COMMISSIONE EUROPEA Strasburgo, 13.12.2022 COM(2022) 729 final 2022/0424(COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO sulla raccolta e sul trasferimento delle informazioni anticipate sui passeggeri (API) al fine di migliorare e agevolare i controlli alle frontiere esterne, che modifica il regolamento (UE) 2019/817 e il regolamento (UE) 2018/1726 e abroga la direttiva 2004/82/CE del Consiglio {SEC(2022) 444 final} - {SWD(2022) 421 final} - {SWD(2022) 422 final} - {SWD(2022) 423 final}



RELAZIONE 1.CONTESTO DELLA PROPOSTA •Motivi e obiettivi della proposta Negli ultimi decenni sono stati registrati un aumento nel numero di persone che viaggiano per via aerea come pure innovazioni volte ad aumentare l'efficienza che portano a velivoli di maggiori dimensioni e alla necessità di flussi dei passeggeri più efficienti negli aeroporti. Nel 2019, l'Organizzazione dell'aviazione civile internazionale (ICAO) ha rilevato che a livello mondiale 4,5 miliardi di passeggeri hanno usufruito dei trasporti aerei su servizi di linea, con oltre mezzo miliardo di passeggeri che entrano nell'UE o ne escono ogni anno, mettendo a dura prova le frontiere aeree esterne. Il trattamento delle informazioni anticipate sui passeggeri (API), previsto dalla direttiva API vigente come pure dalla presente proposta, costituisce uno strumento per la gestione delle frontiere che contribuisce all'efficacia e all'efficienza delle verifiche di frontiera, agevolando e accelerando l'autorizzazione dei viaggiatori, nonché uno strumento di contrasto dell'immigrazione illegale. I dati API sono una serie di informazioni relative all'identità dei passeggeri contenute nei documenti di viaggio di questi ultimi unite alle informazioni di volo raccolte in fase di check-in e trasferite alle autorità di frontiera del paese di destinazione. Poiché tali autorità ricevono i dati API prima dell'arrivo del volo, possono esaminare in anticipo, conformemente alla legislazione applicabile, i viaggiatori sulla base di profili di rischio, elenchi di controllo e banche dati accelerando così le verifiche di frontiera per i viaggiatori in buona fede, e dedicare maggiori risorse e tempo all'individuazione dei viaggiatori che all'arrivo devono essere sottoposti a ulteriori indagini. La creazione di sistemi per la raccolta e il trasferimento dei dati API è prevista a livello internazionale fin dal 2017 dalla convenzione sull'aviazione civile internazionale (convenzione di Chicago). Nell'UE, è disciplinata dalla direttiva API. Tale direttiva prevede l'obbligo per i vettori aerei di trasferire i dati API, su richiesta, alle autorità di frontiera del paese di destinazione prima del decollo del volo. Non prevede tuttavia l'obbligo per gli Stati membri di richiedere i dati API raccolti dai vettori aerei, il che crea lacune e incoerenze nel modo in cui i dati sono raccolti e utilizzati, poiché alcuni Stati membri raccolgono i dati API in modo sistematico e altri no. In media, considerando tutti gli Stati membri in modo aggregato, si calcola che i dati API siano raccolti per il 65 % dei voli in arrivo. La situazione che ne deriva permette a chi lo desidera di evitare facilmente le verifiche e le rotte in cui i dati API sono raccolti in modo coerente e di viaggiare invece su rotte in cui i dati API sono utilizzati meno frequentemente o non lo sono affatto. La recente valutazione della direttiva API ha dimostrato che, anche quando gli Stati membri richiedono i dati API, le loro autorità nazionali non li utilizzano sempre in modo coerente. I dati API consentono sicuramente alle guardie di frontiera di effettuare verifiche preliminari sull'identità dei passeggeri e sulla validità del documento di viaggio utilizzato consultando le banche dati previste dal codice frontiere Schengen. Tuttavia, non tutti gli Stati membri utilizzano i dati API per effettuare verifiche preliminari consultando le banche dati previste dal codice frontiere Schengen. In particolare l'Irlanda, che non partecipa al codice frontiere Schengen, applica una normativa nazionale analoga. Tale situazione non cambierà a seguito della proposta di regolamento. La direttiva API si limita a stabilire criteri limitati per la raccolta, la trasmissione e il trattamento dei dati API in relazione ai voli per quanto concerne la raccolta dei dati, gli elementi dei dati da raccogliere o i mezzi per rilevare i dati (che non prendono in considerazione gli sviluppi nelle linee guida e norme internazionali riguardanti la raccolta dei dati API). Ciò porta a pratiche estremamente divergenti, che oltre a ostacolare l'efficacia e l'efficienza delle verifiche di frontiera rappresentano un onere aggiuntivo per i vettori aerei, che devono osservare una diversa serie di prescrizioni a seconda delle rotte lungo le quali trasportano i passeggeri e degli Stati membri che richiedono i dati API.L'allineamento della raccolta e della trasmissione dei dati API con tali norme internazionali sui dati API garantirebbe l'osservanza delle prescrizioni sui dati API da parte del settore aereo. Per un utilizzo efficace dei dati API sono necessari dati precisi, completi e aggiornati. Se i dati di identità non sono affidabili e verificati, come talvolta avviene attualmente, i controlli incrociati nelle banche dati non porteranno a risultati operativi affidabili. Poiché i check-in online sono diventati una pratica comune negli ultimi 20 anni, i dati API dei documenti di viaggio sono sempre più trascritti manualmente oppure "oggetto di autodichiarazione" da parte dei passeggeri. Dati API incompleti, errati oppure obsoleti trasferiti alle autorità nazionali possono portare a lacune nei tipi di verifiche che le autorità di frontiera possono effettuare e, in ultima analisi, avere ripercussioni sui viaggiatori, che possono essere oggetto di verifiche errate e superflue. La necessità di garantire che i dati API raccolti siano di qualità adeguata è strettamente connessa ai mezzi utilizzati dalle compagnie aeree per garantire che i dati API pertinenti raccolti corrispondano alle informazioni riportate sui documenti di viaggio. L'attuale quadro sui dati API non definisce i mezzi per la raccolta di tali dati dei viaggiatori. Rispetto alla trascrizione manuale delle informazioni, la raccolta automatica dei dati comporterebbe meno problemi sotto il profilo della qualità e un utilizzo più efficiente ed efficace dei dati API, contribuendo altresì a ridurre il tempo necessario alle autorità di frontiera competenti per interagire con i vettori. La revisione del quadro giuridico attuale sulla raccolta e sul trasferimento dei dati API offre pertanto l'opportunità di rafforzare la gestione delle frontiere esterne e il contrasto dell'immigrazione illegale. Contribuisce difatti a garantire che ogni persona che viaggia in aereo verso l'Unione da un paese terzo o da uno Stato membro che non partecipa al regolamento proposto (più precisamente, verso gli Stati membri aderenti allo spazio Schengen senza controlli alle frontiere interne – "spazio Schengen" – e l'Irlanda), compresi i cittadini di paesi terzi, gli apolidi e i cittadini dell'UE, possa essere oggetto di verifiche preliminari con i dati API prima dell'arrivo, e che gli Stati membri applichino criteri uniformi per quanto concerne la raccolta di tali dati e il loro trasferimento per finalità di controllo delle frontiere esterne e di contrasto dell'immigrazione illegale. Agevolando i flussi di passeggeri negli aeroporti e accelerando le verifiche di frontiera, la presente proposta contribuisce a garantire che possano essere effettuati controlli sistematici in modo efficiente per ogni passeggero dei trasporti aerei, conformemente alla legislazione applicabile. •Coerenza con le disposizioni vigenti nel settore normativo interessato La presente proposta risponde alla necessità di norme comuni sulla raccolta e sul trasferimento dei dati API per finalità di gestione delle frontiere e contrasto dell'immigrazione illegale, che è collegata all'esistenza dello spazio Schengen e alla definizione di norme comuni che disciplinano la circolazione delle persone attraverso le frontiere esterne. La proposta è in linea con gli obblighi di cui al codice frontiere Schengen riguardanti le verifiche sulle persone alle frontiere esterne. Si colloca inoltre nel più ampio contesto dei sistemi di informazione dell'UE su larga scala che si è sviluppato in modo considerevole dopo l'adozione della direttiva API nel 2004. Gli orientamenti strategici adottati dal Consiglio europeo nel giugno 2014 prevedono inoltre ampliamenti delle procedure seguite dalle guardie di frontiera alle frontiere esterne per aumentare l'efficacia delle verifiche prima del posto di controllo frontaliero e limitare le conseguenze negative alle frontiere. Vi rientrano ad esempio: il sistema d'informazione Schengen (SIS), il sistema di informazione visti (VIS) e il sistema Eurodac. Sono inoltre attualmente in fase di sviluppo tre nuovi sistemi, ossia: il sistema di ingressi/uscite (EES), il sistema europeo di informazione e autorizzazione ai viaggi (ETIAS) e il sistema centralizzato per individuare gli Stati membri in possesso di informazioni sulle condanne pronunciate a carico di cittadini di paesi terzi e apolidi (ECRIS-TCN). Tutti questi sistemi attuali e futuri sono collegati attraverso il quadro per l'interoperabilità dei sistemi di informazione dell'UE per la sicurezza, le frontiere e la gestione della migrazione, adottato nel 2019 e oggi in fase di attuazione. Le revisioni riportate nella presente proposta tengono conto del quadro per l'interoperabilità. In particolare, il router proposto evita la duplicazione delle componenti tecniche attraverso la condivisione delle componenti del portale per i vettori dell'ETIAS. Tale portale offre ai vettori i mezzi tecnici per verificare lo status ETIAS dei cittadini di paesi terzi esenti dall'obbligo del visto che si recano negli Stati membri. La proposta di regolamento garantisce che i vari trattamenti dei dati siano diversificati e tenuti rigorosamente distinti come pure che i diritti di accesso previsti dai vari strumenti dell'UE siano rispettati. La proposta di regolamento mette inoltre in collegamento l'attività dell'attuale gruppo consultivo EES-ETIAS di eu-LISA con la futura attività sui dati API, sviluppando l'efficienza e le economie di scala in quanto evita la duplicazione dei gruppi di lavoro. Come sopra illustrato, le verifiche di frontiera che le norme previste dal regolamento proposto intendono agevolare e rafforzare devono essere svolte a norma del codice frontiere Schengen, ove applicabile, o a norma del diritto nazionale. Si applicheranno inoltre gli atti del diritto dell'UE solitamente applicabili in conformità con le condizioni da essi previste. Per quanto riguarda il trattamento dei dati personali, si tratta segnatamente del regolamento generale sulla protezione dei dati e del regolamento sulla protezione dei dati nell'ambito delle istituzioni europee. Tali atti non sono alterati dalla presente proposta. L'applicabilità degli atti citati del diritto dell'UE al trattamento dei dati API ricevuti a norma del presente regolamento comporta il fatto che gli Stati membri attuano il diritto dell'UE ai sensi dell'articolo 51, paragrafo 1, della Carta; pertanto si applicano anche le norme della Carta. In particolare, le norme di tali atti del diritto dell'UE devono essere interpretate alla luce della Carta. Le linee guida dell'ICAO sui documenti di viaggio a lettura ottica sono recepite nel regolamento (UE) 2019/1157 sul rafforzamento della sicurezza delle carte d'identità dei cittadini dell'Unione e nel regolamento (CE) n. 2252/2004 relativo alle norme sulle caratteristiche di sicurezza e sugli elementi biometrici dei passaporti. Tali regolamenti permettono di estrarre dati completi e di qualità elevata dai documenti di viaggio in maniera automatizzata. Il regolamento proposto continuerebbe a fare parte dell'acquis di Schengen. I dati API continueranno a essere ricevuti e ulteriormente trattati dalle autorità di frontiera competenti degli Stati membri, unicamente per le finalità di gestione delle frontiere e di contrasto dell'immigrazione illegale per le quali i dati API sono stati raccolti a norma della proposta di regolamento. La presente proposta è strettamente connessa alla proposta di regolamento sulla raccolta e sul trasferimento dei dati API per fini di prevenzione, accertamento, indagine e azione penale riguardo ai reati di terrorismo e ai reati gravi, nella misura in cui le due proposte contengono disposizioni simili sull'elenco degli elementi dei dati API, sulla raccolta dei dati API mediante mezzi automatizzati e sul trasferimento dei dati al router. 2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ

•Base giuridica Per la presente proposta di regolamento sulla raccolta e sul trasferimento di dati API per fini di gestione delle frontiere e per il contrasto dell'immigrazione illegale, alla luce dell'obiettivo e delle misure previste, la base giuridica idonea è costituita dall'articolo 77, paragrafo 2, lettere b) e d), e dall'articolo 79, paragrafo 2, lettera c), del trattato sul funzionamento dell'Unione europea (TFUE). In virtù dell'articolo 77, paragrafo 2, lettera b), TFUE, l'Unione ha la facoltà di adottare misure riguardanti le verifiche alle quali sono sottoposte le persone che attraversano le frontiere esterne e, in virtù della lettera d), ha la facoltà di adottare qualsiasi misura necessaria per la progressiva creazione di un sistema integrato di gestione delle frontiere esterne. In virtù dell'articolo 79, paragrafo 2, lettera c), TFUE, l'Unione ha la facoltà di adottare misure riguardanti l'immigrazione illegale. A tale proposito, è garantita la coerenza con la direttiva API vigente, che si basa sulle medesime disposizioni. •Sussidiarietà Il TFUE conferisce esplicitamente all'Unione il potere di sviluppare una politica comune sulle verifiche alle quali sono sottoposte le persone che attraversano le frontiere esterne, obiettivo che è chiaramente da perseguire a livello dell'UE. Si tratta al contempo di un'area di competenza concorrente tra l'UE e gli Stati membri. La necessità di norme comuni sulla raccolta e sul trasferimento dei dati API per la gestione delle frontiere e il contrasto dell'immigrazione illegale è collegata, in particolare e fatta salva la posizione specifica dell'Irlanda, alla creazione dello spazio Schengen e all'istituzione di norme comuni che disciplinano la circolazione delle persone attraverso le frontiere esterne, in particolare con il codice frontiere Schengen. In tale contesto, le decisioni di uno Stato membro influiscono su altri Stati membri, per cui è necessario disporre di pratiche operative e norme chiare e comuni in tale settore. Affinché le verifiche alle frontiere esterne siano efficienti ed efficaci, è necessario un approccio coerente in tutto lo spazio Schengen, ivi compresa la possibilità di verifiche preliminari dei viaggiatori con i dati API. La necessità di un'azione dell'UE sui dati API in questo momento deriva altresì dai recenti sviluppi legislativi sulla gestione delle frontiere esterne dello spazio Schengen, segnatamente: –il regolamento sull'interoperabilità del 2019 consentirà verifiche sistematiche delle persone che attraversano le frontiere esterne basate su tutte le informazioni pertinenti e disponibili nei sistemi di informazione centralizzati dell'UE per la gestione della migrazione, delle frontiere e della sicurezza. La creazione di un meccanismo di trasmissione centralizzato per i dati API a livello dell'UE costituisce il proseguimento logico di tale prospettiva. In base a quanto riportato nel regolamento sull'interoperabilità, la trasmissione centralizzata dei dati API potrebbe portare in futuro all'utilizzo di tali dati per l'interrogazione di varie banche dati (SIS, dati Europol) attraverso il portale di ricerca europeo. –Alle frontiere esterne, l'utilizzo dei dati API integrerebbe efficacemente la prossima attuazione del sistema europeo di informazione e autorizzazione ai viaggi (ETIAS) e del sistema di ingressi/uscite (EES). L'utilizzo dei dati API rimarrebbe necessario ai fini della gestione delle frontiere esterne in quanto consente alle guardie di frontiera di sapere in anticipo se un viaggiatore si è realmente imbarcato su un aereo e sta per entrare nello spazio Schengen, agevolando pertanto la verifica di frontiera che avrà luogo all'arrivo del viaggiatore alle frontiere esterne. •Proporzionalità Secondo il principio di proporzionalità di cui all'articolo 5, paragrafo 4, TUE, la natura e l'intensità di una misura devono corrispondere a quelle del problema individuato. Tutti i problemi affrontati con la presente iniziativa legislativa richiedono in un modo o nell'altro un intervento legislativo a livello dell'UE che consenta agli Stati membri di affrontarli efficacemente senza andare oltre ciò che è necessario. La presente proposta rafforzerà il quadro giuridico per la raccolta e il trasferimento dei dati API ai fini della gestione delle frontiere esterne e del contrasto dell'immigrazione illegale. Rafforzerà l'uso dei dati API quale strumento per migliorare le verifiche preliminari dei viaggiatori alle frontiere esterne, favorendo pertanto non solo l'efficacia e l'efficienza delle verifiche stesse ma anche l'obiettivo di contrastare l'immigrazione illegale, specialmente in relazione ai viaggi aerei transfrontalieri e alle responsabilità dei vettori aerei in merito. In linea con le norme internazionali e le pratiche raccomandate, la presente proposta richiederà ai vettori aerei di raccogliere e trasferire i dati API per tutti i voli nell'Unione, secondo quanto definito nella proposta. Gli obblighi di cui alla presente proposta sono limitati a quanto necessario per conseguire tale obiettivo. Più precisamente, la presente proposta stabilisce norme chiare riguardanti, tra l'altro, la definizione di dati API, i voli per i quali i vettori aerei dovrebbero raccogliere i dati API e il trasferimento di tali dati. La presente proposta stabilirà, attraverso un regolamento, un approccio coerente per l'utilizzo dei dati API per la gestione delle frontiere esterne e il contrasto dell'immigrazione illegale. La standardizzazione degli obblighi relativi ai dati API in tutti gli Stati membri favorirà una maggiore prevedibilità e certezza del diritto e, pertanto, una maggiore conformità da parte dei vettori aerei. La proporzionalità è inoltre garantita attraverso vari elementi della proposta di regolamento, quali la limitazione ai voli in arrivo, il fatto che la prescrizione di utilizzare mezzi automatizzati riguardi solo determinati dati API nonché le misure di salvaguardia riguardanti la finalità e la modalità di trattamento dei dati API. La proposta di regolamento prevede la creazione di un router che funga da punto di collegamento unico tra gli Stati membri e i vettori aerei, in linea con le raccomandazioni internazionali, e definisce un approccio europeo per la raccolta e la trasmissione dei dati API. La trasmissione dei dati API attraverso il router ridurrà i costi per il settore aereo e garantirà che le guardie di frontiera dispongano di un accesso rapido e continuo ai dati API di cui necessitano per operare nel contesto di verifiche di frontiera avanzate. Quanto agli Stati membri, tale approccio ridurrà drasticamente il numero di collegamenti da stabilire e mantenere. Di conseguenza, ciò renderà più semplice per i vettori aerei mantenere i collegamenti con le autorità di frontiera competenti e introdurrà economie di scala. Un'agenzia dell'UE, vale a dire eu-LISA, sarà responsabile per la progettazione, lo sviluppo, l'hosting e la gestione tecnica del router. Il trasferimento dei dati API attraverso il router favorirà il monitoraggio dei voli e ridurrà pertanto la probabilità che un vettore non assolva all'obbligo di comunicare i dati API secondo quanto prescritto nella presente proposta. •Scelta dell'atto giuridico È proposto un regolamento. Come illustrato nella valutazione d'impatto che accompagna la presente proposta e alla luce della necessità che le misure proposte siano direttamente applicabili e applicate in modo uniforme in tutti gli Stati membri, il regolamento costituisce l'atto giuridico opportuno. 3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D'IMPATTO •Valutazioni ex post della legislazione vigente La valutazione della direttiva API ha mostrato che la motivazione per la raccolta dei dati API e il loro trasferimento alle autorità di frontiera competenti è ancora valida 15 anni dopo l'entrata in vigore della direttiva. Gli obiettivi attuali della direttiva, segnatamente il miglioramento della gestione del controllo di frontiera, che a sua volta può contribuire a contrastare la migrazione irregolare, restano estremamente pertinenti per le esigenze dei portatori di interessi e la società in generale. Inoltre, la raccolta e il trasferimento dei dati API sono stati reputati pertinenti al fine di agevolare i viaggi legittimi.

Nella valutazione è emerso che la mancanza di armonizzazione nell'attuazione della direttiva costituisce un ostacolo per la sua efficacia e coerenza. A causa delle prescrizioni minime imposte dalla direttiva, l'attuazione dei sistemi API come pure l'utilizzo concreto dei dati API sono caratterizzati da un quadro frammentato. Inoltre, la discrezione lasciata agli Stati membri per quanto riguarda l'utilizzo dei dati API per finalità di contrasto, senza prevedere una definizione chiara di tali finalità né stabilire un quadro di riferimento, ha portato a un'attuazione disorganica a livello nazionale. La valutazione ha altresì rilevato discrepanze con altri strumenti dell'UE che sono fonte di sfide di natura operativa a livello pratico e di incertezza per le parti coinvolte, segnatamente gli interessati. Le prescrizioni in materia di protezione dei dati personali previste dalla direttiva API non sono pienamente in linea con gli sviluppi più recenti nel settore. La direttiva API non è peraltro pienamente coerente con il quadro normativo internazionale sulle informazioni sui passeggeri, segnatamente per quanto concerne i campi dei dati e le norme in materia di trasmissione. La valutazione ha evidenziato varie lacune riguardanti la direttiva API, vale a dire la mancanza di: i) standardizzazione e armonizzazione, ii) determinate misure di salvaguardia per la protezione dei dati e iii) un chiaro allineamento con gli sviluppi giuridici e la politica più recenti a livello dell'UE. Tali elementi incidono sull'impatto della direttiva, creano oneri per i portatori di interessi e generano un certo livello di incertezza giuridica, sia per i vettori aerei che raccolgono e trasferiscono i dati API che per le autorità di frontiera competenti che li ricevono e successivamente li trattano nonché, in ultima analisi, per i passeggeri. I risultati della valutazione hanno sostenuto la preparazione della valutazione d'impatto e della presente proposta. •Consultazioni dei portatori di interessi L'elaborazione della presente proposta ha comportato un'ampia serie di consultazioni dei portatori di interessi, ivi compresi le autorità degli Stati membri (autorità di frontiera competenti, unità d'informazione sui passeggeri), i rappresentanti del settore dei trasporti e i singoli vettori aerei. Le agenzie dell'UE, quali l'Agenzia europea della guardia di frontiera e costiera (Frontex), l'Agenzia dell'Unione europea per la cooperazione nell'attività di contrasto (Europol), l'Agenzia dell'Unione europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (eu-LISA) e l'Agenzia dell'Unione europea per i diritti fondamentali (FRA), hanno anch'esse fornito contributi alla luce del loro mandato e delle loro competenze. La presente iniziativa integra inoltre i pareri e le osservazioni ricevuti durante la consultazione pubblica svolta alla fine del 2019 nel quadro della valutazione della direttiva API. Le attività di consultazione nel contesto della preparazione della valutazione d'impatto su cui si basa la presente proposta hanno consentito di raccogliere le osservazioni dei portatori di interessi con vari metodi. Sono stati svolti, in particolare, una valutazione d'impatto iniziale, uno studio di sostegno esterno e una serie di seminari tecnici. La valutazione d'impatto iniziale è stata pubblicata per raccogliere osservazioni dal 5 giugno 2020 al 14 agosto 2020; sono stati ricevuti sette contributi che hanno fornito osservazioni riguardanti la portata dell'ambito di applicazione della futura direttiva API, la qualità dei dati, le sanzioni, il rapporto tra i dati API e i dati dei codici di prenotazione (PNR) nonché la protezione dei dati personali. Lo studio di sostegno esterno è stato svolto sulla base di ricerche documentali, interviste e sondaggi con esperti in materia che hanno esaminato varie misure possibili per trattare i dati API secondo norme chiare che agevolino i viaggi legittimi e siano compatibili con l'interoperabilità dei sistemi di informazione dell'UE, gli obblighi in materia di protezione dei dati personali dell'UE, altri strumenti dell'UE vigenti e norme internazionali. I servizi della Commissione hanno organizzato una serie di seminari tecnici con esperti degli Stati membri e dei paesi associati Schengen, per uno scambio di opinioni sulle possibili opzioni previste onde rafforzare il futuro quadro API ai fini della gestione delle frontiere e del contrasto dell'immigrazione illegale nonché della lotta contro la criminalità e il terrorismo. La valutazione d'impatto che accompagna la presente proposta riporta una descrizione più dettagliata della consultazione dei portatori di interesse (allegato 2). •Valutazione d'impatto Conformemente alle linee guida per legiferare meglio, la Commissione ha svolto una valutazione di impatto, illustrata nel documento di lavoro dei servizi che accompagna la presente proposta. Il comitato per il controllo normativo ha riesaminato il progetto di valutazione d'impatto nella riunione del 28 settembre 2022 e ha espresso un parere positivo il 30 settembre 2022. Alla luce dei problemi individuati in relazione alla raccolta e al trasferimento dei dati API, la valutazione d'impatto ha esaminato le opzioni strategiche sulla portata della raccolta dei dati API per le finalità citate, unitamente alle opzioni sui mezzi atti a migliorare la qualità dei dati API. Per quanto riguarda la raccolta dei dati API per la gestione delle frontiere esterne e il contrasto dell'immigrazione illegale, la valutazione d'impatto ha considerato, da un lato, la raccolta dei dati API di tutti i voli extra Schengen in arrivo e, dall'altro lato, la raccolta dei dati API di tutti i voli extra Schengen in arrivo e in partenza. Inoltre, la valutazione d'impatto ha tenuto conto delle possibilità di miglioramento della qualità dei dati API: raccogliere i dati API con mezzi sia automatizzati che manuali, oppure soltanto con mezzi automatizzati. Poiché tutta la serie di dati API è generata non appena i passeggeri sono a bordo di un aereo, le guardie di frontiera riceverebbero i dati API solo dopo le verifiche all'uscita fisica dei viaggiatori e l'esame dei loro passaporti, quindi troppo tardi per servirsene; l'opzione di raccogliere i dati API di tutti i voli in arrivo e in partenza pertinenti non è stata pertanto considerata parte dell'opzione prescelta. In base ai risultati della relazione sulla valutazione d'impatto, l'opzione prescelta relativamente a uno strumento API per tali fini prevede la raccolta dei dati API di tutti i voli in arrivo pertinenti, con la raccolta da parte dei vettori aerei di determinati dati API solo mediante mezzi automatizzati. Una combinazione di queste opzioni migliorerebbe la capacità degli Stati membri di utilizzare i dati API per effettuare in modo efficace ed efficiente le verifiche preliminari sui viaggiatori aerei prima del loro arrivo alle frontiere esterne. La standardizzazione delle prescrizioni in materia di raccolta e trasferimento dei dati API aumenterebbe la conformità del settore delle compagnie aeree in quanto gli obblighi sarebbero identici in tutti gli Stati membri. La disponibilità di dati API più affidabili e verificati, compresi quelli raccolti con mezzi automatizzati, consentirebbe di individuare i viaggiatori ad alto rischio e accelererebbe le verifiche alle frontiere esterne e l'autorizzazione dei passeggeri al loro arrivo. La proposta è in linea con l'obiettivo di neutralità climatica di cui alla normativa europea sul clima nonché con gli obiettivi dell'Unione per il 2030 e il 2040. La valutazione d'impatto ha altresì preso in considerazione (e scartato) opzioni quali la raccolta dei dati API da parte di operatori di altri mezzi di trasporto, ad esempio i trasporti marittimi, ferroviari e mediante autobus. La valutazione d'impatto ha indicato che vigono già norme internazionali ed europee che impongono agli operatori dei trasporti marittimi di trasferire in anticipo le informazioni sui passeggeri alle autorità di frontiera degli Stati membri sulle rotte di arrivo e di partenza. Un ulteriore obbligo europeo che richieda agli operatori dei trasporti marittimi di trasferire i dati API sarebbe pertanto ridondante. Nel settore dei trasporti terrestri, quali treni o autobus, la raccolta dei dati dei passeggeri è più complessa che nel settore aereo (per l'assenza di procedure di check-in e la mancanza di un rilascio sistematico di biglietti nominativi) e imporrebbe ingenti investimenti nell'infrastruttura fisica degli operatori, con ripercussioni sostanziali sul loro modello economico e sui passeggeri. La scelta di non disciplinare tali aspetti nella presente proposta di regolamento non pregiudica le pratiche di alcuni Stati membri che richiedono i dati sui passeggeri sui collegamenti ferroviari sulla base della normativa nazionale, purché rispettino il diritto dell'UE. •Diritti fondamentali e protezione dei dati personali La presente iniziativa prevede il trattamento di dati personali dei viaggiatori e limita pertanto l'esercizio del diritto fondamentale alla protezione dei dati personali quale garantito dall'articolo 8 della Carta dei diritti fondamentali dell'UE ("Carta") e dall'articolo 16 TFUE. Come sottolineato dalla Corte di giustizia dell'UE, il diritto alla protezione dei dati personali non costituisce una prerogativa assoluta ma ogni eventuale limitazione va considerata alla luce della sua funzione sociale e deve rispettare i criteri di cui all'articolo 52, paragrafo 1, della Carta. La protezione dei dati personali è altresì strettamente connessa al rispetto del diritto alla vita privata, quale parte del diritto alla vita privata e alla vita familiare sancito dall'articolo 7 della Carta. L'obbligo per i vettori aerei di raccogliere i dati API di tutti i viaggiatori che attraversano le frontiere esterne e, in seguito, di trasferire tali dati API, attraverso il router, alle autorità di frontiera competenti corrisponde all'obiettivo di contribuire a far sì che le verifiche preliminari alle frontiere esterne siano svolte in modo efficace ed efficiente su tutti i viaggiatori che entrano negli Stati membri, e pertanto anche all'obiettivo del contrasto dell'immigrazione illegale. Le autorità di frontiera competenti non prenderanno alcuna decisione unicamente in base ai dati API, ma la presente proposta consentirà loro di organizzare le loro attività in anticipo e agevolerà l'ingresso dei passeggeri in buona fede nonché l'individuazione di altri passeggeri. L'ingerenza nei diritti fondamentali citati è limitata a quanto strettamente necessario per conseguire gli obiettivi di cui sopra: in particolare, la raccolta dei dati di identità si limita alle informazioni contenute nel documento di viaggio dei viaggiatori e la portata del trattamento è limitata al minimo necessario, anche per quanto riguarda il periodo di tempo durante il quale sono conservati i dati personali. L'utilizzo obbligatorio di mezzi automatizzati da parte dei vettori aerei per la raccolta dei dati API dei viaggiatori può comportare rischi aggiuntivi dal punto di vista della protezione dei dati personali. Tali rischi sono stati tuttavia limitati e attenuati. In primo luogo, l'obbligo si applica solo in relazione a determinati dati API, laddove i mezzi automatizzati devono essere utilizzati in modo responsabile per quanto concerne i dati leggibili da dispositivi automatici contenuti nei documenti dei viaggiatori. In secondo luogo, la proposta di regolamento stabilisce obblighi riguardanti i mezzi automatizzati da utilizzare, che devono essere ulteriormente specificati in un atto delegato. Infine sono previste varie misure di salvaguardia, ad esempio in materia di registrazione, norme specifiche sulla protezione dei dati personali e un controllo efficace.

La presente proposta comprende inoltre specifiche misure di salvaguardia aggiuntive atte a garantire la conformità con la Carta, anche per quanto concerne la sicurezza del trattamento dei dati personali, la cancellazione e la limitazione delle finalità nonché il diritto di informazione dei viaggiatori. Inoltre, al di là della disposizione che garantisce il rispetto del principio di limitazione delle finalità, sebbene il regolamento proposto non disciplini l'utilizzo che le autorità di frontiera competenti fanno dei dati API che ricevono in virtù dello stesso in quanto è già disciplinato da altre normative (il codice frontiere Schengen, la normativa sulla protezione dei dati personali, la Carta), per maggiore chiarezza si ricorda nei considerando che tale uso non può comportare alcuna discriminazione vietata in virtù dell'articolo 21 della Carta. 4.INCIDENZA SUL BILANCIO La presente iniziativa legislativa sulla raccolta e sul trasferimento dei dati API per agevolare le verifiche alle frontiere esterne avrebbe un impatto sul bilancio e sul personale necessario delle autorità di frontiera competenti degli Stati membri e di eu-LISA. Per quanto riguarda eu-LISA, si calcola che siano necessari una dotazione aggiuntiva di circa 45 milioni di EUR (33 milioni nell'ambito del QFP attuale) per la creazione del router e 9 milioni di EUR all'anno a partire dal 2029 per la relativa gestione tecnica nonché circa 27 posti aggiuntivi per garantire che eu-LISA disponga delle risorse necessarie per svolgere i compiti che le sono assegnati nella presente proposta di regolamento e nella proposta di regolamento per la raccolta e il trasferimento dei dati API a fini di prevenzione, accertamento, indagine e azione penale nei confronti dei reati di terrorismo e dei reati gravi. Si calcola che gli Stati membri possano avere diritto al rimborso da parte del fondo dello strumento per la gestione delle frontiere e i visti di 27 milioni di EUR (8 milioni di EUR nel contesto dell'attuale quadro finanziario pluriennale) dedicati al potenziamento delle infrastrutture e dei sistemi nazionali necessari per le autorità di gestione delle frontiere nonché, in modo progressivo, di un importo pari fino a 5 milioni di EUR all'anno a partire dal 2028 per la relativa manutenzione. Ogni eventuale diritto a beneficiare di tali contributi dovrà in ultima analisi essere determinato in conformità delle norme che disciplinano i fondi i questione nonché delle norme sui costi previste dalla proposta di regolamento. Alla luce dello stretto rapporto tra la presente proposta di regolamento e la proposta di regolamento per la raccolta e il trasferimento dei dati API a fini di prevenzione, accertamento, indagine e azione penale riguardo ai reati di terrorismo e ai reati gravi, segnatamente per quanto attiene al trasferimento dei dati API al router, la scheda finanziaria legislativa, allegata alla presente proposta di regolamento, è identica per entrambe le proposte. 5.ALTRI ELEMENTI •Piani attuativi e modalità di monitoraggio, valutazione e informazione La Commissione assicurerebbe che siano in atto le disposizioni necessarie per monitorare il funzionamento delle misure proposte e valutarle rispetto ai principali obiettivi strategici. Quattro anni dopo l'entrata in vigore del regolamento e, successivamente, ogni quattro anni, la Commissione presenterebbe una relazione al Parlamento europeo e al Consiglio sulla valutazione dell'attuazione del regolamento e del suo valore aggiunto. La relazione illustrerebbe altresì eventuali impatti diretti o indiretti sui diritti fondamentali pertinenti. Esaminerebbe i risultati conseguiti rispetto agli obiettivi, valutando nel contempo se i principi di base siano ancora validi e studiando le eventuali implicazioni per le opzioni future. Il carattere vincolante dell'obbligo di raccolta dei dati API e di introduzione del router offrirà una panoramica più chiara sia sulla raccolta che sulla trasmissione dei dati API da parte dei vettori aerei come pure sul successivo utilizzo dei dati API da parte degli Stati membri in conformità con la legislazione nazionale e dell'Unione applicabile. Ciò agevolerà la Commissione europea nelle sue attività di valutazione ed attuazione fornendole statistiche affidabili sul volume di dati trasmessi e sui voli per i quali sarebbero richiesti i dati API. •Geometria variabile La presente proposta costituisce uno sviluppo dell'acquis di Schengen in materia di frontiere esterne in quanto riguarda l'attraversamento delle frontiere esterne. È pertanto opportuno tenere in considerazione le conseguenze seguenti in relazione al protocollo (n. 19) sull'acquis di Schengen integrato nell'ambito dell'Unione europea, allegato al TUE e al TFUE, e al protocollo (n. 22) sulla posizione della Danimarca, allegato al TUE e al TFUE. La proposta rientra nelle misure dell'acquis di Schengen a cui l'Irlanda partecipa a norma dell'articolo 6, paragrafo 2, della decisione 2002/192/CE del Consiglio, del 28 febbraio 2002, riguardante la richiesta dell'Irlanda di partecipare ad alcune disposizioni dell'acquis di Schengen. La partecipazione dell'Irlanda alla presente proposta riguarda segnatamente le responsabilità dell'Unione relative all'adozione di misure che sviluppano le disposizioni dell'acquis di Schengen volte a combattere l'immigrazione illegale cui partecipa l'Irlanda. L'Irlanda partecipa, in particolare, nell'ottica dell'inserimento nell'articolo 1, primo comma, di tale decisione del Consiglio di un riferimento all'articolo 26 della convenzione di applicazione dell'accordo di Schengen riguardo alle responsabilità dei vettori aerei in relazione agli stranieri cui è negato l'ingresso e al possesso da parte di questi ultimi dei documenti di viaggio necessari. L'Irlanda partecipa all'intero regolamento proposto. A norma degli articoli 1 e 2 del protocollo n. 22 sulla posizione della Danimarca, allegato al TUE e al TFUE, la Danimarca non partecipa all'adozione della presente proposta, non è da essa vincolata né è soggetta alla sua applicazione una volta adottata. Dato che il regolamento proposto si basa sull'acquis di Schengen, la Danimarca deve decidere, ai sensi dell'articolo 4 di tale protocollo, entro sei mesi dalla decisione del Consiglio sulla presente proposta, se intende recepirlo nel proprio diritto interno. Per quanto riguarda Cipro, la Bulgaria, la Romania e la Croazia, il regolamento proposto costituirà un atto basato sull'acquis di Schengen o a esso altrimenti connesso ai sensi, rispettivamente, dell'articolo 3, paragrafo 1, dell'atto di adesione del 2003, dell'articolo 4, paragrafo 1, dell'atto di adesione del 2005 e dell'articolo 4, paragrafo 1, dell'atto di adesione del 2011. Per quanto riguarda l'Islanda, la Norvegia, la Svizzera e il Liechtenstein, il regolamento proposto costituirà uno sviluppo delle disposizioni dell'acquis di Schengen ai sensi dei loro rispettivi accordi di associazione. •Illustrazione dettagliata delle singole disposizioni della proposta Il capo 1 comprende le disposizioni generali del presente regolamento, a cominciare dalle norme sull'oggetto e sull'ambito di applicazione. Contiene altresì un elenco di definizioni. Il capo 2 stabilisce le disposizioni per la raccolta e il trasferimento dei dati API, segnatamente una serie chiara di norme per la raccolta dei dati API da parte dei vettori aerei, le norme riguardanti il trasferimento dei dati API al router, il trattamento dei dati API da parte delle autorità di frontiera competenti nonché la conservazione e la cancellazione dei dati API da parte dei vettori aerei e di tali autorità.

Il capo 3 contiene le disposizioni per la trasmissione dei dati API attraverso il router. Più nello specifico, contiene disposizioni che descrivono le caratteristiche principali del router, le norme sull'utilizzo del router, la procedura per la trasmissione dei dati API dal router alle autorità di frontiera competenti, la cancellazione dei dati API dal router, la conservazione delle registrazioni e le procedure in caso di impossibilità tecnica completa o parziale di utilizzare il router. Il capo 4 contiene una serie di disposizioni specifiche sulla protezione dei dati personali. In particolare, precisa chi sono i titolari e i responsabili del trattamento dei dati API che costituiscono dati personali a norma del presente regolamento. Illustra inoltre le misure richieste da eu-LISA per garantire la sicurezza del trattamento dei dati, in linea con le disposizioni di cui al regolamento (UE) 2018/1725. Indica le misure imposte ai vettori aerei e alle autorità di frontiera competenti per garantirne la verifica interna della conformità alle disposizioni pertinenti di cui al presente regolamento e alle norme in materia di audit. Il capo 5 disciplina determinate questioni specifiche riguardanti il router. Contiene prescrizioni sui collegamenti al router dei vettori aerei e delle autorità di frontiera competenti. Stabilisce altresì i compiti di eu-LISA riguardanti la progettazione e lo sviluppo del router, il suo hosting e la sua gestione tecnica nonché altri compiti di assistenza relativi ad esso. Il capo contiene inoltre disposizioni riguardanti i costi sostenuti da eu-LISA e dagli Stati membri nel quadro del presente regolamento, in particolare per quanto concerne i collegamenti degli Stati membri al router e l'integrazione con quest'ultimo. Comprende altresì disposizioni riguardanti la responsabilità per danni causati al router, l'entrata in funzione del router e la possibilità di un utilizzo del router su base volontaria da parte dei vettori aerei a determinate condizioni. Il capo 6 contiene disposizioni riguardanti la vigilanza, le possibili sanzioni applicabili ai vettori aerei in caso di mancato adempimento dei loro obblighi ai sensi del presente regolamento, le norme relative alle segnalazioni statistiche da parte di eu-LISA e la preparazione di un manuale pratico da parte della Commissione. Il capo 7 disciplina gli effetti su altri atti giuridici dell'UE. Più precisamente, contiene disposizioni riguardanti l'abrogazione della direttiva 2004/82/CE e le necessarie modifiche di altri strumenti vigenti, in particolare i regolamenti (UE) 2018/1726 e (UE) 2019/817. Il capo 8 contiene le disposizioni finali del presente regolamento, che riguardano l'adozione di atti delegati e di esecuzione, il monitoraggio e la valutazione del presente regolamento nonché la sua entrata in vigore e applicazione. 2022/0424 (COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO sulla raccolta e sul trasferimento delle informazioni anticipate sui passeggeri (API) al fine di migliorare e agevolare i controlli alle frontiere esterne, che modifica il regolamento (UE) 2019/817 e il regolamento (UE) 2018/1726 e abroga la direttiva 2004/82/CE del Consiglio IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA, visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 77, paragrafo 2, lettere b) e d), e l'articolo 79, paragrafo 2, lettera c), vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, visto il parere del Comitato economico e sociale europeo, deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1)Le verifiche sulle persone alle frontiere esterne contribuiscono notevolmente a garantire la sicurezza a lungo termine dell'Unione, degli Stati membri e dei cittadini e rimangono pertanto un'importante misura di salvaguardia, in particolare nello spazio senza controllo alle frontiere interne ("spazio Schengen"). Controlli efficienti ed efficaci alle frontiere esterne effettuati in conformità, in particolare, del regolamento (UE) 2016/399 del Parlamento europeo e del Consiglio, ove applicabili, contribuiscono a contrastare l'immigrazione illegale e a prevenire minacce per la sicurezza interna, l'ordine pubblico, la salute pubblica e le relazioni internazionali degli Stati membri. (2)L'uso dei dati dei viaggiatori e delle informazioni di volo trasferiti prima dell'arrivo dei viaggiatori, noti come informazioni anticipate sui passeggeri ("API"), contribuisce ad accelerare l'esecuzione delle verifiche necessarie durante il processo di attraversamento delle frontiere. Ai fini del presente regolamento tale processo riguarda, più specificamente, l'attraversamento delle frontiere tra un paese terzo o uno Stato membro non partecipante al presente regolamento, da un lato, e uno Stato membro partecipante al presente regolamento, dall'altro. Tale uso rafforza le verifiche alle frontiere esterne lasciando tempo sufficiente per permettere lo svolgimento di verifiche dettagliate e approfondite su tutti i viaggiatori, senza avere un effetto negativo sproporzionato sui viaggiatori in buona fede. È quindi opportuno, nell'interesse dell'efficacia e dell'efficienza delle verifiche alle frontiere esterne, stabilire un quadro giuridico adeguato affinché le autorità di frontiera degli Stati membri competenti presso tali valichi di frontiera esterni abbiano accesso ai dati API prima dell'arrivo dei viaggiatori. (3)Il quadro giuridico esistente sui dati API, costituito dalla direttiva 2004/82/CE del Consiglio e dalle disposizioni di diritto nazionale che recepiscono tale direttiva, si è rivelato importante per migliorare i controlli di frontiera, in particolare grazie all'istituzione di un contesto che permette agli Stati membri di introdurre misure che impongono ai vettori aerei obblighi di trasferimento dei dati API sui passeggeri trasportati nel loro territorio. Permangono tuttavia divergenze a livello nazionale. In particolare, i dati API non sono sistematicamente richiesti ai vettori aerei e questi sono soggetti a requisiti diversi per quanto riguarda il tipo di informazioni da raccogliere e le condizioni alle quali trasferire i dati API alle autorità di frontiera competenti. Oltre a comportare costi e complicazioni inutili per i vettori aerei, tali divergenze compromettono la possibilità di svolgere verifiche preliminari efficaci ed efficienti sulle persone che arrivano alle frontiere esterne.

(4)È quindi opportuno aggiornare e sostituire il quadro giuridico esistente per garantire che le norme sulla raccolta e sul trasferimento dei dati API al fine di migliorare e facilitare l'efficacia e l'efficienza delle verifiche di frontiera alle frontiere esterne e di contrastare l'immigrazione illegale siano chiare, armonizzate ed efficaci. (5)Per garantire un approccio il più possibile coerente a livello internazionale e alla luce delle norme sulla raccolta dei dati API applicabili a tale livello, il quadro giuridico aggiornato istituito dal presente regolamento dovrebbe tenere conto delle pratiche concordate a livello internazionale con il settore aeronautico e nel contesto dell'Organizzazione mondiale delle dogane, dell'Associazione internazionale del trasporto aereo e degli orientamenti dell'Organizzazione per l'aviazione civile internazionale sulle informazioni anticipate sui passeggeri. (6)La raccolta e il trasferimento dei dati API incidono sulla vita privata delle persone fisiche e comportano il trattamento di dati personali. Per rispettare pienamente i diritti fondamentali, in particolare il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali, conformemente alla Carta dei diritti fondamentali dell'Unione europea ("Carta"), occorre stabilire limiti e garanzie adeguati. In particolare il trattamento dei dati API, specialmente quelli che costituiscono dati personali, dovrebbe rimanere limitato a quanto necessario e proporzionato per il conseguimento degli obiettivi perseguiti dal presente regolamento. Occorre inoltre garantire che i dati API raccolti e trasferiti ai sensi del presente regolamento non comportino alcuna forma di discriminazione vietata dalla Carta. (7)Per conseguire tali obiettivi il presente regolamento dovrebbe applicarsi a tutti i vettori aerei che effettuano voli diretti verso l'Unione, come definiti nel presente regolamento, sia di linea che non di linea, indipendentemente dal loro luogo di stabilimento. (8)Ai fini dell'efficacia e della certezza del diritto è opportuno che siano elencate in modo chiaro ed esaustivo le informazioni, relative tanto ai singoli viaggiatori quanto al volo, che costituiscono congiuntamente i dati API da raccogliere e successivamente trasferire a norma del presente regolamento. Le informazioni di volo dovrebbero comprendere informazioni sul valico di frontiera di ingresso nel territorio dello Stato membro interessato in tutti i casi contemplati dal presente regolamento, ma queste ultime dovrebbero essere raccolte solo ove applicabile a norma del regolamento (UE) [API per l'attività di contrasto], vale a dire non quando i dati API si riferiscono a voli intra-UE. (9)Al fine di consentire flessibilità e innovazione, è opportuno lasciare in linea di principio a ciascun vettore aereo il compito di determinare in che modo adempiere ai propri obblighi di raccolta dei dati API previsti dal presente regolamento. Tuttavia, considerando che esistono soluzioni tecnologiche adeguate che consentono di raccogliere automaticamente determinati dati API garantendone al contempo l'esattezza, la completezza e l'aggiornamento, e tenendo conto dei vantaggi dell'uso di tale tecnologia in termini di efficacia ed efficienza, è opportuno imporre ai vettori aerei di raccogliere i dati API con mezzi automatizzati, ottenendo informazioni dai dati del documento di viaggio leggibili meccanicamente. (10)Alcuni mezzi automatizzati, ad esempio un'applicazione sicura sullo smartphone, sul computer o sulla webcam del viaggiatore in grado di ottenere i dati del documento di viaggio leggibili meccanicamente, permettono ai viaggiatori di fornire autonomamente determinati dati API durante la procedura di check-in online. Ai viaggiatori che non effettuano il check-in online i vettori aerei dovrebbero offrire la possibilità concreta di presentare i dati API leggibili meccanicamente durante il check-in all'aeroporto, con l'assistenza di un dispositivo self-service o del personale della compagnia aerea allo sportello. (11)È opportuno delegare alla Commissione il potere di adottare i requisiti tecnici e le norme procedurali che i vettori aerei devono rispettare in relazione all'uso di mezzi automatizzati per la raccolta dei dati API leggibili meccanicamente a norma del presente regolamento, in modo da aumentare la chiarezza e la certezza del diritto e contribuire a garantire la qualità dei dati e l'uso responsabile dei mezzi automatizzati. (12)Considerando i vantaggi offerti dall'uso di mezzi automatizzati per la raccolta dei dati API leggibili meccanicamente e la chiarezza derivante dai requisiti tecnici in materia, da adottare a norma del presente regolamento, è opportuno precisare che i vettori aerei che decidono di utilizzare mezzi automatizzati per raccogliere le informazioni che sono tenuti a trasmettere a norma della direttiva 2004/82/CE hanno la facoltà, ma non l'obbligo, di applicare tali requisiti, una volta adottati, in relazione all'uso di detti mezzi automatizzati, nella misura in cui tale direttiva lo consenta. L'applicazione volontaria di queste specifiche conformemente alla direttiva 2004/82/CE dovrebbe intendersi tale da non incidere in alcun modo sugli obblighi dei vettori aerei e degli Stati membri ai sensi di tale direttiva. (13)Per garantire l'efficacia e l'efficienza delle verifiche preliminari effettuate dalle autorità di frontiera competenti, i dati API ad esse trasferiti dovrebbero contenere i dati dei viaggiatori che si apprestano effettivamente ad attraversare le frontiere esterne, vale a dire che sono effettivamente a bordo dell'aeromobile. I vettori aerei dovrebbero pertanto trasferire i dati API direttamente dopo la chiusura del volo. Inoltre i dati API aiutano le autorità di frontiera competenti a distinguere i viaggiatori legittimi dai viaggiatori meritevoli di attenzione che, in quanto tali, potrebbero richiedere verifiche supplementari, il che imporrebbe un ulteriore coordinamento e la preparazione di misure di follow-up da prendere all'arrivo. Ciò potrebbe verificarsi, ad esempio, nel caso di un numero imprevisto di viaggiatori meritevoli di attenzione, i cui controlli fisici alle frontiere potrebbero incidere negativamente sulle verifiche di frontiera e allungare i tempi di attesa alle frontiere di altri viaggiatori legittimi. Per dare alle autorità di frontiera competenti l'opportunità di predisporre misure adeguate e proporzionate alla frontiera, come il rafforzamento temporaneo o la riallocazione del personale, in particolare laddove il tempo che intercorre tra la chiusura del volo e l'arrivo alle frontiere esterne è insufficiente per consentire a dette autorità di preparare la risposta più appropriata, è inoltre opportuno trasmettere i dati API prima dell'imbarco, al momento del check-in di ciascun viaggiatore. (14)Al fine di chiarire i requisiti tecnici applicabili ai vettori aerei e necessari per garantire che i dati API raccolti a norma del presente regolamento siano trasferiti al router in modo sicuro, efficace e rapido, dovrebbe essere conferito alla Commissione il potere di stabilire specifiche sui protocolli comuni e sui formati di dati supportati da utilizzare per tali trasferimenti. (15)Per evitare rischi di uso improprio e in linea con il principio di limitazione delle finalità, dovrebbe essere espressamente vietato alle autorità di frontiera competenti di trattare i dati API ricevuti a norma del presente regolamento per scopi diversi da quello di migliorare e agevolare l'efficacia e l'efficienza delle verifiche di frontiera alle frontiere esterne e contrastare l'immigrazione illegale. (16)Per avere il tempo sufficiente a svolgere efficacemente le verifiche preliminari su tutti i viaggiatori, compresi quelli che effettuano voli a lungo raggio o voli in coincidenza, e a verificare che i dati API raccolti e trasferiti dai vettori aerei siano completi, accurati e aggiornati e se necessario chiedere ai vettori aerei ulteriori chiarimenti, correzioni o integrazioni, le autorità di frontiera competenti dovrebbero conservare i dati API ricevuti a norma del presente regolamento per un periodo di tempo determinato e limitato a quanto strettamente necessario a tali fini. Analogamente, per poter rispondere a tali richieste i vettori aerei dovrebbero conservare i dati API che hanno trasferito a norma del presente regolamento per lo stesso periodo di tempo determinato e strettamente necessario. (17)Al fine di evitare che i vettori aerei debbano istituire e mantenere connessioni multiple con le autorità di frontiera competenti degli Stati membri per trasferire i dati API raccolti a norma del presente regolamento e di ovviare alle inefficienze e ai rischi per la sicurezza che ne conseguirebbero, è opportuno prevedere un unico router, creato e gestito a livello dell'Unione, che funga da punto di collegamento e distribuzione per tali trasferimenti. Nell'interesse dell'efficienza e dell'efficacia in termini di costi, il router dovrebbe avvalersi, per quanto tecnicamente possibile e nel pieno rispetto delle norme del presente regolamento e del regolamento (UE) [API per l'attività di contrasto], di componenti tecnici di altri sistemi pertinenti creati in base al diritto dell'Unione. (18)Il router dovrebbe trasmettere in modo automatizzato i dati API alle autorità di frontiera competenti, che dovrebbero essere determinate sulla base del valico di frontiera di ingresso nel territorio dello Stato membro indicato nei dati API in questione. Per agevolare il processo di distribuzione, ciascuno Stato membro dovrebbe indicare le autorità di frontiera competenti a ricevere i dati API trasmessi dal router. Per garantire il corretto funzionamento del presente regolamento e a fini di trasparenza è opportuno che tali informazioni siano rese pubbliche. (19)Il router dovrebbe servire unicamente ad agevolare la trasmissione dei dati API dai vettori aerei alle autorità di frontiera competenti ai sensi del presente regolamento e alle unità d'informazione sui passeggeri (UIP) in conformità del regolamento (UE) [API per l'attività di contrasto] e non dovrebbe costituire un archivio di dati API. Pertanto, per ridurre al minimo il rischio di accesso non autorizzato o di altri usi impropri e conformemente al principio della minimizzazione dei dati, è opportuno che i dati API siano conservati sul router per il tempo strettamente necessario ai fini tecnici connessi alla trasmissione e immediatamente cancellati dallo stesso in modo permanente e automatizzato appena completata la trasmissione, oppure, se del caso a norma del regolamento (UE) [API per l'attività di contrasto], che tali dati non siano affatto trasmessi. (20)Per garantire il corretto funzionamento della trasmissione dei dati API dal router, è opportuno delegare alla Commissione il potere di stabilire norme tecniche e procedurali dettagliate su tale trasmissione. Dette norme dovrebbero essere tali da assicurare una trasmissione sicura, efficace e rapida che non incida più del necessario sul viaggio dei passeggeri e sui vettori aerei. (21)Affinché i vettori aerei possano beneficiare quanto prima dei vantaggi offerti dall'uso del router sviluppato da eu-LISA a norma del presente regolamento e si abituino a usarlo, è opportuno che essi abbiano la facoltà, ma non l'obbligo, di ricorrere al router, per un periodo transitorio, per trasmettere le informazioni che sono tenuti a trasmettere a norma della direttiva 2004/82/CE. Il periodo transitorio dovrebbe iniziare nel momento in cui il router entra in funzione e terminare quando cessano di applicarsi gli obblighi previsti da tale direttiva. Per garantire che tale uso volontario del router avvenga in modo responsabile, dovrebbe essere richiesto previo consenso scritto dell'autorità competente tenuta a ricevere le informazioni, su richiesta del vettore aereo e dopo che tale autorità abbia effettuato verifiche e ottenuto garanzie, se necessario. Analogamente, al fine di evitare che i vettori aerei inizino e interrompano ripetutamente l'uso del router, è opportuno che una volta iniziato tale uso volontario il vettore aereo sia tenuto a proseguirlo, a meno che non vi siano ragioni oggettive per interromperlo ai fini della trasmissione delle informazioni all'autorità competente, ad esempio quando risulti che le informazioni non sono trasmesse in modo lecito, sicuro, efficace e rapido. Ai fini della corretta applicazione di questa facoltà di uso volontario del router, tenendo debitamente conto dei diritti e degli interessi di tutte le parti coinvolte, è opportuno stabilire le norme necessarie in materia di consultazioni e di comunicazione delle informazioni. L'uso volontario del router in applicazione della direttiva 2004/82/CE previsto dal presente regolamento non dovrebbe intendersi tale da incidere in alcun modo sugli obblighi dei vettori aerei e degli Stati membri ai sensi di tale direttiva. (22)Il router da creare e gestire a norma del presente regolamento dovrebbe ridurre e semplificare le connessioni tecniche necessarie per trasferire i dati API, limitandole a un'unica connessione per vettore aereo e per autorità di frontiera competente. Pertanto il presente regolamento fa obbligo a ogni autorità di frontiera competente e ogni vettore aereo di stabilire una connessione con il router e di conseguire la necessaria integrazione con lo stesso, in modo da garantire il corretto funzionamento del sistema di trasferimento dei dati API istituito dal presente regolamento. Per garantire il corretto funzionamento del sistema istituito dal presente regolamento e attuare i suddetti obblighi è opportuno che questi ultimi siano integrati da norme dettagliate. (23)Considerati gli interessi dell'Unione in gioco, i costi sostenuti da eu-LISA per assolvere i suoi compiti relativi al router a norma del presente regolamento e del regolamento (UE) [API per l'attività di contrasto] dovrebbero essere a carico del bilancio dell'Unione. Lo stesso dovrebbe valere per i costi adeguati sostenuti dagli Stati membri in relazione alle loro connessioni e alla loro integrazione con il router a norma del presente regolamento e conformemente alla legislazione applicabile, fatte salve alcune eccezioni. I costi coperti da tali eccezioni dovrebbero essere sostenuti dallo Stato membro interessato.

(24)Non si può escludere che, a causa di circostanze eccezionali e nonostante l'adozione di tutte le misure ragionevoli a norma del presente regolamento, il router o i sistemi o le infrastrutture che lo collegano alle autorità di frontiera competenti e ai vettori aerei non funzionino correttamente, con conseguente impossibilità tecnica di utilizzare il router per trasmettere i dati API. Data l'indisponibilità del router e il fatto che in generale non sarà ragionevolmente possibile per i vettori aerei trasferire i dati API interessati dal guasto in modo lecito, sicuro, efficace e rapido con mezzi alternativi, l'obbligo per i vettori aerei di trasferire tali dati API al router dovrebbe cessare di applicarsi fintanto che persiste l'impossibilità tecnica. In tal caso le parti interessate dovrebbero informarsi immediatamente a vicenda e adottare immediatamente tutte le misure necessarie per porre rimedio all'impossibilità tecnica, al fine di ridurne al minimo la durata e le conseguenze negative. Non è giustificato imporre ai vettori aerei di raccogliere e conservare i dati API relativi ai voli già arrivati, in quanto non utili per le verifiche di frontiera. Tale disposizione dovrebbe lasciare impregiudicati l'obbligo imposto dal presente regolamento a tutte le parti interessate di garantire il corretto funzionamento del router e dei rispettivi sistemi e infrastrutture, nonché l'imposizione di sanzioni ai vettori aerei in caso di mancato rispetto di tali obblighi, anche quando applicano detta disposizione in casi ingiustificati. Per scoraggiare tali usi impropri e facilitare il controllo e, se necessario, l'imposizione di sanzioni, i vettori aerei che applicano detta disposizione in caso di guasti del proprio sistema e della propria infrastruttura dovrebbero riferire in merito all'autorità di controllo competente. (25)Per garantire il rispetto del diritto fondamentale alla protezione dei dati personali, il presente regolamento dovrebbe identificare il titolare del trattamento e il responsabile del trattamento e stabilire norme in materia di audit. Ai fini di un monitoraggio efficace, che garantisca un'adeguata protezione dei dati personali e riduca al minimo i rischi per la sicurezza, dovrebbero inoltre essere previste norme in materia di registrazione, sicurezza del trattamento e autocontrollo. Laddove riguardino il trattamento di dati personali, tali disposizioni dovrebbero essere intese come complementari agli atti generalmente applicabili del diritto dell'Unione in materia di protezione dei dati personali, in particolare il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio e il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio. Il presente regolamento dovrebbe lasciare impregiudicati tali atti, che si applicano anche al trattamento dei dati personali ai sensi del presente regolamento conformemente alle sue disposizioni. (26)In particolare, le finalità delle operazioni di trattamento a norma del presente regolamento, vale a dire la trasmissione dei dati API dai vettori aerei alle autorità di frontiera competenti degli Stati membri tramite il router, sono intese ad assistere dette autorità nell'adempimento dei loro obblighi e compiti in materia di gestione delle frontiere connessi alla lotta contro l'immigrazione illegale. Pertanto le autorità di frontiera competenti che ricevono i dati API dovrebbero essere titolari del trattamento per la trasmissione dei dati API che costituiscono dati personali tramite router, per la conservazione di tali dati nel router nella misura in cui essa è necessaria a fini tecnici e per qualsiasi trattamento successivo che utilizzi tali dati per migliorare e agevolare le verifiche di frontiera alle frontiere esterne. I vettori aerei, a loro volta, dovrebbero essere titolari distinti del trattamento per quanto riguarda il trattamento dei dati API che costituiscono dati personali al quale essi sono tenuti a norma del presente regolamento. Su tale base, sia i vettori aerei che le autorità di frontiera competenti dovrebbero essere titolari distinti del trattamento per quanto riguarda il rispettivo trattamento dei dati API a norma del presente regolamento. (27)È opportuno prevedere che siano designate e abilitate autorità nazionali incaricate del controllo delle norme del presente regolamento, così da garantire che siano effettivamente applicate dai vettori aerei. Le disposizioni del presente regolamento relative a tale controllo, anche per quanto riguarda l'imposizione di sanzioni ove necessario, dovrebbero lasciare impregiudicati i compiti e i poteri delle autorità di controllo istituite a norma del regolamento (UE) 2016/679, anche in relazione al trattamento dei dati personali a norma del presente regolamento. (28)È opportuno che gli Stati membri prevedano sanzioni effettive, proporzionate e dissuasive, anche pecuniarie, a carico dei vettori aerei che non si conformano agli obblighi in materia di raccolta e trasferimento dei dati API ai sensi del presente regolamento. (29)Poiché il presente regolamento prevede l'istituzione di nuove norme sulla raccolta e sul trasferimento dei dati API da parte delle autorità di frontiera competenti al fine di migliorare e facilitare l'efficacia e l'efficienza delle verifiche di frontiera alle frontiere esterne, è opportuno abrogare la direttiva 2004/82/CE. (30)Poiché il router dovrebbe essere progettato, sviluppato, ospitato e gestito tecnicamente da eu-LISA, istituita dal regolamento (UE) 2018/1726 del Parlamento europeo e del Consiglio, è necessario modificare detto regolamento aggiungendo tale compito a quelli di eu-LISA. Al fine di conservare le relazioni e le statistiche del router nell'archivio centrale di relazioni e statistiche, è necessario modificare il regolamento (UE) 2019/817 del Parlamento europeo e del Consiglio. (31)Per adottare misure riguardanti i requisiti tecnici e le norme operative per i mezzi automatizzati di raccolta dei dati API leggibili meccanicamente, i protocolli comuni e i formati da utilizzare per il trasferimento dei dati API a cura dei vettori aerei, le norme tecniche e procedurali per la trasmissione dei dati API dal router alle autorità di frontiera competenti e alle UIP e le connessioni e l'integrazione con il router delle UIP e dei vettori aerei, è opportuno delegare alla Commissione il potere di adottare atti conformemente all'articolo 290 del trattato sul funzionamento dell'Unione europea riguardo, rispettivamente, agli articoli 5, 6, 11, 20 e 21. È di particolare importanza che durante i lavori preparatori la Commissione svolga adeguate consultazioni, anche a livello di esperti, nel rispetto dei principi stabiliti nell'accordo interistituzionale "Legiferare meglio" del 13 aprile 2016. In particolare, al fine di garantire la parità di partecipazione alla preparazione degli atti delegati, il Parlamento europeo e il Consiglio ricevono tutti i documenti contemporaneamente agli esperti degli Stati membri e i loro esperti hanno sistematicamente accesso alle riunioni dei gruppi di esperti della Commissione incaricati della preparazione di tali atti delegati. (32)È opportuno attribuire alla Commissione competenze di esecuzione al fine di garantire condizioni uniformi di esecuzione del presente regolamento, in particolare per quanto concerne l'entrata in funzione del router. È altresì opportuno che tali competenze siano esercitate conformemente al regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio. (33)Tutte le parti interessate, in particolare i vettori aerei e le autorità di frontiera competenti, dovrebbero avere il tempo sufficiente per compiere i preparativi necessari per poter ottemperare ai rispettivi obblighi stabiliti dal presente regolamento, tenendo conto del fatto che alcuni di questi preparativi, come quelli relativi agli obblighi in materia di connessione e integrazione con il router, potranno essere ultimati solo dopo il completamento delle fasi di progettazione e sviluppo del router e una volta che quest'ultimo sarà entrato in funzione. Pertanto il presente regolamento dovrebbe applicarsi solo a decorrere da una data appropriata successiva alla data di entrata in funzione del router, specificata dalla Commissione in conformità del presente regolamento. (34)Tuttavia le fasi di progettazione e sviluppo del router dovrebbero essere avviate e completate quanto prima in modo che il router possa entrare in funzione il prima possibile, il che richiederà anche l'adozione degli atti delegati e di esecuzione pertinenti previsti dal presente regolamento. Dovrebbero essere forniti senza indugio anche i chiarimenti previsti dal presente regolamento in merito all'applicazione delle specifiche relative all'uso di mezzi automatizzati in applicazione della direttiva 2004/82/CE. Gli articoli contenenti tali disposizioni dovrebbero pertanto applicarsi a decorrere dalla data di entrata in vigore del presente regolamento. Inoltre, al fine di consentire il prima possibile l'uso volontario del router, è opportuno che si applichino il prima possibile, ossia dall'entrata in funzione del router, l'articolo che dispone tale uso e altri articoli necessari a garantire che tale uso avvenga in modo responsabile. (35)Il presente regolamento non dovrebbe pregiudicare la possibilità per gli Stati membri di prevedere, ai sensi del loro diritto nazionale, un sistema di raccolta di dati API da prestatori di servizi di trasporto diversi da quelli specificati nel presente regolamento, a condizione che tali disposizioni nazionali siano conformi al diritto dell'Unione. (36)Poiché gli obiettivi del presente regolamento, vale a dire migliorare e agevolare l'efficacia e l'efficienza delle verifiche di frontiera alle frontiere esterne e contrastare l'immigrazione illegale, riguardano questioni di natura intrinsecamente transfrontaliera, essi non possono essere conseguiti in misura sufficiente dai singoli Stati membri ma possono essere conseguiti meglio a livello di Unione. L'Unione può quindi intervenire in base al principio di sussidiarietà sancito dall'articolo 5 del trattato sull'Unione europea. Il presente regolamento si limita a quanto è necessario per conseguire tale obiettivo in ottemperanza al principio di proporzionalità enunciato nello stesso articolo. (37)A norma degli articoli 1 e 2 del protocollo n. 22 sulla posizione della Danimarca, allegato al trattato sull'Unione europea e al trattato sul funzionamento dell'Unione europea, la Danimarca non partecipa all'adozione del presente regolamento, non è da esso vincolata né è soggetta alla sua applicazione. Dato che il presente regolamento si basa sull'acquis di Schengen, la Danimarca decide, ai sensi dell'articolo 4 di tale protocollo, entro sei mesi dalla decisione del Consiglio sul presente regolamento, se intende recepirlo nel proprio diritto interno. (38)L'Irlanda partecipa al presente regolamento, ai sensi dell'articolo 5, paragrafo 1, del protocollo n. 19 sull'acquis di Schengen integrato nell'ambito dell'Unione europea, allegato al trattato sull'Unione europea e al trattato sul funzionamento dell'Unione europea, e dell'articolo 6, paragrafo 2, della decisione 2002/192/CE del Consiglio. (39) La partecipazione dell'Irlanda al presente regolamento ai sensi dell'articolo 6, paragrafo 2, della decisione 2002/192/CE riguarda le responsabilità dell'Unione relative all'adozione di misure che sviluppano le disposizioni dell'acquis di Schengen volte a combattere l'immigrazione illegale cui partecipa l'Irlanda. (40)Per quanto riguarda l'Islanda e la Norvegia, il presente regolamento costituisce, ai sensi dell'accordo concluso dal Consiglio dell'Unione europea con la Repubblica d'Islanda e il Regno di Norvegia sulla loro associazione all'attuazione, all'applicazione e allo sviluppo dell'acquis di Schengen, uno sviluppo delle disposizioni dell'acquis di Schengen che rientrano nel settore di cui all'articolo 1, lettera A, della decisione 1999/437/CE del Consiglio. (41)Per quanto riguarda la Svizzera, il presente regolamento costituisce, ai sensi dell'accordo tra l'Unione europea, la Comunità europea e la Confederazione svizzera riguardante l'associazione di quest'ultima all'attuazione, all'applicazione e allo sviluppo dell'acquis di Schengen, uno sviluppo delle disposizioni dell'acquis di Schengen che rientrano nel settore di cui all'articolo 1, lettera A, della decisione 1999/437/CE del Consiglio, in combinato disposto con l'articolo 3 della decisione 2008/146/CE del Consiglio. (42)Per quanto riguarda il Liechtenstein, il presente regolamento costituisce, ai sensi del protocollo sottoscritto tra l'Unione europea, la Comunità europea, la Confederazione svizzera e il Principato del Liechtenstein sull'adesione del Principato del Liechtenstein all'accordo tra l'Unione europea, la Comunità europea e la Confederazione svizzera riguardante l'associazione della Confederazione svizzera all'attuazione, all'applicazione e allo sviluppo dell'acquis di Schengen, uno sviluppo delle disposizioni dell'acquis di Schengen che rientrano nel settore di cui all'articolo 1, lettera A, della decisione 1999/437/CE, in combinato disposto con l'articolo 3 della decisione 2011/350/UE del Consiglio. (43)Per quanto riguarda Cipro, la Bulgaria, la Romania e la Croazia, il presente regolamento costituisce un atto basato sull'acquis di Schengen o a esso altrimenti connesso ai sensi, rispettivamente, dell'articolo 3, paragrafo 1, dell'atto di adesione del 2003, dell'articolo 4, paragrafo 1, dell'atto di adesione del 2005 e dell'articolo 4, paragrafo 1, dell'atto di adesione del 2011.

(44)Conformemente all'articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il [XX], HANNO ADOTTATO IL PRESENTE REGOLAMENTO: CAPO 1 DISPOSIZIONI GENERALI Articolo 1 OGGETTO Al fine di migliorare e favorire l'efficacia e l'efficienza delle verifiche di frontiera alle frontiere esterne e di contrastare l'immigrazione illegale, il presente regolamento stabilisce norme riguardanti: a)la raccolta delle informazioni anticipate sui passeggeri ("dati API") sui voli verso l'Unione a cura dei vettori aerei; b)il trasferimento dei dati API al router a cura dei vettori aerei; c)la trasmissione dei dati API dal router alle autorità di frontiera competenti. Articolo 2 Ambito di applicazione Il presente regolamento si applica ai vettori aerei che effettuano voli di linea o non di linea verso l'Unione. Articolo 3 Definizioni Ai fini del presente regolamento si applicano le definizioni seguenti: a)"vettore aereo": l'impresa di trasporto aereo definita all'articolo 3, punto 1, della direttiva (UE) 2016/681; b)"verifiche di frontiera": le verifiche di frontiera definite all'articolo 2, punto 11, del regolamento (UE) 2016/399; c)"voli verso l'Unione": i voli in provenienza dal territorio di un paese terzo o di uno Stato membro che non partecipa al presente regolamento, con atterraggio previsto nel territorio di uno Stato membro che partecipa al presente regolamento;

d)"valico di frontiera": il valico di frontiera definito all'articolo 2, punto 8, del regolamento (UE) 2016/399; e)"volo di linea": un volo che opera con orario prestabilito, i cui biglietti possono essere acquistati dal pubblico; f)"volo non di linea": un volo che non opera con orario prestabilito e che non segue necessariamente una rotta regolare o prestabilita; g)"autorità di frontiera competente": l'autorità incaricata da uno Stato membro di procedere alle verifiche di frontiera e designata e notificata dallo Stato membro conformemente all'articolo 11, paragrafo 2; h)"passeggero": qualunque persona, esclusi i membri dell'equipaggio, trasportata o da trasportare in un aeromobile con il consenso del vettore aereo, consenso che risulta dalla registrazione di detta persona nell'elenco dei passeggeri; i)"equipaggio": l'insieme delle persone a bordo di un aeromobile durante il volo, esclusi i passeggeri, che opera l'aeromobile e lavora a bordo, compresi l'equipaggio di condotta e l'equipaggio di cabina; j)"viaggiatore": un passeggero o un membro dell'equipaggio; k)"informazioni anticipate sui passeggeri" o "dati API": i dati dei viaggiatori e le informazioni di volo di cui all'articolo 4, paragrafi 2 e 3, rispettivamente; l)"unità d'informazione sui passeggeri" o "UIP": l'autorità competente di cui all'articolo 3, lettera i), del regolamento (UE) [API per l'attività di contrasto]; m)"router": il router di cui all'articolo 9; n)"dati personali": le informazioni definite all'articolo 4, punto 1, del regolamento (UE) 2016/679. CAPO 2 RACCOLTA E TRASFERIMENTO DEI DATI API Articolo 4 Dati API raccolti dai vettori aerei 1.I vettori aerei raccolgono i dati API dei viaggiatori, che consistono nei dati dei viaggiatori e nelle informazioni di volo di cui ai paragrafi 2 e 3, rispettivamente, sui voli di cui all'articolo 2, al fine di trasferirli al router conformemente all'articolo 6. 2.I dati API consistono nei seguenti dati dei viaggiatori, relativi a ciascun viaggiatore sul volo: a)cognome; nome o nomi; b)data di nascita, sesso e cittadinanza; c)tipo e numero del documento di viaggio e codice a tre lettere del paese di rilascio del documento di viaggio;

d)data di scadenza della validità del documento di viaggio; e)status del viaggiatore (passeggero o membro dell'equipaggio); f)numero identificativo del codice di prenotazione (PNR) usato dal vettore aereo per localizzare un passeggero nel suo sistema d'informazione (PNR di identificazione della pratica); g)informazioni sul posto a sedere, quale il numero di posto nell'aeromobile assegnato al passeggero, ove il vettore aereo raccolga tali informazioni; h)informazioni sul bagaglio, quale il numero di bagagli imbarcati, ove il vettore aereo raccolga tali informazioni. 3.I dati API consistono inoltre nelle seguenti informazioni di volo relative al volo di ciascun viaggiatore: a)numero identificativo del volo se disponibile o altro mezzo chiaro e adeguato di identificazione del volo; b)ove applicabile, valico di frontiera di ingresso nel territorio dello Stato membro; c)codice dell'aeroporto di ingresso nel territorio dello Stato membro; d)primo punto di imbarco; e)data locale e ora locale stimata di partenza; f)data locale e ora locale stimata di arrivo. Articolo 5 Mezzi di raccolta dei dati API 1.I vettori aerei raccolgono i dati API conformemente all'articolo 4 in modo tale che i dati API che trasferiscono conformemente all'articolo 6 siano esatti, completi e aggiornati. 2.I vettori aerei raccolgono i dati API di cui all'articolo 4, paragrafo 2, lettere da a) a d), ricorrendo a mezzi automatizzati per raccogliere i dati del documento di viaggio del viaggiatore interessato leggibili meccanicamente. La raccolta è conforme ai requisiti tecnici e alle norme operative dettagliati di cui al paragrafo 4, ove tali norme siano state adottate e siano applicabili. Tuttavia, se è impossibile usare tali mezzi automatizzati perché i documenti di viaggio non contengono dati leggibili meccanicamente, i vettori aerei raccolgono i dati manualmente, in modo tale da garantire il rispetto del paragrafo 1. 3.I mezzi automatizzati usati dai vettori aerei per raccogliere i dati API conformemente al presente regolamento sono affidabili, sicuri e aggiornati. 4.Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 37 per integrare il presente regolamento stabilendo requisiti tecnici e norme operative dettagliati per la raccolta dei dati API di cui all'articolo 4, paragrafo 2, lettere da a) a d), conformemente ai paragrafi 2 e 3 del presente articolo. 5.I vettori che usano mezzi automatizzati per raccogliere le informazioni di cui all'articolo 3, paragrafo 1, della direttiva 2004/82/CE sono autorizzati a farlo applicando i requisiti tecnici su tale uso di cui al paragrafo 4, conformemente a detta direttiva.

Articolo 6 Obblighi dei vettori aerei riguardanti i trasferimenti di dati API 1.I vettori aerei trasferiscono i dati API al router con mezzi automatizzati. Il trasferimento è conforme alle norme dettagliate di cui al paragrafo 3, ove tali norme siano state adottate e siano applicabili. 2.I vettori aerei trasferiscono i dati API sia al momento del check-in che immediatamente dopo la chiusura del volo, vale a dire una volta che i passeggeri sono saliti a bordo dell'aeromobile pronto per la partenza e non è più possibile l'imbarco o lo sbarco di passeggeri. 3.Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 37 per integrare il presente regolamento stabilendo le norme dettagliate necessarie sui protocolli comuni e sui formati di dati supportati da usare per il trasferimento dei dati API al router di cui al paragrafo 1. 4.Qualora si renda conto di aver trasferito al router dati API inesatti, incompleti, non aggiornati o trattati illecitamente, o dati che non costituiscono dati API, il vettore aereo ne informa immediatamente l'Agenzia dell'Unione europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia (eu-LISA). Non appena riceve l'informazione eu-LISA la comunica immediatamente all'autorità di frontiera competente che ha ricevuto i dati API trasmessi tramite il router. Articolo 7 Trattamento dei dati API ricevuti Le autorità di frontiera competenti trattano i dati API ad esse trasmessi in conformità del presente regolamento, unicamente per le finalità di cui all'articolo 1. Articolo 8 Conservazione e cancellazione dei dati API 1.I vettori aerei conservano, per un periodo di 48 ore dal momento della partenza del volo, i dati API relativi al passeggero da essi raccolti conformemente all'articolo 4. Alla scadenza di tale periodo essi cancellano immediatamente detti dati API in via definitiva. 2.Le autorità di frontiera competenti conservano, per un periodo di 48 ore dal momento della partenza del volo, i dati API relativi al passeggero da esse ricevuti tramite il router conformemente all'articolo 11. Alla scadenza di tale periodo esse cancellano immediatamente detti dati API in via definitiva. 3.Qualora si renda conto che i dati API raccolti, trasferiti o ricevuti conformemente al presente regolamento sono inesatti, incompleti, non aggiornati o trattati illecitamente, o non costituiscono dati API, il vettore aereo o l'autorità di frontiera competente provvede a correggerli, completarli, aggiornarli o cancellarli in via definitiva. Ciò non pregiudica la facoltà del vettore aereo di conservare e usare i dati ove necessario per il normale svolgimento della sua attività conformemente alla legge applicabile. CAPO 3 DISPOSIZIONI RELATIVE AL ROUTER Articolo 9 Router 1.eu-LISA progetta, sviluppa, ospita e gestisce tecnicamente, in conformità degli articoli 22 e 23, un router che agevola il trasferimento dei dati API dai vettori aerei alle autorità di frontiera competenti e alle UIP a norma del presente regolamento e del regolamento (UE) [API per l'attività di contrasto], rispettivamente.

2.Il router è composto di: a)una infrastruttura centrale comprendente una serie di componenti tecnici che permettono la trasmissione dei dati API; b)un canale di comunicazione sicuro tra l'infrastruttura centrale e le autorità di frontiera competenti e le UIP e un canale di comunicazione sicuro tra l'infrastruttura centrale e i vettori aerei per il trasferimento dei dati API e per le comunicazioni ad essi relative. 3.Fatto salvo l'articolo 10, il router condivide e riutilizza nella massima misura tecnicamente possibile i componenti tecnici, compresi i componenti hardware e software, del servizio web di cui all'articolo 13 del regolamento (UE) 2017/2226 del Parlamento europeo e del Consiglio, del portale per i vettori di cui all'articolo 6, paragrafo 2, lettera k), del regolamento (UE) 2018/1240 e del portale per i vettori di cui all'articolo 2 bis, lettera h), del regolamento (CE) n. 767/2008 del Parlamento europeo e del Consiglio. Articolo 10 Uso esclusivo del router Il router è usato soltanto dai vettori aerei per trasferire i dati API e dalle autorità di frontiera competenti e dalle UIP per ricevere i dati API, rispettivamente in conformità del presente regolamento e del regolamento (UE) [API per l'attività di contrasto]. Articolo 11 Trasmissione dei dati API dal router alle autorità di frontiera competenti 1.Il router trasmette immediatamente e in maniera automatizzata i dati API ad esso trasferiti a norma dell'articolo 6 alle autorità di frontiera competenti dello Stato membro di cui all'articolo 4, paragrafo 3, lettera c). Esso li trasferisce secondo le norme dettagliate di cui al paragrafo 4, ove tali norme siano state adottate e siano applicabili. Ai fini di tale trasmissione eu-LISA istituisce e tiene aggiornata una tabella di corrispondenza tra i diversi aeroporti di origine e di destinazione, indicante anche i paesi a cui appartengono. 2.Gli Stati membri designano le autorità di frontiera competenti autorizzate a ricevere i dati API loro trasferiti dal router in conformità del presente regolamento. Entro la data di applicazione del presente regolamento di cui all'articolo 39, secondo comma, essi notificano a eu-LISA e alla Commissione il nome e i dati di contatto delle autorità di frontiera competenti e, se necessario, aggiornano tali informazioni. Sulla base di tali notifiche e aggiornamenti, la Commissione compila e pubblica l'elenco delle autorità di frontiera competenti notificate, unitamente ai loro dati di contatto. 3.Gli Stati membri provvedono affinché solo il personale debitamente autorizzato delle autorità di frontiera competenti abbia accesso ai dati API loro trasmessi tramite il router. Essi adottano le norme a tal fine necessarie. Tali norme riguardano anche la creazione e l'aggiornamento periodico dell'elenco dei membri di tale personale, con le relative qualifiche. 4.Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 37 per integrare il presente regolamento stabilendo le norme tecniche e procedurali dettagliate necessarie per la trasmissione dei dati API dal router di cui al paragrafo 1. Articolo 12 Cancellazione dei dati API dal router I dati API trasferiti al router a norma del presente regolamento e del regolamento (UE) [API per l'attività di contrasto] sono conservati nel router solo per il tempo necessario a completare la trasmissione alle autorità di frontiera competenti o alle UIP, a seconda dei casi, conformemente a tali regolamenti e sono immediatamente cancellati dal router in via definitiva e in maniera automatizzata in entrambe le situazioni seguenti: a)una volta completata la trasmissione dei dati API alle autorità di frontiera competenti o alle UIP, a seconda dei casi; b)per quanto riguarda il regolamento (UE) [API per l'attività di contrasto], se i dati API si riferiscono a voli intra-UE diversi da quelli inclusi negli elenchi di cui all'articolo 5, paragrafo 2, di tale regolamento.

Articolo 13 Registrazioni 1.eu-LISA conserva le registrazioni di tutte le operazioni di trattamento relative al trasferimento di dati API tramite il router a norma del presente regolamento e del regolamento (UE) [API per l'attività di contrasto]. Tali registrazioni riguardano i seguenti elementi: a)il vettore aereo che ha trasferito i dati API al router; b)le autorità di frontiera competenti e le UIP a cui sono stati trasmessi i dati API tramite il router; c)la data e l'ora dei trasferimenti di cui alle lettere a) e b) e il luogo di trasferimento; d)ogni accesso del personale di eu-LISA necessario per la manutenzione del router, di cui all'articolo 23, paragrafo 3; e)ogni altra informazione relativa a tali operazioni di trattamento necessaria per monitorare la sicurezza e l'integrità dei dati API e la liceità di detti trattamenti. Tali registrazioni non includono dati personali diversi dalle informazioni necessarie per identificare i membri del personale di eu-LISA di cui alla lettera d). 2.I vettori aerei creano registrazioni di tutte le operazioni di trattamento a norma del presente regolamento effettuate con i mezzi automatizzati di cui all'articolo 5, paragrafo 2. Tali registrazioni riguardano la data, l'ora e il luogo di trasferimento dei dati API. 3.Le registrazioni di cui ai paragrafi 1 e 2 sono usate solo per garantire la sicurezza e l'integrità dei dati API e la liceità del trattamento, in particolare per quanto riguarda la conformità alle disposizioni di cui al presente regolamento e al regolamento (UE) [API per l'attività di contrasto], compresi i procedimenti sanzionatori applicabili per violazione di tali disposizioni conformemente agli articoli 29 e 30 del presente regolamento. 4.eu-LISA e i vettori aerei adottano misure adeguate per proteggere le registrazioni da essi create a norma, rispettivamente, dei paragrafi 1 e 2 dall'accesso non autorizzato e da altri rischi per la sicurezza. 5.eu-LISA e i vettori aerei conservano le registrazioni da essi create a norma, rispettivamente, dei paragrafi 1 e 2 per un anno dal momento della creazione. Alla scadenza di tale periodo essi cancellano immediatamente le registrazioni in via definitiva. Tuttavia, se le registrazioni sono necessarie per le procedure volte a monitorare o garantire la sicurezza e l'integrità dei dati API o la liceità delle operazioni di trattamento di cui al paragrafo 2 e se tali procedure sono già iniziate alla scadenza del periodo di cui al primo comma, eu-LISA e i vettori aerei possono conservare le registrazioni per il tempo necessario a tali procedure. In tal caso, essi cancellano immediatamente le registrazioni quando non sono più necessarie per tali procedure. Articolo 14 Azioni in caso di impossibilità tecnica di usare il router 1.Qualora, a causa di un guasto del router, sia tecnicamente impossibile utilizzarlo per trasmettere i dati API, eu-LISA ne informa immediatamente i vettori aerei e le autorità di frontiera competenti in maniera automatizzata. In tal caso eu-LISA adotta immediatamente misure per rimediare all'impossibilità tecnica di usare il router e, una volta risolto il problema, ne informa immediatamente dette parti. Nel periodo che intercorre tra tali notifiche non si applica l'articolo 6, paragrafo 1, in quanto l'impossibilità tecnica impedisce il trasferimento dei dati API al router. Analogamente, qualora ciò si verifichi, l'articolo 4, paragrafo 1, e l'articolo 8, paragrafo 1, non si applicano in tale periodo ai dati API in questione. 2.Qualora, a causa di un guasto dei sistemi o delle infrastrutture di uno Stato membro di cui all'articolo 20, sia tecnicamente impossibile utilizzare il router per trasmettere i dati API, le autorità di frontiera competenti di tale Stato membro ne informano immediatamente i vettori aerei, le autorità competenti degli altri Stati membri, eu-LISA e la Commissione in maniera automatizzata. In tal caso lo Stato membro adotta immediatamente misure per rimediare all'impossibilità tecnica di usare il router e, una volta risolto il problema, ne informa immediatamente dette parti. Nel periodo che intercorre tra tali notifiche non si applica l'articolo 6, paragrafo 1, in quanto l'impossibilità tecnica impedisce il trasferimento dei dati API al router. Analogamente, qualora ciò si verifichi, l'articolo 4, paragrafo 1, e l'articolo 8, paragrafo 1, non si applicano in tale periodo ai dati API in questione.

3.Qualora, a causa di un guasto dei sistemi o delle infrastrutture di un vettore aereo di cui all'articolo 21, sia tecnicamente impossibile utilizzare il router per trasmettere i dati API, il vettore aereo ne informa immediatamente le autorità di frontiera competenti, eu-LISA e la Commissione in maniera automatizzata. In tal caso il vettore aereo adotta immediatamente misure per rimediare all'impossibilità tecnica di usare il router e, una volta risolto il problema, ne informa immediatamente dette parti. Nel periodo che intercorre tra tali notifiche non si applica l'articolo 6, paragrafo 1, in quanto l'impossibilità tecnica impedisce il trasferimento dei dati API al router. Analogamente, qualora ciò si verifichi, l'articolo 4, paragrafo 1, e l'articolo 8, paragrafo 1, non si applicano in tale periodo ai dati API in questione. Una volta risolta l'impossibilità tecnica, il vettore aereo interessato presenta senza ritardo all'autorità nazionale di controllo competente di cui all'articolo 29 una relazione contenente tutti i dettagli necessari su tale impossibilità tecnica, compresi i motivi, la portata e le conseguenze, nonché le misure adottate per porvi rimedio. CAPO 4 DISPOSIZIONI SPECIFICHE SULLA PROTEZIONE DEI DATI PERSONALI Articolo 15 Titolari del trattamento dei dati personali Le autorità di frontiera competenti sono titolari del trattamento ai sensi dell'articolo 4, punto 7, del regolamento (UE) 2016/679, in relazione al trattamento dei dati API che costituiscono dati personali trasferiti tramite il router, compresi la trasmissione e la conservazione di tali dati nel router per motivi tecnici, nonché in relazione al trattamento dei dati API che costituiscono dati personali ai sensi dell'articolo 7 del presente regolamento. I vettori aerei sono titolari del trattamento ai sensi dell'articolo 4, punto 7, del regolamento (UE) 2016/679, per il trattamento dei dati API che costituiscono dati personali in relazione alla raccolta di tali dati e al loro trasferimento al router a norma del presente regolamento. Articolo 16 Responsabile del trattamento dei dati personali eu-LISA è responsabile del trattamento ai sensi dell'articolo 3, punto 12, del regolamento (UE) 2018/1725 per il trattamento dei dati API che costituiscono dati personali trasferiti tramite il router a norma del presente regolamento e del regolamento (UE) [API per l'attività di contrasto]. Articolo 17 Sicurezza 1.eu-LISA garantisce la sicurezza dei dati API, in particolare di quelli che costituiscono dati personali, che essa tratta a norma del presente regolamento e del regolamento (UE) [API per l'attività di contrasto]. Le autorità di frontiera competenti e i vettori aerei garantiscono la sicurezza dei dati API, in particolare di quelli che costituiscono dati personali, che essi trattano a norma del presente regolamento. eu-LISA, le autorità di frontiera competenti e i vettori aerei cooperano, secondo le rispettive responsabilità e nel rispetto del diritto dell'Unione, per garantire tale sicurezza. 2.In particolare, eu-LISA adotta le misure necessarie per garantire la sicurezza del router e dei dati API trasmessi tramite il router, specialmente di quelli che costituiscono dati personali, anche elaborando, attuando e aggiornando periodicamente un piano di sicurezza, un piano di continuità operativa e un piano di ripristino in caso di disastro, al fine di: a)proteggere fisicamente il router, tra l'altro mediante l'elaborazione di piani di emergenza per la protezione dei componenti critici; b)impedire, in particolare mediante tecniche appropriate di cifratura, il trattamento non autorizzato dei dati API, compreso l'accesso non autorizzato a tali dati e la loro copia, modifica o cancellazione, sia all'atto del loro trasferimento dal router e verso il medesimo, sia durante la loro conservazione sul router, ove necessaria per completare la trasmissione; c)garantire che sia possibile verificare e accertare a quali autorità di frontiera competenti o UIP sono trasmessi i dati API tramite il router; d)riferire adeguatamente al consiglio di amministrazione eventuali anomalie nel funzionamento del router;

e)monitorare l'efficacia delle misure di sicurezza richieste a norma del presente articolo e del regolamento (UE) 2018/1725 e valutare e aggiornare tali misure ove necessario alla luce degli sviluppi tecnologici o operativi. Le misure di cui al primo comma non pregiudicano l'articolo 33 del regolamento (UE) 2018/1725 né l'articolo 32 del regolamento (UE) 2016/679. Articolo 18 Verifica interna I vettori aerei e le autorità competenti controllano l'ottemperanza ai rispettivi obblighi ai sensi del presente regolamento, in particolare per quanto riguarda il trattamento dei dati API che costituiscono dati personali, anche attraverso la verifica frequente delle registrazioni di cui all'articolo 13. Articolo 19 Audit della protezione dei dati personali 1.Le autorità nazionali competenti per la protezione dei dati di cui all'articolo 51 del regolamento (UE) 2016/679 provvedono affinché, almeno ogni quattro anni, sia svolto un audit delle operazioni di trattamento dei dati API che costituiscono dati personali effettuate dalle autorità di frontiera competenti ai fini del presente regolamento, conformemente ai principi internazionali di audit pertinenti. 2.Il Garante europeo della protezione dei dati provvede affinché almeno una volta l'anno sia svolto un audit delle operazioni di trattamento dei dati API che costituiscono dati personali effettuate da eu-LISA ai fini del presente regolamento e del regolamento (UE) [API per l'attività di contrasto], conformemente ai principi internazionali di audit pertinenti. Una relazione su tale audit è trasmessa al Parlamento europeo, al Consiglio, alla Commissione, agli Stati membri e a eu-LISA. A eu-LISA è data la possibilità di presentare osservazioni prima dell'adozione della relazione. 3.Riguardo alle operazioni di trattamento di cui al paragrafo 2, eu-LISA fornisce al Garante europeo della protezione dei dati le informazioni da questo sollecitate e gli consente di accedere a tutti i documenti richiesti, alle registrazioni di cui all'articolo 13, paragrafo 1, e a tutti i suoi locali in qualsiasi momento. CAPO 5 CONNESSIONI E DISPOSIZIONI AGGIUNTIVE RELATIVE AL ROUTER Articolo 20 Connessione delle autorità di frontiera competenti al router 1.Gli Stati membri provvedono affinché le loro autorità di frontiera competenti siano connesse al router. Essi garantiscono che i sistemi e le infrastrutture delle autorità di frontiera competenti per ricevere i dati API trasferiti a norma del presente regolamento siano integrati con il router. Gli Stati membri provvedono affinché la connessione e l'integrazione con il router consentano alle loro autorità di frontiera competenti di ricevere e trattare ulteriormente i dati API, nonché di scambiare qualsiasi comunicazione ad essi relativa, in modo lecito, sicuro, efficace e rapido. 2.Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 37 per integrare il presente regolamento stabilendo le norme dettagliate necessarie per le connessioni e l'integrazione con il router di cui al paragrafo 1. Articolo 21 Connessione dei vettori aerei al router

1.I vettori aerei garantiscono la loro connessione al router. Essi provvedono affinché i loro sistemi e infrastrutture per il trasferim