KOMISJA EUROPEJSKA Strasburg, dnia 13.12.2022 COM(2022) 729 final 2022/0424(COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY w sprawie gromadzenia i przekazywania danych pasażera przekazywanych przed podróżą (API) w celu usprawnienia i ułatwienia kontroli na granicach zewnętrznych, zmieniające rozporządzenie (UE) 2019/817 i rozporządzenie (UE) 2018/1726 oraz uchylające dyrektywę Rady 2004/82/WE {SEC(2022) 444 final} - {SWD(2022) 421 final} - {SWD(2022) 422 final} - {SWD(2022) 423 final}



UZASADNIENIE 1.KONTEKST WNIOSKU •Przyczyny i cele wniosku W ostatnich dziesięcioleciach wzrosła liczba osób podróżujących drogą powietrzną oraz innowacji opracowywanych z myślą o zwiększeniu efektywności – w rezultacie samoloty są większe i pojawiła się potrzeba usprawnienia przepływu pasażerów w portach lotniczych. W 2019 r. Organizacja Międzynarodowego Lotnictwa Cywilnego (ICAO) poinformowała, że z usług regularnego przewozu lotniczego na świecie korzysta 4,5 mld pasażerów, przy czym każdego roku do UE wjeżdża – lub ją opuszcza – ponad pół miliarda pasażerów, co stanowi obciążenie dla zewnętrznych granic powietrznych. Przetwarzanie danych pasażera przekazywanych przed podróżą (API) – zgodnie z obowiązującą dyrektywą w sprawie API i niniejszym wnioskiem – stanowi narzędzie zarządzania granicami, które zwiększa skuteczność i wydajność odprawy granicznej poprzez ułatwianie i przyspieszanie odprawy celnej podróżnych, a także instrument przeciwdziałania nielegalnej imigracji. Dane API to zestaw informacji dotyczących tożsamości pasażerów zawartych w ich dokumentach podróży w połączeniu z informacjami o locie zebranymi podczas odprawy i przekazanymi służbom granicznym kraju docelowego. Dzięki temu, że wspomniane organy otrzymują dane API przed przylotem, mogą one – zgodnie z obowiązującymi przepisami – skontrolować wcześniej podróżnych pod kątem profili ryzyka, list ostrzegawczych i baz danych, przyspieszając w ten sposób odprawę graniczną osób podróżujących w dobrej wierze i przeznaczając więcej zasobów i czasu na identyfikację podróżnych, w przypadku których konieczne jest dalsze dochodzenie po przylocie. Od 2017 r. ustanowienie systemów gromadzenia i przekazywania danych API jest normą międzynarodową określoną w Konwencji o międzynarodowym lotnictwie cywilnym (konwencja chicagowska). W UE kwestię tę uregulowano dyrektywą w sprawie API. W dyrektywie tej nałożono na przewoźników lotniczych obowiązek przekazywania służbom granicznym kraju docelowego, na ich wniosek, danych API przed odlotem. Nie nałożono w niej jednak na państwa członkowskie obowiązku występowania z wnioskiem do przewoźników lotniczych o przekazanie danych API, co powoduje luki i niespójności w sposobie gromadzenia i wykorzystywania danych, ponieważ niektóre państwa członkowskie systematycznie gromadzą dane API, podczas gdy inne tego nie robią. Szacuje się, że średnio – uwzględniając wszystkie państwa członkowskie łącznie – dane API gromadzone są w przypadku 65 % lotów przychodzących. Powoduje to sytuację, w której osobom chcącym uniknąć odprawy łatwo jest ominąć trasy, na których dane API są konsekwentnie gromadzone, i zamiast tego podróżować do celu trasami, na których dane API są wykorzystywane rzadziej lub nie są wykorzystywane wcale. Przeprowadzona niedawno ocena dyrektywy w sprawie API wykazała, że nawet gdy państwa członkowskie występują z wnioskiem o przekazanie danych API, ich organy krajowe nie zawsze wykorzystują dane API w sposób spójny. Dane API umożliwiają bowiem straży granicznej przeprowadzanie wstępnej kontroli tożsamości pasażerów i ważności używanego dokumentu podróży w bazach danych przewidzianych w kodeksie granicznym Schengen. Mimo to nie wszystkie państwa członkowskie wykorzystują dane API do przeprowadzania wstępnej kontroli w bazach danych określonych w kodeksie granicznym Schengen. Irlandia, która nie uczestniczy w kodeksie granicznym Schengen, stosuje podobne przepisy krajowe. Nie zmieni się to w wyniku przyjęcia proponowanego rozporządzenia. W dyrektywie w sprawie API ustanowiono jedynie ograniczone kryteria gromadzenia, przekazywania i przetwarzania danych API w odniesieniu do zakresu lotów, w przypadku których gromadzone są dane, elementów danych, które mają być zebrane, lub środków pozyskiwania danych – kryteria te nie uwzględniają zmian w międzynarodowych normach i wytycznych dotyczących gromadzenia danych API. Prowadzi to do bardzo rozbieżnych praktyk, co nie tylko zmniejsza skuteczność i wydajność odprawy granicznej, ale także stanowi dodatkowe obciążenie dla przewoźników lotniczych, którzy muszą przestrzegać różnych zbiorów wymogów w zależności od tras, na których przewożą pasażerów, oraz od państwa członkowskiego zwracającego się z wnioskiem o przekazanie danych API.Dostosowanie procedur gromadzenia i przekazywania danych API do tych międzynarodowych norm dotyczących danych API zapewniłoby przestrzeganie wymogów w zakresie API przez branżę lotniczą. W celu zapewnienia skutecznego korzystania z danych API muszą one być dokładne, kompletne i aktualne. Jeżeli dane dotyczące tożsamości nie są wiarygodne i nie zostały zweryfikowane – co obecnie niekiedy się zdarza – kontrole krzyżowe w bazach danych nie przyniosą wiarygodnych wyników operacyjnych. Z uwagi na fakt, że w ciągu ostatnich 20 lat odprawa przez internet stała się powszechną praktyką, pasażerowie coraz częściej ręcznie przepisują dane API z dokumentu podróży lub przekazują je w ramach oświadczenia własnego. Przekazywanie organom krajowym niepełnych, nieprawidłowych lub nieaktualnych danych API może prowadzić do powstania luk w rodzajach kontroli, jakie mogą przeprowadzać służby graniczne, co ostatecznie ma wpływ na podróżnych, którzy mogą być poddawani nieprawidłowym i niepotrzebnym kontrolom. Konieczność zagwarantowania odpowiedniej jakości gromadzonych danych API jest ściśle związana ze środkami stosowanymi przez linie lotnicze w celu zapewnienia, aby odpowiednie gromadzone dane API odpowiadały informacjom zawartym w dokumentach podróży. Obowiązujące ramy dotyczące API nie przewidują sposobów gromadzenia danych API od podróżnych. Zautomatyzowane gromadzenie danych – w przeciwieństwie do ręcznego przepisywania informacji – pozwoliłoby zmniejszyć liczbę problemów z jakością oraz zapewnić bardziej skuteczne i wydajne wykorzystanie danych API, co z kolei przyczyniłoby się do skrócenia czasu, który właściwe służby graniczne poświęcają na kontakty z przewoźnikami. Dlatego też zmiana obowiązujących ram prawnych dotyczących gromadzenia i przekazywania danych API daje możliwość poprawy w zakresie zarządzania granicami zewnętrznymi i zwalczania nielegalnej imigracji. W tym celu pomaga zapewnić, aby każda osoba podróżująca drogą powietrzną z państwa trzeciego lub państwa członkowskiego nieuczestniczącego w proponowanym rozporządzeniu do Unii (a dokładniej do państw należących do strefy Schengen nieprzeprowadzających kontroli na granicach wewnętrznych („strefa Schengen”), jak również do Irlandii) – tj. obywatele państw trzecich, bezpaństwowcy i obywatele UE – mogła zostać poddana wstępnej kontroli z wykorzystaniem danych API przed przybyciem oraz aby państwa członkowskie stosowały jednolite kryteria w odniesieniu do takiego gromadzenia i przekazywania danych do celów kontroli na granicach zewnętrznych i zwalczania nielegalnej imigracji. Dzięki ułatwieniu przepływów pasażerów w portach lotniczych i przyspieszeniu odprawy granicznej niniejszy wniosek przyczyni się do zapewnienia wydajnego przeprowadzania systematycznej odprawy wszystkich pasażerów podróżujących drogą powietrzną zgodnie z obowiązującymi przepisami. •Spójność z przepisami obowiązującymi w tej dziedzinie polityki W niniejszym wniosku zareagowano na potrzebę ustanowienia wspólnych przepisów dotyczących gromadzenia i przekazywania danych API do celów zarządzania granicami i zwalczania nielegalnej imigracji, co jest związane z istnieniem strefy Schengen i ustanowieniem wspólnych przepisów regulujących przepływ osób przez granice zewnętrzne. Niniejszy wniosek jest zgodny z obowiązkami określonymi w kodeksie granicznym Schengen w zakresie odpraw osób na granicach zewnętrznych. Proponowane rozporządzenie wpisuje się w szerszy krajobraz wielkoskalowych systemów informacyjnych UE, który znacznie rozwinął się od czasu przyjęcia dyrektywy w sprawie API w 2004 r. Dodatkowo w wytycznych strategicznych przyjętych przez Radę Europejską w czerwcu 2014 r. przewidziano rozszerzenie procedur podejmowanych przez straż graniczną na granicach zewnętrznych w celu zwiększenia skuteczności odpraw prowadzonych przed punktem kontroli granicznej oraz ograniczenia negatywnych skutków na granicach. Należą do nich: System Informacyjny Schengen (SIS), wizowy system informacyjny (VIS) i system Eurodac. Oprócz powyższych, w fazie opracowania są obecnie trzy nowe systemy: system wjazdu/wyjazdu (EES), europejski system informacji o podróży oraz zezwoleń na podróż (ETIAS) oraz scentralizowany system identyfikacji państw członkowskich posiadających informacje o wyrokach skazujących wydanych wobec obywateli państw trzecich i bezpaństwowców (system ECRIS-TCN). Wszystkie te obecne i przyszłe systemy są powiązane za pośrednictwem ram interoperacyjności systemów informacyjnych UE w dziedzinie bezpieczeństwa oraz zarządzania granicami i migracjami, przyjętych w 2019 r., które są obecnie wdrażane. Zmiany ujęte w niniejszym wniosku uwzględniają ramy interoperacyjności. Router będący przedmiotem wniosku pozwala w szczególności uniknąć dublowania elementów technicznych poprzez współdzielenie elementów portalu dla przewoźników ETIAS. Portal dla przewoźników ETIAS zapewnia środki techniczne, które pozwalają przewoźnikom na sprawdzanie w ETIAS statusu obywateli państw trzecich zwolnionych z obowiązku wizowego i podróżujących do państw członkowskich. Proponowane rozporządzenie zapewnia rozróżnienie i całkowite oddzielenie poszczególnych procesów przetwarzania danych oraz przestrzeganie praw dostępu określonych w poszczególnych instrumentach UE. Ponadto proponowane rozporządzenie łączy prace istniejącej grupy doradczej eu-LISA ds. EES–ETIAS z przyszłymi pracami nad API, dzięki czemu możliwe jest zwiększenie efektywności i korzyści skali poprzez uniknięcie powielania grup roboczych. Jak wyjaśniono powyżej, odprawy graniczne – które mają stać się łatwiejsze i sprawniejsze dzięki przepisom proponowanego rozporządzenia – mają być przeprowadzane w stosownych przypadkach zgodnie z kodeksem granicznym Schengen lub prawem krajowym. Ponadto ogólnie obowiązujące akty prawne UE będą miały zastosowanie zgodnie z określonymi w nich warunkami. Jeżeli chodzi o przetwarzanie danych osobowych, dotyczy to w szczególności ogólnego rozporządzenia o ochronie danych (RODO) i rozporządzenia UE o ochronie danych. Niniejszy wniosek nie ma wpływu na te akty prawne. Zastosowanie wyżej wymienionych aktów prawa UE do przetwarzania danych API otrzymanych na podstawie niniejszego rozporządzenia oznacza, że państwa członkowskie wdrażają prawo UE w rozumieniu art. 51 ust. 1 Karty, co oznacza, że zastosowanie mają również przepisy Karty. W szczególności przepisy zawarte w tych aktach prawa UE należy interpretować w świetle Karty. Wytyczne ICAO dotyczące dokumentów podróży odczytywanych maszynowo zostały transponowane rozporządzeniem 2019/1157 w sprawie poprawy zabezpieczeń dowodów osobistych obywateli Unii oraz rozporządzeniem nr 2252/2004 w sprawie norm dotyczących zabezpieczeń i danych biometrycznych w paszportach. Rozporządzenia te są prekursorami umożliwiającymi zautomatyzowane pozyskiwanie pełnych i wysokiej jakości danych z dokumentów podróży. Proponowane rozporządzenie będzie kolejnym elementem dorobku prawnego UE. Właściwe służby graniczne państw członkowskich będą nadal otrzymywały i dalej przetwarzały dane API wyłącznie do celów zarządzania granicami i zwalczania nielegalnej imigracji, tj. do celów, do których dane API zostały zgromadzone na podstawie proponowanego rozporządzenia. Niniejszy wniosek jest ściśle związany z wnioskiem dotyczącym rozporządzenia w sprawie gromadzenia i przekazywania danych API w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania, ponieważ oba wnioski zawierają podobne przepisy dotyczące wykazu elementów danych API, gromadzenia danych API w sposób zautomatyzowany oraz przekazywania danych do routera. 2.PODSTAWA PRAWNA, POMOCNICZOŚĆ I PROPORCJONALNOŚĆ

•Podstawa prawna W przypadku niniejszego proponowanego rozporządzenia w sprawie gromadzenia i przekazywania danych API do celów zarządzania granicami i zwalczania nielegalnej imigracji – ze względu na cel i przewidziane środki – właściwą podstawą prawną jest art. 77 ust. 2 lit. b) i d) oraz art. 79 ust. 2 lit. c) Traktatu o funkcjonowaniu Unii Europejskiej (TFUE). Zgodnie z art. 77 ust. 2 lit. b) TFUE Unia jest uprawniona do przyjmowania środków dotyczących kontroli, którym podlegają osoby przekraczające granice zewnętrzne, a zgodnie z lit. d) tego artykułu Unia jest uprawniona do przyjmowania wszelkich środków niezbędnych do stopniowego wprowadzania zintegrowanego systemu zarządzania granicami zewnętrznymi. Zgodnie z art. 79 ust. 2 lit. c) TFUE Unia jest uprawniona do przyjmowania środków dotyczących nielegalnej imigracji. Pozwala to zapewnić spójność z obowiązującą dyrektywą w sprawie API, której podstawę stanowią te same przepisy. •Pomocniczość Zważywszy, że na mocy TFUE wyraźnie upoważnia się Unię do opracowania wspólnej polityki w zakresie kontroli, którym podlegają osoby przekraczające granice zewnętrzne, jest to wyraźny cel, który należy realizować na szczeblu UE. Jednocześnie jest to obszar kompetencji dzielonych między UE a państwami członkowskimi. Potrzeba ustanowienia wspólnych przepisów dotyczących gromadzenia i przekazywania danych API do celów zarządzania granicami i zwalczania nielegalnej imigracji jest związana – w szczególności i bez uszczerbku dla szczególnego stanowiska Irlandii – z utworzeniem strefy Schengen i wspólnych przepisów regulujących przepływ osób przez granice zewnętrzne, w szczególności zgodnie z kodeksem granicznym Schengen. W tym kontekście decyzje jednego państwa członkowskiego mają wpływ na inne państwa członkowskie, dlatego konieczne jest ustanowienie wspólnych i jasnych zasad oraz praktyk operacyjnych w tej dziedzinie. Wydajne i skuteczne kontrole na granicach zewnętrznych wymagają spójnego podejścia w całej strefie Schengen, w tym w zakresie możliwości wstępnych kontroli podróżnych z wykorzystaniem danych API. Potrzeba podjęcia działania na poziomie UE w odniesieniu do danych API na tym etapie wynika również z niedawnych zmian legislacyjnych dotyczących zarządzania zewnętrznymi granicami strefy Schengen, w szczególności: –rozporządzenie w sprawie interoperacyjności z 2019 r. umożliwi systematyczne odprawy osób przekraczających granice zewnętrzne z wykorzystaniem wszystkich dostępnych i istotnych informacji zawartych w scentralizowanych systemach informacyjnych UE w dziedzinie bezpieczeństwa oraz zarządzania granicami i migracjami. Ustanowienie scentralizowanego mechanizmu przekazywania danych API na poziomie UE jest logiczną kontynuacją tej koncepcji. Zgodnie z koncepcjami zawartymi w rozporządzeniach w sprawie interoperacyjności scentralizowane przekazywanie danych API mogłoby w przyszłości prowadzić do wykorzystywania tych danych do przeszukiwania różnych baz danych (SIS, dane Europolu) za pośrednictwem europejskiego portalu wyszukiwania; –na granicach zewnętrznych wykorzystanie danych API stanowiłoby skuteczne uzupełnienie zbliżającego się wdrożenia europejskiego systemu informacji o podróżach i autoryzacji (ETIAS) oraz systemu wjazdu/wyjazdu (EES). Wykorzystanie danych API byłoby nadal niezbędne w zarządzaniu granicami zewnętrznymi, ponieważ pozwalałoby z wyprzedzeniem informować funkcjonariuszy straży granicznej o tym, czy dany podróżny faktycznie wsiadł na pokład samolotu i zamierza wjechać do strefy Schengen, co ułatwi odprawę graniczną, która będzie miała miejsce po przybyciu podróżnego na granicę zewnętrzną. •Proporcjonalność Zgodnie z zasadą proporcjonalności określoną w art. 5 ust. 4 Traktatu UE konieczne jest dostosowanie charakteru i intensywności danego działania do zidentyfikowanego problemu. Wszystkie kwestie poruszone w niniejszej inicjatywie ustawodawczej wymagają, w taki czy inny sposób, podjęcia działań ustawodawczych na szczeblu UE, które umożliwiałyby państwom członkowskim skuteczne zajęcie się tymi problemami, nie wykraczając poza to, co jest konieczne do ich rozwiązania. Niniejszy wniosek przyczyni się do wzmocnienia ram prawnych dotyczących gromadzenia i przekazywania danych API do celów zarządzania granicami zewnętrznymi i zwalczania nielegalnej imigracji. Dzięki niemu zwiększy się znaczenie danych API jako instrumentu usprawniającego wstępne kontrole podróżnych na granicach zewnętrznych, co przyczyni się nie tylko do poprawy skuteczności i wydajności samej odprawy, ale także do realizacji celu polegającego na zwalczaniu nielegalnej imigracji, szczególnie w związku z transgranicznymi podróżami lotniczymi i odpowiedzialnością przewoźników lotniczych w tym zakresie. Zgodnie z normami międzynarodowymi i zalecanymi praktykami niniejszy wniosek będzie zawierał wymóg, aby przewoźnicy lotniczy gromadzili i przekazywali dane API w odniesieniu do wszystkich lotów do Unii, jak określono we wniosku. Obowiązki określone w niniejszym wniosku są ograniczone do tego, co jest niezbędne do osiągnięcia tego celu. W niniejszym wniosku ustanawia się w szczególności jasne przepisy dotyczące m.in. tego, co stanowi dane API, na jakich trasach przewoźnicy lotniczy powinni gromadzić dane API i jak powinni je przekazywać. W drodze rozporządzenia w niniejszym wniosku określone zostanie spójne podejście do wykorzystania danych API w zarządzaniu granicami zewnętrznymi i zwalczaniu nielegalnej imigracji. Taka standaryzacja wymogów w zakresie API w państwach członkowskich przyczyni się do zwiększenia pewności prawa i przewidywalności, a co za tym idzie – także do lepszego przestrzegania przepisów przez przewoźników lotniczych. Zgodność z zasadą proporcjonalności zapewnia się również dzięki kilku elementom proponowanego rozporządzenia, obejmującym m.in. ograniczenie wyłącznie do lotów przychodzących, ukierunkowanie wymogu automatyzacji wyłącznie na niektóre dane API oraz zabezpieczenia dotyczące sposobu i celu przetwarzania danych API. W proponowanym rozporządzeniu przewiduje się utworzenie routera, który stanowiłby pojedynczy punkt łączności między państwami członkowskimi a przewoźnikami lotniczymi, zgodnie z zaleceniami międzynarodowymi, oraz ustanawia się unijne podejście do gromadzenia i przekazywania danych API. Przekazywanie danych API za pośrednictwem routera zmniejszy koszty ponoszone przez branżę lotniczą i zapewni straży granicznej szybki i bezproblemowy dostęp do danych API, których potrzebuje ona do przeprowadzania odpraw granicznych z wyprzedzeniem. Takie podejście pozwoli drastycznie zmniejszyć liczbę połączeń, które trzeba nawiązywać i utrzymywać z perspektywy państw członkowskich. Z drugiej strony przyczyni się do zmniejszenia złożoności procesu utrzymywania przez przewoźników lotniczych połączeń z właściwymi służbami granicznymi i wprowadzi korzyści skali. Agencja UE – eu-LISA – będzie odpowiedzialna za zaprojektowanie, opracowanie i obsługę routera oraz za zarządzanie techniczne tym routerem. Przekazywanie danych API za pośrednictwem routera ułatwi monitorowanie lotów, a tym samym zmniejszy prawdopodobieństwo, że przewoźnik nie dopełnił obowiązku przekazania danych API zgodnie z niniejszym wnioskiem. •Wybór instrumentu Proponowanym rodzajem aktu prawnego jest rozporządzenie. Zgodnie z oceną skutków towarzyszącą niniejszemu wnioskowi oraz ze względu na potrzebę bezpośredniego i jednolitego stosowania proponowanych środków we wszystkich państwach członkowskich odpowiednim aktem prawnym jest rozporządzenie. 3.WYNIKI OCEN EX POST, KONSULTACJI Z ZAINTERESOWANYMI STRONAMI I OCEN SKUTKÓW •Oceny ex post obowiązującego prawodawstwa Z oceny dyrektywy w sprawie API wynika, że uzasadnienie dla gromadzenia danych API i przekazywania ich właściwym służbom granicznym jest nadal aktualne 15 lat po wejściu w życie dyrektywy. Obecne cele dyrektywy – w szczególności cel polegający na usprawnieniu zarządzania kontrolą graniczną, co z kolei może również przyczynić się do zwalczania nielegalnej migracji – pozostają bardzo adekwatne do potrzeb odpowiednich zainteresowanych stron i szeroko pojętego społeczeństwa. Ponadto gromadzenie i przekazywanie danych API uznano za istotne w kontekście ułatwienia legalnego podróżowania.

W ocenie stwierdzono, że brak harmonizacji we wdrażaniu dyrektywy stanowi przeszkodę dla jej skuteczności i spójności. Z uwagi na fakt, że wymogi nałożone w dyrektywie są minimalne, sytuacja w zakresie wdrażania systemów API, a także rzeczywistego wykorzystania danych API jest bardzo zróżnicowana. Ponadto możliwość pozostawiona państwom członkowskim dotycząca wykorzystywania danych API do celów wykonania prawa, bez zapewnienia jasnej definicji tego celu ani ustanowienia ram, doprowadziła do niespójnego wdrożenia na poziomie krajowym. W ocenie stwierdzono również rozbieżności z innymi instrumentami UE, powodujące wystąpienie problemów operacyjnych w praktyce oraz niepewność wśród zainteresowanych stron, w szczególności osób, których dane dotyczą. Wymogi dotyczące ochrony danych osobowych zawarte w dyrektywie w sprawie API nie są w pełni zgodne z najnowszymi osiągnięciami w tej dziedzinie. Ponadto dyrektywa w sprawie API nie jest w pełni spójna z międzynarodowymi ramami prawnymi dotyczącymi informacji o pasażerach, zwłaszcza jeśli chodzi o pola danych i normy transmisji. W ocenie zwrócono uwagę na szereg niedociągnięć związanych z dyrektywą w sprawie API, tj. brak: (i) standaryzacji i harmonizacji, (ii) pewnych gwarancji ochrony danych oraz (iii) wyraźnego dostosowania do najnowszych zmian politycznych i prawnych na poziomie UE. Elementy te oddziałują na skuteczność dyrektywy, powodują obciążenia dla zainteresowanych stron i generują pewien poziom niepewności prawa dla przewoźników lotniczych gromadzących i przekazujących dane API, dla właściwych służb granicznych otrzymujących i dalej przetwarzających te dane, jak również ostatecznie dla pasażerów. Wyniki oceny wykorzystano podczas przygotowania oceny skutków i niniejszego wniosku. •Konsultacje z zainteresowanymi stronami Przygotowanie niniejszego wniosku obejmowało szeroko zakrojone konsultacje z zainteresowanymi stronami, w tym z organami państw członkowskich (właściwe służby graniczne, jednostka do spraw informacji o pasażerach), przedstawicielami branży transportowej i indywidualnymi przewoźnikami lotniczymi. Agencje UE – takie jak Europejska Agencja Straży Granicznej i Przybrzeżnej (Frontex), Agencja Unii Europejskiej ds. Współpracy Organów Ścigania (Europol), Agencja Unii Europejskiej ds. Zarządzania Operacyjnego Wielkoskalowymi Systemami Informatycznymi w Przestrzeni Wolności, Bezpieczeństwa i Sprawiedliwości (eu-LISA) oraz Agencja Praw Podstawowych Unii Europejskiej (FRA) – również wniosły swój wkład z uwzględnieniem ich uprawnień i wiedzy fachowej. W inicjatywie tej uwzględniono również poglądy i informacje zwrotne otrzymane podczas konsultacji publicznych przeprowadzonych pod koniec 2019 r. w ramach oceny dyrektywy w sprawie API. W ramach działań konsultacyjnych prowadzonych w kontekście przygotowania oceny skutków stanowiącej uzupełnienie niniejszego wniosku zebrano informacje zwrotne od zainteresowanych stron, korzystając z różnych metod. Działania te obejmowały w szczególności wstępną ocenę skutków, zewnętrzne badanie uzupełniające oraz cykl warsztatów technicznych. Wstępną ocenę skutków opublikowano na potrzeby zbierania informacji zwrotnych w okresie od 5 czerwca 2020 r. do 14 sierpnia 2020 r.; otrzymano łącznie siedem odpowiedzi zawierających informacje zwrotne na temat rozszerzenia zakresu stosowania przyszłej dyrektywy w sprawie API, jakości danych, kar, związku danych API i PNR oraz ochrony danych osobowych. Zewnętrzne badanie uzupełniające przeprowadzono w oparciu o badanie źródeł wtórnych oraz rozmowy i ankiety z ekspertami w danej dziedzinie, w ramach których przeanalizowano różne możliwe środki przetwarzania danych API na jasnych zasadach, które ułatwiają legalne podróże, a także są zgodne z interoperacyjnością systemów informacyjnych UE, wymogami UE w zakresie ochrony danych osobowych oraz innymi istniejącymi instrumentami UE i normami międzynarodowymi. Służby Komisji zorganizowały również cykl warsztatów technicznych z ekspertami z państw członkowskich i państw stowarzyszonych w ramach Schengen. Warsztaty te miały na celu zgromadzenie ekspertów w celu wymiany poglądów na temat możliwych wariantów, które przewidziano z myślą o wzmocnieniu przyszłych ram dotyczących API do celów zarządzania granicami i zwalczania nielegalnej imigracji, a także przeciwdziałania przestępczości i terroryzmowi. Więcej szczegółowych informacji na temat konsultacji z zainteresowanymi stronami zamieszczono w ocenie skutków towarzyszącej niniejszemu wnioskowi (załącznik 2). •Ocena skutków Zgodnie z wytycznymi dotyczącymi lepszego stanowienia prawa Komisja przeprowadziła ocenę skutków, którą przedstawiono w towarzyszącym dokumencie roboczym służb Komisji. Rada ds. Kontroli Regulacyjnej oceniła projekt oceny skutków podczas posiedzenia, które odbyło się 28 września 2022 r., a 30 września 2022 r. wydała opinię pozytywną. Z uwagi na stwierdzone problemy związane z gromadzeniem i przekazywaniem danych API w ocenie skutków dokonano oceny wariantów strategicznych dotyczących zakresu gromadzenia danych API do wyżej wymienionych celów, jak również wariantów dotyczących środków na rzecz poprawy jakości danych API. Jeśli chodzi o gromadzenie danych API na potrzeby zarządzania granicami zewnętrznymi i zwalczania nielegalnej imigracji, w ocenie skutków rozważono z jednej strony gromadzenie danych API w przypadku wszystkich lotów przychodzących spoza strefy Schengen, a z drugiej strony gromadzenie danych API w przypadku wszystkich lotów przychodzących spoza strefy Schengen i lotów wychodzących poza strefę Schengen. W ocenie skutków rozważono również warianty ukierunkowane na poprawę jakości danych API – gromadzenie danych API w sposób zautomatyzowany i ręczny albo gromadzenie danych API wyłącznie w sposób zautomatyzowany. Z uwagi na fakt, że pełny zestaw danych API jest generowany po wejściu pasażerów na pokład samolotu, straż graniczna otrzymywałaby dane API dopiero po fizycznej kontroli wyjazdu podróżnych i sprawdzeniu ich paszportów, a zatem zbyt późno, aby wspomóc pracę straży granicznej, dlatego też wariant uwzględniający gromadzenie danych API w przypadku wszystkich odpowiednich lotów przychodzących i wychodzących nie został wybrany jako wariant preferowany. Na podstawie ustaleń zawartych w sprawozdaniu z oceny skutków wariant preferowany dotyczący instrumentu API do celów wskazanych wyżej obejmuje gromadzenie danych API dotyczących wszystkich odpowiednich lotów przychodzących, przy czym niektóre dane API będą gromadzone przez przewoźników lotniczych wyłącznie w sposób zautomatyzowany. Połączenie tych wariantów pozwoliłoby zwiększyć zdolność państw członkowskich w zakresie wykorzystywania danych API na potrzeby skutecznej i wydajnej wstępnej kontroli osób podróżujących drogą powietrzną przed ich przybyciem na granicę zewnętrzną. Standaryzacja wymogów dotyczących gromadzenia i przekazywania danych API pozwoliłaby zwiększyć stopień ich przestrzegania przez branżę lotniczą, ponieważ we wszystkich państwach członkowskich obowiązywałyby te same wymogi. Bardziej wiarygodne i zweryfikowane dane API, w tym dane API zgromadzone w sposób zautomatyzowany, pozwoliłyby na identyfikację podróżnych wysokiego ryzyka i zapewniłyby szybsze ułatwienie odprawy na granicach zewnętrznych oraz odprawę celną pasażerów po przyjeździe. Wniosek jest zgodny z celem neutralności klimatycznej określonym w Europejskim prawie o klimacie oraz z celami Unii na lata 2030 i 2040. W ocenie skutków rozważono również – i odrzucono – warianty dotyczące np. gromadzenia danych API od operatorów innych środków transportu od podmiotów, takich jak operatorzy transportu morskiego, kolejowego i autobusowego. W ocenie skutków stwierdzono, że istnieją już unijne i międzynarodowe przepisy, w których zobowiązuje się operatorów transportu morskiego do przekazywania z wyprzedzeniem służbom granicznym informacji o pasażerach państw członkowskich na trasach przychodzących i wychodzących. Nałożenie na operatorów transportu morskiego dodatkowego zobowiązania na poziomie UE do przekazywania danych API byłoby zatem zbędne. W porównaniu z sektorem transportu lotniczego gromadzenie danych dotyczących pasażerów stanowi większe wyzwanie dla operatorów transportu lądowego, np. kolejowego lub autobusowego (brak procesów odprawy, brak systematycznego wydawania biletów imiennych), i wymagałoby poważnych inwestycji w infrastrukturę fizyczną operatorów, co wiązałoby się ze znacznymi konsekwencjami dla ich modelu ekonomicznego i pasażerów. Decyzja o nieuwzględnieniu tych aspektów w niniejszym rozporządzeniu pozostaje bez uszczerbku dla praktyk niektórych państw członkowskich, które wymagają podania danych dotyczących pasażerów w przypadku połączeń kolejowych w oparciu o prawo krajowe, pod warunkiem że są one zgodne z prawem UE. •Prawa podstawowe i ochrona danych osobowych Niniejsza inicjatywa przewiduje przetwarzanie danych osobowych podróżnych i w związku z tym ogranicza korzystanie z podstawowego prawa do ochrony danych osobowych gwarantowanego przez art. 8 Karty praw podstawowych UE („Karta”) i art. 16 TFUE. Jak podkreślił Trybunał Sprawiedliwości UE (TSUE), prawo do ochrony danych osobowych nie stanowi prerogatywy o charakterze absolutnym, ale wszelkie ograniczenia powinny być oceniane w świetle jego funkcji społecznej i spełniać kryteria określone w art. 52 ust. 1 Karty. Ochrona danych osobowych jest również ściśle powiązana z poszanowaniem prawa do prywatności, które jest jednym z elementów prawa do życia prywatnego i rodzinnego objętego ochroną na podstawie art. 7 Karty. Zobowiązanie przewoźników lotniczych do gromadzenia danych API w przypadku wszystkich podróżnych przekraczających granice zewnętrzne, a następnie przekazywania tych danych – za pośrednictwem routera – właściwym służbom granicznym, odpowiada celowi, jakim jest pomoc w zapewnieniu, aby wstępne kontrole na granicach zewnętrznych były przeprowadzane skutecznie i wydajnie w odniesieniu do wszystkich podróżnych wjeżdżających do państw członkowskich, co z kolei przyczyni się również do zwalczania nielegalnej imigracji. Mimo że właściwe służby graniczne nie będą podejmować żadnych decyzji wyłącznie na podstawie danych API, niniejszy wniosek umożliwi służbom granicznym wcześniejsze zorganizowanie ich działań i ułatwi wjazd pasażerom podróżującym w dobrej wierze oraz wykrywanie innego rodzaju pasażerów. Ingerencja w wyżej wymienione prawa podstawowe ogranicza się do tego, co jest ściśle niezbędne do osiągnięcia wymienionych celów, w szczególności poprzez ograniczenie zakresu gromadzonych danych dotyczących tożsamości do informacji zawartych w dokumencie podróży podróżnego oraz ograniczenie zakresu przetwarzania do niezbędnego minimum, w tym w odniesieniu do okresu przechowywania danych osobowych. Obowiązkowe stosowanie automatyzacji przez przewoźników lotniczych do gromadzenia danych API od podróżnych może prowadzić do powstania dodatkowych zagrożeń z punktu widzenia ochrony danych osobowych. Zagrożenia takie zostały jednak ograniczone i złagodzone. Po pierwsze, wymóg ten ma zastosowanie jedynie w odniesieniu do niektórych danych API, w przypadku których korzystanie z automatyzacji ma odbywać się w sposób odpowiedzialny w odniesieniu do danych nadających się do odczytu maszynowego w dokumentach podróżnych. Po drugie, proponowane rozporządzenie zawiera wymogi dotyczące automatyzacji, które mają zostać doprecyzowane w akcie delegowanym. Ponadto przewidziano kilka zabezpieczeń, takich jak rejestrowanie, przepisy szczegółowe dotyczące ochrony danych osobowych i skuteczny nadzór.

Niniejszy wniosek zawiera również dodatkowe i szczegółowe zabezpieczenia mające na celu zapewnienie zgodności z postanowieniami Karty, w tym w odniesieniu do bezpieczeństwa przetwarzania danych osobowych, usuwania i ograniczenia celu oraz prawa podróżnych do informacji. Ponadto, mimo że – z wyjątkiem przepisu zapewniającego zgodność z zasadą ograniczenia celu – w proponowanym rozporządzeniu nie uregulowano by kwestii korzystania przez właściwe służby graniczne z danych API, które otrzymują na podstawie niniejszego rozporządzenia, jako że kwestię tę uregulowano już innymi przepisami (kodeks graniczny Schengen, prawo o ochronie danych osobowych, Karta), dla zachowania przejrzystości w motywach przypomniano, że takie wykorzystanie nie może prowadzić do dyskryminacji wykluczonej na mocy art. 21 karty. 4.WPŁYW NA BUDŻET Niniejsza inicjatywa ustawodawcza dotycząca gromadzenia i przekazywania danych API w celu ułatwienia kontroli na granicach zewnętrznych miałaby wpływ na budżet i potrzeby kadrowe eu-LISA i właściwych służb granicznych państw członkowskich. W przypadku eu-LISA szacuje się, że potrzebny będzie dodatkowy budżet w wysokości około 45 mln EUR (33 mln z bieżących wieloletnich ram finansowych) na ustanowienie routera oraz 9 mln EUR rocznie, począwszy od 2029 r., na zarządzanie techniczne routerem, a także około 27 dodatkowych stanowisk, aby zagwarantować, aby eu-LISA dysponowała zasobami niezbędnymi do wykonywania zadań powierzonych jej w niniejszym proponowanym rozporządzeniu oraz we wniosku dotyczącym rozporządzenia w sprawie gromadzenia i przekazywania danych API w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania. W przypadku państw członkowskich szacuje się, że kwota 27 mln EUR (8 mln EUR z bieżących wieloletnich ram finansowych) przeznaczona na modernizację niezbędnych krajowych systemów i infrastruktury na potrzeby organów zarządzania granicami, a począwszy od 2028 r. stopniowo do 5 mln EUR rocznie na utrzymanie tych systemów, może podlegać zwrotowi z funduszu Instrumentu Wsparcia Finansowego na rzecz Zarządzania Granicami i Polityki Wizowej. Wszelkie takie uprawnienia będzie należało ostatecznie określić zgodnie z przepisami regulującymi dysponowanie tymi środkami, jak również zgodnie z przepisami dotyczącymi kosztów zawartymi w proponowanym rozporządzeniu. Ze względu na ścisły związek pomiędzy niniejszym proponowanym rozporządzeniem a proponowanym rozporządzeniem w sprawie gromadzenia i przekazywania danych API w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia dochodzeń w ich sprawie i ich ścigania, w szczególności w odniesieniu do przekazywania danych API do routera, ocena skutków finansowych regulacji, znajdująca się w załączniku do niniejszego proponowanego rozporządzenia, jest identyczna dla obu wniosków. 5.ELEMENTY FAKULTATYWNE •Plany wdrożenia i monitorowanie, ocena i sprawozdania Komisja zapewni wprowadzenie niezbędnych ustaleń dotyczących monitorowania funkcjonowania proponowanych środków i ich oceny w odniesieniu do głównych celów polityki. Cztery lata po rozpoczęciu stosowania proponowanego rozporządzenia, a następnie co cztery lata, Komisja przedłoży Parlamentowi Europejskiemu i Radzie sprawozdanie oceniające wdrożenie rozporządzenia i jego wartość dodaną. Sprawozdanie to będzie zawierać również informacje o wszelkich bezpośrednich lub pośrednich skutkach dla odpowiednich praw podstawowych. Będzie ono zawierać analizę osiągniętych rezultatów pod kątem przyjętych uprzednio celów i ocenę aktualności przesłanek dla wprowadzenia tych komponentów oraz wszelkich konsekwencji w kontekście przyszłych wariantów. Obowiązkowy charakter zobowiązania do gromadzenia danych API oraz wprowadzenie routera pozwoli na uzyskanie bardziej przejrzystego obrazu zarówno w zakresie gromadzenia i przekazywania danych API przez przewoźników lotniczych, jak i w kontekście późniejszego wykorzystania tych danych przez państwa członkowskie zgodnie z obowiązującymi przepisami krajowymi i przepisami Unii. Ułatwi to Komisji Europejskiej wykonywanie jej zadań związanych z oceną i egzekwowaniem prawa poprzez dostarczenie jej wiarygodnych statystyk dotyczących ilości przekazywanych danych oraz lotów, w odniesieniu do których dane API będą wymagane. •Zmienna geometria Niniejszy wniosek stanowi rozwinięcie dorobku Schengen w dziedzinie granic zewnętrznych, ponieważ dotyczy przekraczania granic zewnętrznych. Należy zatem rozważyć następujące konsekwencje w odniesieniu do Protokołu (nr 19) w sprawie dorobku Schengen włączonego w ramy Unii Europejskiej, załączonego do TUE i TFUE, oraz Protokołu (nr 22) w sprawie stanowiska Danii, załączonego do TUE i TFUE. Wniosek jest objęty środkami w ramach dorobku Schengen, w którym Irlandia uczestniczy zgodnie z art. 6 ust. 2 decyzji Rady 2002/192/WE z dnia 28 lutego 2002 r. dotyczącej wniosku Irlandii o zastosowanie wobec niej niektórych przepisów dorobku Schengen. W szczególności uczestnictwo Irlandii w niniejszym wniosku związane jest z obowiązkami Unii w zakresie wprowadzenia środków rozwijających przepisy dorobku Schengen mające na celu zwalczanie nielegalnej imigracji, w których uczestniczy Irlandia. Irlandia uczestniczy w szczególności ze względu na włączenie do art. 1 ust. 1 wspomnianej decyzji Rady odniesienia do art. 26 konwencji z Schengen dotyczącego obowiązków przewoźników lotniczych w odniesieniu do cudzoziemców, którym odmówiono wjazdu, oraz posiadania przez cudzoziemców niezbędnych dokumentów podróży. Irlandia uczestniczy w całym proponowanym rozporządzeniu. Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do Traktatu UE (TUE) i TFUE, Dania nie będzie uczestniczyć w przyjęciu niniejszego wniosku, nie jest nim związana ani go nie stosuje po jego przyjęciu. Ponieważ rozporządzenie, którego dotyczy wniosek, będzie stanowić rozwinięcie przepisów dorobku Schengen, zgodnie z art. 4 tego protokołu Dania – w terminie sześciu miesięcy po przyjęciu przez Radę niniejszego wniosku – podejmuje decyzję, czy dokona jego transpozycji do swego prawa krajowego. W odniesieniu do Cypru, Bułgarii, Rumunii i Chorwacji proponowane rozporządzenie będzie aktem stanowiącym rozwinięcie dorobku Schengen lub w inny sposób z nim związanym w rozumieniu, odpowiednio, art. 3 ust. 1 Aktu przystąpienia z 2003 r., art. 4 ust. 1 Aktu przystąpienia z 2005 r. oraz art. 4 ust. 1 Aktu przystąpienia z 2011 r. W przypadku Islandii, Norwegii, Szwajcarii i Liechtensteinu proponowane rozporządzenie będzie stanowiło rozwinięcie przepisów dorobku Schengen w rozumieniu umów o uczestnictwie tych krajów w dorobku prawnym. •Szczegółowe objaśnienia poszczególnych przepisów wniosku W rozdziale 1 określono przepisy ogólne niniejszego rozporządzenia, począwszy od przepisów dotyczących jego przedmiotu i zakresu stosowania. Zawarto w nim również wykaz definicji. W rozdziale 2 określono przepisy dotyczące gromadzenia i przekazywania danych API, a mianowicie jasny zestaw zasad dotyczących gromadzenia danych API przez przewoźników lotniczych, zasad dotyczących przekazywania danych API do routera, przetwarzania danych API przez właściwe służby graniczne oraz przechowywania i usuwania danych API przez przewoźników lotniczych i te służby.

Rozdział 3 zawiera przepisy dotyczące przesyłania danych API przez router. W szczególności zawiera on przepisy opisujące główne cechy routera, a także zasady dotyczące korzystania z routera, procedury przekazywania danych API z routera do właściwych służb granicznych, usuwania danych API z routera, prowadzenia rejestrów oraz procedur w przypadku częściowego lub całkowitego braku technicznej możliwości korzystania z routera. Rozdział 4 zawiera zestaw przepisów szczegółowych dotyczących ochrony danych osobowych. W szczególności określono w nim, kim są administratorzy danych i podmiot przetwarzający dane do celów przetwarzania danych API stanowiących dane osobowe na podstawie niniejszego rozporządzeniem. Określono w nim również środki wymagane od eu-LISA w celu zapewnienia bezpieczeństwa przetwarzania danych zgodnie z przepisami rozporządzenia (UE) 2018/1725. W rozdziale tym określono środki wymagane od przewoźników lotniczych i właściwych służb granicznych w celu zapewnienia monitorowania przez nie własnej działalności w zakresie zgodności z odpowiednimi przepisami określonymi w niniejszym rozporządzeniu oraz zasady dotyczące kontroli. W rozdziale 5 uregulowano niektóre szczególne kwestie dotyczące routera. Zawiera on wymogi dotyczące podłączenia właściwych służb granicznych i przewoźników lotniczych do routera. Określono w nim również zadania eu-LISA związane z projektowaniem, opracowaniem i obsługą routera oraz zarządzaniem technicznym tym routerem oraz innymi zadaniami pomocniczymi związanymi z routerem. Rozdział ten zawiera ponadto przepisy dotyczące kosztów ponoszonych przez eu-LISA i państwa członkowskie na podstawie niniejszego rozporządzenia, w szczególności w związku z podłączeniem państw członkowskich do routera i integracją z routerem. Określono w nim również przepisy dotyczące odpowiedzialności za uszkodzenie routera, rozpoczęcia funkcjonowania routera oraz możliwości dobrowolnego korzystania z routera przez przewoźników lotniczych pod pewnymi warunkami. Rozdział 6 zawiera przepisy dotyczące nadzoru, ewentualnych kar mających zastosowanie do przewoźników lotniczych za niewywiązywanie się z obowiązków określonych w niniejszym rozporządzeniu, przepisy dotyczące sprawozdawczości statystycznej prowadzonej przez eu-LISA oraz opracowania przez Komisję praktycznego podręcznika. W rozdziale 7 uregulowano wpływ na inne akty prawa UE. Rozdział ten zawiera w szczególności przepisy dotyczące uchylenia dyrektywy 2004/82/WE oraz niezbędnych zmian w innych obowiązujących aktach, mianowicie w rozporządzeniu (UE) 2018/1726 i rozporządzeniu (UE) 2019/817. Rozdział 8 zawiera przepisy końcowe niniejszego rozporządzenia, które dotyczą przyjęcia aktów delegowanych i wykonawczych, monitorowania i oceny niniejszego rozporządzenia oraz jego wejścia w życie i stosowania. 2022/0424 (COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY w sprawie gromadzenia i przekazywania danych pasażera przekazywanych przed podróżą (API) w celu usprawnienia i ułatwienia kontroli na granicach zewnętrznych, zmieniające rozporządzenie (UE) 2019/817 i rozporządzenie (UE) 2018/1726 oraz uchylające dyrektywę Rady 2004/82/WE PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ, uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 77 ust. 2 lit. b) i d) oraz art. 79 ust. 2 lit. c), uwzględniając wniosek Komisji Europejskiej, po przekazaniu projektu aktu ustawodawczego parlamentom narodowym, uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego, stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, a także mając na uwadze, co następuje: (1)Przeprowadzanie odprawy osób na granicach zewnętrznych znacząco przyczynia się do zagwarantowania długoterminowego bezpieczeństwa Unii, państw członkowskich i jej obywateli i jako takie pozostaje ważnym zabezpieczeniem, w szczególności na obszarze bez kontroli na granicach wewnętrznych („strefa Schengen”). Wydajne i skuteczne kontrole na granicach zewnętrznych, przeprowadzane w szczególności i w stosownych przypadkach zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/399, przyczyniają się do zwalczania nielegalnej imigracji i zapobiegania zagrożeniom dla bezpieczeństwa wewnętrznego, porządku publicznego, zdrowia publicznego i stosunków międzynarodowych państw członkowskich. (2)Wykorzystywanie danych podróżnych i informacji o locie, przekazywanych przed przybyciem podróżnych, zwanych danymi pasażera przekazywanymi przed podróżą („API”), przyczynia się do przyspieszenia procesu wymaganej odprawy podczas przekraczania granic. Do celów niniejszego rozporządzenia proces ten dotyczy w szczególności przekraczania granic między państwem trzecim lub państwem członkowskim nieobjętym niniejszym rozporządzeniem, z jednej strony, a państwem członkowskim objętym niniejszym rozporządzeniem, z drugiej strony. Takie wykorzystywanie danych usprawnia kontrole na tych granicach zewnętrznych dzięki zapewnieniu wystarczającego czasu na przeprowadzenie szczegółowych i kompleksowych kontroli wszystkich podróżnych, nie powodując przy tym nieproporcjonalnych negatywnych skutków dla osób podróżujących w dobrej wierze. W związku z tym w celu zagwarantowania skuteczności i wydajności kontroli na granicach zewnętrznych należy ustanowić odpowiednie ramy prawne, aby zapewnić właściwym służbom granicznym państw członkowskich na takich przejściach granicznych na granicach zewnętrznych dostęp do danych API przed przybyciem podróżnych. (3)Obowiązujące ramy prawne dotyczące danych API, na które składa się dyrektywa Rady 2004/82/WE oraz przepisy krajowe transponujące tę dyrektywę, okazały się znaczące w kontekście usprawnienia kontroli granicznych, zwłaszcza dzięki zapewnieniu państwom członkowskim ram służących wprowadzeniu przepisów nakładających na przewoźników lotniczych obowiązki związane z przekazywaniem danych API dotyczących pasażerów przybywających na ich terytorium. Na poziomie krajowym nadal utrzymują się jednak rozbieżności. W szczególności od przewoźników lotniczych nie wymaga się systematycznego przekazywania danych API, natomiast muszą oni spełniać różne wymogi dotyczące rodzaju gromadzonych informacji oraz warunki, na jakich dane API muszą być przekazywane właściwym służbom granicznym. Rozbieżności te prowadzą nie tylko do niepotrzebnych kosztów i komplikacji dla przewoźników lotniczych, ale także mają negatywny wpływ na zapewnienie skutecznych i wydajnych kontroli wstępnych osób przybywających na granice zewnętrzne.

(4)Należy zatem zaktualizować i zastąpić istniejące ramy prawne, tak aby zapewnić jasne, zharmonizowane i skuteczne przepisy dotyczące gromadzenia i przekazywania danych API w celu usprawnienia i ułatwienia skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych oraz zwalczania nielegalnej imigracji. (5)W celu zapewnienia w jak największym stopniu spójnego podejścia na poziomie międzynarodowym oraz w świetle obowiązujących na tym poziomie przepisów dotyczących gromadzenia danych API w zaktualizowanych ramach prawnych ustanowionych niniejszym rozporządzeniem należy uwzględnić odpowiednie praktyki uzgodnione na poziomie międzynarodowym z branżą lotniczą oraz w kontekście wytycznych Światowej Organizacji Celnej, Zrzeszenia Międzynarodowego Transportu Lotniczego i Organizacji Międzynarodowego Lotnictwa Cywilnego w sprawie danych pasażera przekazywanych przed podróżą. (6)Gromadzenie i przekazywanie danych API ma wpływ na prywatność osób i wiąże się z przetwarzaniem danych osobowych. Aby zapewnić pełne przestrzeganie praw podstawowych, w szczególności prawa do poszanowania życia prywatnego i prawa do ochrony danych osobowych, zgodnie z Kartą praw podstawowych Unii Europejskiej („Karta”), należy przewidzieć odpowiednie ograniczenia i zabezpieczenia. W szczególności wszelkie przetwarzanie danych API, w szczególności danych API stanowiących dane osobowe, powinno ograniczać się do tego, co jest konieczne i proporcjonalne do osiągnięcia celów niniejszego rozporządzenia. Ponadto należy zapewnić, aby API gromadzone i przekazywane na podstawie niniejszego rozporządzenia nie prowadziły do jakiejkolwiek formy dyskryminacji wymienionej w Karcie. (7)Aby osiągnąć swoje cele, niniejsze rozporządzenie powinno mieć zastosowanie do wszystkich przewoźników wykonujących loty do Unii, zgodnie z definicją zawartą w niniejszym rozporządzeniu, obejmujące zarówno loty regularne, jak i nieregularne, niezależnie od siedziby przewoźników lotniczych wykonujących te loty. (8)W celu zagwarantowania efektywności i pewności prawa należy sporządzić jasny i wyczerpujący wykaz informacji stanowiących łącznie dane API – które mają być gromadzone, a następnie przekazywane na podstawie niniejszego rozporządzenia – obejmujący zarówno informacje dotyczące każdego podróżnego, jak i informacje o jego locie. Takie informacje o lotach powinny obejmować informacje na temat przejścia granicznego przylotu na terytorium danego państwa członkowskiego we wszystkich przypadkach objętych niniejszym rozporządzeniem, przy czym informacje te należy gromadzić wyłącznie w stosownych przypadkach na podstawie rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API], tj. nie w przypadku, gdy dane API dotyczą lotów wewnątrzunijnych. (9)Aby zapewnić elastyczność i innowacyjność, każdy przewoźnik lotniczy powinien zasadniczo mieć możliwość określenia, w jaki sposób będzie wypełniał swoje obowiązki dotyczące gromadzenia danych API przewidziane w niniejszym rozporządzeniu. Mając jednak na uwadze fakt, że istnieją odpowiednie rozwiązania technologiczne umożliwiające automatyczne gromadzenie niektórych danych API przy jednoczesnym zagwarantowaniu, że dane te są dokładne, kompletne i aktualne, a także uwzględniając korzyści wynikające z zastosowania takiej technologii pod względem skuteczności i wydajności, przewoźnicy lotniczy powinni być zobowiązani do gromadzenia tych danych API w sposób zautomatyzowany przez odczytywanie informacji z danych nadających się do odczytu maszynowego w dokumencie podróży. (10)Dzięki automatyzacji podróżni mogą samodzielne podawać niektóre dane API podczas procesu odprawy przez internet. Takie rozwiązanie mogłoby na przykład obejmować bezpieczną aplikację na smartfonie, komputerze lub kamerze internetowej podróżnego, umożliwiającą odczytanie danych nadających się do odczytu maszynowego w dokumencie podróży. W przypadku gdy podróżni nie dokonali odprawy przez internet, przewoźnicy lotniczy powinni w praktyce zapewnić im możliwość podania danych API nadających się do odczytu maszynowego podczas odprawy w porcie lotniczym za pomocą punktu samoobsługi lub przy wsparciu personelu linii lotniczych przy stanowisku odprawy. (11)Komisja powinna być uprawniona do przyjmowania wymogów technicznych i zasad proceduralnych, których przewoźnicy lotniczy muszą przestrzegać w związku z gromadzeniem w sposób zautomatyzowany danych API nadających się do odczytu maszynowego na podstawie niniejszego rozporządzenia, tak aby zwiększyć przejrzystość i pewność prawa oraz przyczynić się do zapewnienia wysokiej jakości danych i odpowiedzialnego wykorzystania automatyzacji. (12)Mając na uwadze na korzyści płynące z gromadzenia w sposób zautomatyzowany danych API nadających się do odczytu maszynowego oraz przejrzystość wynikającą z wymogów technicznych w tym zakresie, które mają zostać przyjęte na podstawie niniejszego rozporządzenia, należy doprecyzować, że przewoźnicy lotniczy, którzy zdecydują się na gromadzenie w sposób zautomatyzowany informacji, które są zobowiązani przekazywać na podstawie dyrektywy 2004/82/WE, mają możliwość, ale nie obowiązek, stosowania tych wymogów, po ich przyjęciu, w związku z takim stosowaniem automatyzacji, w zakresie, w jakim jest to dozwolone na podstawie tej dyrektywy. Wszelkie takie dobrowolne stosowanie tych specyfikacji w ramach wykonywania dyrektywy 2004/82/WE nie powinno być rozumiane jako naruszanie w jakikolwiek sposób obowiązków przewoźników lotniczych i państw członkowskich na podstawie tej dyrektywy. (13)W celu zapewnienia skutecznych i wydajnych wstępnych kontroli przeprowadzanych z wyprzedzeniem przez właściwe służby graniczne dane API przekazywane tym służbom powinny zawierać dane podróżnych, którzy faktycznie mają przekroczyć granice zewnętrzne, tj. dane podróżnych, którzy faktycznie znajdują się na pokładzie samolotu. W związku z tym przewoźnicy lotniczy powinni przekazywać dane API bezpośrednio po zakończeniu odprawy. Ponadto dane API umożliwiają właściwym służbom granicznym odróżnienie osób podróżujących legalnie od podróżnych, którzy mogą być przedmiotem zainteresowania i w związku z tym mogą wymagać dodatkowych weryfikacji, co wiązałoby się z koniecznością zapewnienia większej koordynacji i przygotowania środków następczych, które powinny zostać zastosowane po przylocie. Mogłoby się tak zdarzyć, na przykład, w przypadku niespodziewanej liczby podróżnych będących przedmiotem zainteresowania, których kontrole fizyczne na granicach mogłyby niekorzystnie wpłynąć na odprawę graniczną i czas oczekiwania na granicach innych osób podróżujących legalnie. Aby zapewnić właściwym służbom granicznym możliwość przygotowania odpowiednich i proporcjonalnych środków na granicy, takich jak tymczasowe zwiększenie liczby lub przesunięcie pracowników, zwłaszcza w odniesieniu do lotów, w przypadku których czas pomiędzy zakończeniem odprawy a przybyciem na granicę zewnętrzną jest niewystarczający, aby umożliwić właściwym służbom granicznym przygotowanie najbardziej odpowiedniej reakcji, dane API powinny być również przekazywane przed wejściem na pokład w momencie odprawy każdego podróżnego. (14)W celu zapewnienia jasności co do wymogów technicznych, które mają zastosowanie do przewoźników lotniczych i które są potrzebne, aby zapewnić bezpieczne, skuteczne i sprawne przekazywane do routera danych API gromadzonych przez przewoźników lotniczych na podstawie niniejszego rozporządzenia, Komisja powinna być uprawniona do określenia specyfikacji wspólnych protokołów i obsługiwanych formatów danych, które mają być wykorzystywane do przekazywania tych danych. (15)Aby uniknąć ryzyka niewłaściwego wykorzystania oraz zgodnie z zasadą celowości, właściwym służbom granicznym należy wyraźnie zabronić przetwarzania danych API, które otrzymują na podstawie niniejszego rozporządzenia, do celów innych niż usprawnienie i ułatwienie skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych oraz zwalczanie nielegalnej imigracji. (16)Aby zapewnić właściwym służbom granicznym wystarczający czas na skuteczne przeprowadzenie wstępnych kontroli wszystkich podróżnych, w tym osób podróżujących lotami długodystansowymi oraz osób podróżujących lotami łączącymi, jak również wystarczający czas na zapewnienie, aby dane API gromadzone i przekazywane przez przewoźników lotniczych były kompletne, dokładne i aktualne, a w razie potrzeby na zwrócenie się do przewoźników lotniczych z wnioskiem o przedstawienie dodatkowych wyjaśnień, wprowadzenie korekt lub uzupełnienie informacji, właściwe służby graniczne powinny przechowywać dane API, które otrzymały na podstawie niniejszego rozporządzenia, przez ustalony czas, ograniczony do okresu bezwzględnie koniecznego do tych celów. Podobnie, aby móc odpowiedzieć na takie wnioski, przewoźnicy lotniczy powinni przechowywać dane API, które przekazali na podstawie niniejszego rozporządzenia, przez taki sam ustalony i bezwzględnie niezbędny okres. (17)Aby uniknąć konieczności nawiązywania i utrzymywania przez przewoźników lotniczych wielu połączeń z właściwymi służbami granicznymi państw członkowskich w celu przekazywania danych API gromadzonych na podstawie niniejszego rozporządzenia oraz związanego z tym braku efektywności i ryzyka dla bezpieczeństwa, należy ustanowić jeden router, opracowany i obsługiwany na poziomie Unii, który służy jako punkt podłączenia i dystrybucji do celów przekazywania danych API. W celu zagwarantowania wydajności i efektywności kosztowej router powinien, w zakresie, w jakim jest to technicznie możliwe i z pełnym poszanowaniem przepisów niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API], opierać się na elementach technicznych pochodzących z innych odpowiednich systemów utworzonych na mocy prawa Unii. (18)Router powinien przekazywać dane API w sposób zautomatyzowany odpowiednim właściwym służbom granicznym, określonym na podstawie przejścia granicznego przylotu na terytorium państwa członkowskiego wskazanego w odpowiednich danych API. W celu ułatwienia procesu dystrybucji każde państwo członkowskie powinno wskazać, które służby graniczne są właściwe do otrzymywania danych API przekazywanych z routera. W celu zapewnienia właściwego funkcjonowania niniejszego rozporządzenia oraz zachowania przejrzystości informacje te należy podawać do wiadomości publicznej. (19)Router powinien służyć wyłącznie ułatwieniu przekazywania danych API przez przewoźników lotniczych właściwym służbom granicznym zgodnie z niniejszym rozporządzeniem oraz JIP zgodnie z rozporządzeniem (UE) [w sprawie egzekwowania przepisów dotyczących API] i nie powinien pełnić funkcji repozytorium danych API. W związku z tym, a także w celu zminimalizowania ryzyka nieuprawnionego dostępu lub innego niewłaściwego wykorzystania oraz zgodnie z zasadą minimalizacji danych wszelkie przechowywanie danych API w routerze należy ograniczyć do tego, co jest absolutnie niezbędne do celów technicznych związanych z przekazywaniem, a dane API należy usuwać z routera natychmiast, trwale i w sposób zautomatyzowany z chwilą zakończenia przekazywania, bądź też w stosownych przypadkach na podstawie rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API] danych API nie należy przekazywać w ogóle. (20)W celu zapewnienia właściwego funkcjonowania procesu przekazywania danych API z routera Komisja powinna być uprawniona do określania szczegółowych przepisów technicznych i proceduralnych dotyczących tego przekazywania. Przepisy te powinny zapewniać, aby przekazywanie było bezpieczne, skuteczne i sprawne oraz aby nie miało wpływu na podróże pasażerów i na przewoźników lotniczych w większym stopniu, niż to konieczne. (21)Aby przewoźnicy lotniczy mogli jak najszybciej odnieść korzyści wynikające z zastosowania routera opracowanego przez eu-LISA zgodnie z niniejszym rozporządzeniem oraz zdobyć doświadczenie w zakresie jego użytkowania, należy im zapewnić możliwość, ale nie obowiązek, korzystania z routera w celu przekazywania informacji, które są zobowiązani przekazywać na podstawie dyrektywy 2004/82/WE w okresie przejściowym. Ten okres przejściowy powinien rozpocząć się z chwilą uruchomienia routera i zakończyć się z chwilą, gdy obowiązki wynikające z tej dyrektywy przestaną mieć zastosowanie. W celu zapewnienia, aby wszelkie takie dobrowolne korzystanie z routera odbywało się w sposób odpowiedzialny, należy wymagać uprzedniej pisemnej zgody odpowiedzialnego organu, który ma otrzymać informacje, na wniosek przewoźnika lotniczego oraz w razie potrzeby po przeprowadzeniu przez ten organ weryfikacji i uzyskaniu zapewnień. Podobnie w celu uniknięcia sytuacji, w której przewoźnicy lotniczy wielokrotnie rozpoczynają korzystanie z routera i zaprzestają takiego korzystania, w przypadku gdy przewoźnik lotniczy rozpoczyna takie dobrowolne korzystanie z routera, powinien być zobowiązany do kontynuowania takiego korzystania, chyba że istnieją obiektywne powody do zaprzestania korzystania z routera w celu przekazywania informacji danemu odpowiedzialnemu organowi, na przykład jeżeli okaże się, że informacje nie są przekazywane w sposób zgodny z prawem, bezpieczny, skuteczny i sprawny. W celu właściwego stosowania możliwości dobrowolnego korzystania z routera, z należytym uwzględnieniem praw i interesów wszystkich zainteresowanych stron, należy ustanowić niezbędne przepisy dotyczące konsultacji i przekazywania informacji. Wszelkie takie dobrowolne korzystanie z routera w ramach wykonywania dyrektywy 2004/82/WE zgodnie z niniejszym rozporządzeniem nie powinno być rozumiane jako naruszanie w jakikolwiek sposób obowiązków przewoźników lotniczych i państw członkowskich na podstawie tej dyrektywy. (22)Router, który ma zostać opracowany i obsługiwany na podstawie niniejszego rozporządzenia, powinien ograniczyć i uprościć podłączenia techniczne potrzebne do przekazywania danych API i ograniczyć je do jednego podłączenia na przewoźnika lotniczego i jedną właściwą służbę graniczną. W związku z tym w niniejszym rozporządzeniu przewidziano obowiązek ustanowienia przez właściwe służby graniczne i przewoźników lotniczych takiego podłączenia do routera i osiągnięcia wymaganej integracji z nim, aby zapewnić prawidłowe funkcjonowanie systemu przekazywania danych API ustanowionego niniejszym rozporządzeniem. Aby zapewnić skuteczność tych obowiązków i prawidłowe funkcjonowanie systemu ustanowionego niniejszym rozporządzeniem, obowiązki te należy uzupełnić poprzez określenie szczegółowych zasad. (23)Mając na uwadze interesy Unii, koszty ponoszone przez eu-LISA w związku z realizacją zadań dotyczących routera powierzonych jej w ramach niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API] należy pokrywać z budżetu Unii. Ta sama zasada powinna dotyczyć odpowiednich kosztów poniesionych przez państwa członkowskie w związku z ich podłączeniem do routera i integracją z routerem, zgodnie z wymogami niniejszego rozporządzenia i odpowiednich przepisów, przy czym mają tu zastosowanie określone wyjątki. Koszty poniesione w związku z takimi wyjątkami powinny pokrywać poszczególne zainteresowane państwa członkowskie.

(24)Nie można wykluczyć, że ze względu na szczególne okoliczności i pomimo wszystkich uzasadnionych środków wprowadzonych zgodnie z niniejszym rozporządzeniem router, lub też systemy lub infrastruktura zapewniające połączenie właściwych służb granicznych i przewoźników lotniczych z routerem będą działały nieprawidłowo, co sprawi, że korzystanie z routera do przekazywania danych API będzie technicznie niemożliwe. Ze względu na niedostępność routera i fakt, że zasadniczo przewoźnicy lotniczy nie będą mogli w inny zgodny z prawem, bezpieczny, skuteczny i sprawny sposób przekazywać danych API, których nie można przekazać ze względu na awarię routera, obowiązek przewoźników lotniczych dotyczący przekazywania tych danych API do routera nie powinien mieć zastosowania przez cały okres, w którym takie przekazywanie danych jest technicznie niemożliwe. W celu zminimalizowania czasu trwania i negatywnych konsekwencji, zainteresowane strony powinny w takim przypadku niezwłocznie poinformować się wzajemnie i natychmiast wprowadzić wszelkie niezbędne środki w celu rozwiązania problemu braku technicznej możliwości przekazywania danych API. Ponieważ dane API dotyczące lotów, które zostały już wykonane, nie są użyteczne do celów odprawy granicznej, w takim przypadku wymaganie od przewoźników lotniczych gromadzenia i przechowywania takich danych API jest bezzasadne. Ustalenie to powinno pozostawać bez uszczerbku dla obowiązków wszystkich zainteresowanych stron wynikających z niniejszego rozporządzenia, dotyczących zapewnienia prawidłowego funkcjonowania routera oraz ich odpowiednich systemów i elementów infrastruktury, a także dla faktu, że przewoźnicy lotniczy podlegają karom w przypadku niewywiązania się z tych obowiązków, w tym w przypadku, gdy powołują się na to ustalenie w sytuacji, gdy nie jest to uzasadnione. Aby zniechęcić do takich nadużyć oraz ułatwić sprawowanie nadzoru i w stosownych przypadkach nakładanie kar, przewoźnicy lotniczy, którzy powołują się na to ustalenie w związku z awarią ich systemu i infrastruktury, powinni zgłaszać ten fakt właściwemu organowi nadzorczemu. (25)W celu zapewnienia przestrzegania podstawowego prawa do ochrony danych osobowych w niniejszym rozporządzeniu należy określić administratora i podmiot przetwarzający oraz przepisy dotyczące kontroli. W celu zapewnienia skutecznego monitorowania, odpowiedniej ochrony danych osobowych i ograniczenia do minimum ryzyka dla bezpieczeństwa należy również ustanowić przepisy dotyczące rejestrowania, bezpieczeństwa przetwarzania i monitorowania własnej działalności. Przepisy te, w przypadku gdy dotyczą przetwarzania danych osobowych, należy traktować jako uzupełnienie ogólnie obowiązujących aktów prawnych UE dotyczących ochrony danych osobowych, w szczególności rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 i rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725. Niniejsze rozporządzenie powinno pozostać bez wpływu na te akty, które mają również zastosowanie do przetwarzania danych osobowych na podstawie niniejszego rozporządzenia zgodnie z jego przepisami. (26)W szczególności celem operacji przetwarzania danych na podstawie niniejszego rozporządzenia, a mianowicie przekazywania danych API przez przewoźników lotniczych za pośrednictwem routera właściwym służbom granicznym państw członkowskich, jest wspieranie tych organów w wykonywaniu ich obowiązków w zakresie zarządzania granicami oraz zadań związanych ze zwalczaniem nielegalnej imigracji. W związku z tym właściwe służby graniczne otrzymujące dane API powinny pełnić rolę administratora na potrzeby przekazywania danych API stanowiących dane osobowe za pośrednictwem routera oraz przechowywania tych danych w routerze w zakresie, w jakim przechowywanie to jest niezbędne do celów technicznych, a także w przypadku wszelkiego późniejszego przetwarzania tych danych w celu usprawnienia i ułatwienia odprawy granicznej na granicach zewnętrznych. Z kolei przewoźnicy lotniczy powinni pełnić rolę odrębnego administratora w zakresie przetwarzania danych API stanowiących dane osobowe, do czego są zobowiązani na podstawie niniejszego rozporządzenia. W związku z tym zarówno przewoźnicy lotniczy, jak i właściwe służby graniczne powinni pełnić rolę odrębnego administratora w odniesieniu do przetwarzania przez nich danych API na podstawie niniejszego rozporządzenia. (27)W celu zapewnienia skutecznego stosowania przepisów niniejszego rozporządzenia przez przewoźników lotniczych należy przewidzieć możliwość wyznaczenia organów krajowych pełniących nadzór nad przestrzeganiem tych przepisów oraz nadania tym organom odpowiednich uprawnień. Przepisy niniejszego rozporządzenia dotyczące takiego nadzoru, w tym, w stosownych przypadkach, w zakresie nakładania kar, nie powinny mieć wpływu na zadania i uprawnienia organów nadzorczych ustanowionych na mocy rozporządzenia (UE) 2016/679, również w odniesieniu do przetwarzania danych osobowych na podstawie niniejszego rozporządzenia. (28)Państwa członkowskie powinny przewidzieć skuteczne, proporcjonalne i odstraszające kary, w tym finansowe, wobec przewoźników lotniczych, którzy nie wypełniają swoich obowiązków dotyczących gromadzenia i przekazywania danych API wynikających z niniejszego rozporządzenia. (29)Ponieważ niniejsze rozporządzenie przewiduje ustanowienie nowych zasad dotyczących gromadzenia i przekazywania danych API przez właściwe służby graniczne w celu usprawnienia i ułatwienia skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych, należy uchylić dyrektywę 2004/82/WE. (30)Ponieważ router powinna zaprojektować, opracować i obsługiwać oraz zarządzać nim pod względem technicznym eu-LISA, ustanowiona rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1726, konieczna jest zmiana tego rozporządzenia polegająca na dodaniu tego zadania do wykazu zadań eu-LISA. Aby umożliwić przechowywanie sprawozdań i statystyk dotyczących routera we wspólnym repozytorium sprawozdawczo-statystycznym, konieczna jest zmiana rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/817. (31)W celu przyjęcia środków dotyczących wymogów technicznych i zasad postępowania w zakresie gromadzenia w sposób zautomatyzowany danych API nadających się do odczytu maszynowego środków dotyczących wspólnych protokołów i formatów wykorzystywanych przez przewoźników lotniczych do przekazywania danych API, środków dotyczących przepisów technicznych i proceduralnych w zakresie przekazywania danych API z routera do właściwych służb granicznych oraz do JIP i w zakresie podłączenia JIP i przewoźników lotniczych do routera i ich integracji z routerem należy przekazać Komisji uprawnienia do przyjęcia aktów zgodnie z art. 290 Traktatu o funkcjonowaniu Unii Europejskiej odpowiednio w odniesieniu do art. 5, 6, 11, 20 i 21. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów, oraz aby konsultacje te prowadzone były zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa. W szczególności, aby zapewnić Parlamentowi Europejskiemu i Radzie udział na równych zasadach w przygotowaniu aktów delegowanych, instytucje te otrzymują wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji mogą systematycznie brać udział w posiedzeniach grup eksperckich Komisji zajmujących się przygotowaniem aktów delegowanych. (32)W celu zapewnienia jednolitych warunków wykonywania niniejszego rozporządzenia, tj. w kwestii rozpoczęcia funkcjonowania routera, należy powierzyć Komisji uprawnienia wykonawcze. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/2011. (33)Wszystkim zainteresowanym stronom, a w szczególności przewoźnikom lotniczym i właściwym służbom granicznym, należy zapewnić wystarczający czas na podjęcie niezbędnych działań w celu przygotowania się do wypełniania obowiązków wynikających z niniejszego rozporządzenia, biorąc pod uwagę fakt, że niektóre z tych działań, np. w zakresie obowiązków związanych z podłączeniem do routera i integracją z routerem, mogą zostać sfinalizowane dopiero po zakończeniu fazy prac projektowych i rozwojowych nad routerem oraz po jego uruchomieniu. W związku z tym niniejsze rozporządzenie powinno mieć zastosowanie dopiero od odpowiedniej daty po dacie uruchomienia routera, określonej przez Komisję zgodnie z niniejszym rozporządzeniem. (34)Fazę prac projektowych i rozwojowych nad routerem należy rozpocząć i zakończyć jak najszybciej, tak aby można było go jak najszybciej uruchomić, co wymaga również przyjęcia odpowiednich aktów wykonawczych i delegowanych przewidzianych w niniejszym rozporządzeniu. Należy również bezzwłocznie przedstawić przewidziane w niniejszym rozporządzeniu objaśnienie dotyczące stosowania specyfikacji w zakresie stosowania automatyzacji w ramach wykonywania dyrektywy 2004/82/WE. Artykuły dotyczące tych kwestii powinny zatem obowiązywać od dnia wejścia w życie niniejszego rozporządzenia. Ponadto, aby umożliwić jak najszybsze dobrowolne korzystanie z routera, artykuł dotyczący takiego korzystania, jak również niektóre inne artykuły mające na celu zagwarantowanie, że takie korzystanie odbywa się w sposób odpowiedzialny, powinny mieć zastosowanie jak najwcześniej, tj. od chwili uruchomienia routera. (35)Niniejsze rozporządzenie nie powinno mieć wpływu na możliwość ustanowienia przez państwa członkowskie, na mocy ich prawa krajowego, systemu gromadzenia danych API od dostawców usług transportowych innych niż określone w niniejszym rozporządzeniu, pod warunkiem że takie prawo krajowe jest zgodne z prawem Unii. (36)Ponieważ cele niniejszego rozporządzenia, a mianowicie usprawnienie i ułatwienie skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych i zwalczania nielegalnej imigracji, dotyczą kwestii, które z natury mają charakter transgraniczny, nie mogą zostać osiągnięte w sposób wystarczający przez państwa członkowskie działające indywidualnie, natomiast można je lepiej osiągnąć na poziomie Unii. Unia może zatem podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia tych celów. (37)Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do TUE i do TFUE, Dania nie uczestniczy w przyjęciu niniejszego rozporządzenia i nie jest nim związana ani go nie stosuje. Ponieważ niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen, zgodnie z art. 4 tego protokołu Dania – w terminie sześciu miesięcy po przyjęciu przez Radę niniejszego rozporządzenia – podejmuje decyzję, czy dokona jego transpozycji do swego prawa krajowego. (38)Niniejsze rozporządzenie ma zastosowanie do Irlandii zgodnie z art. 5 ust. 1 Protokołu nr 19 w sprawie dorobku Schengen włączonego w ramy Unii Europejskiej, który jest załączony do Traktatu o Unii Europejskiej i do Traktatu o funkcjonowaniu Unii Europejskiej, oraz art. 6 ust. 2 decyzji Rady 2002/192/WE. (39) Uczestnictwo Irlandii w niniejszym rozporządzeniu, zgodnie z art. 6 ust. 2 decyzji 2002/192/WE, związane jest z obowiązkami Unii w zakresie wprowadzenia środków rozwijających przepisy dorobku Schengen mające na celu przeciwdziałanie nielegalnej imigracji, w których uczestniczy Irlandia. (40)W odniesieniu do Islandii i Norwegii niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy zawartej przez Radę Unii Europejskiej i Republikę Islandii oraz Królestwo Norwegii dotyczącej włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, które wchodzą w zakres obszaru, o którym mowa w art. 1 lit. A decyzji Rady 1999/437/WE. (41)W odniesieniu do Szwajcarii niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy między Unią Europejską, Wspólnotą Europejską a Konfederacją Szwajcarską w sprawie włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, które wchodzą w zakres obszaru, o którym mowa w art. 1 lit. A decyzji 1999/437/WE w związku z art. 3 decyzji Rady 2008/146/WE. (42)W odniesieniu do Liechtensteinu niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Protokołu między Unią Europejską, Wspólnotą Europejską, Konfederacją Szwajcarską i Księstwem Liechtensteinu w sprawie przystąpienia Księstwa Liechtensteinu do Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, które wchodzą w zakres obszaru, o którym mowa w art. 1 lit. A decyzji Rady 1999/437/WE w związku z art. 3 decyzji Rady 2011/350/UE. (43)W odniesieniu do Cypru, Bułgarii, Rumunii i Chorwacji niniejsze rozporządzenie jest aktem stanowiącym rozwinięcie dorobku Schengen lub w inny sposób z nim związanym w rozumieniu, odpowiednio, art. 3 ust. 1 Aktu przystąpienia z 2003 r., art. 4 ust. 1 Aktu przystąpienia z 2005 r. i art. 4 ust. 1 Aktu przystąpienia z 2011 r.

(44)Zgodnie z art. 42 ust. 1 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię dnia [XX], PRZYJMUJĄ NINIEJSZE ROZPORZĄDZENIE: ROZDZIAŁ 1 PRZEPISY OGÓLNE Artykuł 1 Przedmiot W celu usprawnienia i ułatwienia skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych oraz zwalczania nielegalnej imigracji w niniejszym rozporządzeniu ustanawia się przepisy dotyczące: a)gromadzenia przez przewoźników lotniczych danych pasażera przekazywanych przed podróżą („dane API”) dotyczących lotów do Unii; b)przekazywania przez przewoźników lotniczych danych API do routera; c)przekazywania danych API z routera właściwym służbom granicznym. Artykuł 2 Zakres Niniejsze rozporządzenie ma zastosowanie do przewoźników lotniczych wykonujących regularne lub nieregularne loty do Unii. Artykuł 3 Definicje Do celów niniejszego rozporządzenia stosuje się następujące definicje: a)„przewoźnik lotniczy” oznacza przedsiębiorstwo transportu lotniczego w rozumieniu art. 3 pkt 1 dyrektywy (UE) 2016/681; b)„odprawa graniczna” oznacza czynności kontrolne w rozumieniu w art. 2 pkt 11 rozporządzenia (UE) 2016/399; c)„loty do Unii” oznaczają loty z terytorium państwa trzeciego lub państwa członkowskiego nieobjętego niniejszym rozporządzeniem, w przypadku których to lotów planuje się lądowanie na terytorium państwa członkowskiego objętego niniejszym rozporządzeniem;

d)„przejście graniczne” oznacza przejście graniczne w rozumieniu art. 2 pkt 8 rozporządzenia (UE) 2016/399; e)„lot regularny” oznacza lot wykonywany zgodnie z ustalonym rozkładem, na który bilety może nabyć ogół społeczeństwa; f)„lot nieregularny” oznacza lot, który nie jest wykonywany zgodnie z ustalonym rozkładem i który musi być częścią regularnej lub planowanej trasy; g)„właściwa służba graniczna” oznacza organ, któremu państwo członkowskie powierzyło zadanie polegające na przeprowadzaniu odprawy granicznej oraz który został wyznaczony i zgłoszony przez to państwo członkowskie zgodnie z art. 11 ust. 2; h)„pasażer” oznacza każdą osobę, z wyjątkiem członków załogi, która jest przewożona lub ma być przewieziona na pokładzie samolotu za zgodą przewoźnika lotniczego wyrażoną w formie wpisu tej osoby na listę pasażerów; i)„załoga” oznacza każdą osobę znajdującą się na pokładzie samolotu podczas lotu, inną niż pasażer, która pracuje w samolocie i obsługuje go, w tym załogę lotniczą i personel pokładowy; j)„podróżny” oznacza pasażera lub członka załogi; k)„dane pasażera przekazywane przed podróżą” lub „dane API” oznaczają dane podróżnych i informacje o locie, o których mowa odpowiednio w art. 4 ust. 2 i 3; l)„jednostka do spraw informacji o pasażerach” lub „JIP” oznacza właściwy organ, o którym mowa w art. 3 lit. i) rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API]; m)„router” oznacza router, o którym mowa w art. 9; n)„dane osobowe” oznaczają informacje w rozumieniu art. 4 pkt 1 rozporządzenia (UE) 2016/679. ROZDZIAŁ 2 GROMADZENIE I PRZEKAZYWANIE DANYCH API Artykuł 4 Dane API, które mają być gromadzone przez przewoźników lotniczych 1.Przewoźnicy lotniczy gromadzą dane API podróżnych, obejmujące dane podróżnych i informacje o lotach określone odpowiednio w ust. 2 i 3 niniejszego artykułu w odniesieniu do lotów, o których mowa w art. 2, w celu przekazania tych danych API do routera zgodnie z art. 6. 2.Dane API obejmują następujące dane podróżnych dotyczące każdej osoby podróżującej w ramach danego lotu: a)nazwisko; imię lub imiona; b)datę urodzenia, płeć i obywatelstwo; c)rodzaj i numer dokumentu podróży i trzyliterowy kod państwa wydającego dokument podróży;

d)datę upływu ważności dokumentu podróży; e)informację, czy dany podróżny jest pasażerem czy członkiem załogi (status podróżnego); f)numer identyfikujący dane dotyczące przelotu pasażera wykorzystywany przez przewoźnika lotniczego do zlokalizowania pasażera w swoim systemie informacyjnym (kod identyfikacyjny danych PNR); g)informacje na temat miejsca na pokładzie, takie jak numer miejsca w samolocie przydzielonego pasażerowi, jeżeli przewoźnik lotniczy gromadzi takie informacje; h)informacje na temat bagażu, takie jak liczba sztuk bagażu rejestrowanego, jeżeli przewoźnik lotniczy gromadzi takie informacje. 3.Dane API obejmują również następujące informacje o locie dotyczące lotu każdego podróżnego: a)numer identyfikacyjny lotu lub, w przypadku braku takiego numeru, inny wyraźny i odpowiedni sposób identyfikacji lotu; b)w stosownych przypadkach – przejście graniczne przylotu na terytorium państwa członkowskiego; c)kod portu lotniczego przylotu na terytorium państwa członkowskiego; d)początkowy punkt wejścia na pokład; e)lokalna data i szacowana godzina odlotu; f)lokalna data i szacowana godzina przylotu. Artykuł 5 Metody gromadzenia danych API 1.Przewoźnicy lotniczy gromadzą dane API określone w art. 4 w taki sposób, aby dane API przekazywane przez nich zgodnie z art. 6 były dokładne, kompletne i aktualne. 2.Przewoźnicy lotniczy gromadzą dane API, o których mowa w art. 4 ust. 2 lit. a)–d), w sposób zautomatyzowany umożliwiający pobieranie danych nadających się do odczytu maszynowego z dokumentu podróży danego podróżnego. Odbywa się to zgodnie ze szczegółowymi wymogami technicznymi i zasadami postępowania, o których mowa w ust. 4, jeżeli takie zasady zostały przyjęte i mają zastosowanie. Jeżeli jednak gromadzenie danych w sposób zautomatyzowany nie jest możliwe, ponieważ dokument podróży nie zawiera danych nadających się do odczytu maszynowego, przewoźnicy lotniczy gromadzą te dane ręcznie, w sposób zapewniający zgodność z ust. 1. 3.Wszelkie metody gromadzenia danych w sposób zautomatyzowany stosowane przez przewoźników lotniczych do gromadzenia danych API na podstawie niniejszego rozporządzenia muszą być niezawodne, bezpieczne i aktualne. 4.Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 37 w celu uzupełnienia niniejszego rozporządzenia przez określenie szczegółowych wymogów technicznych i zasad postępowania w zakresie gromadzenia danych API, o których mowa w art. 4 ust. 2 lit. a)–d), w sposób zautomatyzowany zgodnie z ust. 2 i 3 niniejszego artykułu. 5.Przewoźnicy lotniczy, którzy w sposób zautomatyzowany gromadzą informacje, o których mowa w art. 3 ust. 1 dyrektywy 2004/82/WE, są do tego uprawnieni przy zastosowaniu wymogów technicznych dotyczących takiego wykorzystania, o których mowa w ust. 4, zgodnie z tą dyrektywą.

Artykuł 6 Obowiązki przewoźników lotniczych dotyczące przekazywania danych API 1.Przewoźnicy lotniczy przekazują dane API do routera drogą elektroniczną. Odbywa się to zgodnie ze szczegółowymi zasadami postępowania, o których mowa w ust. 3, jeżeli takie zasady zostały przyjęte i mają zastosowanie. 2.Przewoźnicy lotniczy przekazują dane API zarówno w chwili odprawy, jak i natychmiast po zakończeniu odprawy, tj. po wejściu pasażerów na pokład samolotu przygotowującego się do odlotu i gdy nie ma już możliwości wejścia na pokład ani opuszczenia samolotu. 3.Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 37 w celu uzupełnienia niniejszego rozporządzenia przez określenie niezbędnych szczegółowych zasad dotyczących wspólnych protokołów i obsługiwanych formatów danych, które mają być wykorzystywane na potrzeby przekazywania danych API do routera, o którym mowa w ust. 1. 4.W przypadku gdy po przekazaniu danych do routera przewoźnik lotniczy stwierdzi, że dane API są niedokładne, niekompletne, nieaktualne lub zostały przetworzone niezgodnie z prawem albo że dane te nie stanowią danych API, niezwłocznie informuje o tym Agencję Unii Europejskiej ds. Zarządzania Operacyjnego Wielkoskalowymi Systemami Informatycznymi w Przestrzeni Wolności, Bezpieczeństwa i Sprawiedliwości (eu-LISA). Po otrzymaniu takiej informacji eu-LISA niezwłocznie informuje o tym fakcie właściwą służbę graniczną, która otrzymała dane API przekazane za pośrednictwem routera. Artykuł 7 Przetwarzanie otrzymanych danych API Właściwe służby graniczne przetwarzają dane API, przekazane im zgodnie z niniejszym rozporządzeniem, wyłącznie do celów określonych w art. 1. Artykuł 8 Przechowywanie i usuwanie danych API 1.Przewoźnicy lotniczy przechowują, przez 48 godzin od chwili wylotu, dane API dotyczące danego pasażera, które zgromadzili na podstawie z art. 4. Po upływie tego okresu niezwłocznie i trwale usuwają te dane API. 2.Właściwe służby graniczne przechowują dane API dotyczące danego pasażera, które otrzymały za pośrednictwem routera na podstawie art. 11, przez 48 godzin od chwili wylotu. Po upływie tego okresu niezwłocznie i trwale usuwają te dane API. 3.W przypadku gdy przewoźnik lotniczy lub właściwa służba graniczna stwierdzi, że dane, które zgromadził, przekazał lub otrzymał zgodnie z niniejszym rozporządzeniem są niedokładne, niekompletne, nieaktualne lub zostały przetworzone niezgodnie z prawem, albo że dane te nie stanowią danych API, niezwłocznie poprawia, uzupełnia lub aktualizuje albo trwale usuwa te dane API. Pozostaje to bez uszczerbku dla możliwości zachowania i wykorzystywania danych przez przewoźników lotniczych, jeżeli jest to niezbędne do prowadzenia normalnej działalności zgodnie z obowiązującym prawem. ROZDZIAŁ 3 PRZEPISY DOTYCZĄCE ROUTERA Artykuł 9 Router 1.eu-LISA projektuje, opracowuje i obsługuje router oraz zarządza nim pod względem technicznym zgodnie z art. 22 i 23, aby ułatwić przekazywanie danych API przez przewoźników lotniczych właściwym służbom granicznym oraz JIP zgodnie z – odpowiednio – niniejszym rozporządzeniem i rozporządzeniem (UE) [w sprawie egzekwowania przepisów dotyczących API].

2.Router składa się z: a)infrastruktury centralnej obejmującej zestaw elementów technicznych umożliwiających przekazywanie danych API; b)bezpiecznego kanału komunikacji między infrastrukturą centralną a właściwymi służbami granicznymi i JIP oraz bezpiecznego kanału komunikacji między infrastrukturą centralną a przewoźnikami lotniczymi, służącego do przekazywania danych API i wszelkich powiązanych komunikatów. 3.Nie naruszając przepisów art. 10 niniejszego rozporządzenia, router współdzieli i ponownie wykorzystuje w zakresie, w jakim jest to technicznie możliwe, elementy techniczne – w tym sprzęt i oprogramowanie – usługi sieciowej, o której mowa w art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/2226, portalu dla przewoźników, o którym mowa w art. 6 ust. 2 lit. k) rozporządzenia (UE) 2018/1240, oraz portalu dla przewoźników, o którym mowa w art. 2a lit. h) rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 767/2008. Artykuł 10 Korzystanie z routera na zasadzie wyłączności Z routera korzystają wyłącznie przewoźnicy lotniczy w celu przekazywania danych API oraz właściwe służby graniczne i JIP w celu otrzymywania danych API, zgodnie z – odpowiednio – niniejszym rozporządzeniem i rozporządzeniem (UE) [w sprawie egzekwowania przepisów dotyczących API]. Artykuł 11 Przekazywanie danych API z routera do właściwych służb granicznych 1.Router niezwłocznie i w sposób zautomatyzowany przekazuje dane API, przesłane do niego zgodnie z art. 6, właściwym służbom granicznym państwa członkowskiego, o których mowa w art. 4 ust. 3 lit. c). Odbywa się to zgodnie ze szczegółowymi zasadami, o których mowa w ust. 4 niniejszego artykułu, jeżeli takie zasady zostały przyjęte i mają zastosowanie. Do celów takiego przekazywania danych eu-LISA tworzy i aktualizuje tabelę korespondencji między poszczególnymi portami lotniczymi pochodzenia i przeznaczenia oraz krajami, w których te porty się znajdują. 2.Państwo członkowskie wyznacza właściwe służby graniczne upoważnione do otrzymywania danych API przekazywanych im z routera zgodnie z niniejszym rozporządzeniem. Do daty rozpoczęcia stosowania niniejszego rozporządzenia, o której mowa w art. 39 akapit drugi, państwa członkowskie przekazują eu-LISA i Komisji nazwy i dane kontaktowe właściwych służb granicznych i w stosownych przypadkach aktualizują przekazane informacje. Na podstawie tych zgłoszeń i aktualizacji Komisja sporządza i udostępnia publicznie wykaz zgłoszonych właściwych służb granicznych zawierający ich dane kontaktowe. 3.Państwa członkowskie zapewniają, aby tylko upoważnieni pracownicy właściwych służb granicznych mieli dostęp do danych API przekazywanych tym służbom za pośrednictwem routera. Ustanawiają w tym celu niezbędne zasady. Obejmują one zasady dotyczące sporządzania i regularnego aktualizowania wykazu tych pracowników i ich profili. 4.Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 37 w celu uzupełnienia niniejszego rozporządzenia przez określenie niezbędnych technicznych i proceduralnych zasad szczegółowych dotyczących przekazywania danych API z routera, o którym mowa w ust. 1. Artykuł 12 Usuwanie danych API z routera Dane API przekazane do routera zgodnie z niniejszym rozporządzeniem oraz rozporządzeniem (UE) [w sprawie egzekwowania przepisów dotyczących API] przechowuje się w routerze tylko w zakresie niezbędnym do zakończenia procesu przekazywania ich odpowiednim właściwym służbom granicznym lub JIP, zgodnie z tymi rozporządzeniami, i bezzwłocznie, trwale i w sposób zautomatyzowany usuwa się te dane z routera w obu poniższych sytuacjach: a)gdy zakończono przekazywanie danych API do odpowiednich właściwych służb granicznych lub JIP; b)w odniesieniu do rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API] – gdy dane API dotyczą innych lotów wewnątrzunijnych niż te zawarte w wykazach, o których mowa w art. 5 ust. 2 wspomnianego rozporządzenia.

Artykuł 13 Prowadzenie rejestrów 1.eu-LISA prowadzi rejestry dotyczące wszystkich operacji przetwarzania związanych z przekazywaniem danych API za pośrednictwem routera na podstawie niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API]. Rejestry te obejmują: a)informacje o przewoźniku lotniczym, który przekazał dane API do routera; b)informacje o właściwych służbach granicznych i JIP, do których przekazano dane API za pośrednictwem routera; c)datę i godzinę czynności przekazania, o których mowa w lit. a) i b), oraz miejsce przekazania; d)wszelkie prawa dostępu pracowników eu-LISA niezbędne do utrzymywania routera, o którym mowa w art. 23 ust. 3; e)wszelkie inne informacje dotyczące tych operacji przetwarzania, niezbędne do monitorowania bezpieczeństwa i integralności danych API oraz zgodności tych operacji przetwarzania z prawem. Rejestry te nie zawierają żadnych danych osobowych poza informacjami niezbędnymi do identyfikacji odpowiednich pracowników eu-LISA, o których mowa w akapicie pierwszym lit. d). 2.Przewoźnicy lotniczy tworzą rejestry dotyczące wszystkich operacji przetwarzania danych prowadzonych w sposób zautomatyzowany na podstawie niniejszego rozporządzenia, o których mowa w art. 5 ust. 2. Rejestry te obejmują datę, czas i miejsce przekazania danych API. 3.Rejestry, o których mowa w ust. 1 i 2, wykorzystuje się wyłącznie w celu zapewnienia bezpieczeństwa i integralności danych API oraz legalności przetwarzania, w szczególności w odniesieniu do zgodności z wymogami określonymi w niniejszym rozporządzeniu i rozporządzeniu (UE) [w sprawie egzekwowania przepisów dotyczących API], w tym w postępowaniach dotyczących kar za naruszenie tych wymogów zgodnie z art. 29 i 30 niniejszego rozporządzenia. 4.eu-LISA i przewoźnicy lotniczy wprowadzają odpowiednie środki w celu ochrony rejestrów, które utworzyli na podstawie odpowiednio ust. 1 i 2, przed nieuprawnionym dostępem i innym ryzykiem dla bezpieczeństwa. 5.eu-LISA i przewoźnicy lotniczy utrzymują rejestry, które utworzyli na podstawie odpowiednio ust. 1 i 2, przez okres jednego roku od momentu ich utworzenia. Po upływie tego okresu niezwłocznie i trwale usuwają te rejestry. Jeżeli jednak rejestry te są wymagane na potrzeby procedur monitorowania lub zapewniania bezpieczeństwa i integralności danych API lub legalności operacji przetwarzania, o których mowa w ust. 2, a procedury te już się rozpoczęły w chwili upływu okresu, o którym mowa w akapicie pierwszym, eu-LISA i przewoźnicy lotniczy mogą utrzymywać te rejestry tak długo, jak jest to konieczne do przeprowadzenia tych procedur. W takim przypadku niezwłocznie usuwają te rejestry, gdy nie są one już wymagane na potrzeby tych procedur. Artykuł 14 Działania w przypadku braku technicznej możliwości korzystania z routera 1.W przypadku gdy korzystanie z routera w celu przekazywania danych API nie jest technicznie możliwe z powodu awarii routera, eu-LISA niezwłocznie i w sposób zautomatyzowany powiadamia przewoźników lotniczych i właściwe służby graniczne o takim braku technicznej możliwości korzystania z routera. W takim przypadku eu-LISA niezwłocznie podejmuje działania mające na celu usunięcie braku technicznej możliwości korzystania z routera i niezwłocznie powiadamia wspomniane podmioty o skutecznym rozwiązaniu tego problemu. W okresie pomiędzy tymi powiadomieniami art. 6 ust. 1 nie ma zastosowania w zakresie, w jakim brak technicznej możliwości korzystania z routera uniemożliwia przekazywanie danych API do routera. W takim przypadku art. 4 ust. 1 i art. 8 ust. 1 również nie mają zastosowania do odnośnych danych API w tym okresie. 2.W przypadku gdy korzystanie z routera w celu przekazywania danych API nie jest technicznie możliwe z powodu awarii systemów lub infrastruktury państwa członkowskiego, o których mowa w art. 20, właściwe służby graniczne niezwłocznie i w sposób zautomatyzowany powiadamiają przewoźników lotniczych, właściwe organy pozostałych państw członkowskich, eu-LISA i Komisję o takim braku technicznej możliwości korzystania z routera. W takim przypadku dane państwo członkowskie niezwłocznie podejmuje działania mające na celu usunięcie braku technicznej możliwości korzystania z routera i niezwłocznie powiadamia wspomniane podmioty o skutecznym rozwiązaniu tego problemu. W okresie pomiędzy tymi powiadomieniami art. 6 ust. 1 nie ma zastosowania w zakresie, w jakim brak technicznej możliwości korzystania z routera uniemożliwia przekazywanie danych API do routera. W takim przypadku art. 4 ust. 1 i art. 8 ust. 1 również nie mają zastosowania do odnośnych danych API w tym okresie.

3.W przypadku gdy korzystanie z routera w celu przekazywania danych API nie jest technicznie możliwe z powodu awarii systemów lub infrastruktury przewoźnika lotniczego, o których mowa w art. 21, ten przewoźnik lotniczy niezwłocznie i w sposób zautomatyzowany powiadamia właściwe służby graniczne, eu-LISA i Komisję o takim braku technicznej możliwości korzystania z routera. W takim przypadku dany przewoźnik lotniczy niezwłocznie podejmuje działania mające na celu usunięcie braku technicznej możliwości korzystania z routera i niezwłocznie powiadamia wspomniane podmioty o skutecznym rozwiązaniu tego problemu. W okresie pomiędzy tymi powiadomieniami art. 6 ust. 1 nie ma zastosowania w zakresie, w jakim brak technicznej możliwości korzystania z routera uniemożliwia przekazywanie danych API do routera. W takim przypadku art. 4 ust. 1 i art. 8 ust. 1 również nie mają zastosowania do odnośnych danych API w tym okresie. Po skutecznym usunięciu braku technicznej możliwości korzystania z routera dany przewoźnik lotniczy niezwłocznie przedkłada właściwemu krajowemu organowi nadzorczemu, o którym mowa w art. 29, sprawozdanie zawierające wszystkie niezbędne informacje na temat tego braku technicznej możliwości, w tym jego przyczyny, zakres i konsekwencje, a także środki wprowadzone w celu rozwiązania tego problemu. ROZDZIAŁ 4 PRZEPISY SZCZEGÓŁOWE DOTYCZĄCE OCHRONY DANYCH OSOBOWYCH Artykuł 15 Administratorzy danych osobowych Właściwe służby graniczne są administratorami w rozumieniu art. 4 pkt 7 rozporządzenia (UE) 2016/679 w odniesieniu do przetwarzania danych API stanowiących dane osobowe przekazanych za pośrednictwem routera, w tym przekazywania i przechowywania tych danych w routerze ze względów technicznych, a także w odniesieniu do przetwarzania przez nie danych API stanowiących dane osobowe, o których mowa w art. 7 niniejszego rozporządzenia. Przewoźnicy lotniczy są administratorami w rozumieniu art. 4 pkt 7 rozporządzenia (UE) 2016/679 w odniesieniu do przetwarzania danych API stanowiących dane osobowe za pośrednictwem routera w odniesieniu do gromadzenia tych danych i przekazywania ich do routera na podstawie niniejszego rozporządzenia. Artykuł 16 Podmiot przetwarzający dane osobowe eu-LISA jest podmiotem przetwarzającym w rozumieniu art. 3 pkt 12 rozporządzenia (UE) 2018/1725 w odniesieniu do przetwarzania danych API stanowiących dane osobowe za pośrednictwem routera na podstawie niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API]. Artykuł 17 Bezpieczeństwo 1.eu-LISA zapewnia bezpieczeństwo danych API, w szczególności danych API stanowiących dane osobowe, które przetwarza na podstawie niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API]. Właściwe służby graniczne i przewoźnicy lotniczy zapewniają bezpieczeństwo danych API, w szczególności danych API stanowiących dane osobowe, które przetwarzają na podstawie niniejszego rozporządzenia. eu-LISA, właściwe służby graniczne i przewoźnicy lotniczy współpracują ze sobą, w ramach swoich obowiązków i zgodnie z prawem Unii, w celu zapewnienia tego bezpieczeństwa. 2.W szczególności eu-LISA wprowadza niezbędne środki w celu zapewnienia bezpieczeństwa routera i danych API, a w szczególności danych API stanowiących dane osobowe przekazywanych za pośrednictwem routera, w tym poprzez opracowanie, wdrożenie i regularne aktualizowanie planu bezpieczeństwa, planu ciągłości działania i planu przywrócenia gotowości do pracy po wystąpieniu sytuacji nadzwyczajnej, w celu: a)zapewnienia fizycznej ochrony routera, w tym poprzez opracowywanie planów awaryjnych na potrzeby ochrony jego kluczowych elementów; b)zapobiegania wszelkiemu nieuprawnionemu przetwarzaniu danych API – w tym nieuprawnionemu dostępowi do nich oraz ich kopiowaniu, modyfikowaniu lub usuwaniu, zarówno podczas przekazywania danych API do i z routera, jak i podczas przechowywania danych API w routerze, gdy jest to niezbędne do zakończenia procesu przekazywania – w szczególności za pomocą odpowiednich technik szyfrowania; c)zapewnienia możliwości sprawdzenia i ustalenia, którym właściwym służbom granicznym lub JIP można przekazywać dane API za pośrednictwem routera; d)właściwego zgłaszania zarządowi wszelkich błędów w funkcjonowaniu routera;

e)monitorowania skuteczności środków bezpieczeństwa wymaganych na podstawie niniejszego artykułu i na podstawie rozporządzenia (UE) 2018/1725 oraz – w stosownych przypadkach – oceny i aktualizacji tych środków bezpieczeństwa w świetle zmian technologicznych lub operacyjnych. Środki, o których mowa w akapicie pierwszym niniejszego ustępu, nie mają wpływu na art. 33 rozporządzenia (UE) 2018/1725 ani na art. 32 rozporządzenia (UE) 2016/679. Artykuł 18 Monitorowanie własnej działalności Przewoźnicy lotniczy i właściwe organy monitorują wypełnianie swoich obowiązków wynikających z niniejszego rozporządzenia, w szczególności w zakresie przetwarzania przez nich danych API stanowiących dane osobowe, w tym poprzez częstą weryfikację rejestrów, o których mowa w art. 13. Artykuł 19 Kontrole ochrony danych osobowych 1.Właściwe krajowe organy ochrony danych, o których mowa w art. 51 rozporządzenia (UE) 2016/679, zapewniają przeprowadzenie co najmniej raz na cztery lata kontroli operacji przetwarzania danych API stanowiących dane osobowe, przeprowadzanych przez właściwe służby graniczne na potrzeby niniejszego rozporządzenia, zgodnie z odpowiednimi międzynarodowymi standardami kontroli. 2.Europejski Inspektor Ochrony Danych zapewnia przeprowadzenie co najmniej raz na rok kontroli operacji przetwarzania danych API stanowiących dane osobowe, przeprowadzanych przez eu-LISA na potrzeby niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API], zgodnie z odpowiednimi międzynarodowymi standardami kontroli. Sprawozdanie z takiej kontroli przekazuje się Parlamentowi Europejskiemu, Radzie, Komisji, państwom członkowskim i eu-LISA. eu-LISA ma możliwość przedstawienia uwag dotyczących sprawozdań przed ich przyjęciem. 3.W odniesieniu do operacji przetwarzania, o których mowa w ust. 2, na wniosek Europejskiego Inspektora Ochrony Danych eu-LISA przekazuje żądane informacje, udziela mu dostępu do wszelkich żądanych przez niego dokumentów i do rejestrów, o których mowa w art. 13 ust. 1, oraz umożliwia mu uzyskanie dostępu do wszystkich pomieszczeń eu-LISA w dowolnym momencie. ROZDZIAŁ 5 PODŁĄCZENIE I DODATKOWE PRZEPISY DOTYCZĄCE ROUTERA Artykuł 20 Podłączenie właściwych służb granicznych do routera 1.Państwa członkowskie zapewniają podłączenie ich właściwych służb granicznych do routera. Zapewniają one, aby systemy i infrastruktura właściwych służb granicznych służące do odbioru danych API, przekazywanych na podstawie niniejszego rozporządzenia, były zintegrowane z routerem. Państwa członkowskie zapewniają, aby podłączenie do routera i integracja z nim umożliwiały ich właściwym służbom granicznym otrzymywanie i dalsze przetwarzanie danych API, jak również wymianę wszelkich powiązanych komunikatów, w sposób zgodny z prawem, bezpieczny, skuteczny i sprawny. 2.Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 37 w celu uzupełnienia niniejszego rozporządzenia przez określenie niezbędnych zasad szczegółowych dotyczących podłączenia do routera, o którym mowa w ust. 1, i integracji z nim. Artykuł 21 Podłączenie przewoźników lotniczych do routera

1.Przewoźnicy lotniczy zapewniają, aby byli podłączeni do routera. Zapewniają oni, aby ich systemy i infra