EUROPESE COMMISSIE Straatsburg, 13.12.2022 COM(2022) 729 final 2022/0424(COD) Voorstel voor een VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD betreffende de verzameling en de doorgifte van vooraf te verstrekken passagiersgegevens (API) met het oog op het versterken en vergemakkelijken van de controles aan de buitengrenzen, tot wijziging van Verordening (EU) 2019/817 en Verordening (EU) 2018/1726, en tot intrekking van Richtlijn 2004/82/EG van de Raad {SEC(2022) 444 final} - {SWD(2022) 421 final} - {SWD(2022) 422 final} - {SWD(2022) 423 final}



TOELICHTING 1.ACHTERGROND VAN HET VOORSTEL •Motivering en doel van het voorstel De afgelopen decennia is het aantal luchtreizigers toegenomen en zijn de vliegtuigen als gevolg van efficiëntiegerichte innovatie groter geworden. Daardoor is het zaak de passagiersstromen op de luchthavens efficiënter te verwerken. In 2019 meldde de Internationale Burgerluchtvaartorganisatie (ICAO) wereldwijd 4,5 miljard luchtpassagiers op geregelde diensten. Met jaarlijks meer dan een half miljard passagiers die de EU binnenkomen of verlaten, komen de luchtbuitengrenzen onder druk te staan. De verwerking van vooraf te verstrekken passagiersgegevens (Advance Passenger Information – API) overeenkomstig de huidige API-richtlijn en dit voorstel, is een instrument voor grensbeheer dat de passagiersafhandeling vergemakkelijkt en versnelt en daardoor de grenscontroles doeltreffender en efficiënter maakt, alsook een instrument om illegale immigratie tegen te gaan. API-gegevens bestaan uit een combinatie van identiteitsgegevens uit de reisdocumenten van de passagiers en vluchtgegevens die bij het inchecken worden verzameld en aan de grensautoriteiten van het land van bestemming worden doorgegeven. Omdat deze autoriteiten de API-gegevens vóór de aankomst van de vlucht ontvangen, kunnen zij de reizigers vooraf overeenkomstig de toepasselijke wetgeving screenen aan de hand van risicoprofielen, observatielijsten en databanken. Daardoor kunnen zij de grenscontroles voor bonafide reizigers versnellen en meer middelen en tijd besteden aan het identificeren van aankomende reizigers die nader onderzoek vergen. De invoering van systemen voor het verzamelen en doorgeven van API-gegevens is sinds 2017 een internationale norm in het kader van het Verdrag inzake de internationale burgerluchtvaart (Verdrag van Chicago). In de EU zijn de regels in dit verband vastgesteld bij de API-richtlijn. De richtlijn verplicht luchtvaartmaatschappijen om op verzoek API-gegevens aan de grensautoriteiten van het land van bestemming door te geven voordat de vlucht vertrekt. De richtlijn verplicht de lidstaten echter niet om API-gegevens op te vragen bij de luchtvaartmaatschappijen. Daardoor zijn er leemten en inconsistenties ontstaan in de manier waarop de gegevens worden verzameld en gebruikt, en verzamelen sommige lidstaten de API-gegevens systematisch en andere niet. Naar schatting worden, voor alle lidstaten samen, API-gegevens verzameld over 65 % van de inkomende vluchten. Daardoor kunnen personen die de controles willen vermijden, routes waarop consequent API-gegevens worden verzameld, gemakkelijk omzeilen en naar hun bestemming reizen via een vliegroute waarop minder vaak of helemaal nooit gebruik wordt gemaakt van API-gegevens. Uit de recente evaluatie van de API-richtlijn blijkt dat zelfs wanneer lidstaten API-gegevens opvragen, hun nationale autoriteiten deze niet altijd consistent gebruiken. Dankzij de API-gegevens kunnen de grenswachters de identiteit van de passagiers en de geldigheid van de reisdocumenten vooraf controleren aan de hand van de databanken waarin de Schengengrenscode voorziet. Toch gebeurt dat niet in alle lidstaten. Ierland, dat niet deelneemt aan de Schengengrenscode, past zijn eigen, soortgelijke wetgeving toe. De voorgestelde verordening zal daar geen verandering in brengen. In de API-richtlijn zijn slechts beperkte criteria voor het verzamelen, doorgeven en verwerken van API-gegevens opgenomen, zowel wat betreft de vluchten waarover gegevens moeten worden verzameld, als wat betreft de te verzamelen gegevenselementen en de manier waarop de gegevens worden vastgelegd. Bovendien houden die criteria geen rekening met de ontwikkelingen op het gebied van internationale normen en richtsnoeren over de verzameling van API-gegevens. Daardoor lopen de werkmethoden erg uiteen, wat niet alleen afbreuk doet aan de doeltreffendheid en efficiëntie van de grenscontroles, maar ook een extra belasting voor de luchtvaartmaatschappijen met zich meebrengt omdat zij, afhankelijk van de vliegroute en de lidstaat die API-gegevens opvraagt, met verschillende voorschriften te maken krijgen.Afstemming van de regels voor de verzameling en doorgifte van API-gegevens op deze internationale normen voor API-gegevens zou de naleving van de API-voorschriften door de luchtvaartsector waarborgen. API-gegevens kunnen alleen doeltreffend worden gebruikt als ze juist, volledig en actueel zijn. Als identiteitsgegevens – zoals momenteel soms het geval is – niet betrouwbaar en geverifieerd zijn, zullen kruiscontroles in databanken geen betrouwbare operationele resultaten opleveren. Doordat online inchecken de afgelopen 20 jaar gangbaar is geworden, worden de API-gegevens van een reisdocument steeds vaker handmatig overgeschreven door de passagier zelf. Onvolledige, onjuiste of verouderde API-gegevens die aan nationale autoriteiten worden doorgegeven, kunnen leiden tot leemten in de soorten controles die de grensautoriteiten kunnen uitvoeren, en kunnen nadelig uitpakken voor de reiziger, die daardoor mogelijk aan onjuiste en onnodige controles wordt onderworpen. De vereiste dat de kwaliteit van de verzamelde API-gegevens voldoende moet zijn, hangt nauw samen met de procedés die de luchtvaartmaatschappijen gebruiken om ervoor te zorgen dat de verzamelde API-gegevens overeenstemmen met de informatie in de reisdocumenten. Het huidige API-kader schrijft niet voor volgens welk procedé de API-gegevens van reizigers moeten worden verzameld. Geautomatiseerde gegevensverzameling heeft ten opzichte van het handmatig overschrijven van informatie het voordeel dat zich minder kwaliteitsproblemen zouden voordoen en dat de API-gegevens doeltreffender en efficiënter zouden worden gebruikt, waardoor de bevoegde grensautoriteiten minder tijd zouden moeten besteden aan hun interactie met de vervoerders. Daarom biedt de herziening van het huidige rechtskader voor de verzameling en de doorgifte van API-gegevens een gelegenheid om het beheer van de buitengrenzen en de bestrijding van illegale immigratie te verbeteren. De voorgestelde regels zouden er immers voor zorgen dat alle personen die vanuit een derde land of een niet aan de voorgestelde verordening deelnemende lidstaat naar de Unie vliegen (meer bepaald naar de landen die deel uitmaken van het Schengengebied zonder controles aan de binnengrenzen (“het Schengengebied”) en naar Ierland), d.w.z. onderdanen van derde landen, staatlozen en EU-burgers, voorafgaand aan hun aankomst aan de hand van hun API-gegevens kunnen worden gecontroleerd, en dat de lidstaten uniforme criteria toepassen voor de verzameling en de doorgifte van die gegevens met het oog op de controles aan de buitengrenzen en de bestrijding van illegale immigratie. Door de passagiersstromen op de luchthavens vlotter te laten verlopen en de grenscontroles te versnellen, draagt het voorstel bij aan een doeltreffende, systematische controle van alle luchtpassagiers overeenkomstig de toepasselijke wetgeving. •Verenigbaarheid met bestaande bepalingen op het beleidsterrein Dit voorstel is opgesteld omdat er gemeenschappelijke regels nodig zijn voor het verzamelen en doorgeven van API-gegevens met het oog op grensbeheer en bestrijding van illegale immigratie. Een en ander houdt verband met het bestaan van het Schengengebied en de vaststelling van gemeenschappelijke regels voor de overschrijding van de buitengrenzen door personen. Dit voorstel is in overeenstemming met de verplichtingen van de Schengengrenscode inzake personencontroles aan de buitengrenzen. De voorgestelde verordening maakt deel uit van de context van de grootschalige EU-informatiesystemen, die sinds de vaststelling van de API-richtlijn in 2004 aanzienlijk is uitgebreid. Bovendien voorzien de strategische richtsnoeren die de Europese Raad in juni 2014 heeft aangenomen, in uitbreiding van de procedures die de grenswachters aan de buitengrenzen toepassen om de controles vóór de grenscontrolepost doeltreffender te maken en nadelige gevolgen aan de grenzen te beperken. Het gaat onder meer om: het Schengeninformatiesysteem (SIS), het Visuminformatiesysteem (VIS) en het Eurodac-systeem. Daarnaast zijn momenteel drie systemen in de ontwikkelingsfase: het inreis-uitreissysteem (EES), het Europees reisinformatie- en -autorisatiesysteem (Etias) en het gecentraliseerd systeem voor de vaststelling welke lidstaten over informatie beschikken inzake veroordelingen van onderdanen van derde landen en staatlozen (Ecris-TCN). Al deze bestaande en toekomstige systemen zijn gekoppeld via het interoperabiliteitskader voor de EU-informatiesystemen op het gebied van veiligheid, grenzen en migratiebeheer, dat in 2019 is goedgekeurd en dat momenteel wordt ingevoerd. De in dit voorstel opgenomen herzieningen houden rekening met het interoperabiliteitskader. Meer bepaald deelt de voorgestelde router componenten met het Etias-toegangsportaal voor vervoerders, waardoor duplicatie van technische componenten wordt voorkomen. Op het Etias-toegangsportaal voor vervoerders vinden de vervoerders de technische middelen om de Etias-status van niet-visumplichtige onderdanen van derde landen die naar de lidstaten reizen, na te gaan. De voorgestelde verordening zorgt ervoor dat de verschillende dataprocedés worden gedifferentieerd en strikt gescheiden worden gehouden en dat de toegangsrechten die in de verschillende EU-instrumenten zijn vastgelegd, in acht worden genomen. Bovendien koppelt de voorgestelde verordening de werkzaamheden van eu-LISA’s adviesgroep EES-Etias aan de toekomstige API-gerelateerde werkzaamheden. Deze werkwijze is bevorderlijk voor de efficiëntie en levert schaalvoordelen doordat overlapping van werkgroepen wordt voorkomen. Zoals hierboven uiteengezet, moeten de grenscontroles die de regels van de voorgestelde verordening beogen te vergemakkelijken en te verbeteren, worden uitgevoerd op grond van de Schengengrenscode, indien van toepassing, of op grond van het nationale recht. Bovendien zijn de algemeen toepasselijke rechtshandelingen van de EU van toepassing overeenkomstig de daarin gestelde voorwaarden. Wat de verwerking van persoonsgegevens betreft, gaat het dan met name om de algemene verordening gegevensbescherming (AVG) en de EU-gegevensbeschermingsverordening. Het onderhavige voorstel laat deze handelingen onverlet. De toepasselijkheid van bovengenoemde rechtshandelingen van de EU op de verwerking van de krachtens deze verordening ontvangen API-gegevens heeft als gevolg dat de lidstaten het EU-recht ten uitvoer brengen in de zin van artikel 51, lid 1, van het Handvest, wat betekent dat ook de regels van het Handvest van toepassing zijn. Meer bepaald moeten de regels van die rechtshandelingen van de EU worden uitgelegd in het licht van het Handvest. De ICAO-richtsnoeren inzake machineleesbare reisdocumenten zijn omgezet bij Verordening (EU) 2019/1157 betreffende de versterking van de beveiliging van identiteitskaarten van burgers van de Unie en Verordening (EG) nr. 2252/2004 betreffende normen voor de veiligheidskenmerken van en biometrische gegevens in paspoorten. Deze verordeningen effenen de weg voor geautomatiseerde extractie van volledige en kwalitatief hoogwaardige gegevens uit reisdocumenten. De voorgestelde verordening zal deel blijven uitmaken van het Schengenacquis. De bevoegde grensautoriteiten van de lidstaten zullen de API-gegevens uitsluitend met het oog op de doeleinden waarvoor de API-gegevens in het kader van de voorgestelde verordening zijn verzameld, met name grensbeheer en bestrijding van illegale immigratie, blijven ontvangen en verder verwerken. Dit voorstel houdt nauw verband met het voorstel voor een verordening betreffende de verzameling en de doorgifte van API-gegevens met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit, in zoverre dat beide voorstellen soortgelijke bepalingen bevatten inzake de lijst van API-gegevenselementen, de geautomatiseerde verzameling van API-gegevens en de doorgifte van de gegevens aan de router. 2.RECHTSGRONDSLAG, SUBSIDIARITEIT EN EVENREDIGHEID

•Rechtsgrondslag Gezien de doelstelling van dit voorstel voor een verordening betreffende de verzameling en de doorgifte van API-gegevens met het oog op grensbeheer en bestrijding van illegale immigratie en de in het voorstel vervatte maatregelen, is de passende rechtsgrondslag artikel 77, lid 2, punten b) en d), en artikel 79, lid 2, punt c), van het Verdrag betreffende de werking van de Europese Unie (VWEU). Krachtens artikel 77, lid 2, respectievelijk punt b) en punt d), VWEU is de Unie bevoegd om maatregelen vast te stellen voor de controles waaraan personen bij het overschrijden van de buitengrenzen worden onderworpen, en voor de geleidelijke invoering van een geïntegreerd systeem van beheer van de buitengrenzen. Op grond van artikel 79, lid 2, punt c), VWEU is de Unie bevoegd om maatregelen vast te stellen met betrekking tot illegale immigratie. Op deze manier is de consistentie met de huidige API-richtlijn, die op dezelfde bepalingen is gebaseerd, verzekerd. •Subsidiariteit Het VWEU verleent de Unie uitdrukkelijk de bevoegdheid om een gemeenschappelijk beleid te ontwikkelen inzake de controles waaraan personen bij het overschrijden van de buitengrenzen worden onderworpen. Dit is een duidelijke doelstelling die op EU-niveau moet worden nagestreefd. Tegelijkertijd is dit een gebied dat onder de gedeelde bevoegdheid van de EU en de lidstaten valt. De behoefte aan gemeenschappelijke regels voor het verzamelen en doorgeven van API-gegevens met het oog op grensbeheer en bestrijding van illegale immigratie houdt – met name gezien en onverminderd de specifieke positie van Ierland – verband met de totstandbrenging van het Schengengebied en de vaststelling van gemeenschappelijke regels voor de overschrijding van de buitengrenzen door personen, en met name met de Schengengrenscode. Omdat de besluiten die een lidstaat in dit verband neemt, gevolgen hebben voor andere lidstaten, moeten er gemeenschappelijke en duidelijke regels en operationele praktijken worden toegepast. Om efficiënte en doeltreffende controles aan de buitengrenzen te waarborgen, is een coherente aanpak in het hele Schengengebied vereist, met inbegrip van de mogelijkheid om reizigers vooraf te controleren aan de hand van API-gegevens. Dat precies nu EU-maatregelen op het gebied van API-gegevens nodig zijn, heeft ook te maken met de recente ontwikkelingen op het gebied van wetgeving inzake het beheer van de Schengenbuitengrenzen, met name: –Dankzij de interoperabiliteitsverordening van 2019 zullen systematische controles van personen die de buitengrenzen overschrijden, kunnen worden uitgevoerd aan de hand van alle beschikbare en relevante informatie in de gecentraliseerde EU-informatiesystemen voor veiligheid, grens- en migratiebeheer. De invoering van een gecentraliseerd mechanisme voor de doorzending van API-gegevens op EU-niveau is een logische voortzetting van dit concept. Volgens de concepten van de interoperabiliteitsverordeningen zou de gecentraliseerde doorzending van API-gegevens er in de toekomst toe kunnen leiden dat deze gegevens worden gebruikt voor het doorzoeken van verschillende databanken (SIS, Europol-gegevens) via het Europees zoekportaal. –Het gebruik van API-gegevens aan de buitengrenzen zou een doeltreffende aanvulling zijn op het Europees systeem voor reisinformatie en -autorisatie (Etias) en het inreis-uitreissysteem (EES), die beide over afzienbare tijd worden ingevoerd. Het gebruik van API-gegevens zou noodzakelijk blijven voor het beheer van de buitengrenzen, omdat de grenswachters dankzij die gegevens vooraf weten of de betrokken reiziger daadwerkelijk aan boord van het vliegtuig is gegaan en dus het Schengengebied zal binnenkomen. Dit vergemakkelijkt de grenscontrole die zal plaatsvinden zodra de reiziger aan de buitengrenzen aankomt. •Evenredigheid Overeenkomstig het evenredigheidsbeginsel dat is vervat in artikel 5, lid 4, VEU, moeten de aard en de intensiteit van een bepaalde maatregel worden afgestemd op het geconstateerde probleem. De in dit wetgevingsinitiatief omschreven problemen vragen in alle gevallen om wetgevende maatregelen op EU-niveau waarmee de lidstaten die problemen doeltreffend kunnen aanpakken, zonder daarbij verder te gaan dan voor het oplossen van die problemen strikt noodzakelijk is. Met dit voorstel zal het rechtskader voor het verzamelen en doorgeven van API-gegevens met het oog op het beheer van de buitengrenzen en de bestrijding van illegale immigratie worden versterkt. Het voorstel zal van de API-gegevens een krachtiger instrument maken voor het vooraf controleren van reizigers aan de buitengrenzen. Daardoor draagt het bij aan de doeltreffendheid en efficiëntie van de controles zelf, maar ook aan het doel illegale immigratie aan te pakken, met name in de context van grensoverschrijdend luchtvervoer en de verantwoordelijkheden van de luchtvaartmaatschappijen in dit verband. In overeenstemming met de internationale normen en aanbevolen praktijken verplicht dit voorstel de luchtvaartmaatschappijen om API-gegevens te verzamelen en door te geven over alle vluchten naar de Unie, zoals gedefinieerd in het voorstel. De in dit voorstel vervatte verplichtingen zijn beperkt tot wat nodig is om deze doelstelling te verwezenlijken. Meer in het bijzonder bevat dit voorstel duidelijke regels, onder meer over wat API-gegevens zijn, over welke luchtvaartmaatschappijen API-gegevens moeten verzamelen en over de doorgifte van die gegevens. Doordat het voorstel de vorm van een verordening heeft gekregen, voorziet het in een consistente aanpak ten aanzien van het gebruik van API-gegevens voor het beheer van de buitengrenzen en de bestrijding van illegale immigratie. Door de API-vereisten op die manier te standaardiseren in de verschillende lidstaten, wordt zowel de rechtszekerheid als de voorspelbaarheid bevorderd en zal bijgevolg ook de naleving door de luchtvaartmaatschappijen verbeteren. Andere elementen in de voorgestelde verordening die borg staan voor de evenredigheid, zijn onder meer de beperking van het toepassingsgebied tot inkomende vluchten, de beperking van het verplichte gebruik van geautomatiseerde procedés tot bepaalde API-gegevens, en waarborgen inzake de manier waarop en het doel waarvoor de API-gegevens worden verwerkt. Op grond van de voorgestelde verordening zou een router worden opgezet als enig verbindingspunt tussen de lidstaten en de luchtvaartmaatschappijen, overeenkomstig internationale aanbevelingen, en zou een EU-aanpak voor het verzamelen en doorgeven van API-gegevens worden vastgesteld. De doorzending van de API-gegevens via de router moet de kosten voor de luchtvaartsector verlagen en ervoor zorgen dat de grenswachters snel en naadloos toegang hebben tot de API-gegevens die voor voorafgaande grenscontroles vereist zijn. Hierdoor zullen de lidstaten fors minder verbindingen tot stand moeten brengen en onderhouden en zal het voor de luchtvaartmaatschappijen eenvoudiger worden om verbindingen met de bevoegde grensautoriteiten te onderhouden en schaalvoordelen te behalen. Een EU-agentschap, eu-LISA, krijgt de verantwoordelijkheid voor het ontwerpen, het ontwikkelen, het hosten en het technisch beheer van de router. De doorgifte van de API-gegevens via de router zal de vluchtmonitoring ondersteunen en zo de kans verkleinen dat een luchtvaartmaatschappij niet heeft voldaan aan de verplichting om API-gegevens overeenkomstig dit voorstel mee te delen. •Keuze van het instrument Als instrument wordt een verordening voorgesteld. Aangezien de voorgestelde maatregelen rechtstreeks toepasselijk moeten zijn en in alle lidstaten uniform moeten worden toegepast, is een verordening de juiste keuze voor het rechtsinstrument, zoals ook blijkt uit de effectbeoordeling bij dit voorstel. 3.EVALUATIE, RAADPLEGING VAN BELANGHEBBENDEN EN EFFECTBEOORDELING •Ex-postevaluaties van bestaande wetgeving Uit de evaluatie van de API-richtlijn is gebleken dat de reden voor het verzamelen van API-gegevens en het doorgeven ervan aan de bevoegde grensautoriteiten 15 jaar na de inwerkingtreding van de richtlijn nog steeds geldig is. De huidige doelstellingen van de richtlijn, met name het verbeteren van de grenscontroles, wat kan bijdragen tot het bestrijden van irreguliere migratie, blijven zeer relevant in het licht van de behoeften van de belanghebbende partijen en de samenleving in het algemeen. De verzameling en doorgifte van API-gegevens werd ook relevant geacht om legaal reizen te vergemakkelijken.

Volgens de evaluatie boet de richtlijn in aan doeltreffendheid en samenhang omdat de uitvoering ervan niet geharmoniseerd verloopt. De minimumeisen van de richtlijn leiden tot fragmentatie bij de implementatie van de API-systemen en het daadwerkelijke gebruik van de API-gegevens. Bovendien biedt de richtlijn de lidstaten weliswaar de mogelijkheid om API-gegevens te gebruiken voor rechtshandhavingsdoeleinden, maar ze doet dit zonder dat doel duidelijk te definiëren of in een kader in te bedden, waardoor de uitvoering op nationaal niveau samenhang mist. Volgens de evaluatie veroorzaken discrepanties met andere EU-instrumenten bovendien praktische operationele problemen en onzekerheid bij de betrokken partijen, met name betrokkenen (“data subjects”). De in de API-richtlijn opgenomen vereisten inzake de bescherming van persoonsgegevens zijn niet volledig in overeenstemming met de meest recente ontwikkelingen op dit gebied. Evenmin strookt de API-richtlijn volledig met het internationale regelgevingskader inzake passagiersgegevens, met name wat betreft gegevensvelden en doorzendingsnormen. De evaluatie bracht een aantal tekortkomingen in verband met de API-richtlijn aan het licht, namelijk het gebrek aan i) standaardisering en harmonisatie, ii) bepaalde waarborgen voor gegevensbescherming en iii) duidelijke afstemming op de meest recente beleidsmatige en juridische ontwikkelingen op EU-niveau. Deze elementen hebben gevolgen voor het effect van de richtlijn, brengen lasten met zich mee voor de belanghebbenden en leiden tot een bepaalde mate van rechtsonzekerheid, zowel voor de luchtvaartmaatschappijen die de API-gegevens verzamelen en doorgeven, en voor de bevoegde grensautoriteiten die deze ontvangen en verder verwerken, als uiteindelijk voor de passagiers. Bij de opstelling van de effectbeoordeling en van dit voorstel is rekening gehouden met de bevindingen van de evaluatie. •Raadpleging van belanghebbenden Bij de voorbereiding van dit voorstel zijn belanghebbenden uit verschillende hoeken geraadpleegd, waaronder de autoriteiten van de lidstaten (bevoegde grensautoriteiten, passagiersinformatie-eenheden), vertegenwoordigers van de vervoerssector en individuele luchtvaartmaatschappijen. Ook EU-agentschappen, zoals het Europees Grens- en kustwachtagentschap (Frontex), het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol), het Agentschap van de Europese Unie voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (eu-LISA) en het Bureau van de Europese Unie voor de grondrechten (FRA), hebben in het licht van hun opdracht en expertise input geleverd. In dit initiatief is daarnaast ook rekening gehouden met de standpunten en de reacties die zijn binnengekomen tijdens de openbare raadpleging die eind 2019 in het kader van de evaluatie van de API-richtlijn heeft plaatsgevonden. Bij raadplegingsactiviteiten in het kader van de voorbereiding van de effectbeoordeling ter ondersteuning van dit voorstel zijn aan de hand van verschillende methoden reacties van belanghebbenden verzameld. Deze activiteiten omvatten met name een aanvangseffectbeoordeling, een externe ondersteunende studie en een reeks technische workshops. Op de aanvangseffectbeoordeling kon van 5 juni 2020 tot en met 14 augustus 2020 worden gereageerd. De zeven reacties hadden betrekking op de uitbreiding van het toepassingsgebied van de toekomstige API-richtlijn, de kwaliteit van de gegevens, sancties, het verband tussen API-gegevens en PNR-gegevens en de bescherming van persoonsgegevens. De externe ondersteunende studie werd uitgevoerd op basis van bureauonderzoek, enquêtes en gesprekken met deskundigen, waarbij werd onderzocht hoe API-gegevens kunnen worden verwerkt volgens duidelijke regels die legaal reizen vergemakkelijken en in overeenstemming zijn met de interoperabiliteit van de EU-informatiesystemen, de EU-voorschriften inzake de bescherming van persoonsgegevens en andere bestaande EU-instrumenten en internationale normen. De diensten van de Commissie hebben verder een reeks technische workshops georganiseerd met deskundigen uit de lidstaten en de geassocieerde Schengenlanden. Deze workshops waren bedoeld om deskundigen bijeen te brengen voor een gedachtewisseling over de mogelijke opties om het toekomstige API-kader te versterken met het oog op grensbeheer, bestrijding van illegale immigratie en bestrijding van criminaliteit en terrorisme. De bijgevoegde effectbeoordeling (bijlage 2) bevat een uitvoerigere beschrijving van de raadpleging van belanghebbenden. •Effectbeoordeling In overeenstemming met de richtsnoeren voor betere regelgeving heeft de Commissie een effectbeoordeling uitgevoerd (zie het begeleidende werkdocument van de diensten van de Commissie). De Raad voor regelgevingstoetsing heeft de ontwerp-effectbeoordeling op 28 september 2022 geëvalueerd en op 30 september 2022 een gunstig advies uitgebracht. In het licht van de geconstateerde problemen bij de verzameling en de doorgifte van API-gegevens is in de effectbeoordeling nagegaan welke opties er zijn om de kwaliteit van API-gegevens te verbeteren en welke beleidsopties er zijn met betrekking tot de reikwijdte van de verzameling van API-gegevens voor de bovengenoemde doeleinden. Wat de verzameling van API-gegevens met het oog op het beheer van de buitengrenzen en de bestrijding van illegale immigratie betreft, zijn in de effectbeoordeling twee opties overwogen: verzameling van API-gegevens over alle vluchten vanuit niet-Schengenlanden en verzameling van API-gegevens over alle vluchten naar en vanuit niet-Schengenlanden. Daarnaast werd in de effectbeoordeling ook gekeken naar opties om de kwaliteit van de API-gegevens te verbeteren – hetzij via geautomatiseerde én handmatige, hetzij uitsluitend via geautomatiseerde verzameling van API-gegevens. Aangezien de volledige reeks API-gegevens wordt gegenereerd zodra de passagiers zich aan boord van het vliegtuig bevinden, zouden de grenswachters de API-gegevens pas ontvangen nadat de fysieke uitreiscontroles van de reizigers zijn verricht en het paspoort van de reizigers is onderzocht, met andere woorden de gegevens zouden te laat komen om het werk van de grenswachters te ondersteunen. Daarom kwam de optie om API-gegevens te verzamelen over alle betrokken inkomende en vertrekkende vluchten niet als onderdeel van de voorkeursoptie uit de bus. Op basis van de bevindingen van het effectbeoordelingsverslag komt de voorkeursoptie voor een API-instrument voor die doeleinden erop neer dat API-gegevens over alle betrokken inkomende vluchten worden verzameld en dat de luchtvaartmaatschappijen daarbij bepaalde API-gegevens uitsluitend aan de hand van een geautomatiseerd procedé mogen verzamelen. Dankzij een combinatie van deze opties zouden de lidstaten beter in staat zijn API-gegevens te gebruiken om luchtreizigers vóór hun aankomst aan de buitengrenzen doeltreffend en efficiënt te controleren. Standaardisering van de vereisten voor het verzamelen en doorgeven van API-gegevens zou de naleving door de luchtvaartsector verbeteren, aangezien die in alle lidstaten met dezelfde vereisten te maken zou krijgen Het gebruik van betrouwbaardere en geverifieerde API-gegevens, waaronder de geautomatiseerd verzamelde API-gegevens, zou het mogelijk maken hoogrisicoreizigers te identificeren en zowel de uitvoering van de controles aan de buitengrenzen als de afhandeling van de passagiers bij hun aankomst te versnellen. Het voorstel is in overeenstemming met de in de Europese klimaatverordening vastgestelde doelstelling inzake klimaatneutraliteit en de doelstellingen van de Unie voor 2030 en 2040. In de effectbeoordeling werden nog andere opties onderzocht, zoals het verzamelen van API-gegevens van andere soorten vervoerders (zee-, spoor- en busvervoer), maar deze werden afgewezen, onder meer met het argument dat er al EU- en internationale regels bestaan op grond waarvan vervoerders uit de maritieme sector vooraf passagiersgegevens aan de grensautoriteiten van de lidstaten moeten doorgeven over inkomende en uitgaande routes. Een extra EU-verplichting tot doorgifte van API-gegevens door vervoerders uit de maritieme sector zou dan ook overbodig zijn. In vergelijking met de luchtvervoersector is het voor vervoerders over land, zoals spoor- of busmaatschappijen, moeilijker om passagiersgegevens te verzamelen (geen incheckprocedures, geen systematische afgifte van tickets op naam). In die sectoren zou zwaar geïnvesteerd moeten worden in de fysieke infrastructuur van de vervoerders, met aanzienlijke gevolgen voor hun bedrijfsmodel en voor de passagiers. Het besluit om deze aspecten niet in de voorgestelde verordening op te nemen, doet geen afbreuk aan de praktijken van sommige lidstaten die op basis van het nationale recht passagiersgegevens over spoorverbindingen opvragen , mits deze praktijken in overeenstemming zijn met het EU-recht. •Grondrechten en bescherming van persoonsgegevens Dit initiatief voorziet in de verwerking van persoonsgegevens van reizigers en beperkt derhalve de uitoefening van het grondrecht op bescherming van persoonsgegevens, zoals gewaarborgd door artikel 8 van het Handvest van de grondrechten van de EU (“het Handvest”) en artikel 16 VWEU. Zoals het Hof van Justitie van de EU heeft benadrukt, heeft het recht op bescherming van persoonsgegevens geen absolute gelding, maar moet elke beperking worden beschouwd in relatie tot de functie ervan in de samenleving en in overeenstemming zijn met de criteria van artikel 52, lid 1, van het Handvest. De bescherming van persoonsgegevens hangt ook nauw samen met de eerbiediging van het recht op privacy, als onderdeel van het recht op eerbiediging van het privéleven en het familie- en gezinsleven, dat wordt beschermd door artikel 7 van het Handvest. De verplichting voor luchtvaartmaatschappijen om API-gegevens te verzamelen over alle reizigers die de buitengrenzen overschrijden en die API-gegevens vervolgens via de router door te geven aan de bevoegde grensautoriteiten, draagt bij aan de doelstelling de voorafgaande buitengrenscontroles op alle reizigers die de lidstaten binnenkomen, doeltreffend en efficiënt uit te voeren, en dus ook aan de doelstelling illegale immigratie te bestrijden. De bevoegde grensautoriteiten zullen weliswaar geen beslissingen nemen die uitsluitend op API-gegevens zijn gebaseerd, maar zij zullen hun activiteiten wel van tevoren kunnen organiseren op grond van dit voorstel, dat de binnenkomst van bonafide passagiers en de opsporing van andere passagiers vergemakkelijkt. De inmenging in de bovengenoemde grondrechten is beperkt tot hetgeen strikt noodzakelijk is om de genoemde doelstellingen te bereiken. Meer bepaald wordt het verzamelen van identiteitsgegevens beperkt tot de informatie in het reisdocument van de reiziger en wordt de verwerking beperkt tot het noodzakelijke minimum, ook wat betreft de bewaartermijn voor de persoonsgegevens. Door de luchtvaartmaatschappijen te verplichten om voor het verzamelen van bepaalde API-gegevens van reizigers geautomatiseerde procedés te gebruiken, kunnen er extra risico’s ontstaan op het gebied van de bescherming van persoonsgegevens. Er zijn echter maatregelen genomen om deze risico’s te beperken en te verminderen. Ten eerste is de vereiste slechts van toepassing op bepaalde API-gegevens en moeten de geautomatiseerde procedés op een verantwoorde manier worden gebruikt om de machineleesbare gegevens van de reizigersdocumenten te verkrijgen. Ten tweede bevat de voorgestelde verordening voorschriften voor de te gebruiken geautomatiseerde procedés, die verder moeten worden uitgewerkt in een gedelegeerde handeling. Tot slot wordt voorzien in verschillende waarborgen, zoals het aanleggen van logbestanden, specifieke regels voor de bescherming van persoonsgegevens en doeltreffend toezicht.

Dit voorstel bevat ook aanvullende en specifieke waarborgen om de naleving van het Handvest te waarborgen, onder meer wat betreft de beveiliging van de verwerking van persoonsgegevens, wissing, doelbinding en het recht van reizigers op informatie. Afgezien van de bepaling die de naleving van het beginsel van doelbinding waarborgt, bevat de voorgestelde verordening geen regels over hoe de bevoegde grensautoriteiten de API-gegevens die zij op grond van de verordening ontvangen, moeten gebruiken. Deze materie wordt immers in andere wetgeving geregeld (de Schengengrenscode, de wetgeving inzake bescherming van persoonsgegevens, het Handvest). Niettemin wordt in de overwegingen er duidelijkheidshalve aan herinnerd dat dit gebruik geen aanleiding mag geven tot op grond van artikel 21 van het Handvest verboden discriminatie. 4.GEVOLGEN VOOR DE BEGROTING Dit wetgevingsinitiatief over de verzameling en de doorgifte van API-gegevens ter vergemakkelijking van de controles aan de buitengrenzen zal gevolgen hebben voor de begroting en de personeelsbehoeften van eu-LISA en de bevoegde grensautoriteiten van de lidstaten. Geraamd wordt dat voor eu-LISA een extra begroting nodig is van ca. 45 miljoen EUR (33 miljoen EUR in het kader van het huidige MFK) voor het opzetten van de router en 9 miljoen EUR per jaar vanaf 2029 voor het technisch beheer ervan. Bovendien zouden er ongeveer 27 extra posten nodig zijn om eu-LISA uit te rusten voor de taken die voortvloeien uit dit voorstel en uit het voorstel voor een verordening betreffende de verzameling en de doorgifte van API-gegevens met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit. De lidstaten zouden naar raming recht hebben op een vergoeding uit de middelen voor het Instrument voor grensbeheer en visumbeleid ten bedrage van 27 miljoen EUR (8 miljoen EUR in het kader van het huidige MFK) om de benodigde nationale systemen en infrastructuur voor de grensbeheerautoriteiten te moderniseren. Vanaf 2028 zou deze vergoeding progressief tot 5 miljoen EUR per jaar bedragen, voor onderhoudsdoeleinden. Dit recht zal uiteindelijk moeten worden bepaald overeenkomstig de regels voor deze fondsen en de in de voorgestelde verordening vervatte regels inzake kosten. Gezien het nauwe verband tussen dit voorstel en het voorstel voor een verordening betreffende de verzameling en de doorgifte van API-gegevens met het oog op het voorkomen, opsporen, onderzoeken en vervolgen van terroristische misdrijven en ernstige criminaliteit, met name wat de doorgifte van de API-gegevens aan de router betreft, geldt voor beide voorstellen hetzelfde financieel memorandum (zie bijlage). 5.OVERIGE ELEMENTEN •Uitvoeringsplanning en regelingen betreffende monitoring, evaluatie en rapportage De Commissie zal ervoor zorgen dat de nodige regelingen worden getroffen om de werking van de voorgestelde maatregelen te monitoren en aan de belangrijkste beleidsdoelstellingen te toetsen. Vier jaar na de inwerkingtreding van de voorgestelde verordening, en vervolgens om de vier jaar, zal de Commissie bij het Europees Parlement en de Raad een verslag indienen met een beoordeling van de uitvoering van de verordening en de toegevoegde waarde ervan. In het verslag zal ook melding worden gemaakt van eventuele directe of indirecte gevolgen voor de betrokken grondrechten. In het verslag zullen de behaalde resultaten worden getoetst aan de doelstellingen en zal worden nagegaan of de uitgangspunten nog steeds geldig zijn en of er conclusies met het oog op toekomstige opties moeten worden getrokken. Als gevolg van de verplichte verzameling van API-gegevens en de invoering van de API-router zal duidelijker worden wat de stand van zaken is op het vlak van de verzameling en de doorgifte van API-gegevens door luchtvaartmaatschappijen en het daaropvolgende gebruik van API-gegevens door de lidstaten overeenkomstig de toepasselijke nationale en Uniewetgeving. Hierdoor krijgt de Commissie betrouwbare statistieken in handen over het volume van de doorgegeven gegevens en over de vluchten waarover API-gegevens zouden worden opgevraagd, wat haar zal helpen bij haar evaluatie- en handhavingstaken. •Variabele geometrie Dit voorstel bouwt voort op en strekt tot ontwikkeling van het Schengenacquis inzake de buitengrenzen, in die zin dat het de overschrijding van de buitengrenzen betreft. Daarom moeten de hieronder uiteengezette implicaties worden overwogen in verband met Protocol nr. 19 betreffende het Schengenacquis dat is opgenomen in het kader van de Europese Unie, gehecht aan het VEU en aan het VWEU, en Protocol nr. 22 betreffende de positie van Denemarken, gehecht aan het VEU en het VWEU. Het voorstel valt onder de maatregelen van het Schengenacquis waaraan Ierland deelneemt overeenkomstig artikel 6, lid 2, van Besluit 2002/192/EG van de Raad van 28 februari 2002 betreffende het verzoek van Ierland deel te mogen nemen aan bepalingen van het Schengenacquis. De deelname van Ierland aan dit voorstel heeft met name betrekking op de verantwoordelijkheid van de Unie voor het nemen van maatregelen ter ontwikkeling van de bepalingen van het Schengenacquis ter bestrijding van illegale immigratie, waaraan Ierland deelneemt. Ierland neemt met name deel gezien de opneming, in artikel 1, lid 1, van dat besluit van de Raad, van een verwijzing naar artikel 26 van de Schengenuitvoeringsovereenkomst, dat betrekking heeft op de verantwoordelijkheid van luchtvervoerders ten aanzien van vreemdelingen aan wie de toegang wordt geweigerd en het in het bezit van de vreemdelingen zijn van de vereiste reisdocumenten. Ierland neemt deel aan de gehele voorgestelde verordening. Overeenkomstig de artikelen 1 en 2 van Protocol nr. 22 betreffende de positie van Denemarken, gehecht aan het VEU en het VWEU, neemt Denemarken niet deel aan de vaststelling van deze verordening, die derhalve niet bindend is voor, noch, na vaststelling ervan, van toepassing is in deze lidstaat. Aangezien de voorgestelde verordening zal voortbouwen op het Schengenacquis, moet Denemarken overeenkomstig artikel 4 van het bovengenoemde protocol binnen een termijn van zes maanden nadat de Raad heeft beslist over deze verordening, beslissen of het deze in zijn interne recht zal omzetten. Wat Cyprus, Bulgarije, Roemenië en Kroatië betreft, vormt de voorgestelde verordening een handeling die op het Schengenacquis voortbouwt of anderszins daaraan is gerelateerd in de zin van respectievelijk artikel 3, lid 1, van de Toetredingsakte van 2003, artikel 4, lid 1, van de Toetredingsakte van 2005 en artikel 4, lid 1, van de Toetredingsakte van 2011. Wat IJsland, Noorwegen, Zwitserland en Liechtenstein betreft, zal de voorgestelde verordening een ontwikkeling inhouden van de bepalingen van het Schengenacquis in de zin van hun respectieve associatieovereenkomsten. •Artikelsgewijze toelichting Hoofdstuk 1 bevat de algemene bepalingen van deze verordening, te beginnen met regels over het onderwerp en het toepassingsgebied. Het bevat ook een lijst van definities. Hoofdstuk 2 bevat de bepalingen voor het verzamelen en doorgeven van API-gegevens, namelijk een duidelijke reeks regels voor het verzamelen van API-gegevens door de luchtvaartmaatschappijen, regels over de doorgifte van de API-gegevens aan de router, de verwerking van de API-gegevens door de bevoegde grensautoriteiten en de opslag en wissing van API-gegevens door de luchtvaartmaatschappijen en die autoriteiten.

Hoofdstuk 3 bevat bepalingen voor de doorzending van API-gegevens via de router. Het bevat met name bepalingen waarin de belangrijkste kenmerken van de router worden beschreven, regels over het gebruik van de router, de procedure voor de doorzending van de API-gegevens via de router naar de bevoegde grensautoriteiten, de wissing van API-gegevens van de router, het aanleggen van logbestanden en de procedures bij een technische storing die het gebruik van de router geheel of gedeeltelijk belet. Hoofdstuk 4 bevat een reeks specifieke bepalingen inzake de bescherming van persoonsgegevens. Meer in het bijzonder wordt gespecificeerd wie beschouwd moet worden als verwerkingsverantwoordelijke en gegevensverwerker voor de verwerking van API-gegevens die overeenkomstig deze verordening persoonsgegevens zijn. Het hoofdstuk bevat ook maatregelen die eu-LISA moet nemen om de beveiliging van de gegevensverwerking te waarborgen overeenkomstig Verordening (EU) 2018/1725, alsook maatregelen die de luchtvaartmaatschappijen en de bevoegde grensautoriteiten moeten nemen om hun interne naleving van de betrokken bepalingen van deze verordening en de regels inzake audits te monitoren. Hoofdstuk 5 regelt bepaalde specifieke kwesties in verband met de router. Het bevat voorschriften inzake de verbindingen van de bevoegde grensautoriteiten en de luchtvaartmaatschappijen met de router. Het zet ook de taken van eu-LISA uiteen op het gebied van het ontwerpen, ontwikkelen, hosten en technisch beheren van de router en gaat in op andere ondersteuningstaken in verband met de router. Daarnaast bevat het hoofdstuk bepalingen inzake de kosten die deze verordening met zich brengt voor eu-LISA en de lidstaten, met name wat betreft de verbindingen en de integratie met de router, en bepalingen betreffende de aansprakelijkheid voor schade aan de router, de ingebruikneming van de router en de mogelijkheid voor de luchtvaartmaatschappijen om de router onder bepaalde voorwaarden vrijwillig te gebruiken. Hoofdstuk 6 bevat bepalingen inzake toezicht, mogelijke sancties voor luchtvaartmaatschappijen die hun verplichtingen uit hoofde van deze verordening niet nakomen, regels over statistische rapportage door eu-LISA en de opstelling van een praktische handleiding door de Commissie. Hoofdstuk 7 bevat bepalingen in verband met de impact van deze verordening op andere rechtshandelingen van de Unie, meer bepaald betreffende de intrekking van Richtlijn 2004/82/EG en de vereiste wijzigingen van andere bestaande instrumenten, met name Verordening (EU) 2018/1726 en Verordening (EU) 2019/817. Hoofdstuk 8 bevat de slotbepalingen van deze verordening, inzake de vaststelling van gedelegeerde en uitvoeringshandelingen, monitoring en evaluatie van deze verordening en de inwerkingtreding en toepassing ervan. 2022/0424 (COD) Voorstel voor een VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD betreffende de verzameling en de doorgifte van vooraf te verstrekken passagiersgegevens (API) met het oog op het versterken en vergemakkelijken van de controles aan de buitengrenzen, tot wijziging van Verordening (EU) 2019/817 en Verordening (EU) 2018/1726, en tot intrekking van Richtlijn 2004/82/EG van de Raad HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE, Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 77, lid 2, punten b) en d), en artikel 79, lid 2, punt c), Gezien het voorstel van de Europese Commissie, Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen, Gezien het advies van het Europees Economisch en Sociaal Comité, Handelend volgens de gewone wetgevingsprocedure, Overwegende hetgeen volgt: (1)De uitvoering van personencontroles aan de buitengrenzen draagt in aanzienlijke mate bij tot het garanderen van de veiligheid op lange termijn van de Unie en haar lidstaten en burgers en blijft daarom een belangrijke waarborg, met name in de ruimte zonder binnengrenstoezicht (“het Schengengebied”). Efficiënte en doeltreffende controles aan de buitengrenzen, in voorkomend geval uitgevoerd overeenkomstig met name Verordening (EU) 2016/399 van het Europees Parlement en de Raad, helpen illegale immigratie te bestrijden en bedreigingen voor de binnenlandse veiligheid, de openbare orde, de volksgezondheid en de internationale betrekkingen van de lidstaten te voorkomen. (2)Het gebruik van voorafgaand aan de aankomst van de reizigers doorgegeven reizigersgegevens en vluchtinformatie – de zogenaamde API-gegevens of “advance passenger data” (vooraf te verstrekken passagiersgegevens) – draagt bij tot een snellere uitvoering van de vereiste controles bij het overschrijden van de grens. Voor de toepassing van dit proces in het kader van deze verordening wordt met het overschrijden van de grens meer bepaald bedoeld het overschrijden van grens tussen een derde land of een lidstaat die niet aan deze verordening deelneemt, enerzijds, en een lidstaat die aan deze verordening deelneemt, anderzijds. Het gebruik van deze gegevens versterkt de controles aan die buitengrenzen door dat er dan voldoende tijd vrijkomt om alle reizigers grondig en uitgebreid te controleren zonder dat dit onevenredige negatieve gevolgen heeft voor bonafide reizigers. Daarom moet, met het oog op de doeltreffendheid en efficiëntie van de controles aan de buitengrenzen, een passend rechtskader worden vastgesteld om ervoor te zorgen dat de bevoegde grensautoriteiten van de lidstaten bij dergelijke doorlaatposten aan de buitengrenzen toegang hebben tot API-gegevens voordat de reizigers aankomen. (3)Het bestaande rechtskader inzake API-gegevens, dat bestaat uit Richtlijn 2004/82/EG van de Raad en de nationale wetgeving tot omzetting van die richtlijn, is belangrijk gebleken voor de verbetering van de grenscontroles, met name doordat het voorziet in een raamwerk waarbinnen lidstaten luchtvaartmaatschappijen kunnen verplichten API-gegevens over naar hun grondgebied vervoerde passagiers door te geven. Er bestaan echter nog steeds verschillen op nationaal niveau. Met name worden er niet systematisch API-gegevens bij de luchtvaartmaatschappijen opgevraagd en krijgen de luchtvaartmaatschappijen te maken met verschillende vereisten met betrekking tot het soort informatie dat moet worden verzameld en de voorwaarden waaronder de API-gegevens aan de bevoegde grensautoriteiten moeten worden doorgegeven. Deze verschillen leiden niet alleen tot onnodige kosten en complicaties voor de luchtvaartmaatschappijen, maar doen ook afbreuk aan de doeltreffendheid en de efficiëntie van de voorafgaande controles van bij de buitengrenzen aankomende personen.

(4)Het bestaande rechtskader moet daarom worden geactualiseerd en vervangen om te zorgen voor duidelijke, geharmoniseerde en doeltreffende regels over het verzamelen en doorgeven van API-gegevens met het oog op het verbeteren en vergemakkelijken van de doeltreffendheid en efficiëntie van de grenscontroles aan de buitengrenzen en met het oog op de bestrijding van illegale immigratie. (5)Ten behoeve van een zo consistent mogelijke aanpak op internationaal niveau en in het licht van de op dat niveau geldende regels over de verzameling van API-gegevens, moet in het bij deze verordening vastgestelde geactualiseerde rechtskader rekening worden gehouden met de relevante praktijken die internationaal zijn overeengekomen met de luchtvaartsector en die zijn overeengekomen in het kader van richtsnoeren over vooraf te verstrekken passagiersgegevens van de Werelddouaneorganisatie, de Internationale Luchtvaartorganisatie en de Internationale Burgerluchtvaartorganisatie. (6)Het verzamelen en doorgeven van API-gegevens heeft gevolgen voor de persoonlijke levenssfeer van natuurlijke personen en gaat gepaard met de verwerking van persoonsgegevens. Met het oog op de volledige eerbiediging van de grondrechten, met name het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens, overeenkomstig het Handvest van de grondrechten van de Europese Unie (“Handvest”), moeten passende beperkingen en waarborgen worden vastgesteld. Met name moet de verwerking van API-gegevens, in het bijzonder van API-gegevens die persoonsgegevens zijn, beperkt blijven tot wat noodzakelijk is voor en evenredig is aan de verwezenlijking van de doelstellingen van deze verordening. Daarnaast moet ervoor worden gezorgd dat de uit hoofde van deze verordening verzamelde en doorgegeven API-gegevens geen aanleiding geven tot op grond van het Handvest verboden discriminatie. (7)Om de doelstellingen van deze verordening te verwezenlijken, moet deze verordening van toepassing zijn op alle luchtvaartmaatschappijen die vluchten naar de Unie, zoals gedefinieerd in deze verordening, uitvoeren, ongeacht of het geregelde of niet-geregelde vluchten betreft en ongeacht de plaats van vestiging van de luchtvaartmaatschappijen die deze vluchten uitvoeren. (8)Omwille van de doeltreffendheid en de rechtszekerheid moeten de op grond van deze verordening te verzamelen en door te geven gegevenselementen – een datareeks bestaande uit gegevens over de reiziger en informatie over de vlucht van die reiziger die, in haar geheel genomen, de API-gegevens vormt – duidelijk en volledig worden opgesomd in deze verordening. Wat de vlucht betreft, moet deze informatie gegevens omvatten over de grensdoorlaatpost van binnenkomst op het grondgebied van de betrokken lidstaat in alle gevallen die onder deze verordening vallen, maar die informatie mag alleen worden verzameld indien van toepassing in het kader van Verordening (EU) [API-gegevens voor rechtshandhaving], dat wil zeggen niet wanneer de API-gegevens betrekking hebben op vluchten binnen de EU. (9)Om flexibiliteit en innovatie mogelijk te maken, moet het in beginsel aan elke luchtvaartmaatschappij worden overgelaten te bepalen hoe zij voldoet aan haar verplichtingen met betrekking tot het verzamelen van API-gegevens uit hoofde van deze verordening. Aangezien geschikte technologische oplossingen voorhanden zijn die het mogelijk maken bepaalde API-gegevens automatisch te verzamelen en tegelijkertijd garanderen dat deze gegevens juist, volledig en actueel zijn, en aangezien het gebruik van deze technologie voordelen biedt op het vlak van doeltreffendheid en efficiëntie, moeten luchtvaartmaatschappijen worden verplicht die API-gegevens met behulp van geautomatiseerde procedés te verzamelen door informatie uit de machineleesbare gegevens van het reisdocument te halen. (10)Met geautomatiseerde procedés kunnen de reizigers tijdens het online inchecken zelf bepaalde API-gegevens verstrekken, bijvoorbeeld via een beveiligde app op hun smartphone, computer of webcam die de machineleesbare gegevens van het reisdocument kan lezen. Reizigers die niet online inchecken, moeten van de luchtvaartmaatschappijen de mogelijkheid krijgen om de betrokken machineleesbare API-gegevens tijdens het inchecken op de luchthaven te verstrekken via een zelfbedieningskiosk of met de hulp van het personeel van de luchtvaartmaatschappij aan de balie. (11)Wat het gebruik van geautomatiseerde procedés voor het verzamelen van machineleesbare API-gegevens uit hoofde van deze verordening betreft, moet de Commissie de bevoegdheid krijgen om, met het oog op de duidelijkheid, de rechtszekerheid, de gegevenskwaliteit en het verantwoordelijke gebruik van deze procedés, technische voorschriften en procedurele regels voor de luchtvaartmaatschappijen vast te stellen. (12)Gezien de voordelen van het gebruik van geautomatiseerde procedés voor het verzamelen van machineleesbare API-gegevens en gezien de duidelijkheid die de uit hoofde van deze verordening vast te stellen technische voorschriften bieden, moet worden verduidelijkt dat luchtvaartmaatschappijen die besluiten de op grond van Richtlijn 2004/82/EG door te geven gegevens te verzamelen aan de hand van geautomatiseerde procedés, de mogelijkheid hebben, maar niet verplicht zijn, om die voorschriften toe te passen zodra deze zijn vastgesteld, voor zover die richtlijn dit toestaat. Vrijwillige toepassing van die specificaties in het kader van de toepassing van Richtlijn 2004/82/EG doet op geen enkele wijze afbreuk aan de verplichtingen waaraan de luchtvaartmaatschappijen en de lidstaten uit hoofde van die richtlijn moeten voldoen. (13)Om ervoor te zorgen dat de vooraf door de bevoegde grensautoriteiten uitgevoerde controles doeltreffend en efficiënt zijn, moeten de API-gegevens die aan die autoriteiten worden doorgegeven, gegevens bevatten van reizigers die daadwerkelijk de buitengrenzen zullen overschrijden, dat wil zeggen reizigers die daadwerkelijk aan boord van het luchtvaartuig zijn. Daarom moeten de luchtvaartmaatschappijen de API-gegevens onmiddellijk na beëindiging van het inchecken doorgeven. Bovendien helpen de API-gegevens de bevoegde grensautoriteiten om een onderscheid te maken tussen bonafide reizigers en reizigers die wellicht extra aandacht en extra verificatie vereisen en voor wie bij aankomst follow-upmaatregelen zouden moeten worden genomen waarvoor voorafgaande voorbereiding en coördinatie vereist is. Deze situatie kan zich bijvoorbeeld voordoen wanneer het aantal reizigers die extra aandacht vereisen, onverwacht groot is en het fysiek controleren van deze reizigers aan de grenzen negatieve gevolgen heeft voor de grenscontroles en de wachttijden van de bonafide reizigers aan de grenzen. Om de bevoegde grensautoriteiten in de gelegenheid te stellen passende en evenredige maatregelen aan de grens voor te bereiden, zoals het tijdelijk versterken of elders inzetten van personeel, met name wanneer zij tussen de beëindiging van het inchecken van een vlucht en de aankomst van de betrokken reizigers aan de buitengrenzen onvoldoende tijd hebben om de meest passende respons voor te bereiden, moet worden bepaald dat de API-gegevens ook moeten worden doorgegeven bij het inchecken, en dus vóór het aan boord gaan, van de reiziger. (14)Om duidelijkheid te verschaffen over de technische voorschriften die van toepassing zijn op de luchtvaartmaatschappijen en die ervoor moeten zorgen dat de API-gegevens die zij uit hoofde van deze verordening verzamelen, op een beveiligde, doeltreffende en snelle manier aan de router worden doorgegeven, moet de Commissie de bevoegdheid krijgen om specificaties vast te stellen voor de gemeenschappelijke protocollen en de ondersteunde gegevensformaten die voor die doorgiften moeten worden gebruikt. (15)Om elk risico op misbruik te voorkomen en de inachtneming van het beginsel van doelbinding te waarborgen, moet het de bevoegde grensautoriteiten uitdrukkelijk verboden worden de API-gegevens die zij uit hoofde van deze verordening ontvangen, voor andere doeleinden te verwerken dan het versterken en vergemakkelijken van de doeltreffendheid en efficiëntie van de grenscontroles aan de buitengrenzen en het bestrijden van illegale immigratie. (16)Teneinde ervoor te zorgen dat de bevoegde grensautoriteiten voldoende tijd hebben om alle reizigers, ook op langeafstandsvluchten en op aansluitende vluchten, doeltreffend te controleren en om na te gaan of de door de luchtvaartmaatschappijen verzamelde en doorgegeven API-gegevens volledig, juist en actueel zijn, en om zo nodig de luchtvaartmaatschappijen om aanvullende verduidelijkingen, correcties of aanvullingen te verzoeken, moeten de bevoegde grensautoriteiten de API-gegevens die zij uit hoofde van deze verordening hebben ontvangen, opslaan gedurende een vaste periode die niet langer mag zijn dan wat strikt noodzakelijk is voor het bereiken van die specifieke doeleinden. Om op dergelijke verzoeken te kunnen reageren, moeten de luchtvaartmaatschappijen de API-gegevens die zij uit hoofde van deze verordening hebben doorgegeven, gedurende dezelfde vaste en strikt noodzakelijke periode opslaan. (17)Om te voorkomen dat de luchtvaartmaatschappijen voor de doorgifte van de uit hoofde van deze verordening verzamelde API-gegevens meerdere verbindingen met de bevoegde grensautoriteiten van de lidstaten moeten tot stand brengen en onderhouden en dat als gevolg daarvan inefficiënties en veiligheidsrisico’s ontstaan, moet worden voorzien in één enkele router die op het niveau van de Unie wordt opgezet en geëxploiteerd en die dient als verbindings- en distributiepunt voor die doorgifte. Met het oog op efficiëntie en kosteneffectiviteit moeten voor de router technische componenten van andere relevante systemen die in het kader van het Unierecht zijn opgezet, worden gebruikt, voor zover dat technisch mogelijk is en mits de regels van deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving] daarbij volledig in acht worden genomen. (18)De router moet de API-gegevens op geautomatiseerde wijze doorgeven aan de betrokken bevoegde grensautoriteiten; welke autoriteiten dat zijn, wordt bepaald op basis van de in de betrokken API-gegevens vermelde grensdoorlaatpost van binnenkomst op het grondgebied van de lidstaat. Om de distributie te vergemakkelijken, moet elke lidstaat aangeven welke grensautoriteiten bevoegd zijn om de via de router doorgeven API-gegevens te ontvangen. Met het oog op de goede werking van deze verordening en in het belang van de transparantie moet die informatie openbaar worden gemaakt. (19)De router dient alleen om het voor de luchtvaartmaatschappijen gemakkelijker te maken API-gegevens overeenkomstig deze verordening aan de bevoegde grensautoriteiten en overeenkomstig Verordening (EU) [API-gegevens voor rechtshandhaving] aan de PIE’s door te zenden, en dient niet voor de opslag van API-gegevens. Om daarmee rekening te houden, alsook om het risico op ongeoorloofde toegang of ander misbruik tot een minimum te beperken en om het beginsel van minimale gegevensverwerking in acht te nemen, moet de opslag van API-gegevens op de router beperkt blijven tot wat strikt noodzakelijk is voor technische doeleinden in verband met de doorzending, en moeten de API-gegevens onmiddellijk, definitief en op een geautomatiseerde manier van de router worden gewist zodra de doorzending heeft plaatsgevonden of, in voorkomend geval op grond van Verordening (EU) [API-gegevens voor rechtshandhaving], wanneer de API-gegevens helemaal niet mogen worden doorgezonden. (20)Om ervoor te zorgen dat de doorzending van API-gegevens via de router goed werkt, moet de Commissie de bevoegdheid krijgen om gedetailleerde technische en procedurele voorschriften over die doorzending vast te stellen. Deze regels moeten van dien aard zijn dat de doorzending op een beveiligde, doeltreffende en snelle manier verloopt en de impact ervan op de reis van de passagiers en op de luchtvaartmaatschappijen niet groter is dan noodzakelijk. (21)Om ervoor te zorgen dat de luchtvaartmaatschappijen zo snel mogelijk kunnen profiteren van de voordelen van het gebruik van de door eu-LISA overeenkomstig deze verordening ontwikkelde router en ervaring kunnen opdoen met het gebruik van de router, moeten zij de mogelijkheid krijgen, maar niet verplicht worden, om tijdens een overgangsperiode de router te gebruiken voor het doorzenden van de krachtens Richtlijn 2004/82/EG vereiste gegevens. Die overgangsperiode moet beginnen wanneer de router in gebruik wordt genomen, en moet aflopen wanneer de verplichtingen uit hoofde van die richtlijn vervallen. Om ervoor te zorgen dat dit vrijwillige gebruik van de router op een verantwoordelijke manier plaatsvindt, is de voorafgaande schriftelijke toestemming van de bevoegde autoriteit die de informatie moet ontvangen, vereist; zij moet daartoe door de luchtvaartmaatschappij worden verzocht en moet eerst de nodige verificaties verrichten en waarborgen krijgen. Om te voorkomen dat luchtvaartmaatschappijen herhaaldelijk beginnen en weer stoppen met het gebruik van de router, moeten luchtvaartmaatschappijen die de router vrijwillig in gebruik hebben genomen, worden verplicht deze te blijven gebruiken, tenzij er objectieve redenen zijn om het gebruik van de router voor het verstrekken van de informatie aan de betrokken bevoegde autoriteit stop te zetten, bijvoorbeeld omdat is gebleken dat de informatie niet op een rechtmatige, beveiligde, doeltreffende en snelle manier wordt verstrekt. Om ervoor te zorgen dat deze mogelijkheid om de router op vrijwillige basis te gebruiken, correct wordt toegepast, met inachtneming van de rechten en belangen van alle betrokken partijen, moeten de nodige regels inzake raadpleging en informatieverstrekking worden vastgesteld. Vrijwillig gebruik van de router in het kader van Richtlijn 2004/82/EG overeenkomstig deze verordening doet op geen enkele wijze afbreuk aan de verplichtingen waaraan de luchtvaartmaatschappijen en de lidstaten uit hoofde van die richtlijn moeten voldoen. (22)De technische verbindingen voor de doorgifte van de API-gegevens moeten door de router die op grond van deze verordening wordt opgezet en geëxploiteerd, worden verminderd in aantal, vereenvoudigd en beperkt tot één verbinding per luchtvaartmaatschappij en per bevoegde grensautoriteit. Daarom verplicht deze verordening de bevoegde grensautoriteiten en de luchtvaartmaatschappijen om elk zo een verbinding op te zetten die met de router kan worden geïntegreerd, zodat het bij deze verordening ingestelde systeem voor de doorgifte van API-gegevens naar behoren kan functioneren. Deze verplichtingen moeten, met het oog op het effect dat zij sorteren en met het oog op de goede werking van het bij deze verordening ingestelde systeem, worden aangevuld met gedetailleerde regels. (23)Gezien de belangen van de Unie die op het spel staan, moeten de kosten voor de router die eu-LISA maakt met het oog op de uitvoering van zijn taken uit hoofde van deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving], ten laste komen van de begroting van de Unie. Met inachtneming van bepaalde uitzonderingen moet hetzelfde gelden voor passende kosten die de lidstaten maken voor de verbindingen en de integratie met de router op grond van deze verordening en overeenkomstig de toepasselijke wetgeving. De kosten die onder deze uitzonderingen vallen, moet de betrokken lidstaat zelf dragen.

(24)Het kan niet worden uitgesloten dat in uitzonderlijke omstandigheden en ondanks alle redelijke maatregelen die overeenkomstig deze verordening zijn getroffen, de router of een systeem of de infrastructuur waarmee de bevoegde grensautoriteiten en de luchtvaartmaatschappijen onderling verbonden zijn, niet naar behoren functioneert, waardoor het technisch onmogelijk is de router te gebruiken om API-gegevens door te zenden. Als de router niet beschikbaar is en het normaal gezien voor de luchtvaartmaatschappijen redelijkerwijs niet mogelijk is de API-gegevens die hinder ondervinden van de storing, op een rechtmatige, veilige, doeltreffende en snelle wijze via alternatieve procedés door te geven, moet de verplichting voor de luchtvaartmaatschappijen om die API-gegevens aan de router door te geven, vervallen zolang die doorgifte technisch onmogelijk is. Om de duur en de negatieve gevolgen van dergelijke technische storingen tot een minimum te beperken, moeten de betrokken partijen elkaar onmiddellijk ervan op de hoogte brengen en onmiddellijk alle nodige maatregelen nemen om deze te verhelpen. Aangezien API-gegevens over reeds aangekomen vluchten niet nuttig zijn voor de grenscontroles, is er in een dergelijk geval geen reden om de luchtvaartmaatschappijen te verplichten de API-gegevens te verzamelen en op te slaan. Deze regeling mag geen afbreuk doen aan de uit deze verordening voortvloeiende verplichtingen op grond waarvan alle betrokken partijen ervoor moeten zorgen dat de router en hun respectieve systemen en infrastructuur naar behoren functioneren, noch aan het feit dat aan luchtvaartmaatschappijen sancties worden opgelegd wanneer zij deze verplichtingen niet nakomen, ook wanneer zij ten onrechte gebruik willen maken van deze regeling. Om dergelijk misbruik tegen te gaan en het toezicht en, waar nodig, het opleggen van sancties te vergemakkelijken, moeten luchtvaartmaatschappijen die vanwege een storing in hun eigen systeem en infrastructuur gebruik maken van deze regeling, hierover verslag uitbrengen aan de bevoegde toezichthoudende autoriteit. (25)Met het oog op de naleving van het grondrecht op bescherming van persoonsgegevens moet in deze verordening worden bepaald wie de verwerkingsverantwoordelijke en de verwerker zijn en welke regels gelden op het gebied van audits. Met het oog op doeltreffende monitoring, adequate bescherming van persoonsgegevens en optimale beperking van de beveiligingsrisico’s moeten ook regels worden vastgesteld over het aanleggen van logbestanden, de beveiliging van de verwerking en interne controle. Wanneer die bepalingen betrekking hebben op de verwerking van persoonsgegevens, moeten ze worden opgevat als een aanvulling op de algemeen toepasselijke handelingen van het Unierecht inzake de bescherming van persoonsgegevens, met name Verordening (EU) 2016/679 van het Europees Parlement en de Raad en Verordening (EU) 2018/1725 van het Europees Parlement en de Raad. De onderhavige verordening mag geen afbreuk doen aan die handelingen, die ook van toepassing zijn op de verwerking van persoonsgegevens in het kader van deze verordening overeenkomstig de bepalingen ervan. (26)De verwerkingsactiviteiten in het kader van deze verordening, namelijk de doorzending van de door de luchtvaartmaatschappijen doorgeven API-gegevens via de router naar de bevoegde grensautoriteiten van de lidstaten, hebben tot doel die autoriteiten te helpen om hun verplichtingen op het gebied van grensbeheer na te komen en hun taken op het gebied van de bestrijding van illegale immigratie te vervullen. Daarom moeten de bevoegde grensautoriteiten die de API-gegevens ontvangen, verwerkingsverantwoordelijken zijn voor de doorzending, via de router, van API-gegevens die persoonsgegevens zijn, voor de opslag van die gegevens op de router, voor zover die opslag noodzakelijk is voor technische doeleinden, en voor elke verwerking van die gegevens waarbij die gegevens vervolgens worden gebruikt om de grenscontroles aan de buitengrenzen te versterken en te vergemakkelijken. De luchtvaartmaatschappijen moeten op hun beurt afzonderlijke verwerkingsverantwoordelijken zijn voor de van hen op grond van deze verordening vereiste verwerking van API-gegevens die persoonsgegevens zijn. De luchtvaartmaatschappijen en de bevoegde grensautoriteiten moeten dus afzonderlijke verwerkingsverantwoordelijken zijn voor hun eigen verwerking van API-gegevens in het kader van deze verordening. (27)Om ervoor te zorgen dat de luchtvaartmaatschappijen de regels van deze verordening daadwerkelijk toepassen, moet worden voorzien in de aanwijzing en machtiging van nationale autoriteiten die belast zijn met het toezicht op die regels. De in deze verordening vastgestelde regels over dit toezicht, ook wat het opleggen van sancties waar nodig betreft, mogen geen afbreuk doen aan de taken en bevoegdheden van de overeenkomstig Verordening (EU) 2016/679 ingestelde toezichthoudende autoriteiten, onder meer op het gebied van de verwerking van persoonsgegevens in het kader van deze verordening. (28)Ten aanzien van luchtvaartmaatschappijen die hun verplichtingen inzake de verzameling en de doorgifte van API-gegevens op grond van deze verordening niet nakomen, dienen de lidstaten te voorzien in doeltreffende, evenredige en afschrikkende sancties, met inbegrip van geldboetes. (29)Aangezien bij deze verordening nieuwe regels worden vastgesteld betreffende de verzameling en de doorgifte van API-gegevens door de bevoegde grensautoriteiten met het oog op het versterken en vergemakkelijken van de doeltreffendheid en efficiëntie van de grenscontroles aan de buitengrenzen, moet Richtlijn 2004/82/EG worden ingetrokken. (30)Aangezien de router moet worden ontworpen, ontwikkeld, gehost en technisch beheerd door eu-LISA, het agentschap dat is opgericht bij Verordening (EU) 2018/1726 van het Europees Parlement en de Raad, moet die verordening worden gewijzigd door die taak aan de taken van eu-LISA toe te voegen. Met het oog op de opslag van verslagen en statistieken met betrekking tot de router in het centrale register voor rapportage en statistieken moet Verordening (EU) 2019/817 van het Europees Parlement en de Raad worden gewijzigd. (31)Met het oog op de vaststelling van maatregelen inzake de technische voorschriften en operationele regels voor de geautomatiseerde procedés voor het verzamelen van machineleesbare API-gegevens, inzake de gemeenschappelijke protocollen en formaten voor de doorgifte van API-gegevens door de luchtvaartmaatschappijen, inzake de technische en procedurele regels voor de doorzending van de API-gegevens via de router naar de bevoegde grensautoriteiten en naar de PIE’s en inzake de verbindingen en de integratie van de PIE’s en de luchtvaartmaatschappijen met de router, moet aan de Commissie de bevoegdheid worden overgedragen om overeenkomstig artikel 290 van het Verdrag betreffende de werking van de Europese Unie handelingen vast te stellen met betrekking tot respectievelijk de artikelen 5, 6, 11, 20 en 21. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden tot passende raadplegingen overgaat, onder meer op deskundigenniveau, en dat die raadplegingen plaatsvinden in overeenstemming met de beginselen die zijn vastgelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven. Met name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde handelingen ontvangen het Europees Parlement en de Raad alle documenten op hetzelfde tijdstip als de deskundigen van de lidstaten, en hebben hun deskundigen systematisch toegang tot de vergaderingen van de deskundigengroepen van de Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen. (32)Om eenvormige voorwaarden te waarborgen voor de uitvoering van deze verordening, met name wat de ingebruikneming van de router betreft, moeten aan de Commissie uitvoeringsbevoegdheden worden toegekend. Die bevoegdheden moeten worden uitgeoefend in overeenstemming met Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad. (33)Alle belanghebbende partijen, en met name de luchtvaartmaatschappijen en de bevoegde grensautoriteiten, moeten voldoende tijd krijgen om de nodige voorbereidingen te treffen om aan hun respectieve verplichtingen uit hoofde van deze verordening te kunnen voldoen, temeer daar sommige van die voorbereidingen, zoals die betreffende de verplichtingen inzake de verbinding en integratie met de router, pas kunnen worden voltooid als de router ontworpen en ontwikkeld is en in gebruik is genomen. Daarom mag de toepassing van deze verordening pas ingaan op een passende datum na de door de Commissie overeenkomstig deze verordening gespecificeerde datum van ingebruikneming van de router. (34)De ontwerp- en de ontwikkelingsfase van de router moeten zo snel mogelijk worden aangevat en voltooid, zodat de router zo snel mogelijk in gebruik kan worden genomen; hiertoe moeten de nodige, in deze verordening bedoelde uitvoerings- en gedelegeerde handelingen worden vastgesteld. De in deze verordening bedoelde verduidelijking over de toepassing van specificaties betreffende het gebruik van geautomatiseerde procedés overeenkomstig Richtlijn 2004/82/EG moet eveneens onverwijld worden verstrekt. Daarom moeten de desbetreffende artikelen van toepassing zijn met ingang van de datum van inwerkingtreding van deze verordening. Om ervoor te zorgen dat de router zo snel mogelijk op vrijwillige basis kan worden gebruikt, moeten het artikel over dat gebruik en bepaalde andere artikelen inzake verantwoordelijk vrijwillig gebruik zo snel mogelijk van toepassing worden, dat wil zeggen zodra de router in gebruik wordt genomen. (35)Deze verordening mag de lidstaten niet beperken in hun mogelijkheid om krachtens hun nationale recht te voorzien in een systeem voor het verzamelen van API-gegevens van andere dan de in deze verordening genoemde vervoerders, mits dat nationale recht in overeenstemming is met het Unierecht. (36)Aangezien de doelstellingen van deze verordening, met name het versterken en vergemakkelijken van de doeltreffendheid en efficiëntie van de grenscontroles aan de buitengrenzen en het bestrijden van illegale immigratie, betrekking hebben op aangelegenheden die inherent grensoverschrijdend zijn, kunnen zij niet voldoende door de lidstaten afzonderlijk, maar beter door de Unie worden verwezenlijkt. Daarom kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel, gaat deze verordening niet verder dan nodig is om deze doelstelling te verwezenlijken. (37)Overeenkomstig de artikelen 1 en 2 van Protocol nr. 22 betreffende de positie van Denemarken, dat aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie is gehecht, neemt Denemarken niet deel aan de vaststelling van deze verordening, die derhalve niet bindend is voor, noch van toepassing is op deze lidstaat. Aangezien deze verordening voortbouwt op het Schengenacquis, beslist Denemarken overeenkomstig artikel 4 van het bovengenoemde protocol binnen een termijn van zes maanden nadat de Raad heeft beslist over deze verordening of het deze in zijn interne recht zal omzetten. (38)Ierland neemt aan deze verordening deel overeenkomstig artikel 5, lid 1, van Protocol nr. 19 betreffende het Schengenacquis dat is opgenomen in het kader van de Europese Unie, gehecht aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, en overeenkomstig artikel 6, lid 2, van Besluit 2002/192/EG van de Raad. (39) De deelname van Ierland aan deze verordening overeenkomstig artikel 6, lid 2, van Besluit 2002/192/EG heeft betrekking op de verantwoordelijkheid van de Unie voor het nemen van maatregelen ter ontwikkeling van de bepalingen van het Schengenacquis ter bestrijding van illegale immigratie, waaraan Ierland deelneemt. (40)Wat IJsland en Noorwegen betreft, vormt deze verordening een ontwikkeling van de bepalingen van het Schengenacquis in de zin van de Overeenkomst tussen de Raad van de Europese Unie en de Republiek IJsland en het Koninkrijk Noorwegen inzake de wijze waarop IJsland en Noorwegen worden betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis die vallen onder het gebied bedoeld in artikel 1, punt A, van Besluit 1999/437/EG van de Raad. (41)Wat Zwitserland betreft, vormt deze verordening een ontwikkeling van de bepalingen van het Schengenacquis in de zin van de Overeenkomst tussen de Europese Unie, de Europese Gemeenschap en de Zwitserse Bondsstaat inzake de wijze waarop Zwitserland wordt betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis die vallen onder het gebied bedoeld in artikel 1, punt A, van Besluit 1999/437/EG van de Raad, in samenhang met artikel 3 van Besluit 2008/146/EG van de Raad. (42)Wat Liechtenstein betreft, vormt deze verordening een ontwikkeling van de bepalingen van het Schengenacquis in de zin van het Protocol tussen de Europese Unie, de Europese Gemeenschap, de Zwitserse Bondsstaat en het Vorstendom Liechtenstein betreffende de toetreding van het Vorstendom Liechtenstein tot de Overeenkomst tussen de Europese Unie, de Europese Gemeenschap en de Zwitserse Bondsstaat inzake de wijze waarop Zwitserland wordt betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis die vallen onder het gebied bedoeld in artikel 1, punt A, van Besluit 1999/437/EG van de Raad, in samenhang met artikel 3 van Besluit 2011/350/EU van de Raad. (43)Wat Cyprus, Bulgarije, Roemenië en Kroatië betreft, vormt deze verordening een handeling die op het Schengenacquis voortbouwt of anderszins daaraan is gerelateerd in de zin van respectievelijk artikel 3, lid 1, van de Toetredingsakte van 2003, artikel 4, lid 1, van de Toetredingsakte van 2005 en artikel 4, lid 1, van de Toetredingsakte van 2011.

(44)De Europese Toezichthouder voor gegevensbescherming is overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 geraadpleegd en heeft op [XX] een advies uitgebracht, HEBBEN DE VOLGENDE VERORDENING VASTGESTELD: HOOFDSTUK 1 ALGEMENE BEPALINGEN Artikel 1 Onderwerp Om de doeltreffendheid en de efficiëntie van de grenscontroles aan de buitengrenzen te versterken en te vergemakkelijken en om illegale immigratie te bestrijden, worden in deze verordening de regels vastgesteld inzake: a)de verzameling, door de luchtvaartmaatschappijen, van vooraf te verstrekken passagiersgegevens (“API-gegevens”) over vluchten naar de Unie; b)de doorgifte, door de luchtvaartmaatschappijen, van de API-gegevens aan de router; c)de doorzending van de API-gegevens via de router naar de bevoegde grensautoriteiten. Artikel 2 Toepassingsgebied Deze verordening is van toepassing op luchtvaartmaatschappijen die geregelde of niet-geregelde vluchten naar de Unie uitvoeren. Artikel 3 Definities Voor de toepassing van deze verordening wordt verstaan onder: a)“luchtvaartmaatschappij”: een luchtvervoersonderneming zoals gedefinieerd in artikel 3, punt 1, van Richtlijn (EU) 2016/681; b)“grenscontroles”: de controles zoals gedefinieerd in artikel 2, punt 11, van Verordening (EU) 2016/399; c)“vluchten naar de Unie”: vluchten die vanaf het grondgebied van een derde land of van een lidstaat die niet aan deze verordening deelneemt, zullen vertrekken en volgens plan zullen aankomen op het grondgebied van een lidstaat die aan deze verordening deelneemt;

d)“grensdoorlaatpost”: een doorlaatpost zoals gedefinieerd in artikel 2, punt 8, van Verordening (EU) 2016/399; e)“geregelde vlucht”: een vlucht die volgens een vaste dienstregeling wordt uitgevoerd en waarvoor het grote publiek tickets kan kopen; f)“niet-geregelde vlucht”: een vlucht die niet volgens een vaste dienstregeling wordt uitgevoerd en die niet noodzakelijk deel uitmaakt van een regelmatige of geregelde route; g)“bevoegde grensautoriteit”: de autoriteit die door een lidstaat is belast met het uitvoeren van grenscontroles en die door die lidstaat is aangewezen en aangemeld overeenkomstig artikel 11, lid 2; h)“passagier”: een persoon, met uitsluiting van de bemanningsleden, die met toestemming van de luchtvaartmaatschappij in een luchtvaartuig wordt vervoerd of zal worden vervoerd, waarbij die toestemming blijkt uit de vermelding van die persoon op de passagierslijst; i)“bemanning”: alle personen, met uitsluiting van de passagiers, die zich tijdens de vlucht aan boord van een luchtvaartuig bevinden en die in het luchtvaartuig werkzaamheden uitvoeren of het luchtvaartuig besturen, met inbegrip van cockpit- en cabinepersoneel; j)“reiziger”: een passagier of een bemanningslid; k)“vooraf te verstrekken passagiersgegevens” of “API-gegevens”: de in artikel 4, lid 2, bedoelde reizigersgegevens en de in artikel 4, lid 3, bedoelde vluchtinformatie; l)“passagiersinformatie-eenheid” of “PIE”: de in artikel 3, punt i), van Verordening (EU) [API-gegevens voor rechtshandhaving] bedoelde bevoegde autoriteit; m)“de router”: de in artikel 9 bedoelde router; n)“persoonsgegevens”: gegevens zoals gedefinieerd in artikel 4, punt 1, van Verordening (EU) 2016/679. HOOFDSTUK 2 VERZAMELING EN DOORGIFTE VAN API-GEGEVENS Artikel 4 Door de luchtvaartmaatschappijen te verzamelen API-gegevens 1.De luchtvaartmaatschappijen verzamelen met betrekking tot de in artikel 2 bedoelde vluchten API-gegevens van reizigers, bestaande uit de in de leden 2 en 3 van dit artikel gespecificeerde reizigersgegevens en vluchtinformatie, teneinde deze API-gegevens overeenkomstig artikel 6 door te geven aan de router. 2.De API-gegevens omvatten de volgende reizigersgegevens over elke reiziger op de vlucht: a)achternaam (familienaam), voornaam of voornamen; b)geboortedatum, geslacht en nationaliteit; c)het type en het nummer van het reisdocument en de drielettercode van het land dat het reisdocument heeft afgegeven;

d)de datum waarop de geldigheidstermijn van het reisdocument verstrijkt; e)de status van de reiziger (passagier of bemanningslid); f)het identificatienummer van de PNR (“Passenger Name Record”) dat door de luchtvaartmaatschappij wordt gebruikt om de passagier in haar informatiesysteem te lokaliseren (PNR-bestandslocatie); g)informatie over de zitplaats, zoals het nummer van de stoel in het luchtvaartuig die aan de passagier is toegewezen, indien de luchtvaartmaatschappij deze informatie verzamelt; h)informatie over de bagage, zoals het aantal ingecheckte koffers, indien de luchtvaartmaatschappij deze informatie verzamelt. 3.De API-gegevens omvatten ook de volgende vluchtinformatie over de vlucht van elke reiziger: a)het vluchtidentificatienummer of, indien een dergelijk nummer niet bestaat, een andere duidelijke en geschikte indicator om de vlucht te identificeren; b)in voorkomend geval, de grensdoorlaatpost van binnenkomst op het grondgebied van de lidstaat; c)de code van de luchthaven van binnenkomst op het grondgebied van de lidstaat; d)het eerste instappunt; e)lokale datum en geschat lokaal tijdstip van vertrek; f)lokale datum en geschat lokaal tijdstip van aankomst. Artikel 5 Procedés voor de verzameling van API-gegevens 1.De luchtvaartmaatschappijen verzamelen de API-gegevens overeenkomstig artikel 4 op zodanige wijze dat de API-gegevens die zij overeenkomstig lid 6 doorgeven, juist, volledig en actueel zijn. 2.De luchtvaartmaatschappijen verzamelen de in artikel 4, lid 2, punten a) tot en met d), bedoelde API-gegevens met behulp van geautomatiseerde procedés voor de verzameling van de machineleesbare gegevens van het reisdocument van de betrokken reiziger. Zij doen dit overeenkomstig de in lid 4 bedoelde gedetailleerde technische voorschriften en operationele regels, indien dergelijke regels zijn vastgesteld en van toepassing zijn. Als het reisdocument geen machineleesbare gegevens bevat en er daarom geen gebruik kan worden gemaakt van een dergelijk geautomatiseerd procedé, verzamelen de luchtvaartmaatschappijen die gegevens handmatig en op zulke wijze dat lid 1 in acht wordt genomen. 3.De geautomatiseerde procedés die de luchtvaartmaatschappijen voor de verzameling van API-gegevens op grond van deze verordening gebruiken, moeten betrouwbaar, beveiligd en actueel zijn. 4.De Commissie is bevoegd overeenkomstig artikel 37 gedelegeerde handelingen vast te stellen teneinde deze verordening aan te vullen met gedetailleerde technische voorschriften en operationele regels voor het verzamelen van de in artikel 4, lid 2, punten a) tot en met d), bedoelde API-gegevens met behulp van geautomatiseerde procedés overeenkomstig de leden 2 en 3 van het onderhavige artikel. 5.Luchtvaartmaatschappijen die geautomatiseerde procedés gebruiken om de in artikel 3, lid 1, van Richtlijn 2004/82/EG bedoelde informatie te verzamelen, hebben het recht om dat te doen aan de hand van de in lid 4 bedoelde technische voorschriften betreffende dat gebruik, overeenkomstig die richtlijn.

Artikel 6 Verplichtingen van de luchtvaartmaatschappijen betreffende de doorgifte van API-gegevens 1.De luchtvaartmaatschappijen geven de API-gegevens elektronisch door aan de router. Zij doen dit overeenkomstig de in lid 3 bedoelde gedetailleerde regels, indien dergelijke regels zijn vastgesteld en van toepassing zijn. 2.De luchtvaartmaatschappijen geven de API-gegevens door zowel bij het inchecken als onmiddellijk na beëindiging van het inchecken, dat wil zeggen wanneer de passagiers aan boord zijn gegaan van het vliegtuig dat klaar staat voor vertrek en er geen passagiers meer aan of van boord kunnen gaan. 3.De Commissie is bevoegd overeenkomstig artikel 37 gedelegeerde handelingen vast te stellen teneinde deze verordening aan te vullen met de nodige gedetailleerde regels inzake de gemeenschappelijke protocollen en ondersteunde dataformaten voor de doorgifte van API-gegevens aan de router als bedoeld in lid 1. 4.Wanneer een luchtvaartmaatschappij, na de gegevens aan de router te hebben doorgegeven, merkt dat de API-gegevens onjuist, onvolledig of niet meer actueel zijn of onrechtmatig zijn verwerkt, of dat de gegevens geen API-gegevens zijn, stelt zij het Agentschap van de Europese Unie voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (eu-LISA) daarvan onmiddellijk in kennis. Bij ontvangst van deze informatie stelt eu-LISA de bevoegde grensautoriteit die de via de router doorgezonden API-gegevens heeft ontvangen, onmiddellijk van die informatie in kennis. Artikel 7 Verwerking van de ontvangen API-gegevens De bevoegde grensautoriteiten verwerken de API-gegevens die overeenkomstig deze verordening aan hen zijn doorgegeven, uitsluitend voor de in artikel 1 genoemde doeleinden. Artikel 8 Opslag en wissing van API-gegevens 1.De luchtvaartmaatschappijen slaan de passagiersgerelateerde API-gegevens die zij krachtens artikel 4 hebben verzameld, op gedurende een periode van 48 uur vanaf het tijdstip van vertrek van de vlucht. Zij wissen die API-gegevens onmiddellijk en definitief zodra deze termijn verstrijkt. 2.De bevoegde grensautoriteiten slaan de passagiersgerelateerde API-gegevens die zij krachtens artikel 11 via de router hebben ontvangen, op gedurende een periode van 48 uur vanaf het tijdstip van vertrek van de vlucht. Zij wissen die API-gegevens onmiddellijk en definitief zodra deze termijn verstrijkt. 3.Wanneer een luchtvaartmaatschappij of bevoegde grensautoriteit merkt dat de gegevens die zij uit hoofde van deze verordening heeft verzameld, doorgegeven of ontvangen, onjuist, onvolledig of niet meer actueel zijn of onrechtmatig zijn verwerkt, of dat de gegevens geen API-gegevens zijn, zorgt zij ervoor dat die API-gegevens onmiddellijk worden gecorrigeerd, aangevuld of bijgewerkt of definitief worden gewist. Dit doet geen afbreuk aan de mogelijkheid die luchtvaartmaatschappijen hebben om de gegevens te bewaren en te gebruiken wanneer dat voor de normale bedrijfsvoering overeenkomstig de toepasselijke wetgeving nodig is. HOOFDSTUK 3 BEPALINGEN BETREFFENDE DE ROUTER Artikel 9 De router 1.Teneinde het voor de luchtvaartmaatschappijen gemakkelijker te maken API-gegevens aan de bevoegde grensautoriteiten en aan de PIE’s door te geven overeenkomstig deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving], wordt door eu-LISA overeenkomstig de artikelen 22 en 23 een router ontworpen, ontwikkeld, gehost en technisch beheerd.

2.De router bestaat uit: a)een centrale infrastructuur, met inbegrip van een reeks technische componenten voor de doorzending van de API-gegevens; b)een beveiligd communicatiekanaal tussen de centrale infrastructuur en de bevoegde grensautoriteiten en de PIE’s, en een beveiligd communicatiekanaal tussen de centrale infrastructuur en de luchtvaartmaatschappijen, bestemd voor de doorgifte van de API-gegevens en voor alle daarmee verband houdende communicatie. 3.Onverminderd artikel 10 van deze verordening worden voor de router, voor zover dat technisch mogelijk is, de technische componenten, met inbegrip van hardware- en softwarecomponenten, gebruikt en hergebruikt van de in artikel 13 van Verordening (EU) 2017/2226 van het Europees Parlement en de Raad bedoelde webdienst, het in artikel 6, lid 2, punt k), van Verordening (EU) 2018/1240 bedoelde toegangsportaal voor vervoerders en het in artikel 2 bis, punt h), van Verordening (EG) nr. 767/2008 van het Europees Parlement en de Raad bedoelde toegangsportaal voor vervoerders. Artikel 10 Exclusief gebruik van de router De router wordt alleen gebruikt door luchtvaartmaatschappijen, voor het doorgeven van de API-gegevens, en door bevoegde grensautoriteiten en PIE’s, voor het ontvangen van de API-gegevens, overeenkomstig respectievelijk deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving]. Artikel 11 Doorzending van API-gegevens via de router naar de bevoegde grensautoriteiten 1.De router zendt de API-gegevens die krachtens artikel 6 aan de router zijn doorgegeven, onmiddellijk en op geautomatiseerde wijze door naar de bevoegde grensautoriteiten van de lidstaat als bedoeld in artikel 4, lid 3, punt c). De router doet dit overeenkomstig de in lid 4 van dit artikel bedoelde gedetailleerde regels, indien dergelijke regels zijn vastgesteld en van toepassing zijn. Met het oog op deze doorzending wordt door eu-LISA een concordantietabel van de verschillende luchthavens van herkomst en bestemming en de landen waartoe deze luchthavens behoren, opgesteld en bijgehouden. 2.De lidstaten wijzen de bevoegde grensautoriteiten aan die gemachtigd zijn om de API-gegevens te ontvangen die overeenkomstig deze verordening via de router naar hen worden doorgezonden. Zij stellen eu-LISA en de Commissie uiterlijk op de in artikel 39, tweede alinea, bedoelde datum van toepassing van deze verordening in kennis van de naam en de contactgegevens van deze bevoegde grensautoriteiten en werken de meegedeelde informatie zo nodig bij. De Commissie stelt op basis van die kennisgevingen en bijwerkingen een lijst van de aangemelde bevoegde grensautoriteiten, met inbegrip van hun contactgegevens, op en maakt deze lijst openbaar. 3.De lidstaten zorgen ervoor dat alleen de naar behoren gemachtigde personeelsleden van de bevoegde grensautoriteiten toegang hebben tot de API-gegevens die via de router naar hen worden doorgezonden. Zij stellen de daartoe vereiste regels vast. Die regels omvatten regels over het opstellen en regelmatig bijwerken van een lijst van deze personeelsleden en hun profielen. 4.De Commissie is bevoegd overeenkomstig artikel 37 gedelegeerde handelingen vast te stellen teneinde deze verordening aan te vullen met de nodige gedetailleerde technische en procedurele regels inzake de doorzending van API-gegevens via de router als bedoeld in lid 1. Artikel 12 Wissing van API-gegevens van de router De API-gegevens die op grond van deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving] aan de router worden doorgegeven, worden alleen op de router opgeslagen voor zover dat nodig is om de doorzending naar de betrokken bevoegde grensautoriteiten of PIE’s, naargelang het geval, overeenkomstig die verordeningen te voltooien, en worden in de twee volgende situaties onmiddellijk, definitief en op geautomatiseerde wijze van de router gewist: a)als de doorzending van de API-gegevens naar de betrokken bevoegde grensautoriteiten of PIE’s, naargelang het geval, is voltooid; b)met betrekking tot Verordening (EU) [API-gegevens voor rechtshandhaving], als de API-gegevens betrekking hebben op andere vluchten binnen de EU dan die welke zijn opgenomen in de in artikel 5, lid 2, van die verordening bedoelde lijsten.

Artikel 13 Bijhouden van logbestanden 1.eu-LISA houdt logbestanden bij van alle verwerkingsactiviteiten die verband houden met de doorgifte van API-gegevens via de router uit hoofde van deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving]. In deze logbestanden wordt het volgende vermeld: a)de luchtvaartmaatschappij die de API-gegevens aan de router heeft doorgegeven; b)de bevoegde grensautoriteiten en PIE’s waarnaar de API-gegevens via de router zijn doorgezonden; c)de datum, het tijdstip en de plaats van de in de punten a) en b) bedoelde doorgifte; d)voor het onderhoud van de router vereiste toegang van eu-LISA-personeel, als bedoeld in artikel 23, lid 3; e)alle andere gegevens met betrekking tot de verwerkingsactiviteiten die nodig zijn om de beveiliging en de integriteit van de API-gegevens en de rechtmatigheid van die verwerkingsactiviteiten te monitoren. Deze logbestanden bevatten geen andere persoonsgegevens dan de in de eerste alinea, punt d), bedoelde informatie ter identificatie van het betrokken personeelslid van eu-LISA. 2.De luchtvaartmaatschappijen leggen logbestanden aan van alle verwerkingsactiviteiten die in het kader van deze verordening met behulp van de in artikel 5, lid 2, bedoelde geautomatiseerde procedés worden uitgevoerd. Deze logbestanden bevatten de datum, het tijdstip en de plaats van doorgifte van de API-gegevens. 3.De in de leden 1 en 2 bedoelde logbestanden worden uitsluitend gebruikt om de beveiliging en de integriteit van de API-gegevens en de rechtmatigheid van de verwerking te waarborgen, met name wat betreft de naleving van de voorschriften van deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving], met inbegrip van sanctieprocedures voor inbreuken op die voorschriften overeenkomstig de artikelen 29 en 30 van deze verordening. 4.eu-LISA en de luchtvaartmaatschappijen nemen passende maatregelen om de logbestanden die zij op grond van de leden 1 en 2 hebben aangelegd, te beschermen tegen ongeoorloofde toegang en andere beveiligingsrisico’s. 5.eu-LISA en de luchtvaartmaatschappijen bewaren de logbestanden die zij op grond van de leden 1 en 2 hebben aangelegd, gedurende één jaar vanaf het moment waarop de bestanden zijn aangelegd. Zij wissen de logbestanden onmiddellijk en definitief zodra deze termijn verstrijkt. Indien de logbestanden echter nodig zijn voor procedures met het oog op het monitoren of waarborgen van de beveiliging en de integriteit van de API-gegevens of de rechtmatigheid van de verwerkingsactiviteiten overeenkomstig lid 2, en die procedures reeds zijn gestart voor het verstrijken van de in de eerste alinea genoemde termijn, mogen eu-LISA en de luchtvaartmaatschappijen de logbestanden zo lang bewaren als nodig is voor die procedures. In dat geval wissen zij de logbestanden zodra deze niet langer nodig zijn voor die procedures. Artikel 14 Maatregelen ingeval het gebruik van de router technisch onmogelijk is 1.Wanneer het vanwege een storing van de router technisch onmogelijk is de router te gebruiken om API-gegevens door te zenden, stelt eu-LISA de luchtvaartmaatschappijen en de bevoegde grensautoriteiten daarvan onmiddellijk op geautomatiseerde wijze in kennis. In dat geval neemt eu-LISA onmiddellijk maatregelen om de technische storing die het gebruik van de router belet, te verhelpen en stelt het, wanneer de storing verholpen is, de betrokken partijen daarvan onmiddellijk in kennis. Artikel 6, lid 1, is gedurende de tijd tussen deze kennisgevingen niet van toepassing, voor zover de technische storing de doorgifte van API-gegevens aan de router belet. Voor zover dat het geval is, zijn gedurende die tijd artikel 4, lid 1, en artikel 8, lid 1, evenmin van toepassing op de betrokken API-gegevens. 2.Wanneer het vanwege een storing van de in artikel 20 bedoelde systemen of infrastructuur van een lidstaat technisch onmogelijk is de router te gebruiken om API-gegevens door te zenden, stellen de bevoegde grensautoriteiten van die lidstaat de luchtvaartmaatschappijen, de bevoegde autoriteiten van de andere lidstaten, eu-LISA en de Commissie daarvan onmiddellijk op geautomatiseerde wijze in kennis. In dat geval neemt die lidstaat onmiddellijk maatregelen om de technische storing die het gebruik van de router belet, te verhelpen en stelt hij, wanneer de storing verholpen is, de betrokken partijen daarvan onmiddellijk in kennis. Artikel 6, lid 1, is gedurende de tijd tussen deze kennisgevingen niet van toepassing, voor zover de technische storing de doorgifte van API-gegevens aan de router belet. Voor zover dat het geval is, zijn gedurende die tijd artikel 4, lid 1, en artikel 8, lid 1, evenmin van toepassing op de betrokken API-gegevens.

3.Wanneer het vanwege een storing van de in artikel 21 bedoelde systemen of infrastructuur van een luchtvaartmaatschappij technisch onmogelijk is de router te gebruiken om API-gegevens door te zenden, stelt die luchtvaartmaatschappij de bevoegde grensautoriteiten, eu-LISA en de Commissie daarvan onmiddellijk op geautomatiseerde wijze in kennis. In dat geval neemt de luchtvaartmaatschappij onmiddellijk maatregelen om de technische storing die het gebruik van de router belet, te verhelpen en stelt zij, wanneer de storing verholpen is, de betrokken partijen daarvan onmiddellijk in kennis. Artikel 6, lid 1, is gedurende de tijd tussen deze kennisgevingen niet van toepassing, voor zover de technische storing de doorgifte van API-gegevens aan de router belet. Voor zover dat het geval is, zijn gedurende die tijd artikel 4, lid 1, en artikel 8, lid 1, evenmin van toepassing op de betrokken API-gegevens. Wanneer de technische storing die het gebruik van de router belet, is verholpen, dient de betrokken luchtvaartmaatschappij bij de in artikel 29 bedoelde bevoegde nationale toezichthoudende autoriteit onverwijld een verslag in met alle nodige details over de technische storing, met inbegrip van de redenen voor de storing, de omvang en de gevolgen van de storing en de maatregelen die zijn genomen om de storing te verhelpen. HOOFDSTUK 4 SPECIFIEKE BEPALINGEN BETREFFENDE DE BESCHERMING VAN PERSOONSGEGEVENS Artikel 15 Verwerkingsverantwoordelijken voor persoonsgegevens De bevoegde grensautoriteiten zijn verwerkingsverantwoordelijken in de zin van artikel 4, punt 7, van Verordening (EU) 2016/679 voor de verwerking, via de router, van API-gegevens die persoonsgegevens zijn, ook wat de doorzending van die gegevens via de router en de opslag om technische redenen van die gegevens op de router betreft, alsook voor de door hen uitgevoerde verwerking van API-gegevens die persoonsgegevens zijn, als bedoeld in artikel 7 van deze verordening. De luchtvaartmaatschappijen zijn verwerkingsverantwoordelijken in de zin van artikel 4, punt 7, van Verordening (EU) 2016/679 voor de verwerking van API-gegevens die persoonsgegevens zijn, met betrekking tot de verzameling van die gegevens en de doorgifte ervan aan de router uit hoofde van deze verordening. Artikel 16 Verwerker voor persoonsgegevens eu-LISA is de verwerker in de zin van artikel 3, punt 12, van Verordening (EU) 2018/1725 voor de verwerking, via de router, van API-gegevens die persoonsgegevens zijn, overeenkomstig deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving]. Artikel 17 Beveiliging 1.eu-LISA zorgt voor de beveiliging van de API-gegevens die het op grond van deze verordening en Verordening (EU) [API-gegevens voorrechtshandhaving] verwerkt, in het bijzonder API-gegevens die persoonsgegevens zijn. De bevoegde grensautoriteiten en de luchtvaartmaatschappijen zorgen voor de beveiliging van de API-gegevens die ze op grond van deze verordening verwerken, in het bijzonder API-gegevens die persoonsgegevens zijn. eu-LISA, de bevoegde grensautoriteiten en de luchtvaartmaatschappijen werken, overeenkomstig hun respectieve verantwoordelijkheden en met inachtneming van het Unierecht, met elkaar samen om die beveiliging te waarborgen. 2.eu-LISA neemt met name de nodige maatregelen om de beveiliging van de router en de via de router doorgezonden API-gegevens, met name API-gegevens die persoonsgegevens zijn, te waarborgen, onder meer door een beveiligingsplan, een bedrijfscontinuïteitsplan en een uitwijkplan op te stellen, uit te voeren en regelmatig te actualiseren, teneinde: a)de router fysiek te beschermen, onder meer met noodplannen voor de bescherming van kritieke componenten van de router; b)onrechtmatige verwerking van de API-gegevens, met inbegrip van ongeoorloofde toegang tot deze gegevens en het kopiëren, wijzigen of verwijderen ervan, met name door middel van passende versleutelingstechnieken te voorkomen, zowel tijdens de doorgifte van de API-gegevens aan en via de router als tijdens de eventuele opslag van de API-gegevens op de router, indien die opslag nodig is om de doorzending te voltooien; c)ervoor te zorgen dat kan worde