs à la sortie et après l’examen de leurs passeports, et donc trop tard pour faciliter le travail des gardes-frontières, raison pour laquelle l’option consistant à recueillir les données API sur tous les vols entrants et sortants pertinents n’a pas été retenue comme option privilégiée. Sur la base des conclusions du rapport d’analyse d’impact, l’option privilégiée concernant un instrument API pour lesdites finalités inclut la collecte des données API sur tous les vols entrants pertinents, et la collecte de certaines données API par les transporteurs aériens par des moyens automatisés uniquement. Une combinaison de ces options permettrait d’améliorer la capacité des États membres à utiliser les données API pour procéder à un contrôle préalable efficace et efficient des voyageurs aériens avant leur arrivée aux frontières extérieures. Une normalisation des exigences en matière de collecte et de transfert des données API permettrait d’accroître le taux de conformité du secteur aérien, qui serait ainsi soumis aux mêmes exigences dans tous les États membres. Des données API plus fiables et vérifiées, y compris les données API recueillies par des moyens automatisés, permettraient d’identifier les voyageurs à haut risque ainsi que de faire en sorte de faciliter et d’accélérer les vérifications aux frontières extérieures et les formalités imposées aux passagers à leur arrivée. La proposition est compatible avec l’objectif de neutralité climatique défini dans la loi européenne sur le climat et les objectifs de l’Union pour 2030 et 2040. L’analyse d’impact a également envisagé (et rejeté) des options telles que la collecte des données API concernant d’autres moyens de transport, tels que les transports maritimes, ferroviaires et par bus. L’analyse d’impact indique qu’il existe déjà des règles de l’Union et des règles internationales qui imposent aux opérateurs de transport maritime de transférer des informations sur les passagers à l’avance aux autorités frontalières des États membres sur les lignes en provenance et à destination de l’Union. Une obligation de l’Union supplémentaire pour les opérateurs de transport maritime de transférer des données API serait donc superflue. Par comparaison avec le secteur du transport aérien, la collecte des données relatives aux passagers est plus compliquée pour les opérateurs de transport terrestre tel que le train ou le bus (absence de processus d’enregistrement, pas d’émission systématique de billets nominatifs) et nécessiterait de lourds investissements dans les infrastructures physiques des opérateurs, avec des conséquences substantielles sur leur modèle économique et sur les passagers. La décision de ne pas couvrir ces aspects dans la présente proposition de règlement est sans préjudice des pratiques de certains États membres qui demandent des données relatives aux passagers sur les liaisons ferroviaires sur la base du droit national, pour autant qu’elles soient conformes au droit de l’Union. •Droits fondamentaux et protection des données à caractère personnel La présente initiative prévoit le traitement des données à caractère personnel des voyageurs et limite donc l’exercice du droit fondamental à la protection des données à caractère personnel tel qu’il est garanti par l’article 8 de la charte et par l’article 16 du TFUE. Ainsi que l’a souligné la Cour de justice de l’Union européenne(CJEU), le droit à la protection des données à caractère personnel n’apparaît pas comme une prérogative absolue, mais toute limitation doit être prise en considération par rapport à sa fonction dans la société et satisfaire aux critères définis à l’article 52, paragraphe 1, de la charte. La protection des données à caractère personnel est également étroitement liée au droit au respect de la vie privée, dans le cadre du droit au respect de la vie privée et familiale, protégé par l’article 7 de la charte. L’obligation pour les transporteurs aériens de recueillir les données API de tous les voyageurs franchissant les frontières extérieures et de transférer ensuite ces données API, au moyen du routeur, aux autorités frontalières compétentes correspond à l’objectif consistant à aider à garantir que les vérifications préalables aux frontières extérieures sont effectuées de manière efficace et efficiente sur tous les voyageurs qui entrent dans les États membres, contribuant donc ainsi également à l’objectif de lutte contre l’immigration illégale. Si les autorités compétentes chargées du contrôle aux frontières ne prendront aucune décision sur la seule base des données API, la présente proposition leur permettra néanmoins d’organiser leurs activités à l’avance et de faciliter l’entrée des passagers de bonne foi et la détection des autres passagers. L’ingérence dans les droits fondamentaux susvisés est limitée au strict nécessaire pour atteindre les objectifs mentionnés, en particulier par la restriction de la collecte des données d’identité aux informations contenues dans le document de voyage des voyageurs ainsi que par la limitation de la portée du traitement au minimum nécessaire, y compris en ce qui concerne le délai pendant lequel les données à caractère personnel sont conservées. L’obligation pour les transporteurs aériens d’utiliser des moyens automatisés pour recueillir les données API des voyageurs peut entraîner des risques supplémentaires du point de vue de la protection des données à caractère personnel. Ceux-ci ont cependant été limités et atténués. Premièrement, l’obligation s’applique uniquement à certaines données API, pour lesquelles les moyens automatisés doivent être utilisés de manière responsable au regard des données lisibles à la machine sur les documents des voyageurs. Deuxièmement, la proposition de règlement contient des exigences concernant les moyens automatisés à utiliser, qui doivent être précisées dans un acte délégué. Enfin, plusieurs garanties sont prévues, telles que la tenue de registres, des règles particulières concernant la protection des données à caractère personnel, et une surveillance efficace.

La présente proposition prévoit également des garanties supplémentaires et particulières en vue de veiller au respect de la charte, y compris en ce qui concerne la sécurité du traitement des données à caractère personnel, l’effacement et la limitation de la finalité, et le droit des voyageurs à l’information. Par ailleurs, s’il est vrai que – outre la disposition garantissant le respect du principe de limitation de la finalité – la proposition de règlement ne régirait pas l’usage fait par les autorités frontalières compétentes des données API qu’elles reçoivent au titre de celui-ci, étant donné que cet usage est déjà couvert par d’autres actes législatifs (code frontières Schengen, législation en matière de protection des données à caractère personnel, charte), dans un souci de clarté, il est néanmoins rappelé dans les considérants qu’un tel usage ne peut donner lieu à aucune des discriminations interdites par l’article 21 de la charte. 4.INCIDENCE BUDGÉTAIRE La présente initiative législative relative à la collecte et au transfert des données API en vue de faciliter les contrôles aux frontières extérieures aurait une incidence sur le budget et les besoins en personnel de l’eu-LISA et des autorités frontalières compétentes des États membres. Pour l’eu-LISA, l’on estime qu’un budget supplémentaire d’environ 45 millions d’EUR [33 millions au titre de l’actuel cadre financier pluriannuel (CFP)] pour mettre le routeur en place et 9 millions d’EUR par an à partir de 2029 pour la gestion technique de celui-ci, et environ 27 postes supplémentaires seraient nécessaires pour garantir que l’eu-LISA dispose des ressources nécessaires pour exécuter les tâches qui lui sont confiées dans la présente proposition de règlement et dans la proposition de règlement relatif à la collecte et au transfert des données API pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière. Pour les États membres, l’on estime que 27 millions d’EUR (8 millions d’EUR au titre de l’actuel CFP) pour la modernisation des systèmes et infrastructures nationaux nécessaires aux autorités chargées de la gestion des frontières, et progressivement jusqu’à 5 millions d’EUR par an à partir de 2028 pour la maintenance de ceux-ci, pourraient faire l’objet d’un remboursement au titre de l’instrument de soutien financier à la gestion des frontières et à la politique des visas. Ce droit à un remboursement devra en définitive être déterminé conformément aux règles régissant ces fonds ainsi qu’aux règles relatives aux coûts figurant dans la proposition de règlement. Compte tenu de la connexion étroite entre la présente proposition de règlement et la proposition de règlement relatif à la collecte et au transfert des données API pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière, en particulier en ce qui concerne le transfert des données API au routeur, la fiche financière législative, en annexe de la présente proposition de règlement, est identique pour les deux propositions. 5.AUTRES ÉLÉMENTS •Plans de mise en œuvre et modalités de suivi, d’évaluation et d’information La Commission veillera à ce que les dispositions nécessaires soient en place pour contrôler le fonctionnement des mesures proposées et les évaluer au regard des principaux objectifs stratégiques. Quatre ans après le début des opérations prévues au titre de la proposition de règlement, et tous les quatre ans par la suite, la Commission présentera un rapport au Parlement européen et au Conseil évaluant la mise en œuvre du règlement et sa valeur ajoutée. Le rapport rendra également compte de toute incidence directe ou indirecte sur les droits fondamentaux pertinents. Il s’agira d’examiner les résultats obtenus par rapport aux objectifs, de déterminer si les principes de base restent valables et d’en tirer toutes les conséquences pour les options futures. Le caractère contraignant de l’obligation de recueillir les données API et l’introduction du routeur permettront d’obtenir une image plus claire de la collecte et de la transmission des données API par les transporteurs aériens et de leur utilisation ultérieure par les États membres conformément à la législation nationale et de l’Union applicable. Cela aidera la Commission européenne dans ses tâches d’évaluation et d’application de la législation en lui fournissant des statistiques fiables sur le volume de données transmises et sur les vols pour lesquels des données API seraient requises. •Géométrie variable La proposition poursuit et développe l’acquis de Schengen relatif aux frontières extérieures dans le sens où elle concerne le franchissement des frontières extérieures. Il y a lieu, par conséquent, de prendre en considération les conséquences suivantes en relation avec le protocole (nº 19) sur l’acquis de Schengen intégré dans le cadre de l’Union européenne, annexé au TUE et au TFUE, et avec le protocole (nº 22) sur la position du Danemark, annexé au TUE et au TFUE. La proposition est couverte par les dispositions de l’acquis de Schengen auxquelles l’Irlande participe conformément à l’article 6, paragraphe 2, de la décision 2002/192/CE du Conseil du 28 février 2002 relative à la demande de l’Irlande de participer à certaines dispositions de l’acquis de Schengen. Plus précisément, la participation de l’Irlande à la présente proposition porte sur ce qui relève de la compétence de l’Union pour prendre des mesures visant à développer les dispositions de l’acquis de Schengen afin de lutter contre l’immigration illégale auxquelles l’Irlande participe. L’Irlande participe, en particulier compte tenu de l’inclusion à l’article 1er, paragraphe 1, de ladite décision du Conseil, d’une référence à l’article 26 de la convention d’application de l’accord de Schengen en ce qui concerne les responsabilités des transporteurs aériens à l’égard des étrangers interdits d’entrée et la possession par les étrangers des documents de voyage requis. L’Irlande participe à l’ensemble de la proposition de règlement. Conformément aux articles 1er et 2 du protocole nº 22 sur la position du Danemark annexé au traité sur l’Union européenne (TUE) et au TFUE, le Danemark ne participe pas à l’adoption de la présente proposition et n’est pas lié par celle-ci ni soumis à son application une fois celle-ci adoptée. La proposition de règlement développant l’acquis de Schengen, le Danemark devra décider, conformément à l’article 4 dudit protocole, dans un délai de six mois à compter de la décision du Conseil sur la présente proposition, s’il la transpose dans son droit interne. En ce qui concerne Chypre, la Bulgarie et la Roumanie, ainsi que la Croatie, la proposition de règlement constituera un acte fondé sur l’acquis de Schengen ou qui s’y rapporte, au sens, respectivement, de l’article 3, paragraphe 1, de l’acte d’adhésion de 2003, de l’article 4, paragraphe 1, de l’acte d’adhésion de 2005 et de l’article 4, paragraphe 1, de l’acte d’adhésion de 2011. En ce qui concerne l’Islande, la Norvège, la Suisse et le Liechtenstein, la proposition de règlement constituera un développement des dispositions de l’acquis de Schengen au sens de leurs accords d’association respectifs. •Explication détaillée de certaines dispositions de la proposition Le chapitre 1 énonce les dispositions générales du présent règlement, à commencer par les règles relatives à son objet et à son champ d’application. Il contient également une liste de définitions. Le chapitre 2 énonce les dispositions applicables à la collecte et au transfert des données API, à savoir un ensemble de règles claires pour la collecte des données API par les transporteurs aériens, des règles concernant le transfert des données API au routeur, le traitement des données API par les autorités frontalières compétentes, et le stockage et l’effacement des données API par les transporteurs aériens et lesdites autorités.

Le chapitre 3 contient des dispositions relatives à la transmission des données API par l’intermédiaire du routeur. Plus précisément, il inclut des dispositions décrivant les principales caractéristiques du routeur, des règles concernant l’utilisation du routeur, la procédure de transmission des données API du routeur aux autorités frontalières compétentes, l’effacement des données API du routeur, la tenue de registres, et les procédures applicables en cas d’impossibilité technique partielle ou totale d’utiliser le routeur. Le chapitre 4 contient un ensemble de dispositions particulières sur la protection des données à caractère personnel. Plus précisément, il indique qui sont le responsable du traitement et le sous-traitant pour le traitement des données API qui constituent des données à caractère personnel en application du présent règlement. Il énonce également les mesures requises de l’eu-LISA pour garantir la sécurité du traitement des données, conformément aux dispositions du règlement (UE) 2018/1725. Il énonce les mesures requises des transporteurs aériens et des autorités frontalières compétentes pour garantir leur autocontrôle du respect des dispositions pertinentes énoncées dans le présent règlement et des règles en matière d’audit. Le chapitre 5 régit certaines questions spécifiques relatives au routeur. Il contient des exigences relatives aux connexions au routeur par les autorités frontalières compétentes et les transporteurs aériens. Il énonce également les tâches de l’eu-LISA relatives à la conception, à la mise au point, à l’hébergement et à la gestion technique du routeur, ainsi que d’autres tâches d’assistance liées au routeur. Ce chapitre contient en outre des dispositions concernant les coûts supportés par l’eu-LISA et les États membres au titre du présent règlement, en particulier en ce qui concerne les connexions des États membres au routeur et l’intégration à celui-ci. Il énonce également des dispositions concernant la responsabilité à l’égard des dommages causés au routeur, la mise en service du routeur et la possibilité pour les transporteurs aériens de faire un usage volontaire du routeur, sous certaines conditions. Le chapitre 6 contient des dispositions concernant la supervision, les sanctions possibles applicables aux transporteurs aériens pour non-respect de leurs obligations définies dans le présent règlement, les règles relatives aux données statistiques communiquées par l’eu-LISA, et la préparation d’un guide pratique par la Commission. Le chapitre 7 régit les effets sur les autres actes du droit de l’Union. Plus précisément, il contient des dispositions concernant l’abrogation de la directive 2004/82/CE et les modifications à apporter aux autres instruments existants, à savoir le règlement (UE) 2018/1726 et le règlement (UE) 2019/817. Le chapitre 8 contient les dispositions finales du présent règlement, qui concernent l’adoption d’actes délégués et d’actes d’exécution, le suivi et l’évaluation du présent règlement, ainsi que son entrée en vigueur et son application. 2022/0424 (COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à la collecte et au transfert des informations préalables sur les passagers (API) en vue de renforcer et de faciliter les contrôles aux frontières extérieures, modifiant le règlement (UE) 2019/817 et le règlement (UE) 2018/1726, et abrogeant la directive 2004/82/CE du Conseil LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE, vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 77, paragraphe 2, points b) et d), et son article 79, paragraphe 2, point c), vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)La réalisation de vérifications sur les personnes aux frontières extérieures contribue de manière significative à garantir la sécurité à long terme de l’Union, des États membres et des citoyens et, en tant que telle, demeure une garantie importante, en particulier dans l’espace sans contrôle aux frontières intérieures (ci-après l’ «espace Schengen»). Des contrôles aux frontières extérieures efficients et efficaces, effectués conformément, en particulier, au règlement (UE) 2016/399 du Parlement européen et du Conseil, le cas échéant, contribuent à lutter contre l’immigration illégale et à prévenir les menaces pesant sur la sécurité intérieure, l’ordre public, la santé publique et les relations internationales des États membres. (2)L’utilisation des données relatives aux voyageurs et des informations de vol transférées avant l’arrivée des voyageurs, dénommées «informations préalables sur les passagers» (ou «données API»), contribue à accélérer la réalisation des vérifications requises au cours du processus de franchissement des frontières. Aux fins du présent règlement, ce processus concerne plus spécifiquement le franchissement des frontières entre un pays tiers ou un État membre ne participant pas au présent règlement, d’une part, et un État membre participant au présent règlement, d’autre part. L’utilisation desdites données renforce les vérifications à ces frontières extérieures en prévoyant un délai suffisant pour que soient effectuées des vérifications détaillées et approfondies de tous les voyageurs, sans que cela ait un effet négatif disproportionné sur les voyageurs de bonne foi. Par conséquent, dans l’intérêt de l’efficacité et de l’efficience des vérifications aux frontières extérieures, il convient de prévoir un cadre juridique approprié pour garantir que les autorités frontalières compétentes des États membres à ces points de passage des frontières extérieures ont accès aux données API avant l’arrivée des voyageurs. (3)Le cadre juridique existant en matière de données API, qui se compose de la directive 2004/82/CE et du droit national transposant ladite directive, s’est révélé important pour améliorer les contrôles aux frontières, notamment en mettant en place un cadre permettant aux États membres d’introduire des dispositions prévoyant l’obligation pour les transporteurs aériens de transférer des données API sur les passagers transportés sur leur territoire. Toutefois, des divergences subsistent au niveau national. En particulier, les données API ne sont pas systématiquement demandées aux transporteurs aériens, et ces derniers sont confrontés à des exigences différentes en ce qui concerne le type d’informations à recueillir et les conditions dans lesquelles les données API doivent être transférées aux autorités frontalières compétentes. Ces divergences entraînent non seulement des coûts et des complications inutiles pour les transporteurs aériens, mais elles sont également préjudiciables pour ce qui est de garantir l’efficacité et l’efficience des vérifications préalables des personnes arrivant aux frontières extérieures.

(4)Le cadre juridique existant devrait par conséquent être mis à jour et remplacé afin de veiller à ce que les règles relatives à la collecte et au transfert de données API afin de renforcer et de faciliter l’efficacité et l’efficience des vérifications aux frontières extérieures et de lutter contre l’immigration illégale soient claires, harmonisées et efficaces. (5)Afin de garantir une approche cohérente au niveau international autant que possible et compte tenu des règles relatives à la collecte de données API applicables à ce niveau, le cadre juridique actualisé établi par le présent règlement devrait tenir compte des pratiques pertinentes convenues au niveau international avec le secteur aérien et dans le contexte des lignes directrices sur les informations préalables sur les passagers établies par l’Organisation mondiale des douanes, l’Association du transport aérien international et l’Organisation de l’aviation civile internationale. (6)La collecte et le transfert des données API ont une incidence sur la vie privée des personnes et impliquent le traitement de données à caractère personnel. Afin de respecter pleinement les droits fondamentaux, en particulier le droit au respect de la vie privée et le droit à la protection des données à caractère personnel, conformément à la charte des droits fondamentaux de l’Union européenne (ci-après la «charte»), il convient de prévoir des limites et des garanties adéquates. En particulier, tout traitement de données API et, en particulier, de données API constituant des données à caractère personnel devrait rester limité à ce qui est nécessaire et proportionné à la réalisation des objectifs poursuivis par le présent règlement. En outre, il convient de veiller à ce que les données API recueillies et transférée au titre du présent règlement n’entraînent aucune forme de discrimination interdite par la charte. (7)Afin d’atteindre ses objectifs, le présent règlement devrait s’appliquer à tous les transporteurs effectuant des vols à destination de l’Union, tels que définis dans le présent règlement, ce qui couvre à la fois les vols réguliers et les vols non réguliers, quel que soit le lieu d’établissement des transporteurs aériens assurant ces vols. (8)Dans un souci d’efficacité et de sécurité juridique, les éléments d’information qui constituent ensemble les données API à recueillir puis à transférer au titre du présent règlement devraient être énumérés de manière claire et exhaustive, c’est-à-dire qu’ils devraient couvrir à la fois les informations relatives à chaque voyageur et les informations relatives au vol pris par ce voyageur. Ces informations de vol devraient couvrir les informations relatives au point de passage frontalier d’entrée sur le territoire de l’État membre concerné dans tous les cas couverts par le présent règlement, mais ces informations ne devraient être recueillies que dans les cas applicables au titre du règlement (UE) [API fins répressives], c’est-à-dire pas lorsque les données API se rapportent à des vols intra-UE. (9)Afin de permettre la flexibilité et l’innovation, il convient en principe de laisser à chaque transporteur aérien le soin de déterminer la manière dont il remplit ses obligations en matière de collecte de données API énoncées dans le présent règlement. Toutefois, étant donné qu’il existe des solutions technologiques appropriées qui permettent de recueillir automatiquement certaines données API tout en garantissant que les données API concernées sont exactes, complètes et à jour, et compte tenu des avantages que présente l’utilisation de cette technologie en termes d’efficacité et d’efficience, les transporteurs aériens devraient être tenus de recueillir ces données API à l’aide de moyens automatisés, en lisant les informations à partir des données lisibles par machine du document de voyage. (10)Des moyens automatisés permettent aux voyageurs de fournir eux-mêmes certaines données API au cours d’un processus d’enregistrement en ligne. Ces moyens pourraient, par exemple, comprendre une application sécurisée sur le smartphone, l’ordinateur ou la webcaméra des voyageurs, qui soit en mesure de lire les données lisibles par machine du document de voyage. Dans les cas où les voyageurs ne se sont pas enregistrés en ligne, les transporteurs aériens devraient leur donner la possibilité de fournir les données API lisibles par machine concernées lors de l’enregistrement à l’aéroport en se rendant à une borne en libre-service ou avec l’aide du personnel des compagnies aériennes au comptoir d’enregistrement. (11)La Commission devrait être habilitée à adopter des exigences techniques et des règles procédurales auxquelles les transporteurs aériens doivent se conformer en ce qui concerne l’utilisation de moyens automatisés pour la collecte de données API lisibles par machine au titre du présent règlement, afin d’accroître la clarté et la sécurité juridique et de contribuer à garantir la qualité des données et l’utilisation responsable des moyens automatisés. (12)Compte tenu des avantages offerts par l’utilisation de moyens automatisés pour la collecte de données API lisibles par machine et de la clarté découlant des exigences techniques à cet égard qui doivent être adoptées au titre du présent règlement, il convient de préciser que les transporteurs aériens qui décident d’utiliser des moyens automatisés pour recueillir les informations qu’ils sont tenus de transmettre au titre de la directive 2004/82/EC ont la possibilité, mais pas l’obligation, d’appliquer ces exigences, une fois adoptées, en lien avec cette utilisation de moyens automatisés, dans la mesure où ladite directive le permet. Une telle application volontaire de ces spécifications en application de la directive 2004/82/CE ne devrait pas être interprétée comme affectant de quelque manière que ce soit les obligations des transporteurs aériens et des États membres au titre de ladite directive. (13)Afin de garantir l’efficacité et l’efficience des vérifications préalables effectuées à l’avance par les autorités frontalières compétentes, les données API transférées à ces autorités devraient contenir les données relatives aux voyageurs qui s’apprêtent effectivement à franchir les frontières extérieures, c’est-à-dire relatives aux voyageurs qui se trouvent effectivement à bord d’un aéronef. Par conséquent, les transporteurs aériens devraient transférer les données API directement après la clôture du vol. En outre, les données API aident les autorités frontalières compétentes à établir une distinction entre les voyageurs en règle et les voyageurs susceptibles de présenter de l’intérêt et pouvant donc devoir faire l’objet de vérifications supplémentaires, ce qui exigerait une coordination et une préparation plus poussées des mesures de suivi à prendre à l’arrivée. Cela pourrait se produire, par exemple, face à un nombre inattendu de voyageurs présentant de l’intérêt, pour lesquels les contrôles physiques aux frontières pourraient avoir une incidence négative sur les vérifications aux frontières et les délais d’attente aux frontières d’autres voyageurs en règle. Afin de donner aux autorités frontalières compétentes la possibilité de préparer des mesures adéquates et proportionnées à la frontière, comme le renforcement ou la réaffectation temporaires des effectifs, en particulier pour les vols pour lesquels le délai entre la clôture du vol et l’arrivée aux frontières extérieures est insuffisant pour permettre aux autorités frontalières compétentes de préparer la réponse la plus appropriée, les données API devraient également être transmises avant l’embarquement, au moment de l’enregistrement de chaque voyageur. (14)Pour clarifier les exigences techniques applicables aux transporteurs aériens et nécessaires pour veiller à ce que les données API qu’ils ont recueillies au titre du présent règlement soient transférées au routeur de manière sécurisée, efficace et rapide, la Commission devrait être habilitée à établir des spécifications relatives aux protocoles communs et aux formats de données reconnus à utiliser pour ces transferts. (15)Afin d’éviter tout risque d’utilisation abusive et conformément au principe de limitation de la finalité, les autorités frontalières compétentes devraient être expressément empêchées de traiter les données API qu’elles reçoivent au titre du présent règlement à toute autre fin que le renforcement et la facilitation de l’efficacité et de l’efficience des vérifications aux frontières extérieures, et la lutte contre l’immigration illégale. (16)Pour faire en sorte que les autorités frontalières compétentes disposent de suffisamment de temps pour effectuer efficacement des vérifications préalables sur tous les voyageurs, y compris les voyageurs effectuant des vols long-courriers et ceux effectuant des vols avec correspondances, ainsi que de suffisamment de temps pour veiller à ce que les données API recueillies et transférées par les transporteurs aériens soient complètes, exactes et à jour, et, le cas échéant, pour demander aux transporteurs aériens des explications supplémentaires, des corrections ou des compléments d’information, les autorités frontalières compétentes devraient conserver les données API qu’elles ont reçues au titre du présent règlement pendant une durée déterminée qui reste limitée à ce qui est strictement nécessaire à ces fins. De même, pour pouvoir répondre à de telles demandes, les transporteurs aériens devraient conserver les données API qu’ils ont transférées au titre du présent règlement pendant la même durée déterminée et strictement nécessaire. (17)Afin d’éviter que les transporteurs aériens ne soient tenus d’établir et de maintenir des connexions multiples avec les autorités frontalières compétentes des États membres pour le transfert de données API recueillies au titre du présent règlement, et de prévenir les manques d’efficacité et risques pour la sécurité qui en découlent, il convient de prévoir un routeur unique, mis en place et exploité au niveau de l’Union, servant de point de connexion et de distribution pour ces transferts. Dans un souci d’efficience et de rentabilité, le routeur devrait, dans la mesure où cela est techniquement possible et dans le plein respect des règles du présent règlement et du règlement (UE) [API fins répressives], s’appuyer sur des composants techniques provenant d’autres systèmes pertinents créés en vertu du droit de l’Union. (18)Le routeur devrait transmettre les données API, de manière automatisée, aux autorités frontalières compétentes concernées, qui devraient être déterminées sur la base du point de passage frontalier d’entrée sur le territoire de l’État membre mentionné dans les données API en question. Dans le but de faciliter le processus de distribution, chaque État membre devrait indiquer quelles autorités frontalières sont compétentes pour recevoir les données API transmises par le routeur. Afin de garantir le bon fonctionnement du présent règlement et dans un souci de transparence, ces informations devraient être rendues publiques. (19)Le routeur ne devrait servir qu’à faciliter la transmission des données API par les transporteurs aériens aux autorités frontalières compétentes conformément au présent règlement et aux UIP conformément au règlement (UE) [API fins répressives], et ne devrait pas constituer un répertoire de données API. Par conséquent, et pour réduire au minimum tout risque d’accès non autorisé ou toute autre utilisation abusive et conformément au principe de minimisation des données, tout stockage de données API sur le routeur devrait rester limité à ce qui est strictement nécessaire à des fins techniques liées à la transmission, et les données API devraient être effacées du routeur, immédiatement, de manière définitive et automatisée, à compter du moment où la transmission a été effectuée ou, le cas échéant au titre du règlement (UE) [API fins répressives], lorsque les données API ne doivent pas être transmises du tout. (20)Afin d’assurer le bon fonctionnement de la transmission des données API à partir du routeur, il convient d’habiliter la Commission à fixer des règles techniques et procédurales détaillées concernant cette transmission. Ces règles devraient être de nature à garantir que la transmission est sécurisée, efficace et rapide et n’influe pas plus que nécessaire sur le voyage des passagers et sur les transporteurs aériens. (21)Afin de permettre aux transporteurs aériens de bénéficier dans les meilleurs délais des avantages offerts par l’utilisation du routeur mis au point par l’eu-LISA conformément au présent règlement et d’acquérir de l’expérience dans son utilisation, les transporteurs aériens devraient avoir la possibilité, mais pas l’obligation, d’utiliser le routeur pour transmettre les informations qu’ils sont tenus de transmettre au titre de la directive 2004//82/EC pendant une période transitoire. Cette période transitoire devrait débuter au moment où le routeur commence à fonctionner et prendre fin lorsque les obligations prévues par ladite directive cessent de s’appliquer. Afin de veiller à ce que toute utilisation volontaire du routeur ait lieu de manière responsable, l’accord écrit préalable de l’autorité responsable qui doit recevoir les informations devrait être requis, à la demande du transporteur aérien et après que cette autorité a effectué des vérifications et obtenu des assurances, le cas échéant. De même, afin d’éviter une situation dans laquelle, de manière répétée, les transporteurs aériens entameraient et interrompraient l’utilisation du routeur, à partir du moment où un transporteur aérien entame une telle utilisation sur une base volontaire, il devrait être tenu de la poursuivre, à moins qu’il n’existe des raisons objectives d’interrompre l’utilisation pour la transmission des informations à l’autorité responsable concernée, par exemple s’il est apparu que les informations ne sont pas transmises de manière licite, sécurisée, efficace et rapide. Dans l’intérêt de la bonne application de cette possibilité d’utiliser volontairement le routeur, en tenant dûment compte des droits et des intérêts de toutes les parties concernées, il convient de prévoir les règles nécessaires en matière de consultations et de communication d’informations. Une telle utilisation volontaire du routeur en application de la directive 2004/82/CE ainsi que prévu par le présent règlement ne devrait pas être interprétée comme affectant de quelque manière que ce soit les obligations des transporteurs aériens et des États membres au titre de ladite directive. (22)Le routeur qui doit être mis en place et exploité au titre du présent règlement devrait réduire et simplifier les connexions techniques nécessaires au transfert des données API, en les limitant à une connexion unique par transporteur aérien et par autorité frontalière compétente. Par conséquent, le présent règlement prévoit que tant les autorités frontalières compétentes que les transporteurs aériens ont l’obligation d’établir une telle connexion avec le routeur et de réaliser l’intégration requise à celui-ci, de manière à garantir le bon fonctionnement du système de transfert des données API mis en place par le présent règlement. Afin de donner effet à ces obligations et d’assurer le bon fonctionnement du système mis en place par le présent règlement, il convient de les compléter par des règles détaillées. (23)Compte tenu des intérêts de l’Union en jeu, les coûts supportés par l’eu-LISA pour l’exécution de ses tâches au titre du présent règlement et du règlement (UE) [API fins répressives] en ce qui concerne le routeur devraient être supportés par le budget de l’Union. Il devrait en être de même pour les coûts appropriés supportés par les États membres en ce qui concerne leurs connexions au routeur et leur intégration à celui-ci, comme l’exige le présent règlement et conformément à la législation applicable, sous réserve de certaines exceptions. Les coûts couverts par ces exceptions devraient être pris en charge par chaque État membre concerné lui-même.

(24)Il ne peut être exclu que, en raison de circonstances exceptionnelles et malgré toutes les mesures raisonnables prises conformément au présent règlement, le routeur ou les systèmes ou l’infrastructure reliant les autorités frontalières compétentes et les transporteurs aériens au routeur ne fonctionnent pas correctement, entraînant l’impossibilité technique d’utiliser le routeur pour transmettre des données API. Compte tenu de l’indisponibilité du routeur et du fait qu’il ne sera en général pas raisonnablement possible pour les transporteurs aériens de transférer les données API concernées par la défaillance de manière licite, sécurisée, efficace et rapide par d’autres moyens, l’obligation pour les transporteurs aériens de transférer ces données API au routeur devrait cesser de s’appliquer aussi longtemps que l’impossibilité technique persiste. Afin d’en réduire au minimum la durée et les conséquences négatives, les parties concernées devraient en pareil cas s’informer mutuellement sans tarder et prendre immédiatement toutes les mesures nécessaires pour remédier à l’impossibilité technique. Étant donné que les données API relatives aux vols étant déjà arrivés ne sont pas utiles pour les vérifications aux frontières, rien ne justifie, dans ce cas, de demander aux transporteurs aériens de recueillir et de stocker les données API. Cette modalité devrait être sans préjudice des obligations qui incombent à toutes les parties concernées au titre du présent règlement de garantir le bon fonctionnement du routeur et de leurs systèmes et infrastructures respectifs, ainsi que du fait que les transporteurs aériens sont soumis à des sanctions lorsqu’ils ne respectent pas ces obligations, y compris lorsqu’ils cherchent à invoquer cette modalité dans des cas dans lesquels cela ne se justifie pas. Afin de prévenir de tels abus et de faciliter la surveillance et, le cas échéant, l’imposition de sanctions, les transporteurs aériens qui se prévalent de cette modalité par suite de la défaillance de leur propre système et de leur propre infrastructure devraient en rendre compte à l’autorité de surveillance compétente. (25)Afin de garantir le respect du droit fondamental à la protection des données à caractère personnel, le présent règlement devrait identifier le responsable du traitement et le sous-traitant et établir des règles en matière d’audit. Afin d’assurer un contrôle efficace, de garantir une protection adéquate des données à caractère personnel et de réduire au minimum les risques pour la sécurité, il convient également de prévoir des règles relatives à l’enregistrement des données, à la sécurité du traitement et à l’autocontrôle. Lorsqu’elles concernent le traitement de données à caractère personnel, ces dispositions devraient être interprétées comme complétant les actes généralement applicables du droit de l’Union relatif à la protection des données à caractère personnel, en particulier le règlement (UE) 2016/679 du Parlement européen et du Conseil et le règlement (UE) 2018/1725 du Parlement européen et du Conseil. Ces actes, qui s’appliquent également au traitement des données à caractère personnel au titre du présent règlement conformément à ses dispositions, ne devraient pas être affectés par le présent règlement. (26)En particulier, les finalités des opérations de traitement au titre du présent règlement, à savoir la transmission de données API par les transporteurs aériens au moyen du routeur aux autorités frontalières compétentes des États membres, sont d’aider ces autorités à s’acquitter de leurs obligations en matière de gestion des frontières et de leurs tâches liées à la lutte contre l’immigration irrégulière. Par conséquent, les autorités frontalières compétentes qui reçoivent les données API devraient agir en qualité de responsable du traitement pour la transmission par l’intermédiaire du routeur de données API constituant des données à caractère personnel et pour le stockage de ces données sur le routeur dans la mesure où ce stockage est nécessaire à des fins techniques, ainsi que pour tout traitement ultérieur de ces données en vue d’améliorer et de faciliter les vérifications aux frontières extérieures. Les transporteurs aériens, quant à eux, devraient agir en tant que responsables distincts du traitement des données pour ce qui est du traitement de données API constituant des données à caractère personnel qu’ils sont tenus d’effectuer au titre du présent règlement. Sur cette base, tant les transporteurs aériens que les autorités frontalières compétentes devraient agir en qualité de responsables distincts du traitement des données en ce qui concerne leur propre traitement des données API au titre du présent règlement. (27)Afin de garantir l’application effective des règles du présent règlement par les transporteurs aériens, il convient de prévoir la désignation et l’habilitation des autorités nationales chargées de la surveillance de ces règles. Les dispositions du présent règlement relatives à cette surveillance, y compris en ce qui concerne l’imposition de sanctions si nécessaire, ne devraient pas porter atteinte aux missions et pouvoirs des autorités de contrôle instituées conformément au règlement (UE) 2016/679, y compris en ce qui concerne le traitement des données à caractère personnel au titre du présent règlement. (28)Il y a lieu que les États membres prévoient des sanctions effectives, proportionnées et dissuasives, y compris des sanctions financières, à l’encontre des transporteurs aériens qui ne respectent pas leurs obligations en matière de collecte et de transfert de données API au titre du présent règlement. (29) Le présent règlement prévoyant l’établissement de nouvelles règles relatives à la collecte et au transfert de données API par les autorités frontalières compétentes afin de renforcer et de faciliter l’efficacité et l’efficience des vérifications aux frontières extérieures, il convient d’abroger la directive 2004/82/CE. (30)Étant donné que le routeur devrait être conçu, développé, hébergé et géré techniquement par l’eu-LISA, instituée par le règlement (UE) 2018/1726 du Parlement européen et du Conseil, il est nécessaire de modifier ledit règlement en ajoutant cette tâche aux tâches de l’eu-LISA. Afin de stocker les rapports et les statistiques du routeur dans le répertoire commun des rapports et statistiques, il est nécessaire de modifier le règlement (UE) 2019/817 du Parlement européen et du Conseil. (31)Afin d’adopter des mesures relatives aux exigences techniques et aux règles opérationnelles concernant les moyens automatisés de collecte de données API lisibles par machine, aux protocoles et formats communs à utiliser pour le transfert de données API par les transporteurs aériens, aux règles techniques et procédurales pour la transmission des données API du routeur aux autorités frontalières compétentes et aux UIP, et aux connexions des UIP et des transporteurs aériens au routeur ainsi qu’à leur intégration à celui-ci, il convient de déléguer à la Commission le pouvoir d’adopter des actes conformément à l’article 290 du traité sur le fonctionnement de l’Union européenne en ce qui concerne les articles 5, 6, 11, 20 et 21, respectivement. Il importe particulièrement que la Commission procède aux consultations appropriées durant son travail préparatoire, y compris au niveau des experts, et que ces consultations soient menées conformément aux principes définis dans l’accord interinstitutionnel du 13 avril 2016 «Mieux légiférer». En particulier, pour assurer leur égale participation à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents au même moment que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d’experts de la Commission traitant de la préparation des actes délégués. (32) Afin de garantir l’uniformité des conditions de mise en œuvre du présent règlement, notamment en ce qui concerne la mise en service du routeur, il convient de conférer des compétences d’exécution à la Commission. Ces compétences devraient être exercées conformément au règlement (UE) nº 182/2011 du Parlement européen et du Conseil. (33)Toutes les parties intéressées, et en particulier les transporteurs aériens et les autorités frontalières compétentes, devraient disposer de suffisamment de temps pour procéder aux préparatifs nécessaires afin d’être en mesure de satisfaire à leurs obligations respectives au titre du présent règlement, compte tenu du fait que certains de ces préparatifs, tels que ceux concernant les obligations de connexion au routeur et d’intégration à celui-ci, ne pourront être finalisés qu’une fois que les phases de conception et de développement du routeur auront été achevées et que le routeur sera mis en service. Par conséquent, le présent règlement ne devrait s’appliquer qu’à partir d’une date appropriée postérieure à la date de début d’exploitation du routeur, telle que spécifiée par la Commission conformément au présent règlement. (34)Toutefois, les phases de conception et de développement du routeur devraient débuter et s’achever dès que possible afin que le routeur puisse être mis en service dès que possible, ce qui nécessite également l’adoption des actes d’exécution et des actes délégués pertinents prévus par le présent règlement. La clarification prévue par le présent règlement en ce qui concerne l’application des spécifications relatives à l’utilisation de moyens automatisés en application de la directive 2004/82/CE devrait également être fournie sans tarder. Par conséquent, les articles relatifs à ces questions devraient s’appliquer à compter de la date d’entrée en vigueur du présent règlement. En outre, afin de permettre l’utilisation volontaire du routeur dès que possible, l’article relatif à cette utilisation, ainsi que certains autres articles nécessaires pour garantir que cette utilisation a lieu de manière responsable, devraient s’appliquer le plus rapidement possible, c’est-à-dire à partir du moment où le routeur est mis en service. (35)Le présent règlement devrait être sans préjudice de la possibilité pour les États membres de prévoir, en vertu de leur droit national, un système de collecte de données API auprès de fournisseurs de services de transport autres que ceux spécifiés dans le présent règlement, pour autant que ce droit national soit conforme au droit de l’Union. (36)Étant donné que les objectifs du présent règlement, à savoir renforcer et faciliter l’efficacité et l’efficience des vérifications aux frontières extérieures et lutter contre l’immigration irrégulière, portent sur des questions qui sont intrinsèquement de nature transfrontière, ils ne peuvent pas être atteints de manière suffisante par les États membres individuellement, mais peuvent l’être mieux au niveau de l’Union. L’Union peut donc adopter des mesures conformément au principe de subsidiarité énoncé à l’article 5 du traité sur l’Union européenne. Conformément au principe de proportionnalité tel qu’énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif. (37)Conformément aux articles 1er et 2 du protocole nº 22 sur la position du Danemark annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption du présent règlement et n’est pas lié par celui-ci ni soumis à son application. Le présent règlement développant l’acquis de Schengen, le Danemark décide, conformément à l’article 4 dudit protocole, dans un délai de six mois à partir de la décision du Conseil sur le présent règlement, s’il le transpose dans son droit interne. (38)L’Irlande participe au présent règlement, conformément à l’article 5, paragraphe 1, du protocole nº 19 sur l’acquis de Schengen intégré dans le cadre de l’Union européenne, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, et conformément à l’article 6, paragraphe 2, de la décision 2002/192/CE du Conseil. (39)La participation de l’Irlande au présent règlement conformément à l’article 6, paragraphe 2, de la décision 2002/192/CE porte sur ce qui relève de la compétence de l’Union pour prendre des mesures visant à développer les dispositions de l’acquis de Schengen afin de lutter contre l’immigration illégale auxquelles l’Irlande participe. (40)En ce qui concerne l’Islande et la Norvège, le présent règlement constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord conclu par le Conseil de l’Union européenne, la République d’Islande et le Royaume de Norvège sur l’association de ces deux États à la mise en œuvre, à l’application et au développement de l’acquis de Schengen, qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE du Conseil. (41)En ce qui concerne la Suisse, le présent règlement constitue un développement des dispositions de l’acquis de Schengen au sens de l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen, qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE du Conseil, lue en liaison avec l’article 3 de la décision 2008/146/CE du Conseil. (42)En ce qui concerne le Liechtenstein, le présent règlement constitue un développement des dispositions de l’acquis de Schengen au sens du protocole entre l’Union européenne, la Communauté européenne, la Confédération suisse et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre l’Union européenne, la Communauté européenne et la Confédération suisse sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen, qui relèvent du domaine visé à l’article 1er, point A, de la décision 1999/437/CE du Conseil, lue en liaison avec l’article 3 de la décision 2011/350/UE du Conseil. (43)En ce qui concerne Chypre, la Bulgarie et la Roumanie, et la Croatie, le présent règlement constitue un acte fondé sur l’acquis de Schengen ou qui s’y rapporte, au sens, respectivement, de l’article 3, paragraphe 1, de l’acte d’adhésion de 2003, de l’article 4, paragraphe 1, de l’acte d’adhésion de 2005 et de l’article 4, paragraphe 1, de l’acte d’adhésion de 2011.

(44)Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 et a rendu un avis le [XX], ONT ADOPTÉ LE PRÉSENT RÈGLEMENT: CHAPITRE 1 DISPOSITIONS GÉNÉRALES Article premier Objet Afin de renforcer et de faciliter l’efficacité et l’efficience des vérifications aux frontières extérieures et de lutter contre l’immigration irrégulière, le présent règlement établit les règles concernant: a)la collecte par les transporteurs aériens d’informations préalables sur les passagers (ci-après les «données API») sur les vols à destination de l’Union; b)le transfert vers le routeur, par les transporteurs aériens, des données API; c)la transmission des données API du routeur aux autorités frontalières compétentes. Article 2 Champ d’application Le présent règlement s’applique aux transporteurs aériens assurant des vols réguliers ou non à destination de l’Union. Article 3 Définitions Aux fins du présent règlement, on entend par: a)«transporteur aérien», une entreprise de transport aérien au sens de l’article 3, point 1), de la directive (UE) 2016/681; b)«vérifications aux frontières», les vérifications aux frontières telles que définies à l’article 2, point 11), du règlement (UE) 2016/399; c)«vols à destination de l’Union», les vols en provenance du territoire d’un pays tiers ou d’un État membre ne participant pas au présent règlement, et devant atterrir sur le territoire d’un État membre participant au présent règlement;

d)«point de passage frontalier», le point de passage frontalier au sens de l’article 8, point 2), du règlement (UE) 2016/399; e)«vol régulier», un vol qui est exploité selon un horaire fixe et pour lequel des billets peuvent être achetés par le grand public; f)«vol non régulier», un vol qui n’est pas exploité selon un horaire fixe et qui ne fait pas nécessairement partie d’une liaison régulière ou déterminée à l’avance; g)«autorité frontalière compétente», l’autorité chargée par un État membre d’effectuer des vérifications aux frontières et désignée et notifiée par ledit État membre conformément à l’article 11, paragraphe 2; h)«passager», toute personne, à l’exception du personnel d’équipage, transportée ou devant être transportée par un aéronef avec le consentement du transporteur aérien, lequel se traduit par l’inscription de cette personne sur la liste des passagers; i)«membre d’équipage», toute personne se trouvant à bord d’un aéronef pendant le vol, autre qu’un passager, qui travaille sur l’aéronef ou l’exploite, y compris l’équipage de conduite de vol et l’équipage de cabine; j)«voyageur», un passager ou un membre d’équipage; k)«informations préalables sur les passagers» ou «données API», les données relatives aux voyageurs et les informations de vol visées respectivement à l’article 4, paragraphe 2, et à l’article 4, paragraphe 3; l)«unité d’informations passagers» ou «UIP», l’autorité compétente visée à l’article 3, point i), du règlement (UE) [API services répressifs]; m)«routeur», le routeur visé à l’article 9; n)«données à caractère personnel», toute information telle qu’elle est définie à l’article 4, point 1), du règlement (UE) 2016/679. CHAPITRE 2 COLLECTE ET TRANSFERT DES DONNÉES API Article 4 Données API devant être recueillies par les transporteurs aériens 1.Les transporteurs aériens recueillent les données API des voyageurs, consistant dans les données relatives aux voyageurs et les informations de vol précisées aux paragraphes 2 et 3, respectivement, du présent article, sur les vols visés à l’article 2, aux fins du transfert de ces données API au routeur conformément à l’article 6. 2.Les données API se composent des données suivantes concernant chaque voyageur du vol: a)le nom (nom de famille); le ou les prénoms; b)la date de naissance, le sexe et la nationalité; c)le type de document de voyage, le numéro du document de voyage et le code à trois lettres du pays de délivrance de ce document;

d)la date d’expiration de la validité du document de voyage; e)si le voyageur est un passager ou un membre d’équipage (statut du voyageur); f)le numéro d’identification d’un dossier passager utilisé par un transporteur aérien pour repérer un passager dans son système d’information (code repère du dossier passager); g)les informations relatives aux sièges, telles que le numéro du siège de l’aéronef attribué à un passager, lorsque le transporteur aérien recueille ces informations; h)les informations relatives aux bagages, telles que le nombre de bagages enregistrés, lorsque le transporteur aérien recueille ces informations. 3.Les données API se composent également des informations de vol suivantes concernant le vol de chaque voyageur: a)le numéro d’identification du vol ou, à défaut, autre moyen clair et approprié d’identification du vol; b)le cas échéant, le point de passage frontalier d’entrée sur le territoire de l’État membre; c)le code de l’aéroport d’entrée sur le territoire de l’État membre; d)le point d’embarquement initial; e)la date locale de départ et l’heure de départ prévue; f)la date locale d’arrivée et l’heure d’arrivée prévue. Article 5 Moyens de collecte des données API 1.Les transporteurs aériens recueillent les données API au sens de l’article 4 de manière à ce que les données API qu’ils transfèrent conformément à l’article 6 soient exactes, complètes et à jour. 2.Les transporteurs aériens recueillent les données API visées à l’article 4, paragraphe 2, points a) à d), à l’aide de moyens automatisés permettant la collecte des données lisibles par machine du document de voyage du voyageur concerné. Ils recueillent ces données dans le respect des exigences techniques et des règles opérationnelles détaillées visées au paragraphe 4, lorsque de telles règles ont été adoptées et sont applicables. Toutefois, lorsqu’une telle utilisation de moyens automatisés n’est pas possible en raison du fait que le document de voyage ne contient pas de données lisibles par machine, les transporteurs aériens recueillent ces données manuellement, de manière à garantir le respect du paragraphe 1. 3.Tout moyen automatisé utilisé par les transporteurs aériens pour recueillir des données API au titre du présent règlement doit être fiable, sécurisé et à jour. 4.La Commission est habilitée à adopter des actes délégués conformément à l’article 37 afin de compléter le présent règlement en fixant des exigences techniques et des règles opérationnelles détaillées pour la collecte des données API visées à l’article 4, paragraphe 2, points a) à d), à l’aide de moyens automatisés conformément aux paragraphes 2 et 3 du présent article. 5.Les transporteurs aériens qui utilisent des moyens automatisés pour recueillir les renseignements visés à l’article 3, paragraphe 1, de la directive 2004/82/CE sont autorisés à le faire en appliquant les exigences techniques relatives à cette utilisation visées au paragraphe 4, conformément à ladite directive.

Article 6 Obligations imposées aux transporteurs aériens concernant les transferts de données API 1.Les transporteurs aériens transfèrent les données API au routeur par voie électronique. Ils transfèrent ces données conformément aux règles détaillées visées au paragraphe 3, lorsque de telles règles ont été adoptées et sont applicables. 2.Les transporteurs aériens transfèrent les données API au moment de l’enregistrement et immédiatement après la clôture du vol, c’est-à-dire dès que les passagers ont embarqué à bord de l’aéronef prêt à partir et qu’il n’est plus possible pour des passagers ni d’embarquer à bord de celui-ci ni d’en débarquer. 3.La Commission est habilitée à adopter des actes délégués conformément à l’article 37 afin de compléter le présent règlement en fixant les règles détaillées nécessaires concernant les protocoles communs et les formats de données reconnus à appliquer pour les transferts de données API au routeur visé au paragraphe 1. 4.Lorsqu’un transporteur aérien constate, après avoir transféré des données au routeur, que les données API sont inexactes ou incomplètes, ne sont plus à jour ou ont fait l’objet d’un traitement illicite, ou que ces données ne constituent pas des données API, il en informe immédiatement l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (eu-LISA). Dès réception de ces informations, l’eu-LISA informe l’autorité frontalière compétente qui a reçu les données API transmises par l’intermédiaire du routeur. Article 7 Traitement des données API reçues Les autorités frontalières compétentes traitent les données API, qui leur sont transférées conformément au présent règlement, uniquement aux fins visées à l’article 1er. Article 8 Stockage et effacement des données API 1.Les transporteurs aériens stockent, pendant 48 heures à compter du départ du vol, les données API relatives à ce passager qu’ils ont recueillies conformément à l’article 4. Ils effacent immédiatement et de manière définitive ces données API après l’expiration de ce délai. 2.Les autorités frontalières compétentes stockent, pendant 48 heures à compter du départ du vol, les données API relatives à ce passager qu’elles ont reçues par l’intermédiaire du routeur conformément à l’article 11. Elles effacent immédiatement et de manière définitive ces données API après l’expiration de ce délai. 3.Lorsque les transporteurs aériens ou les autorités frontalières compétentes constatent que les données qu’ils ont recueillies, transférées ou reçues au titre du présent règlement sont inexactes ou incomplètes, ne sont plus à jour ou ont fait l’objet d’un traitement illicite, ou que ces données ne constituent pas des données API, ils rectifient, complètent ou mettent à jour immédiatement ces données API ou les effacent de manière définitive. Cela est sans préjudice de la possibilité pour les transporteurs aériens de conserver et d’utiliser ces données lorsque cela est nécessaire au cours normal de leurs activités, dans le respect du droit applicable. CHAPITRE 3 DISPOSITIONS RELATIVES AU ROUTEUR Article 9 Le routeur 1.L’eu-LISA, en application des articles 22 et 23, conçoit, développe, héberge et gère techniquement un routeur aux fins de faciliter le transfert des données API par les transporteurs aériens aux autorités frontalières compétentes et aux UIP conformément au présent règlement et au règlement (UE) [API fins répressives], respectivement.

2.Le routeur se compose des éléments suivants: a)une infrastructure centrale, y compris un ensemble de composants techniques permettant la transmission des données API; b) un canal de communication sécurisé entre l’infrastructure centrale et les autorités frontalières compétentes et les UIP, ainsi qu’un canal de communication sécurisé entre l’infrastructure centrale et les transporteurs aériens, pour le transfert des données API et pour toute communication y afférente. 3.Sans préjudice de l’article 10 du présent règlement, le routeur partage et réutilise, dans la mesure où cela est techniquement possible, les composants techniques, y compris les composants matériels et logiciels, du service internet visé à l’article 13 du règlement (UE) 2017/2226 du Parlement européen et du Conseil, le portail pour les transporteurs visé à l’article 6, paragraphe 2, point k), du règlement (UE) 2018/1240 et le portail pour les transporteurs visé à l’article 2 bis, point h), du règlement (CE) n° 767/2008 du Parlement européen et du Conseil. Article 10 Utilisation exclusive du routeur Le routeur n’est utilisé que par les transporteurs aériens pour transférer des données API et par les autorités frontalières compétentes et les UIP pour recevoir des données API, conformément au présent règlement et au règlement (UE) [API fins répressives], respectivement. Article 11 Transmission des données API du routeur aux autorités frontalières compétentes 1.Le routeur transmet, immédiatement et de manière automatisée, les données API qui lui sont transférées conformément à l’article 6, aux autorités frontalières compétentes de l’État membre visé à l’article 4, paragraphe 3, point c). Il transmet ces données conformément aux règles détaillées visées au paragraphe 4 du présent article, lorsque de telles règles ont été adoptées et sont applicables. Aux fins de cette transmission, l’eu-LISA établit et tient à jour un tableau de correspondance entre les différents aéroports d’origine et de destination et les pays auxquels ils appartiennent. 2.Les États membres désignent les autorités frontalières compétentes autorisées à recevoir les données API qui leur sont transmises par le routeur conformément au présent règlement. Ils notifient, au plus tard à la date d’application du présent règlement visée à l’article 39, deuxième alinéa, à l’eu-LISA et à la Commission le nom et les coordonnées des autorités frontalières compétentes et, si nécessaire, mettent à jour les informations notifiées. Sur la base de ces notifications et mises à jour, la Commission établit et met à la disposition du public une liste des autorités frontalières compétentes notifiées, y compris leurs coordonnées. 3.Les États membres veillent à ce que seul le personnel dûment autorisé des autorités frontalières compétentes ait accès aux données API qui leur sont transmises par l’intermédiaire du routeur. Ils établissent les règles nécessaires à cet effet. Celles-ci comprennent des règles relatives à la création et à la mise à jour régulière d’une liste des membres du personnel concernés et de leurs profils. 4.La Commission est habilitée à adopter des actes délégués conformément à l’article 37 afin de compléter le présent règlement en fixant les règles techniques et procédurales détaillées nécessaires pour les transmissions de données API par le routeur visées au paragraphe 1. Article 12 Effacement des données API provenant du routeur Les données API, transférées au routeur conformément au présent règlement et au règlement (UE) [API fins répressives], ne sont stockées sur le routeur que dans la mesure où cela est nécessaire pour achever la transmission aux autorités frontalières compétentes ou aux UIP concernées, selon le cas, conformément auxdits règlements, et sont effacées du routeur, immédiatement, de manière définitive et automatisée, dans les deux situations suivantes: a)lorsque la transmission des données API aux autorités frontalières compétentes ou aux UIP concernées, selon le cas, a été achevée; b)en ce qui concerne le règlement (UE) [API fins répressives], lorsque les données API se rapportent à d’autres vols intra-UE que ceux figurant sur les listes visées à l’article 5, paragraphe 2, dudit règlement.

Article 13 Tenue de registres 1.L’eu-LISA tient des registres de toutes les opérations de traitement liées au transfert de données API par l’intermédiaire du routeur au titre du présent règlement et du règlement (UE) [API fins répressives]. Ces registres indiquent les informations suivantes: a)le transporteur aérien qui a transféré les données API au routeur; b)les autorités frontalières compétentes et les UIP auxquelles les données API ont été transmises par l’intermédiaire du routeur; c)la date et l’heure des transferts visés aux points a) et b), ainsi que le lieu du transfert; d)tout accès du personnel de l’eu-LISA nécessaire à la maintenance du routeur, tel que visé à l’article 23, paragraphe 3; e)toute autre information relative à ces opérations de traitement qui est nécessaire pour contrôler la sécurité et l’intégrité des données API ainsi que la licéité de ces opérations de traitement. Ces registres ne contiennent aucune donnée à caractère personnel, autre que les informations nécessaires pour identifier le membre du personnel concerné de l’eu-LISA, visées au premier alinéa, point d). 2.Les transporteurs aériens établissent des registres de toutes les opérations de traitement effectuées au titre du présent règlement, en utilisant les moyens automatisés visés à l’article 5, paragraphe 2. Ces registres indiquent la date, l’heure et le lieu du transfert des données API. 3.Les registres visés aux paragraphes 1 et 2 ne peuvent servir qu’à garantir la sécurité et l’intégrité des données API ainsi que la licéité du traitement, en particulier en ce qui concerne le respect des exigences énoncées dans le présent règlement et le règlement (UE) [API fins répressives:], y compris les modalités de sanction en cas de violation de ces exigences, prévues aux articles 29 et 30 du présent règlement. 4.L’eu-LISA et les transporteurs aériens prennent des mesures appropriées pour protéger les registres créés conformément aux paragraphes 1 et 2, respectivement, contre un accès non autorisé et d’autres risques pour la sécurité. 5.L’eu-LISA et les transporteurs aériens conservent les registres créés conformément aux paragraphes 1 et 2, respectivement, pendant un délai d’un an à compter de la date de leur création. Ils effacent lesdits registres immédiatement et de manière définitive à l’expiration de ce délai. Toutefois, si lesdits registres sont nécessaires aux procédures destinées à contrôler ou à garantir la sécurité et l’intégrité des données API ou la licéité des opérations de traitement, ainsi qu’il est mentionné au paragraphe 2, et si ces procédures ont déjà commencé à la date d’expiration du délai visé au premier alinéa, l’eu-LISA et les transporteurs aériens peuvent conserver ces registres aussi longtemps que nécessaire aux fins de ces procédures. Dans ce cas, ils effacent lesdits registres dès qu’ils ne sont plus nécessaires aux fins de ces procédures. Article 14 Mesures à prendre en cas d’impossibilité technique d’utiliser le routeur 1.Lorsqu’il est techniquement impossible d’utiliser le routeur pour transmettre des données API en raison d’une défaillance de celui-ci, l’eu-LISA informe, immédiatement et de manière automatisée, les transporteurs aériens et les autorités frontalières compétentes de cette impossibilité technique. Dans ce cas, l’eu-LISA prend immédiatement des mesures pour remédier à l’impossibilité technique d’utiliser le routeur et informe immédiatement ces parties lorsqu’il y a été remédié. Durant la période comprise entre ces notifications, l’article 6, paragraphe 1, ne s’applique pas, dans la mesure où l’impossibilité technique empêche le transfert de données API au routeur. Le cas échéant, l’article 4, paragraphe 1, et l’article 8, paragraphe 1, ne s’appliquent pas non plus aux données API en question durant cette période. 2.Lorsqu’il est techniquement impossible d’utiliser le routeur pour transmettre des données API en raison d’une défaillance des systèmes ou de l’infrastructure d’un État membre, visés à l’article 20, les autorités frontalières compétentes dudit État membre informent, immédiatement et de manière automatisée, les transporteurs aériens, les autorités compétentes des autres États membres, l’eu-LISA et la Commission de cette impossibilité technique. Dans ce cas, ledit État membre prend immédiatement des mesures pour remédier à l’impossibilité technique d’utiliser le routeur et informe immédiatement ces parties lorsqu’il y a été remédi