EUROPEISKA KOMMISSIONEN Strasbourg den 13.12.2022 COM(2022) 729 final 2022/0424(COD) Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om insamling och överföring av förhandsinformation om passagerare (API-uppgifter) för att förbättra och underlätta kontrollerna vid de yttre gränserna, om ändring av förordning (EU) 2019/817 och förordning (EU) 2018/1726 och om upphävande av rådets direktiv 2004/82/EG {SEC(2022) 444 final} - {SWD(2022) 421 final} - {SWD(2022) 422 final} - {SWD(2022) 423 final}



MOTIVERING 1.BAKGRUND TILL FÖRSLAGET •Motiv och syfte med förslaget Eftersom allt fler har börjat resa med flyg under de senaste årtiondena samtidigt som effektivitetsdrivna innovationer har lett till större flygplan behöver passagerarflödena på flygplatser bli effektivare. År 2019 reste 4,5 miljarder passagerare med reguljär lufttrafik i hela världen enligt Internationella civila luftfartsorganisationen (Icao), medan över en halv miljard passagerare reser in i eller ut ur EU varje år, vilket sätter press på de yttre luftgränserna. Behandling av förhandsinformation om passagerare (API), som föreskrivs i det nuvarande API-direktivet och i detta förslag, är både ett instrument för att bekämpa olaglig invandring och ett gränsförvaltningsverktyg som bidrar till in- och utresekontrollernas ändamålsenlighet och effektivitet genom att underlätta och påskynda klareringen av resenärer. API-uppgifter består av identitetsuppgifter om passagerarna som ingår i deras resehandlingar tillsammans med flyginformation som samlas in vid incheckningen och överförs till gränsmyndigheterna i destinationslandet. Eftersom dessa myndigheter får API-uppgifter innan en flygning landar kan de redan på förhand kontrollera resenärer mot riskprofiler, bevakningslistor och databaser, i enlighet med tillämplig lagstiftning, så att in- och utresekontrollerna går snabbare för personer som reser med ärligt uppsåt, och satsa mer resurser och tid på att identifiera resenärer som behöver utredas ytterligare vid ankomsten. Inrättandet av system för insamling och överföring av API-uppgifter är sedan 2017 en internationell standard enligt konventionen angående internationell civil luftfart (Chicagokonventionen). I EU regleras detta av API-direktivet. Genom det direktivet införs en skyldighet för lufttrafikföretag att på begäran överföra API-uppgifter till gränsmyndigheterna i destinationslandet före flygstarten. Det kräver dock inte att medlemsstaterna begär API-uppgifter från lufttrafikföretag, vilket skapar luckor och inkonsekvenser i hur uppgifter samlas in och används, då vissa medlemsstater samlar in API-uppgifter systematiskt medan andra inte gör det. För alla medlemsstater sammantaget beräknas API-uppgifter samlas in för i genomsnitt 65 % av de inkommande flygningarna. Detta skapar en situation där det är lätt för någon som vill undvika kontroller och kringgå sträckor där API-uppgifter samlas in konsekvent att i stället resa till sin destination via flygvägar där API-uppgifter används mer sällan eller inte alls. Den senaste utvärderingen av API-direktivet visade att de nationella myndigheterna inte alltid använder API-uppgifter på ett konsekvent sätt även när medlemsstaterna begär API-uppgifter. API-uppgifter gör det möjligt för gränskontrolltjänstemän att på förhand kontrollera passagerarnas identitet och deras resehandlingars giltighet mot de databaser som föreskrivs i kodexen om Schengengränserna. Alla medlemsstater använder dock inte API-uppgifterna för förhandskontroller mot de databaser som anges i kodexen om Schengengränserna. Irland deltar inte i kodexen om Schengengränserna, men tillämpar liknande nationell lagstiftning. Detta förändras inte till följd av den föreslagna förordningen. I API-direktivet anges endast begränsade kriterier för insamling, överföring och behandling av API-uppgifter när det gäller de flygningar som omfattas av insamling av uppgifter, de uppgiftselement som ska samlas in eller metoderna för att samla in data, och de är inte anpassade till utvecklingen av internationella standarder och riktlinjer om insamling av API-uppgifter. Detta leder till mycket olikartade rutiner, vilket inte bara hämmar in- och utresekontrollernas ändamålsenlighet och effektivitet, utan också utgör en ytterligare börda för lufttrafikföretag som måste uppfylla olika krav beroende på de sträckor på vilka de transporterar passagerare och den medlemsstat som begär API-uppgifter.Att anpassa insamlingen och överföringen av API-uppgifter till dessa internationella standarder för API-uppgifter skulle säkerställa att luftfartsindustrin uppfyller API-kraven. För att användningen av API-uppgifter ska vara effektiv krävs att uppgifterna är korrekta, fullständiga och aktuella. Om identitetsuppgifterna inte är tillförlitliga och verifierade, vilket ibland är fallet i dag, ger korskontroller i databaser inga tillförlitliga operativa resultat. Eftersom det under de senaste 20 åren har blivit vanligt att checka in på nätet är API-uppgifterna från resehandlingar i allt större utsträckning manuellt inmatade eller ”självdeklarerade” av passagerarna. Ofullständiga, inkorrekta eller föråldrade API-uppgifter som överförs till nationella myndigheter kan leda till kryphål i de typer av kontroller som gränsmyndigheterna kan utföra och i slutändan påverka resenärer som kan bli föremål för felaktiga och onödiga kontroller. Behovet av att säkerställa att de API-uppgifter som samlas in håller tillräcklig kvalitet är nära kopplat till de metoder som flygbolagen använder för att säkerställa att de berörda API-uppgifterna motsvarar informationen i resehandlingarna. I den nuvarande API-ramen föreskrivs inte vilka metoder som ska användas för att samla in API-uppgifter från resenärerna. I motsats till manuellt inmatad information skulle automatiserad insamling av uppgifter leda till mindre kvalitetsproblem och en mer ändamålsenlig och effektiv användning av API-uppgifter, vilket också skulle minska den tid som de behöriga gränsmyndigheterna lägger ned på sina kontakter med lufttrafikföretagen. Översynen av den nuvarande rättsliga ramen för insamling och överföring av API-uppgifter erbjuder därmed en möjlighet att förbättra förvaltningen av de yttre gränserna och kampen mot olaglig invandring. Detta sker genom att den bidrar till att säkerställa att varje person som reser med flyg från ett tredjeland eller en medlemsstat som inte deltar i den föreslagna förordningen till unionen (närmare bestämt till de stater som deltar i Schengenområdet utan kontroller vid de inre gränserna [Schengenområdet] och Irland) – såväl tredjelandsmedborgare och statslösa personer som EU-medborgare – kan förhandskontrolleras med API-uppgifter före ankomsten och att medlemsstaterna tillämpar enhetliga kriterier för sådan insamling och överföring i syfte att kontrollera de yttre gränserna och bekämpa olaglig invandring. Genom att underlätta passagerarflödet på flygplatser och påskynda in- och utresekontrollerna bidrar detta förslag till att säkerställa att alla flygpassagerare kan kontrolleras systematiskt och effektivt, i enlighet med tillämplig lagstiftning. •Förenlighet med befintliga bestämmelser inom området Detta förslag behandlar behovet av gemensamma regler om insamling och överföring av API-uppgifter för gränsförvaltningsändamål och för bekämpning av olaglig invandring, vilket hänger samman med Schengenområdets existens och inrättandet av gemensamma regler för personers rörlighet över de yttre gränserna. Detta förslag är förenligt med skyldigheterna om personkontroller vid de yttre gränserna i kodexen om Schengengränserna. Den föreslagna förordningen ingår i det bredare landskap av storskaliga EU-informationssystem som har utvecklats avsevärt sedan API-direktivet antogs 2004. I de strategiska riktlinjer som antogs av Europeiska rådet i juni 2014 förutses dessutom en utvidgning av de förfaranden som gränskontrolltjänstemännen tillämpar vid de yttre gränserna för att effektivisera kontrollerna före gränskontrollstationen och begränsa de negativa effekterna vid gränserna. Det handlar om systemen Schengens informationssystem (SIS), informationssystemet för viseringar (VIS) och Eurodac. Därutöver håller tre nya system på att utvecklas, nämligen in- och utresesystemet, EU-systemet för reseuppgifter och resetillstånd (Etias) och det centraliserade systemet för identifiering av medlemsstater som innehar uppgifter om fällande domar mot tredjelandsmedborgare och statslösa personer (Ecris-TCN). Alla dessa nuvarande och framtida system sammanlänkas genom den interoperabilitetsram för EU-informationssystem för säkerhet, gränsförvaltning och migrationshantering som antogs 2019 och som för närvarande håller på att införas. De ändringar som ingår i detta förslag tar hänsyn till interoperabilitetsramen. I synnerhet leder den föreslagna routern inte till dubbla tekniska komponenter i och med att den delar komponenter med Etias nätportal för transportörer. Etias nätportal för transportörer ger transportörer de tekniska medel som krävs för att kontrollera om tredjelandsmedborgare som reser till medlemsstaterna utan att behöva visering har Etias-resetillstånd. Den föreslagna förordningen säkerställer att de olika dataprocesserna differentieras och hålls strikt åtskilda och att de åtkomsträttigheter som fastställs i respektive EU-instrument respekteras. Den föreslagna förordningen kopplar dessutom arbetet i eu-LISA:s befintliga rådgivande grupp för in- och utresesystemet och Etias till det framtida arbetet med API, vilket skapar effektivitet och stordriftsfördelar då man undviker dubbla arbetsgrupper. Som förklaras ovan ska de in- och utresekontroller som reglerna i den föreslagna förordningen är avsedda att underlätta och förbättra utföras enligt kodexen om Schengengränserna i tillämpliga fall eller enligt nationell lagstiftning. Dessutom kommer allmänt tillämpliga unionsrättsakter att tillämpas i enlighet med de villkor som anges i dessa. I fråga om behandling av personuppgifter gäller detta framför allt den allmänna dataskyddsförordningen och EU:s dataskyddsförordning. Dessa rättsakter påverkas inte av detta förslag. Det faktum att de ovannämnda unionsrättsakterna är tillämpliga på behandlingen av API-uppgifter som tas emot enligt denna förordning innebär att medlemsstaterna tillämpar unionsrätten i den mening som avses i artikel 51.1 i stadgan, vilket i sin tur innebär att även reglerna i stadgan är tillämpliga. Reglerna i dessa unionsrättsakter bör därmed tolkas mot bakgrund av stadgan. Icaos riktlinjer för maskinläsbara resehandlingar införlivas i förordning (EU) 2019/1157 om säkrare identitetskort för unionsmedborgare och förordning 2252/2004 om standarder för säkerhetsdetaljer och biometriska kännetecken i pass. Dessa förordningar är en förutsättning för automatiserad extraktion av fullständiga uppgifter av hög kvalitet från resehandlingar. Även den föreslagna förordningen skulle vara en del av Schengenregelverket. API-uppgifterna kommer även fortsättningsvis att tas emot och vidarebehandlas av medlemsstaternas behöriga gränsmyndigheter, endast för de ändamål för vilka API-uppgifterna samlades in enligt den föreslagna förordningen, dvs. gränsförvaltning och bekämpning av olaglig invandring. Detta förslag är nära kopplat till förslaget till en förordning om insamling och överföring av API-uppgifter för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, såtillvida att båda förslagen innehåller liknande bestämmelser om förteckningen över API-uppgiftselement, insamlingen av API-uppgifter med automatiserade metoder och överföringen av uppgifter till routern. 2.RÄTTSLIG GRUND, SUBSIDIARITETSPRINCIPEN OCH PROPORTIONALITETSPRINCIPEN

•Rättslig grund För denna föreslagna förordning om insamling och överföring av API-uppgifter för gränsförvaltningsändamål och för bekämpning av olaglig invandring är den lämpliga rättsliga grunden, med tanke på syftet och de åtgärder som föreskrivs, artiklarna 77.2 b och d och 79.2 c i fördraget om Europeiska unionens funktionssätt (EUF-fördraget). Enligt led b i artikel 77.2 i EUF-fördraget har unionen befogenhet att besluta om åtgärder om kontroll av de personer som passerar de yttre gränserna, och enligt led d har unionen befogenhet att besluta om alla nödvändiga åtgärder för att stegvis upprätta ett integrerat system för förvaltning av de yttre gränserna. Enligt artikel 79.2 c i EUF-fördraget har unionen befogenhet att besluta om åtgärder som rör olaglig invandring. På detta sätt säkerställs överensstämmelse med det nuvarande API-direktivet, som grundar sig på samma bestämmelser. •Subsidiaritetsprincipen Eftersom EUF-fördraget uttryckligen ger unionen befogenhet att utveckla en gemensam politik om kontroll av de personer som passerar de yttre gränserna är detta ett tydligt mål som ska eftersträvas på EU-nivå. Samtidigt är detta ett område där EU och medlemsstaterna har delad befogenhet. Behovet av gemensamma regler för insamling och överföring av API-uppgifter för gränsförvaltning och bekämpning av olaglig invandring hänger i synnerhet, och utan att det påverkar Irlands särskilda ställning, samman med inrättandet av Schengenområdet och fastställandet av gemensamma regler för personers rörlighet över de yttre gränserna, särskilt kodexen om Schengengränserna. I detta sammanhang påverkar en medlemsstats beslut övriga medlemsstater och det är därför nödvändigt att ha gemensamma och tydliga regler och operativa rutiner på detta område. Effektiva och ändamålsenliga kontroller vid de yttre gränserna kräver ett enhetligt tillvägagångssätt i hela Schengenområdet, även när det gäller möjligheten att förhandskontrollera resenärer med API-uppgifter. Behovet av EU-åtgärder för API-uppgifter just nu beror också på den senaste utvecklingen av lagstiftningen om förvaltningen av Schengenområdets yttre gränser, främst följande: –2019 års förordning om interoperabilitet kommer att möjliggöra systematiska kontroller av personer som passerar de yttre gränserna mot all tillgänglig och relevant information i centraliserade EU-informationssystem för säkerhet, gränsförvaltning och migrationshantering. Inrättandet av en centraliserad överföringsmekanism för API-uppgifter på EU-nivå är en logisk fortsättning på detta koncept. I linje med de koncept som ingår i interoperabilitetsförordningarna skulle den centraliserade överföringen av API-uppgifter i framtiden kunna leda till att dessa uppgifter används för att söka i olika databaser (SIS, Europoluppgifter) via den europeiska sökportalen. –Vid de yttre gränserna skulle användningen av API-uppgifter effektivt komplettera den nära förestående implementeringen av EU-systemet för reseuppgifter och resetillstånd (Etias) och in- och utresesystemet. Användningen av API-uppgifter skulle förbli nödvändig för förvaltningen av de yttre gränserna eftersom gränskontrolltjänstemännen därigenom informeras i förväg om huruvida en resenär faktiskt har stigit på planet och är på väg in i Schengenområdet, vilket underlättar den inresekontroll som kommer att äga rum när resenären anländer till de yttre gränserna. •Proportionalitetsprincipen I enlighet med proportionalitetsprincipen i artikel 5.4 i EU-fördraget är det nödvändigt att anpassa en viss åtgärds art och intensitet till det identifierade problemet. Alla problem som tas upp i detta lagstiftningsinitiativ kräver på ett eller annat sätt lagstiftningsåtgärder på EU-nivå för att medlemsstaterna ska kunna lösa dem på ett effektivt sätt, utan att för den skull gå längre än vad som är nödvändigt för att lösa problemen. Genom detta förslag stärks den rättsliga ramen för insamling och överföring av API-uppgifter för förvaltningen av de yttre gränserna och bekämpningen av olaglig invandring. Det stärker API-uppgifternas funktion som ett instrument som förbättrar förhandskontrollerna av resenärer vid de yttre gränserna och bidrar därmed inte bara till att göra kontrollerna i sig ändamålsenliga och effektiva, utan även till målet att bekämpa olaglig invandring, specifikt i samband med gränsöverskridande flygresor och lufttrafikföretagens ansvar i detta avseende. I enlighet med internationella standarder och rekommenderad praxis kommer detta förslag att kräva att lufttrafikföretagen samlar in och överför API-uppgifter för alla flygningar till unionen, som anges i förslaget. De skyldigheter som fastställs i detta förslag är begränsade till vad som är nödvändigt för att uppnå detta mål. Mer specifikt fastställs i detta förslag tydliga regler om bland annat vad som utgör API-uppgifter, på vilka flygningar lufttrafikföretagen bör samla in API-uppgifter och hur de överförs. Eftersom förslaget rör en förordning kommer det att fastställa ett enhetligt tillvägagångssätt för användningen av API-uppgifter för förvaltningen av de yttre gränserna och bekämpningen av olaglig invandring. En sådan standardisering av API-kraven i alla medlemsstater kommer att bidra till ökad rättssäkerhet och förutsebarhet och därmed också till ökad efterlevnad från lufttrafikföretagens sida. Proportionaliteten säkerställs ytterligare genom flera inslag i den föreslagna förordningen, bland annat begränsningen till endast inkommande flygningar, målinriktningen av kravet på att använda automatiserade metoder på endast vissa API-uppgifter och skyddsåtgärder när det gäller sättet och syftet med att behandla API-uppgifter. I den föreslagna förordningen planeras inrättandet av en router som skulle fungera som en gemensam anslutningspunkt mellan medlemsstater och lufttrafikföretag, i enlighet med internationella rekommendationer, och ett EU-tillvägagångssätt införs för insamlingen och överföringen av API-uppgifter. Överföringen av API-uppgifter via routern kommer att minska kostnaderna för luftfartsindustrin och säkerställa att gränskontrolltjänstemännen har snabb och sömlös åtkomst till de API-uppgifter de behöver för att göra avancerade in- och utresekontroller. Detta tillvägagångssätt kommer att drastiskt minska antalet anslutningar som medlemsstaterna måste upprätta och upprätthålla. Även för lufttrafikföretagen blir det mindre komplicerat att upprätthålla anslutningar med behöriga gränsmyndigheter, samtidigt som stordriftsfördelar skapas. En EU-byrå, dvs. eu-LISA, kommer att ansvara för att utforma, utveckla, hysa och tekniskt förvalta routern. Överföringen av API-uppgifter via routern kommer att stödja bevakningen av flygningar och därmed minska sannolikheten för att ett lufttrafikföretag inte fullgör skyldigheten att lämna API-uppgifter i enlighet med detta förslag. •Val av instrument En förordning föreslås. Som förklaras i den konsekvensbedömning som åtföljer detta förslag och med tanke på att de föreslagna åtgärderna måste vara direkt tillämpliga och tillämpas enhetligt i alla medlemsstater är en förordning det lämpliga valet av rättsligt instrument. 3.RESULTAT AV EFTERHANDSUTVÄRDERINGAR, SAMRÅD MED BERÖRDA PARTER OCH KONSEKVENSBEDÖMNINGAR •Efterhandsutvärderingar av befintlig lagstiftning Utvärderingen av API-direktivet visade att motiveringen för att samla in API-uppgifter och överföra dem till de behöriga gränsmyndigheterna fortfarande är giltig 15 år efter direktivets ikraftträdande. Direktivets nuvarande mål, framför allt att förbättra gränskontrollförvaltningen, vilket i sin tur också kan bidra till att bekämpa irreguljär migration, är fortfarande mycket relevanta för behoven hos berörda parter och samhället i stort. Dessutom ansågs insamling och överföring av API-uppgifter också vara relevant för att underlätta lagligt resande.

Utvärderingen visade att bristen på harmonisering i genomförandet av direktivet hindrar ett effektivt och enhetligt genomförande. Till följd av de minimikrav som fastställs i direktivet är genomförandet av API-system och den faktiska användningen av API-uppgifter varierande. Eftersom medlemsstaterna fått möjlighet att använda API-uppgifter för brottsbekämpande ändamål utan att man tydligt definierat detta ändamål eller fastställt ett ramverk har genomförandet på nationell nivå dessutom blivit osammanhängande. Utvärderingen visade också på motsägelser jämfört med andra EU-instrument, vilket orsakar operativa utmaningar i praktiken och osäkerhet för berörda parter, särskilt registrerade. Kraven på skydd av personuppgifter i API-direktivet är inte helt i linje med den senaste utvecklingen på området. Dessutom är API-direktivet inte helt förenligt med det internationella regelverket för passagerarinformation, särskilt när det gäller uppgiftsfält och överföringsstandarder. Utvärderingen belyste ett antal brister i samband med API-direktivet, dvs. bristen på i) standardisering och harmonisering, ii) vissa dataskyddsgarantier och iii) tydlig anpassning till den senaste politiska och rättsliga utvecklingen på EU-nivå. Detta påverkar direktivets effekter, skapar en börda för berörda parter och ger upphov till en viss grad av rättsosäkerhet, både för de lufttrafikföretag som samlar in och överför API-uppgifter och för de behöriga gränsmyndigheter som tar emot och vidarebehandlar dem, och i slutändan även för passagerarna. Resultaten av utvärderingen användes som underlag när konsekvensbedömningen och detta förslag utarbetades. •Samråd med berörda parter Utarbetandet av detta förslag omfattade många olika samråd med berörda parter, bland annat medlemsstaternas myndigheter (behöriga gränsmyndigheter och enheter för passagerarinformation), företrädare för transportbranschen och enskilda lufttrafikföretag. EU-byråer – såsom Europeiska gräns- och kustbevakningsbyrån (Frontex), Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol), Europeiska unionens byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (eu-LISA) och Europeiska unionens byrå för grundläggande rättigheter (FRA) – bidrog också med synpunkter inom ramen för deras mandat och sakkunskap. I detta initiativ integreras också de synpunkter som kom in under det offentliga samråd som genomfördes i slutet av 2019 inom ramen för utvärderingen av API-direktivet. Vid samråden i samband med utarbetandet av den konsekvensbedömning som ligger till grund för detta förslag inhämtades återkoppling från berörda parter på flera olika sätt. Man gjorde bland annat en inledande konsekvensbedömning, en extern stödstudie och ett antal tekniska seminarier. En inledande konsekvensbedömning offentliggjordes för återkoppling från den 5 juni 2020 till den 14 augusti 2020. Totalt sju bidrag lämnades in med återkoppling om utvidgningen av tillämpningsområdet för det framtida API-direktivet, uppgiftskvalitet, sanktioner, förhållandet mellan API- och PNR-uppgifter samt skydd av personuppgifter. Den externa stödstudien genomfördes på grundval av skrivbordsundersökningar, intervjuer och enkäter med ämnesexperter och undersökte olika möjliga åtgärder för behandling av API-uppgifter med tydliga regler som underlättar lagligt resande och är förenliga med EU-informationssystemens interoperabilitet, EU:s krav på skydd av personuppgifter och andra befintliga EU-instrument och internationella standarder. Kommissionens avdelningar organiserade även en serie tekniska seminarier med experter från medlemsstaterna och de Schengenassocierade länderna. Målet med seminarierna var att sammanföra experter i en diskussion om möjliga alternativ för att stärka den framtida API-ramen för gränsförvaltning och bekämpning av olaglig invandring samt för bekämpning av brottslighet och terrorism. I den åtföljande konsekvensbedömningen finns en mer utförlig redogörelse för samråden med berörda parter (bilaga 2). •Konsekvensbedömning I linje med riktlinjerna för bättre lagstiftning har kommissionen gjort en konsekvensbedömning som presenteras i det åtföljande arbetsdokumentet från kommissionens avdelningar. Nämnden för lagstiftningskontroll granskade utkastet till konsekvensbedömning vid sitt möte den 28 september 2022 och avgav ett positivt yttrande den 30 september 2022. Mot bakgrund av de problem som identifierats vad gäller insamling och överföring av API-uppgifter, utvärderades i konsekvensbedömningen åtgärdsalternativ för omfattningen av insamlingen av API-uppgifter för ovannämnda ändamål, tillsammans med alternativ för hur kvaliteten på API-uppgifter kan förbättras. När det gäller insamling av API-uppgifter för förvaltning av de yttre gränserna och bekämpning av olaglig invandring beaktade konsekvensbedömningen dels alternativet att samla in API-uppgifter om alla flygningar från platser utanför Schengenområdet, dels alternativet att samla in API-uppgifter om alla flygningar både till och från platser utanför Schengenområdet. Dessutom övervägde man i konsekvensbedömningen även alternativ för att förbättra kvaliteten på API-uppgifterna – antingen att samla in API-uppgifter med både automatiserade och manuella metoder eller att samla in API-uppgifter enbart med automatiserade metoder. Eftersom hela API-datasetet inte genereras förrän passagerarna befinner sig ombord på ett flygplan skulle gränskontrolltjänstemännen få API-uppgifterna först efter de fysiska utresekontrollerna av resenärerna och granskningen av deras pass, och därmed för sent för att stödja gränskontrolltjänstemännens arbete – alternativet att samla in API-uppgifter för alla berörda inkommande och utgående flygningar valdes därför inte som en del av det rekommenderade alternativet. På grundval av resultaten i konsekvensbedömningsrapporten är det rekommenderade alternativet för ett API-instrument för dessa ändamål att samla in API-uppgifter om alla relevanta inkommande flygningar och att lufttrafikföretagen samlar in vissa API-uppgifter endast med automatiserade metoder. En kombination av dessa alternativ skulle förbättra medlemsstaternas förmåga att använda API-uppgifter för att ändamålsenligt och effektivt kontrollera flygresenärer i förväg före ankomsten till de yttre gränserna. En standardisering av kraven för insamling och överföring av API-uppgifter skulle öka flygbranschens efterlevnad av kraven, eftersom samma krav skulle gälla i alla medlemsstater. Mer tillförlitliga och verifierade API-uppgifter, inbegripet API-uppgifter som samlas in med automatiserade metoder, skulle göra det möjligt att identifiera högriskresenärer och säkerställa snabbare in- och utresekontroller vid de yttre gränserna och klarering av passagerare vid ankomsten. Förslaget är förenligt med det klimatneutralitetsmål som fastställs i den europeiska klimatlagen och unionens mål för 2030 och 2040. I konsekvensbedömningen övervägdes – och förkastades – också alternativ såsom insamling av API-uppgifter från andra transportmedel, t.ex. från sjö-, järnvägs- och busstransportföretag. I konsekvensbedömningen anges att det redan finns EU-regler och internationella regler som kräver att sjötransportoperatörer i förväg överför passagerarinformation till medlemsstaternas gränsmyndigheter på inkommande och utgående rutter. En ytterligare EU-skyldighet för sjötransportoperatörer att överföra API-uppgifter skulle därför vara överflödig. Jämfört med luftfartssektorn är insamlingen av passageraruppgifter svårare för landtransportoperatörer inom t.ex. järnvägs- eller busstrafik (eftersom det inte finns några incheckningsprocesser och biljetter inte systematiskt utfärdas med namnuppgifter) och skulle kräva stora investeringar i operatörernas fysiska infrastruktur, med betydande konsekvenser för deras ekonomiska modell och för passagerarna. Beslutet att inte ta med dessa aspekter i denna föreslagna förordning påverkar inte vissa medlemsstaters praxis att begära passageraruppgifter om järnvägsförbindelser på grundval av nationell lagstiftning, förutsatt att det sker i enlighet med EU-rätten. •Grundläggande rättigheter och skydd av personuppgifter Detta initiativ innehåller bestämmelser om behandling av resenärers personuppgifter och begränsar därför utövandet av den grundläggande rätt till skydd av personuppgifter som garanteras i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna (stadgan) och artikel 16 i EUF-fördraget. Som Europeiska unionens domstol (domstolen) har betonat är rätten till skydd av personuppgifter inte en absolut rättighet utan måste förstås utifrån sin funktion i samhället, och alla begränsningar måste uppfylla kriterierna i artikel 52.1 i stadgan. Skyddet av personuppgifter är också nära kopplat till rätten till integritet, som en del av den rätt till respekt för privatlivet och familjelivet som skyddas av artikel 7 i stadgan. Lufttrafikföretagens skyldighet att samla in API-uppgifter om alla resenärer som passerar de yttre gränserna och därefter överföra dessa API-uppgifter via routern till de behöriga gränsmyndigheterna svarar mot målet att säkerställa att förhandskontroller vid de yttre gränserna utförs på ett ändamålsenligt och effektivt sätt för alla resenärer som reser in i medlemsstaterna och bidrar därigenom också till målet att bekämpa olaglig invandring. De behöriga gränsmyndigheterna kommer inte att fatta några beslut enbart på grundval av API-uppgifter, men detta förslag gör det möjligt för dem att organisera sin verksamhet i förväg och underlättar inresan för passagerare med ärligt uppsåt och upptäckten av andra passagerare. Inskränkningen i de ovannämnda grundläggande rättigheterna är begränsad till vad som är absolut nödvändigt för att uppnå de nämnda målen, särskilt genom att insamlingen av identitetsuppgifter begränsas till information i resenärernas resehandlingar och genom att behandlingens omfattning begränsas till vad som är absolut nödvändigt, inbegripet när det gäller den tidsperiod under vilken personuppgifter lagras. Lufttrafikföretagens obligatoriska användning av automatiserade metoder för att samla in API-uppgifter från resenärer kan medföra ytterligare risker när det gäller skyddet av personuppgifter. Dessa har dock begränsats och minskats. För det första gäller kravet endast för vissa API-uppgifter, där automatiserade metoder ska användas på ett ansvarsfullt sätt med avseende på maskinläsbara uppgifter i resehandlingar. För det andra innehåller den föreslagna förordningen krav angående de automatiserade metoder som ska användas, vilka ska fastställas i närmare detalj i en delegerad akt. Slutligen föreskrivs flera skyddsåtgärder, såsom loggning, särskilda regler om skydd av personuppgifter och effektiv tillsyn.

Detta förslag innehåller också ytterligare och särskilda skyddsåtgärder för att säkerställa efterlevnaden av stadgan, bland annat när det gäller säkerheten vid behandling av personuppgifter, radering och ändamålsbegränsning samt resenärers rätt till information. Den föreslagna förordningen skulle inte – utöver den bestämmelse som säkerställer efterlevnad av principen om ändamålsbegränsning – reglera hur de behöriga gränsmyndigheterna använder de API-uppgifter som de mottar inom ramen för denna eftersom detta redan omfattas av annan lagstiftning (kodexen om Schengengränserna, dataskyddslagstiftning och stadgan), men för tydlighetens skull erinras ändå i skälen om att sådan användning inte får leda till någon diskriminering som är förbjuden enligt artikel 21 i stadgan. 4.BUDGETKONSEKVENSER Detta lagstiftningsinitiativ om insamling och överföring av API-uppgifter för att underlätta kontroller vid de yttre gränserna skulle påverka eu-LISA:s och medlemsstaternas behöriga gränsmyndigheters budget- och personalbehov. För eu-LISA:s del behövs tilläggsmedel på uppskattningsvis omkring 45 miljoner euro (33 miljoner inom den nuvarande fleråriga budgetramen) för att inrätta routern och 9 miljoner euro per år från och med 2029 för den tekniska förvaltningen av routern, samt omkring 27 ytterligare tjänster för att säkerställa att eu-LISA har de resurser som krävs för att utföra de uppgifter som byrån tilldelas genom denna föreslagna förordning och genom den föreslagna förordningen om insamling och överföring av API-uppgifter för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. För medlemsstaternas del uppskattas det att 27 miljoner euro (8 miljoner euro inom den nuvarande fleråriga budgetramen) som avsatts för att uppgradera de nödvändiga nationella systemen och infrastrukturerna för gränsförvaltningsmyndigheter, och gradvis upp till 5 miljoner euro per år från och med 2028 för underhåll av dessa, skulle kunna berättiga till ersättning från instrumentet för ekonomiskt stöd för gränsförvaltning och viseringspolitik. Sådana anspråk måste i slutändan fastställas i enlighet med de regler som reglerar dessa fonder samt reglerna om kostnader i den föreslagna förordningen. Med tanke på den nära kopplingen mellan denna föreslagna förordning och den föreslagna förordningen om insamling och överföring av API-uppgifter för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, särskilt när det gäller överföring av API-uppgifter till routern, är finansieringsöversikten i bilagan till denna föreslagna förordning identisk för båda förslagen. 5.ÖVRIGA INSLAG •Genomförandeplaner samt åtgärder för övervakning, utvärdering och rapportering Enligt förslaget skulle kommissionen säkerställa att nödvändiga arrangemang har införts för att övervaka de föreslagna åtgärdernas funktion och för att utvärdera dem i förhållande till de viktigaste politiska målen. Fyra år efter det att den föreslagna förordningen har börjat tillämpas, och därefter vart fjärde år, skulle kommissionen lägga fram en rapport för Europaparlamentet och rådet med en bedömning av genomförandet av förordningen och dess mervärde. Rapporten skulle också redogöra för eventuella direkta eller indirekta effekter på relevanta grundläggande rättigheter. I rapporten skulle kommissionen granska uppnådda resultat jämfört med målen och bedöma huruvida de underliggande orsakerna fortfarande är aktuella och eventuella följder för framtida alternativ. I och med skyldigheten att samla in API-uppgifter och införandet av routern får man en tydligare bild av såväl lufttrafikföretagens insamling och överföring av API-uppgifter som medlemsstaternas efterföljande användning av API-uppgifterna i enlighet med tillämplig nationell lagstiftning och unionslagstiftning. Detta kommer att stödja Europeiska kommissionen i dess utvärderings- och tillsynsuppgifter genom att den får tillförlitlig statistik om mängden överförda uppgifter och om de flygningar för vilka API-uppgifter begärs. •Variabel geometri Detta förslag bygger på och vidareutvecklar Schengenregelverket i fråga om yttre gränser, eftersom det handlar om passage av de yttre gränserna. Man bör därför beakta följande konsekvenser i förhållande till protokoll nr 19 om Schengenregelverket införlivat inom Europeiska unionens ramar, fogat till EU-fördraget och EUF-fördraget, samt protokoll nr 22 om Danmarks ställning, fogat till EU-fördraget och EUF-fördraget. Förslaget omfattas av de åtgärder i Schengenregelverket i vilka Irland deltar i enlighet med artikel 6.2 i rådets beslut 2002/192/EG av den 28 februari 2002 om Irlands begäran om att få delta i vissa bestämmelser i Schengenregelverket. Irlands deltagande i detta förslag hänför sig närmare bestämt till unionens förpliktelser att vidta åtgärder för att utveckla de bestämmelser i Schengenregelverket mot olaglig invandring i vilka Irland deltar. Irland deltar särskilt eftersom det i artikel 1.1 i det rådsbeslutet finns en hänvisning till artikel 26 i konventionen om tillämpning av Schengenavtalet rörande lufttrafikföretags skyldigheter i fråga om utlänningar som nekas inresa och utlänningars innehav av de resehandlingar som krävs. Irland deltar i hela den föreslagna förordningen. I enlighet med artiklarna 1 och 2 i protokoll nr 22 om Danmarks ställning, fogat till EU-fördraget och EUF-fördraget, kommer Danmark inte att delta i antagandet av detta förslag, som inte är bindande för eller tillämpligt på Danmark när det har antagits. Eftersom den föreslagna förordningen är en utveckling av Schengenregelverket kommer Danmark, i enlighet med artikel 4 i det protokollet, inom sex månader efter det att rådet har beslutat om detta förslag, att besluta huruvida landet ska genomföra det i sin nationella lagstiftning. När det gäller Cypern, Bulgarien och Rumänien samt Kroatien kommer den föreslagna förordningen att utgöra en akt som utvecklar Schengenregelverket eller som på annat sätt har samband med detta i den mening som avses i artikel 3.1 i 2003 års anslutningsakt, artikel 4.1 i 2005 års anslutningsakt respektive artikel 4.1 i 2011 års anslutningsakt. När det gäller Island, Norge, Schweiz och Liechtenstein kommer den föreslagna förordningen att utgöra en utveckling av bestämmelserna i Schengenregelverket i den mening som avses i deras respektive associeringsavtal. •Ingående redogörelse för de specifika bestämmelserna i förslaget I kapitel 1 fastställs de allmänna bestämmelserna för denna förordning, först och främst regler om dess innehåll och tillämpningsområde. Det innehåller också en förteckning över definitioner. Kapitel 2 innehåller bestämmelser om insamling och överföring av API-uppgifter, närmare bestämt tydliga regler om lufttrafikföretags insamling av API-uppgifter, om överföringen av API-uppgifter till routern, om de behöriga gränsmyndigheternas behandling av API-uppgifter och om lufttrafikföretagens och dessa myndigheters lagring och radering av API-uppgifter.

Kapitel 3 innehåller bestämmelser om överföring av API-uppgifter via routern. Närmare bestämt innehåller det en beskrivning av routerns huvudegenskaper och regler om användningen av routern, om förfarandet för överföring av API-uppgifter från routern till de behöriga gränsmyndigheterna, om radering av API-uppgifter från routern, om loggföring och om förfaranden vid partiell eller fullständig teknisk omöjlighet att använda routern. Kapitel 4 innehåller en rad särskilda bestämmelser om skydd av personuppgifter. Närmare bestämt anges vem som är personuppgiftsansvarig och personuppgiftsbiträde för behandlingen av API-uppgifter som utgör personuppgifter i enlighet med denna förordning. Där fastställs också de åtgärder som krävs av eu-LISA för att säkerställa säkerheten vid uppgiftsbehandlingen, i enlighet med bestämmelserna i förordning (EU) 2018/1725. Kapitlet fastställer vilka åtgärder lufttrafikföretag och behöriga gränsmyndigheter måste vidta för att säkerställa egenkontroll av efterlevnaden av de relevanta bestämmelserna i denna förordning och reglerna om revisioner. I kapitel 5 regleras vissa specifika frågor som rör routern. Det innehåller krav på de behöriga gränsmyndigheternas och lufttrafikföretagens anslutningar till routern. Det fastställer också eu-LISA:s uppgifter när det gäller utformning, utveckling, hysning och teknisk förvaltning av routern och andra relaterade stöduppgifter. Kapitlet innehåller dessutom bestämmelser om de kostnader som eu-LISA och medlemsstaterna ådrar sig vid tillämpningen av denna förordning, särskilt när det gäller medlemsstaternas anslutningar till och integrering med routern. Det innehåller också bestämmelser om skadeståndsansvar för skador på routern, routerns driftsättning och möjligheten för lufttrafikföretag att frivilligt använda routern på vissa villkor. Kapitel 6 innehåller bestämmelser om tillsyn, om möjliga sanktioner som tillämpas på lufttrafikföretag om de inte fullgör sina skyldigheter enligt denna förordning, om eu-LISA:s statistiska rapportering och om kommissionens utarbetande av en handbok. I kapitel 7 regleras effekterna på andra EU-rättsakter. Närmare bestämt innehåller det bestämmelser om upphävande av direktiv 2004/82/EG och nödvändiga ändringar av andra befintliga instrument, dvs. förordning (EU) 2018/1726 och förordning (EU) 2019/817. Kapitel 8 innehåller förordningens slutbestämmelser, som rör antagande av delegerade akter och genomförandeakter, övervakning och utvärdering av förordningen samt dess ikraftträdande och tillämpning. 2022/0424 (COD) Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om insamling och överföring av förhandsinformation om passagerare (API-uppgifter) för att förbättra och underlätta kontrollerna vid de yttre gränserna, om ändring av förordning (EU) 2019/817 och förordning (EU) 2018/1726 och om upphävande av rådets direktiv 2004/82/EG EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artiklarna 77.2 b och d och 79.2 c, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande, i enlighet med det ordinarie lagstiftningsförfarandet, och av följande skäl: 1)Personkontroller vid de yttre gränserna bidrar avsevärt till att garantera unionens, medlemsstaternas och medborgarnas långsiktiga säkerhet och förblir därför en viktig skyddsåtgärd, särskilt i området utan inre gränskontroll (Schengenområdet). Effektiva och ändamålsenliga kontroller vid de yttre gränserna som i tillämpliga fall utförs i enlighet med särskilt Europaparlamentets och rådets förordning (EU) 2016/399 bidrar till att bekämpa olaglig invandring och förebygga hot mot medlemsstaternas inre säkerhet, allmänna ordning, folkhälsa och internationella förbindelser. 2)Användningen av uppgifter om resenärer och flyginformation som överförs före resenärernas ankomst – så kallad förhandsinformation om passagerare (API-uppgifter) – bidrar till att påskynda genomförandet av de kontroller som krävs under gränsövergången. Vid tillämpningen av denna förordning avser gränsövergång mer specifikt passage av gränserna mellan ett tredjeland eller en medlemsstat som inte deltar i denna förordning, å ena sidan, och en medlemsstat som deltar i denna förordning, å andra sidan. Sådan användning stärker kontrollerna vid dessa yttre gränser genom att ge tillräckligt med tid för att göra detaljerade och omfattande kontroller av alla resenärer, utan att detta får oproportionerliga negativa effekter på personer som reser med ärligt uppsåt. För att kontrollerna vid de yttre gränserna ska bli ändamålsenliga och effektiva bör därför en lämplig rättslig ram fastställas för att säkerställa att medlemsstaternas behöriga gränsmyndigheter vid sådana gränsövergångsställen vid de yttre gränserna har tillgång till API-uppgifter innan resenärer anländer. 3)Den befintliga rättsliga ramen för API-uppgifter, som består av rådets direktiv 2004/82/EG och nationell lagstiftning som införlivar det direktivet, har visat sig vara viktig för att förbättra gränskontrollerna, särskilt genom att den utgör en ram för medlemsstaternas införande av bestämmelser om lufttrafikföretags skyldigheter att överföra API-uppgifter om passagerare som transporteras till deras territorium. Det finns dock fortfarande skillnader på nationell nivå. I synnerhet begärs inte API-uppgifter systematiskt från lufttrafikföretag, och lufttrafikföretagen ställs inför olika krav när det gäller vilken typ av information som ska samlas in och på vilka villkor API-uppgifter måste överföras till behöriga gränsmyndigheter. Dessa skillnader leder inte bara till onödiga kostnader och komplikationer för lufttrafikföretagen, utan är även ett hinder för att säkerställa ändamålsenliga och effektiva förhandskontroller av personer som anländer till de yttre gränserna.

4)Den befintliga rättsliga ramen bör därför uppdateras och ersättas för att säkerställa tydliga, harmoniserade och effektiva regler om insamling och överföring av API-uppgifter i syfte att förbättra och främja in- och utresekontrollernas effektivitet och ändamålsenlighet vid de yttre gränserna och i syfte att bekämpa olaglig invandring. 5)För att säkerställa ett i möjligaste mån konsekvent tillvägagångssätt på internationell nivå och mot bakgrund av de regler om insamling av API-uppgifter som är tillämpliga på den nivån bör den uppdaterade rättsliga ram som inrättas genom denna förordning ta hänsyn till relevant praxis som överenskommits internationellt med luftfartsindustrin och inom ramen för Världstullorganisationens, Internationella lufttransportorganisationens och Internationella civila luftfartsorganisationens riktlinjer om förhandsinformation om passagerare. 6)Insamling och överföring av API-uppgifter påverkar enskildas integritet och inbegriper behandling av personuppgifter. För att fullt ut respektera de grundläggande rättigheterna, särskilt rätten till respekt för privatlivet och rätten till skydd av personuppgifter, i enlighet med Europeiska unionens stadga om de grundläggande rättigheterna (stadgan), bör lämpliga begränsningar och skyddsåtgärder föreskrivas. I synnerhet bör all behandling av API-uppgifter, framför allt API-uppgifter som utgör personuppgifter, begränsas till vad som är nödvändigt och proportionellt för att uppnå de mål som eftersträvas med denna förordning. Dessutom bör det säkerställas att de API-uppgifter som samlas in och överförs enligt denna förordning inte leder till någon form av diskriminering som är förbjuden enligt stadgan. 7)För att målen ska kunna uppnås bör denna förordning tillämpas på alla lufttrafikföretag som utför flygningar till unionen, enligt definitionen i denna förordning, både reguljära och icke-reguljära flygningar, oavsett var de lufttrafikföretag som utför dessa flygningar är etablerade. 8)För effektivitetens och rättssäkerhetens skull bör de uppgiftselement som ingår i de API-uppgifter som ska samlas in och därefter överföras enligt denna förordning förtecknas tydligt och uttömmande och omfatta både information om varje resenär och information om den resenärens flygning. Sådan flyginformation bör omfatta information om gränsövergångsstället för inresa till den berörda medlemsstatens territorium i samtliga fall som omfattas av denna förordning, men den informationen bör endast samlas in när det är tillämpligt enligt förordning (EU) [API för brottsbekämpning], dvs. inte när API-uppgifterna avser flygningar inom EU. 9)För att möjliggöra flexibilitet och innovation bör det i princip överlåtas åt varje lufttrafikföretag att fastställa hur det uppfyller sina skyldigheter när det gäller insamling av API-uppgifter enligt denna förordning. Med tanke på att det finns lämpliga tekniska lösningar som gör det möjligt att automatiskt samla in vissa API-uppgifter och samtidigt garanterar att de berörda API-uppgifterna är korrekta, fullständiga och aktuella, och med beaktande av fördelarna med att använda sådan teknik när det gäller ändamålsenlighet och effektivitet, bör lufttrafikföretagen vara skyldiga att samla in dessa API-uppgifter med automatiserade metoder genom att läsa information från de maskinläsbara uppgifterna i resehandlingen. 10)Med hjälp av automatiserade metoder kan resenärer själva lämna vissa API-uppgifter när de checkar in online. Exempel på sådana metoder är en säker app på resenärens smarttelefon, dator eller webbkamera med kapacitet att läsa de maskinläsbara uppgifterna i resehandlingen. Om resenärerna inte har checkat in online bör lufttrafikföretagen i praktiken ge dem möjlighet att lämna de maskinläsbara API-uppgifterna under incheckningen på flygplatsen med hjälp av en självbetjäningskiosk eller av flygbolagets personal vid disken. 11)Kommissionen bör ges befogenhet att anta tekniska krav och förfaranderegler som lufttrafikföretagen ska följa i samband med användningen av automatiserade metoder för insamling av maskinläsbara API-uppgifter enligt denna förordning, för att öka tydligheten och rättssäkerheten och bidra till att säkerställa uppgifternas kvalitet och en ansvarsfull användning av de automatiserade metoderna. 12)Med tanke på fördelarna med att använda automatiserade metoder för att samla in maskinläsbara API-uppgifter och den tydlighet som härrör från de tekniska krav i detta avseende som kommer att antas enligt denna förordning, bör det klargöras att lufttrafikföretag som beslutar att använda automatiserade metoder för att samla in den information som de är skyldiga att överföra enligt direktiv 2004/82/EG har möjlighet, men inte skyldighet, att sedan dessa krav antagits tillämpa dem i samband med sådan användning av automatiserade metoder, i den utsträckning som det direktivet tillåter det. Sådan frivillig tillämpning av dessa specifikationer vid tillämpningen av direktiv 2004/82/EG bör inte på något sätt anses påverka lufttrafikföretagens och medlemsstaternas skyldigheter enligt det direktivet. 13)I syfte att säkerställa att de förhandskontroller som de behöriga gränsmyndigheterna gör i förväg är ändamålsenliga och effektiva bör de API-uppgifter som överförs till dessa myndigheter innehålla uppgifter om resenärer som verkligen står i beråd att passera de yttre gränserna, dvs. resenärer som faktiskt befinner sig ombord på luftfartyget. Lufttrafikföretagen bör därför överföra API-uppgifter direkt efter det att gaten stängts. API-uppgifterna hjälper dessutom de behöriga gränsmyndigheterna att skilja legitima resenärer från resenärer som kan vara av intresse och därför kan kräva ytterligare verifiering, vilket skulle kräva ytterligare samordning och förberedelse av de uppföljningsåtgärder som ska vidtas vid ankomsten. Detta skulle till exempel kunna inträffa om antalet resenärer av intresse är oväntat stort och de fysiska kontrollerna av dem vid gränserna skulle kunna inverka negativt på in- och utresekontrollerna och väntetiderna vid gränserna för andra, legitima resenärer. För att ge de behöriga gränsmyndigheterna möjlighet att förbereda lämpliga och proportionella åtgärder vid gränsen, såsom att tillfälligt förstärka eller omfördela personalen, särskilt för flygningar där tiden mellan det att gaten stängs och passagerarna anländer till de yttre gränserna är otillräcklig för att de behöriga gränsmyndigheterna ska kunna förbereda den lämpligaste reaktionen, bör API-uppgifter också överföras före ombordstigning, vid den tidpunkt då varje resenär checkar in. 14)För att klargöra de tekniska krav som är tillämpliga på lufttrafikföretag och som behövs för att säkerställa att de API-uppgifter som de samlar in enligt denna förordning överförs till routern på ett säkert, effektivt och snabbt sätt, bör kommissionen ges befogenhet att fastställa specifikationer för de gemensamma protokoll och understödda dataformat som ska användas för dessa överföringar. 15)För att undvika varje risk för missbruk och i enlighet med principen om ändamålsbegränsning bör de behöriga gränsmyndigheterna uttryckligen hindras från att behandla de API-uppgifter som de mottar enligt denna förordning i något annat syfte än att förbättra och främja in- och utresekontrollernas ändamålsenlighet och effektivitet vid de yttre gränserna och bekämpa olaglig invandring. 16)För att säkerställa att de behöriga gränsmyndigheterna har tillräckligt med tid för att utföra effektiva förhandskontroller av alla resenärer, även resenärer på långdistansflygningar och passagerare på anslutande flygningar, samt tillräckligt med tid för att säkerställa att de API-uppgifter som samlats in och överförts av lufttrafikföretagen är fullständiga, korrekta och aktuella, och vid behov begära ytterligare förtydliganden, korrigeringar eller kompletteringar från lufttrafikföretagen, bör de behöriga gränsmyndigheterna lagra de API-uppgifter som de mottagit enligt denna förordning under en fastställd tidsperiod som är begränsad till vad som är absolut nödvändigt för dessa ändamål. För att kunna besvara en sådan begäran bör lufttrafikföretagen också lagra de API-uppgifter som de överfört enligt denna förordning under samma fastställda och absolut nödvändiga tidsperiod. 17)För att lufttrafikföretag inte ska behöva upprätta och upprätthålla flera anslutningar till medlemsstaternas behöriga gränsmyndigheter för överföring av API-uppgifter som samlats in enligt denna förordning, med den ineffektivitet och de säkerhetsrisker som det skulle innebära, bör bestämmelser fastställas om en gemensam router som skapas och drivs på unionsnivå och som fungerar som anslutnings- och distribueringspunkt för dessa överföringar. Av effektivitets- och kostnadseffektivitetsskäl bör routern i den mån det är tekniskt möjligt och med full respekt för reglerna i denna förordning och förordning (EU) [API för brottsbekämpning] förlita sig på tekniska komponenter från andra relevanta system som inrättats enligt unionsrätten. 18)Routern bör på ett automatiserat sätt överföra API-uppgifterna till de relevanta behöriga gränsmyndigheterna, vilka bör fastställas på grundval av det gränsövergångsställe för inresa till medlemsstatens territorium som anges i API-uppgifterna i fråga. För att underlätta distribueringsprocessen bör varje medlemsstat ange vilka gränsmyndigheter som är behöriga att ta emot API-uppgifter som överförs från routern. För att säkerställa att denna förordning fungerar korrekt och för öppenhetens skull bör denna information offentliggöras. 19)Routern bör endast användas för att underlätta överföringen av API-uppgifter från lufttrafikföretagen till de behöriga gränsmyndigheterna i enlighet med denna förordning och till enheter för passagerarinformation i enlighet med förordning (EU) [API för brottsbekämpning] och bör inte vara en databas för API-uppgifter. Därför, och för att minimera risken för obehörig åtkomst eller annat missbruk och i enlighet med principen om uppgiftsminimering, bör all lagring av API-uppgifter på routern begränsas till vad som är absolut nödvändigt av tekniska orsaker i samband med överföringen, och API-uppgifterna bör raderas från routern omedelbart, permanent och på ett automatiserat sätt det ögonblick då överföringen har slutförts eller, när så är relevant enligt förordning (EU) [API för brottsbekämpning], så bör API-uppgifterna inte överföras över huvud taget. 20)I syfte att säkerställa att överföringen av API-uppgifter från routern fungerar korrekt bör kommissionen ges befogenhet att fastställa detaljerade tekniska och förfarandemässiga regler för denna överföring. Dessa regler bör vara sådana att det säkerställs att överföringen är säker, effektiv och snabb och att den inte påverkar passagerarnas resor och lufttrafikföretagen mer än nödvändigt. 21)För att lufttrafikföretagen så snart som möjligt ska kunna dra nytta av fördelarna med att använda den router som utvecklats av eu-LISA i enlighet med denna förordning och få erfarenhet av att använda den, bör lufttrafikföretagen ges möjlighet, men inte skyldighet, att under en övergångsperiod använda routern för att överföra den information som de måste överföra enligt direktiv 2004/82/EG. Denna övergångsperiod bör inledas vid den tidpunkt då routern tas i drift och avslutas när skyldigheterna enligt det direktivet upphör att gälla. I syfte att säkerställa att all sådan frivillig användning av routern sker på ett ansvarsfullt sätt bör det krävas förhandsgodkännande från den ansvariga myndighet som ska ta emot informationen, på begäran av lufttrafikföretaget och efter det att den myndigheten vid behov har utfört kontroller och fått försäkringar. För att undvika en situation där lufttrafikföretag upprepade gånger börjar och slutar använda routern, bör ett lufttrafikföretag som frivilligt börjar använda routern vara skyldigt att fortsätta använda den, såvida det inte finns objektiva skäl att upphöra att använda den för att överföra informationen till den berörda ansvariga myndigheten, t.ex. om det blivit uppenbart att informationen inte överförs på ett lagligt, säkert, effektivt och snabbt sätt. För att denna möjlighet att frivilligt använda routern ska kunna tillämpas korrekt, med vederbörlig hänsyn till alla berörda parters rättigheter och intressen, bör nödvändiga regler för samråd och tillhandahållande av information fastställas. Sådan frivillig användning av routern vid tillämpningen av direktiv 2004/82/EG i enlighet med denna förordning bör inte på något sätt anses påverka lufttrafikföretagens och medlemsstaternas skyldigheter enligt det direktivet. 22)Den router som kommer att skapas och drivas enligt denna förordning minimerar och förenklar de tekniska anslutningar som krävs för att överföra API-uppgifter, genom att de begränsas till en enda anslutning per lufttrafikföretag och per behörig gränsmyndighet. I denna förordning föreskrivs därför en skyldighet för varje behörig gränsmyndighet och lufttrafikföretag att upprätta en sådan anslutning till och uppnå den nödvändiga integreringen med routern, för att säkerställa att det system för överföring av API-uppgifter som inrättas genom denna förordning kan fungera korrekt. För att ge verkan åt dessa skyldigheter och säkerställa att det system som inrättas genom denna förordning fungerar korrekt bör de kompletteras med detaljerade regler. 23)Med tanke på de unionsintressen som står på spel bör de kostnader som eu-LISA ådrar sig för utförandet av sina uppgifter enligt denna förordning och förordning (EU) [API för brottsbekämpning] med avseende på routern belasta unionens budget. Detsamma bör gälla för lämpliga kostnader som medlemsstaterna ådrar sig i samband med sina anslutningar till, och sin integrering med, routern, enligt kraven i denna förordning och i enlighet med tillämplig lagstiftning, med förbehåll för vissa undantag. Varje berörd medlemsstat bör själv stå för de kostnader som omfattas av dessa undantag.

24)Det kan inte uteslutas att routern eller de system eller den infrastruktur som ansluter de behöriga gränsmyndigheterna och lufttrafikföretagen till den i exceptionella omständigheter och trots att alla rimliga åtgärder har vidtagits i enlighet med denna förordning inte fungerar korrekt och att det därmed är tekniskt omöjligt att använda routern för att överföra API-uppgifter. Med tanke på att routern inte är tillgänglig och att det i allmänhet inte kommer att vara rimligen möjligt för lufttrafikföretag att överföra de API-uppgifter som påverkas av felet på ett lagligt, säkert, effektivt och snabbt sätt med alternativa metoder, bör lufttrafikföretagens skyldighet att överföra dessa API-uppgifter till routern upphöra att gälla under den tid som den tekniska omöjligheten kvarstår. För att minimera varaktigheten och de negativa konsekvenserna av detta bör de berörda parterna i sådana fall omedelbart underrätta varandra och omedelbart vidta alla nödvändiga åtgärder för att åtgärda den tekniska omöjligheten. Med tanke på att API-uppgifter om flygningar som redan anlänt inte är användbara för in- och utresekontroller finns det i ett sådant fall ingen grund för att kräva att lufttrafikföretagen samlar in och lagrar API-uppgifterna. Detta arrangemang bör inte påverka alla berörda parters skyldigheter enligt denna förordning att säkerställa att routern och deras respektive system och infrastruktur fungerar korrekt, och inte heller det faktum att lufttrafikföretag blir föremål för sanktioner när de underlåter att uppfylla dessa skyldigheter, bland annat när de försöker utnyttja detta arrangemang när det inte är motiverat. För att motverka sådant missbruk och underlätta tillsyn och vid behov införande av sanktioner bör de lufttrafikföretag som utnyttjar detta arrangemang på grund av fel i sitt eget system och sin egen infrastruktur rapportera om detta till den behöriga tillsynsmyndigheten. 25)För att säkerställa efterlevnaden av den grundläggande rätten till skydd av personuppgifter bör denna förordning ange personuppgiftsansvarig och personuppgiftsbiträde och fastställa regler för revisioner. För att säkerställa en effektiv övervakning och lämpligt skydd av personuppgifter och minimera säkerhetsriskerna bör det också fastställas regler för loggning, säkerhet vid behandling och egenkontroll. När bestämmelserna rör behandling av personuppgifter bör de tolkas som ett komplement till de allmänt tillämpliga unionsrättsakterna om skydd av personuppgifter, särskilt Europaparlamentets och rådets förordning (EU) 2016/679 och Europaparlamentets och rådets förordning (EU) 2018/1725. Dessa akter, som också är tillämpliga på behandling av personuppgifter enligt denna förordning i enlighet med dess bestämmelser, bör inte påverkas av denna förordning. 26)Ändamålet med behandling enligt denna förordning, dvs. överföring av API-uppgifter från lufttrafikföretag via routern till medlemsstaternas behöriga gränsmyndigheter, är att hjälpa dessa myndigheter att fullgöra sina gränsförvaltningsskyldigheter och uppgifter i samband med bekämpning av olaglig invandring. De behöriga gränsmyndigheter som tar emot API-uppgifterna bör därför vara personuppgiftsansvariga för överföringen av API-uppgifter som utgör personuppgifter via routern och lagringen av dessa uppgifter på routern i den mån sådan lagring behövs av tekniska orsaker, och för all sin efterföljande behandling av dem för att förbättra och underlätta in- och utresekontrollerna vid de yttre gränserna. Lufttrafikföretagen bör i sin tur vara separata personuppgiftsansvariga för behandling de enligt denna förordning är skyldiga att utföra av API-uppgifter som utgör personuppgifter. På grundval av detta bör både lufttrafikföretagen och de behöriga gränsmyndigheterna vara separata personuppgiftsansvariga i fråga om sin behandling av API-uppgifter enligt denna förordning. 27)För att säkerställa att lufttrafikföretagen tillämpar reglerna i denna förordning på ett effektivt sätt bör det föreskrivas att nationella myndigheter utses som ges befogenhet att ansvara för tillsynen av dessa regler. Reglerna i denna förordning om sådan tillsyn, även när det gäller införande av sanktioner vid behov, bör inte påverka uppgifterna och befogenheterna för de tillsynsmyndigheter som inrättats i enlighet med förordning (EU) 2016/679, inte heller när det gäller behandling av personuppgifter enligt denna förordning. 28)Medlemsstaterna bör fastställa effektiva, proportionella och avskräckande sanktioner, även ekonomiska sanktioner, för de lufttrafikföretag som inte uppfyller sina skyldigheter med avseende på insamling och överföring av API-uppgifter enligt denna förordning. 29)Eftersom denna förordning föreskriver nya regler om de behöriga gränsmyndigheternas insamling och överföring av API-uppgifter i syfte att förbättra och främja in- och utresekontrollernas effektivitet och ändamålsenlighet vid de yttre gränserna, bör direktiv 2004/82/EG upphävas. 30)Eftersom routern bör utformas, utvecklas, hysas och tekniskt förvaltas av eu-LISA, som inrättades genom Europaparlamentets och rådets förordning (EU) 2018/1726, är det nödvändigt att ändra den förordningen genom att lägga till denna uppgift till eu-LISA:s uppgifter. För att det ska gå att lagra rapporter och statistik från routern i den centrala databasen för rapporter och statistik är det nödvändigt att ändra Europaparlamentets och rådets förordning (EU) 2019/817. 31)För att anta åtgärder avseende de tekniska kraven och operativa reglerna för automatiserade metoder för insamling av maskinläsbara API-uppgifter, de gemensamma protokoll och format som ska användas för lufttrafikföretagens överföring av API-uppgifter, de tekniska och förfarandemässiga reglerna för överföring av API-uppgifter från routern till de behöriga gränsmyndigheterna och till enheterna för passagerarinformation samt enheterna för passagerarinformations och lufttrafikföretagens anslutningar till och integrering med routern, bör befogenheten att anta akter i enlighet med artikel 290 i fördraget om Europeiska unionens funktionssätt delegeras till kommissionen med avseende på artiklarna 5, 6, 11, 20 respektive 21. Det är särskilt viktigt att kommissionen genomför lämpliga samråd under sitt förberedande arbete, inklusive på expertnivå, och att dessa samråd genomförs i enlighet med principerna i det interinstitutionella avtalet av den 13 april 2016 om bättre lagstiftning. För att säkerställa lika stor delaktighet i förberedelsen av delegerade akter erhåller Europaparlamentet och rådet alla handlingar samtidigt som medlemsstaternas experter, och deras experter ges systematiskt tillträde till möten i kommissionens expertgrupper som arbetar med förberedelse av delegerade akter. 32)För att säkerställa enhetliga villkor för genomförandet av denna förordning, närmare bestämt när det gäller routerns driftsättning, bör kommissionen tilldelas genomförandebefogenheter. Dessa befogenheter bör utövas i enlighet med Europaparlamentets och rådets förordning (EU) nr 182/2011. 33)Alla berörda parter, särskilt lufttrafikföretagen och de behöriga gränsmyndigheterna, bör få tillräckligt med tid för att göra de förberedelser som krävs för att de ska kunna fullgöra sina respektive skyldigheter enligt denna förordning, med beaktande av att vissa av dessa förberedelser, såsom de som rör skyldigheter avseende anslutning till och integrering med routern, kan färdigställas först när routerns utformnings- och utvecklingsfaser har slutförts och routern tas i drift. Därför bör denna förordning tillämpas först från och med ett lämpligt datum efter den dag då routern tas i drift, vilket fastställs av kommissionen i enlighet med denna förordning. 34)Routerns utformnings- och utvecklingsfaser bör dock inledas och slutföras så snart som möjligt, så att routern kan tas i drift så snart som möjligt, vilket också kräver att de relevanta genomförandeakter och delegerade akter som föreskrivs i denna förordning antas. Det förtydligande som föreskrivs i denna förordning när det gäller tillämpningen av specifikationer för användning av automatiserade metoder vid tillämpning av direktiv 2004/82/EG bör också tillhandahållas utan dröjsmål. Artiklarna om dessa frågor bör därför tillämpas från och med den dag då denna förordning träder i kraft. För att möjliggöra frivillig användning av routern så snart som möjligt bör dessutom artikeln om sådan användning, liksom vissa andra artiklar som behövs för att säkerställa att denna användning sker på ett ansvarsfullt sätt, börja tillämpas tidigast möjligt, dvs. från och med den tidpunkt då routern tas i drift. 35)Denna förordning bör inte påverka medlemsstaternas möjlighet att i sin nationella lagstiftning föreskriva ett system för insamling av API-uppgifter från andra transportörer än de som anges i denna förordning, förutsatt att sådan nationell lagstiftning är förenlig med unionsrätten. 36)Eftersom målen för denna förordning, dvs. att förbättra och främja in- och utresekontrollernas ändamålsenlighet och effektivitet vid de yttre gränserna och bekämpa olaglig invandring, rör frågor som till sin natur är gränsöverskridande, kan de inte i tillräcklig utsträckning uppnås av medlemsstaterna på egen hand, utan kan uppnås bättre på unionsnivå. Unionen får därför vidta åtgärder i enlighet med subsidiaritetsprincipen i artikel 5 i fördraget om Europeiska unionen. I enlighet med proportionalitetsprincipen i samma artikel går denna förordning inte utöver vad som är nödvändigt för att uppnå detta mål. 37)I enlighet med artiklarna 1 och 2 i protokoll nr 22 om Danmarks ställning, fogat till EU-fördraget och EUF-fördraget, deltar Danmark inte i antagandet av denna förordning, som inte är bindande för eller tillämplig på Danmark. Eftersom denna förordning är en utveckling av Schengenregelverket ska Danmark, i enlighet med artikel 4 i det protokollet, inom sex månader efter det att rådet har beslutat om denna förordning, besluta huruvida landet ska genomföra den i sin nationella lagstiftning. 38)Irland deltar i denna förordning i enlighet med artikel 5.1 i protokoll nr 19 om Schengenregelverket införlivat inom Europeiska unionens ramar, fogat till fördraget om Europeiska unionen och fördraget om Europeiska unionens funktionssätt, och i enlighet med artikel 6.2 i rådets beslut 2002/192/EG. 39) Irlands deltagande i denna förordning hänför sig, i enlighet med artikel 6.2 i beslut 2002/192/EG, till unionens förpliktelser att vidta åtgärder för att utveckla de bestämmelser i Schengenregelverket mot olaglig invandring i vilka Irland deltar. 40)När det gäller Island och Norge utgör denna förordning, i enlighet med avtalet mellan Europeiska unionens råd och Republiken Island och Konungariket Norge om dessa staters associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket som omfattas av det område som avses i artikel 1 A i rådets beslut 1999/437/EG. 41)När det gäller Schweiz utgör denna förordning, i enlighet med avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket som omfattas av det område som avses i artikel 1 A i beslut 1999/437/EG jämförd med artikel 3 i rådets beslut 2008/146/EG. 42)När det gäller Liechtenstein utgör denna förordning, i enlighet med protokollet mellan Europeiska unionen, Europeiska gemenskapen, Schweiziska edsförbundet och Furstendömet Liechtenstein om Furstendömet Liechtensteins anslutning till avtalet mellan Europeiska unionen, Europeiska gemenskapen och Schweiziska edsförbundet om Schweiziska edsförbundets associering till genomförandet, tillämpningen och utvecklingen av Schengenregelverket, en utveckling av de bestämmelser i Schengenregelverket som omfattas av det område som avses i artikel 1 A i rådets beslut 1999/437/EG jämförd med artikel 3 i rådets beslut 2011/350/EU. 43)När det gäller Cypern, Bulgarien och Rumänien samt Kroatien utgör denna förordning en akt som utvecklar Schengenregelverket eller som på annat sätt har samband med detta i den mening som avses i artikel 3.1 i 2003 års anslutningsakt, artikel 4.1 i 2005 års anslutningsakt respektive artikel 4.1 i 2011 års anslutningsakt.

44)Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav ett yttrande den [XX]. HÄRIGENOM FÖRESKRIVS FÖLJANDE. KAPITEL 1 ALLMÄNNA BESTÄMMELSER Artikel 1 Innehåll I syfte att förbättra och främja in- och utresekontrollernas ändamålsenlighet och effektivitet vid de yttre gränserna och för att bekämpa olaglig invandring fastställs i denna förordning regler om a)lufttrafikföretags insamling av förhandsinformation om passagerare (API-uppgifter) om flygningar till unionen, b)lufttrafikföretags överföring av API-uppgifter till routern, c)överföring av API-uppgifter från routern till de behöriga gränsmyndigheterna. Artikel 2 Tillämpningsområde Denna förordning är tillämplig på lufttrafikföretag som utför reguljära eller icke-reguljära flygningar till unionen. Artikel 3 Definitioner I denna förordning gäller följande definitioner: a)lufttrafikföretag: ett lufttrafikföretag som omfattas av definitionen i artikel 3.1 i direktiv (EU) 2016/681. b)in- och utresekontroller: kontroller som omfattas av definitionen i artikel 2.11 i förordning (EU) 2016/399. c)flygningar till unionen: flygningar som avgår från territorium som tillhör antingen ett tredjeland eller en medlemsstat som inte deltar i denna förordning och som planeras landa på territorium som tillhör en medlemsstat som deltar i denna förordning.

d)gränsövergångsställe: övergångsställe som omfattas av definitionen i artikel 2.8 i förordning (EU) 2016/399. e)reguljär flygning: en flygning som genomförs enligt en fast tidtabell och till vilken allmänheten kan köpa biljett. f)icke-reguljär flygning: en flygning som inte genomförs enligt en fast tidtabell och som inte nödvändigtvis ingår i en planlagd eller reguljär flyglinje. g)behörig gränsmyndighet: den myndighet som en medlemsstat gett i uppdrag att utföra in- och utresekontroller och som utsetts och anmälts av den medlemsstaten i enlighet med artikel 11.2. h)passagerare: varje person, förutom besättningsmedlemmar, som transporteras eller ska transporteras med ett luftfartyg med lufttrafikföretagets godkännande, vilket godkännande framgår av att personen står med på passagerarförteckningen. i)besättning: varje person ombord på ett luftfartyg under flygningen, utom passagerare, som arbetar på eller manövrerar luftfartyget, inbegripet flygbesättning och kabinbesättning. j)resenär: en passagerare eller besättningsmedlem. k)förhandsinformation om passagerare eller API-uppgifter: de resenärsuppgifter och den flyginformation som avses i artikel 4.2 respektive 4.3. l)enhet för passagerarinformation: den behöriga myndighet som avses i artikel 3 i) i förordning (EU) [API för brottsbekämpning]. m)routern: den router som avses i artikel 9. n)personuppgifter: all information som omfattas av definitionen i artikel 4.1 i förordning (EU) 2016/679. KAPITEL 2 INSAMLING OCH ÖVERFÖRING AV API-UPPGIFTER Artikel 4 API-uppgifter som ska samlas in av lufttrafikföretag 1.Lufttrafikföretag ska samla in API-uppgifter, bestående av de resenärsuppgifter och den flyginformation som specificeras i punkterna 2 respektive 3 i denna artikel, om resenärer på de flygningar som avses i artikel 2, i syfte att överföra dessa API-uppgifter till routern i enlighet med artikel 6. 2.API-uppgifterna ska bestå av följande resenärsuppgifter för varje resenär på flygningen: a)Efternamn och förnamn. b)Födelsedatum, kön och medborgarskap. c)Resehandlingens typ och nummer och trebokstavskoden för det land som har utfärdat den.

d)Resehandlingens sista giltighetsdag. e)Huruvida resenären är passagerare eller besättningsmedlem (resenärens status). f)Det identifieringsnummer för passageraruppgifter som ett lufttrafikföretag använder för att lokalisera en passagerare i sitt informationssystem (PNR-nummer). g)Platsinformation, såsom numret på den plats i luftfartyget som tilldelats en passagerare, om lufttrafikföretaget samlar in sådan information. h)Bagageinformation, såsom antalet incheckade väskor, om lufttrafikföretaget samlar in sådan information. 3.API-uppgifterna ska också bestå av följande flyginformation för varje resenärs flygning: a)Flygnummer eller, om sådant nummer saknas, andra tydliga och lämpliga medel för att identifiera flygningen. b)I tillämpliga fall gränsövergångsstället för inresa till medlemsstatens territorium. c)Kod för flygplatsen för inresa till medlemsstatens territorium. d)Första ombordstigningsplats. e)Datum och beräknad tid i lokal tid för avgången. f)Datum och beräknad tid i lokal tid för ankomsten. Artikel 5 Metoder för insamling av API-uppgifter 1.Lufttrafikföretagen ska samla in API-uppgifter i enlighet med artikel 4 på ett sådant sätt att de API-uppgifter som de överför i enlighet med artikel 6 är korrekta, fullständiga och aktuella. 2.Lufttrafikföretagen ska samla in de API-uppgifter som avses i artikel 4.2 a–d och använda automatiserade metoder för att samla in de maskinläsbara uppgifterna i den berörda resenärens resehandling. De ska göra detta i enlighet med de detaljerade tekniska krav och operativa regler som avses i punkt 4, när sådana regler har antagits och är tillämpliga. När det dock inte är möjligt att använda automatiserade metoder för att resehandlingen inte innehåller maskinläsbara uppgifter ska lufttrafikföretagen samla in dessa uppgifter manuellt på ett sådant sätt att överensstämmelse med punkt 1 säkerställs. 3.Alla automatiserade metoder som används av lufttrafikföretag för att samla in API-uppgifter enligt denna förordning ska vara tillförlitliga, säkra och aktuella. 4.Kommissionen ges befogenhet att anta delegerade akter i enlighet med artikel 37 för att komplettera denna förordning genom att fastställa detaljerade tekniska krav och operativa regler för insamling av de API-uppgifter som avses i artikel 4.2 a–d med hjälp av automatiserade metoder i enlighet med punkterna 2 och 3 i den här artikeln. 5.Lufttrafikföretag som använder automatiserade metoder för att samla in den information som avses i artikel 3.1 i direktiv 2004/82/EG ska ha rätt att göra detta med tillämpning av de tekniska krav för sådan användning som avses i punkt 4, i enlighet med det direktivet.

Artikel 6 Lufttrafikföretagens skyldigheter vad gäller överföring av API-uppgifter 1.Lufttrafikföretagen ska överföra API-uppgifterna till routern på elektronisk väg. De ska göra detta i enlighet med de detaljerade regler som avses i punkt 3, när sådana regler har antagits och är tillämpliga. 2.Lufttrafikföretagen ska överföra API-uppgifterna både vid incheckningen och omedelbart efter det att gaten stängts, dvs. när passagerarna har stigit ombord på luftfartyget inför avgången och det inte längre är möjligt för passagerare att stiga ombord på eller lämna luftfartyget. 3.Kommissionen ges befogenhet att anta delegerade akter i enlighet med artikel 37 för att komplettera denna förordning genom att fastställa nödvändiga detaljerade regler om de gemensamma protokoll och understödda dataformat som ska användas för den överföring av API-uppgifter till routern som avses i punkt 1. 4.Om ett lufttrafikföretag efter att ha överfört uppgifter till routern får kännedom om att API-uppgifterna är inkorrekta, ofullständiga, inte längre aktuella eller har behandlats på ett olagligt sätt, eller att uppgifterna inte utgör API-uppgifter, ska det omedelbart informera Europeiska unionens byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (eu-LISA). Efter att ha mottagit sådan information ska eu-LISA omedelbart informera den behöriga gränsmyndighet som tog emot de API-uppgifter som överförts via routern. Artikel 7 Behandling av mottagna API-uppgifter De behöriga gränsmyndigheterna ska behandla API-uppgifter som överförs till dem i enlighet med denna förordning enbart för de ändamål som avses i artikel 1. Artikel 8 Lagring och radering av API-uppgifter 1.Lufttrafikföretagen ska under en tidsperiod av 48 timmar från den tidpunkt då flygningen avgår lagra de API-uppgifter om passageraren som de samlat in i enlighet med artikel 4. Efter utgången av denna tidsperiod ska de omedelbart och permanent radera API-uppgifterna. 2.De behöriga gränsmyndigheterna ska under en tidsperiod av 48 timmar från den tidpunkt då flygningen avgår lagra de API-uppgifter om passageraren som de mottagit via routern i enlighet med artikel 11. Efter utgången av denna tidsperiod ska de omedelbart och permanent radera API-uppgifterna. 3.Om ett lufttrafikföretag eller en behörig gränsmyndighet får kännedom om att de uppgifter som har samlats in, överförts eller mottagits enligt denna förordning är inkorrekta, ofullständiga, inte längre aktuella eller har behandlats på ett olagligt sätt, eller att uppgifterna inte utgör API-uppgifter, ska företaget eller myndigheten omedelbart antingen korrigera/komplettera/uppdatera eller permanent radera API-uppgifterna. Detta påverkar inte lufttrafikföretagens möjlighet att lagra och använda uppgifterna när detta är nödvändigt för deras normala affärsverksamhet i enlighet med tillämplig lagstiftning. KAPITEL 3 BESTÄMMELSER OM ROUTERN Artikel 9 Routern 1.Eu-LISA ska utforma, utveckla, hysa och tekniskt förvalta, i enlighet med artiklarna 22 och 23, en router i syfte att underlätta lufttrafikföretagens överföring av API-uppgifter till de behöriga gränsmyndigheterna och enheterna för passagerarinformation i enlighet med denna förordning respektive förordning (EU) [API för brottsbekämpning].

2.Routern ska bestå av följande: a)En central infrastruktur, inbegripet en uppsättning tekniska komponenter som möjliggör överföring av API-uppgifter. b)En säker kommunikationskanal mellan den centrala infrastrukturen och de behöriga gränsmyndigheterna och enheterna för passagerarinformation, och en säker kommunikationskanal mellan den centrala infrastrukturen och lufttrafikföretagen, för överföring av API-uppgifter och för all kommunikation i samband därmed. 3.Utan att det påverkar tillämpningen av artikel 10 i denna förordning ska routern, i den utsträckning det är tekniskt möjligt, dela och återanvända de tekniska komponenterna, inbegripet maskinvaru- och programvarukomponenter, i den webbtjänst som avses i artikel 13 i Europaparlamentets och rådets förordning (EU) 2017/2226, den nätportal för transportörer som avses i artikel 6.2 k i förordning (EU) 2018/1240 och den nätportal för transportörer som avses i artikel 2a h i Europaparlamentets och rådets förordning (EG) nr 767/2008. Artikel 10 Exklusiv användning av routern Routern får endast användas av lufttrafikföretag för att överföra API-uppgifter och av behöriga gränsmyndigheter och enheter för passagerarinformation för att ta emot API-uppgifter, i enlighet med denna förordning respektive förordning (EU) [API för brottsbekämpning]. Artikel 11 Överföring av API-uppgifter från routern till de behöriga gränsmyndigheterna 1.Routern ska omedelbart och på ett automatiserat sätt överföra API-uppgifter som överförts till den i enlighet med artikel 6 till de behöriga gränsmyndigheterna i den medlemsstat som avses i artikel 4.3 c. Den ska göra detta i enlighet med de detaljerade regler som avses i punkt 4 i denna artikel, när sådana regler har antagits och är tillämpliga. För denna överföring ska eu-LISA upprätta en jämförelsetabell mellan de olika ursprungs- och destinationsflygplatserna och de länder de tillhör och hålla den uppdaterad. 2.Medlemsstaten ska utse de behöriga gränsmyndigheter som har rätt att ta emot API-uppgifter som överförs till dem från routern i enlighet med denna förordning. De ska senast den dag då denna förordning börjar tillämpas i enlighet med artikel 39 andra stycket till eu-LISA och kommissionen anmäla de behöriga gränsmyndigheternas namn och kontaktuppgifter och ska vid behov uppdatera den anmälda informationen. Kommissionen ska på grundval av dessa anmälningar och uppdateringar sammanställa och offentliggöra en förteckning över de anmälda behöriga gränsmyndigheterna och deras kontaktuppgifter. 3.Medlemsstaterna ska säkerställa att endast vederbörligen bemyndigade anställda vid de behöriga gränsmyndigheterna har åtkomst till de API-uppgifter som överförs till dem via routern. De ska fastställa de regler som är nödvändiga för detta ändamål. Reglerna ska bland annat gälla upprättande och regelbunden uppdatering av en förteckning över dessa anställda och deras profiler. 4.Kommissionen ges befogenhet att anta delegerade akter i enlighet med artikel 37 för att komplettera denna förordning genom att fastställa nödvändiga detaljerade tekniska och förfarandemässiga regler för den överföring av API-uppgifter från routern som avses i punkt 1. Artikel 12 Radering av API-uppgifter från routern API-uppgifter som överförs till routern i enlighet med denna förordning och förordning (EU) [API för brottsbekämpning] ska lagras på routern endast i den mån det är nödvändigt för att slutföra överföringen till relevanta behöriga gränsmyndigheter eller enheter för passagerarinformation, beroende på vad som är tillämpligt, i enlighet med dessa förordningar och ska omedelbart, permanent och på ett automatiserat sätt raderas från routern i båda följande situationer: a)När överföringen av API-uppgifter till relevanta behöriga gränsmyndigheter eller enheter för passagerarinformation, beroende på vad som är tillämpligt, har slutförts. b)När det gäller förordning (EU) [API för brottsbekämpning], när API-uppgifterna avser andra flygningar inom EU än de som ingår i de förteckningar som avses i artikel 5.2 i den förordningen.

Artikel 13 Loggföring 1.Eu-LISA ska föra logg över all behandling som rör överföringen av API-uppgifter via routern enligt denna förordning och förordning (EU) [API för brottsbekämpning]. Dessa loggar ska omfatta följande: a)Det lufttrafikföretag som överförde API-uppgifterna till routern. b)De behöriga gränsmyndigheter och enheter för passagerarinformation till vilka API-uppgifterna överfördes via routern. c)Datum och tidpunkt för den överföring som avses i leden a och b samt platsen för överföringen. d)Eventuell åtkomst för anställda vid eu-LISA som är nödvändig för underhåll av routern, i enlighet med artikel 23.3. e)Annan information som rör denna behandling och som är nödvändig för att övervaka API-uppgifternas säkerhet och integritet och att behandlingen är laglig. Dessa loggar får inte innehålla några andra personuppgifter än den information som krävs för att identifiera den berörda anställda vid eu-LISA som avses i första stycket led d. 2.Lufttrafikföretagen ska skapa loggar över all behandling enligt denna förordning som utförs med hjälp av de automatiserade metoder som avses i artikel 5.2. Dessa loggar ska omfatta datum, tid och plats för överföringen av API-uppgifterna. 3.De loggar som avses i punkterna 1 och 2 får endast användas för att säkerställa API-uppgifternas säkerhet och integritet och att behandlingen är laglig, särskilt när det gäller efterlevnaden av kraven i denna förordning och förordning (EU) [API för brottsbekämpning], inbegripet förfaranden för sanktioner vid överträdelser av dessa krav i enlighet med artiklarna 29 och 30 i denna förordning. 4.Eu-LISA och lufttrafikföretagen ska vidta lämpliga åtgärder för att skydda de loggar som de skapat i enlighet med punkterna 1 respektive 2 mot obehörig åtkomst och andra säkerhetsrisker. 5.Eu-LISA och lufttrafikföretagen ska behålla de loggar som de skapat i enlighet med punkterna 1 respektive 2 i ett års tid från den tidpunkt då dessa loggar skapades. Efter utgången av denna tidsperiod ska de omedelbart och permanent radera loggarna. Om dessa loggar emellertid behövs för förfaranden för övervakning eller säkerställande av API-uppgifternas säkerhet och integritet eller av att behandlingen är laglig, som avses i punkt 2, och dessa förfaranden redan har inletts vid utgången av den tidsperiod som avses i första stycket, får eu-LISA och lufttrafikföretagen behålla dessa loggar så länge som det är nödvändigt för dessa förfaranden. I detta fall ska de omedelbart radera dessa loggar när de inte längre är nödvändiga för dessa förfaranden. Artikel 14 Åtgärder om det är tekniskt omöjligt att använda routern 1.Om det är tekniskt omöjligt att använda routern för att överföra API-uppgifter på grund av ett fel i routern ska eu-LISA omedelbart och på ett automatiserat sätt underrätta lufttrafikföretagen och de behöriga gränsmyndigheterna om denna tekniska omöjlighet. I detta fall ska eu-LISA omedelbart vidta åtgärder för att åtgärda den tekniska omöjligheten att använda routern och omedelbart underrätta dessa parter när den har åtgärdats. Under tidsperioden mellan dessa underrättelser ska artikel 6.1 inte tillämpas, i den mån den tekniska omöjligheten förhindrar överföring av API-uppgifter till routern. I den mån detta är fallet ska artiklarna 4.1 och 8.1 inte heller tillämpas på de berörda API-uppgifterna under den tidsperioden. 2.Om det är tekniskt omöjligt att använda routern för att överföra API-uppgifter på grund av ett fel i de system eller den infrastruktur som avses i artikel 20 i en medlemsstat ska den medlemsstatens behöriga gränsmyndigheter omedelbart och på ett automatiserat sätt underrätta lufttrafikföretagen, de behöriga gränsmyndigheterna i de övriga medlemsstaterna, eu-LISA och kommissionen om denna tekniska omöjlighet. I detta fall ska medlemsstaten omedelbart vidta åtgärder för att åtgärda den tekniska omöjligheten att använda routern och omedelbart underrätta dessa parter när den har åtgärdats. Under tidsperioden mellan dessa underrättelser ska artikel 6.1 inte tillämpas, i den mån den tekniska omöjligheten förhindrar överföring av API-uppgifter till routern. I den mån detta är fallet ska artiklarna 4.1 och 8.1 inte heller tillämpas på de berörda API-uppgifterna under den tidsperioden.

3.Om det är tekniskt omöjligt att använda routern för att överföra API-uppgifter på grund av ett fel i ett lufttrafikföretags system eller infrastruktur som avses i artikel 21 ska lufttrafikföretaget omedelbart och på ett automatiserat sätt underrätta de behöriga gränsmyndigheterna, eu-LISA och kommissionen om denna tekniska omöjlighet. I detta fall ska lufttrafikföretaget omedelbart vidta åtgärder för att åtgärda den tekniska omöjligheten att använda routern och omedelbart underrätta dessa parter när den har åtgärdats. Under tidsperioden mellan dessa underrättelser ska artikel 6.1 inte tillämpas, i den mån den tekniska omöjligheten förhindrar överföring av API-uppgifter till routern. I den mån detta är fallet ska artiklarna 4.1 och 8.1 inte heller tillämpas på de berörda API-uppgifterna under den tidsperioden. När den tekniska omöjligheten har åtgärdats ska det berörda lufttrafikföretaget utan dröjsmål till den behöriga nationella tillsynsmyndighet som avses i artikel 29 lämna in en rapport med alla nödvändiga uppgifter om den tekniska omöjligheten, inbegripet orsakerna till den tekniska omöjligheten, dess omfattning och konsekvenser samt de åtgärder som vidtagits för att åtgärda den. KAPITEL 4 SÄRSKILDA BESTÄMMELSER OM SKYDD AV PERSONUPPGIFTER Artikel 15 Personuppgiftsansvariga De behöriga gränsmyndigheterna ska vara personuppgiftsansvariga, i den mening som avses i artikel 4.7 i förordning (EU) 2016/679, när det gäller behandling via routern av API-uppgifter som utgör personuppgifter, inbegripet överföring och lagring av dessa uppgifter i routern av tekniska skäl, samt när det gäller deras behandling av API-uppgifter som utgör personuppgifter i enlighet med artikel 7 i den här förordningen. Lufttrafikföretagen ska vara personuppgiftsansvariga, i den mening som avses i artikel 4.7 i förordning (EU) 2016/679, när det gäller behandling av API-uppgifter som utgör personuppgifter i samband med deras insamling av dessa uppgifter och deras överföring av dessa till routern enligt den här förordningen. Artikel 16 Personuppgiftsbiträde Eu-LISA ska vara personuppgiftsbiträde i den mening som avses i artikel 3.12 i förordning (EU) 2018/1725 för behandling via routern av API-uppgifter som utgör personuppgifter i enlighet med denna förordning och förordning (EU) [API för brottsbekämpning]. Artikel 17 Säkerhet 1.Eu-LISA ska säkerställa säkerheten för de API-uppgifter, särskilt API-uppgifter som utgör personuppgifter, som byrån behandlar i enlighet med denna förordning och förordning (EU) [API för brottsbekämpning]. De behöriga gränsmyndigheterna och lufttrafikföretagen ska säkerställa säkerheten för de API-uppgifter, särskilt API-uppgifter som utgör personuppgifter, som de behandlar i enlighet med denna förordning. Eu-LISA, de behöriga gränsmyndigheterna och lufttrafikföretagen ska, i enlighet med sina respektive ansvarsområden och unionsrätten, samarbeta med varandra för att säkerställa sådan säkerhet. 2.I synnerhet ska eu-LISA vidta nödvändiga åtgärder för att säkerställa säkerheten för routern och de API-uppgifter, särskilt API-uppgifter som utgör personuppgifter, som överförs via routern, bland annat genom att upprätta, genomföra och regelbundet uppdatera en säkerhetsplan, en kontinuitetsplan och en katastrofplan för att a)fysiskt skydda routern, bland annat genom att utarbeta beredskapsplaner för skydd av dess kritiska komponenter, b)förhindra obehörig behandling av API-uppgifter, inbegripet obehörig åtkomst till och kopiering, ändring eller radering av dessa, både under överföringen av API-uppgifterna till och från routern och vid lagring av API-uppgifterna på routern när så är nödvändigt för att slutföra överföringen, särskilt med hjälp av lämplig krypteringsteknik, c)säkerställa att det är möjligt att verifiera och fastställa till vilka behöriga gränsmyndigheter eller enheter för passagerarinformation som API-uppgifterna överförs via routern, d)korrekt rapportera till styrelsen om eventuella funktionsfel i routern,

e)övervaka effektiviteten i de säkerhetsåtgärder som krävs enligt denna artikel och enligt förordning (EU) 2018/1725, och bedöma och uppdatera dessa säkerhetsåtgärder när så är nödvändigt mot bakgrund av den tekniska eller operativa utvecklingen. De åtgärder som avses i första stycket i denna punkt ska inte påverka artikel 33 i förordning (EU) 2018/1725 och artikel 32 i förordning (EU) 2016/679. Artikel 18 Egenkontroll Lufttrafikföretagen och de behöriga myndigheterna ska övervaka att de fullgör sina respektive skyldigheter enligt denna förordning, särskilt när det gäller deras behandling av API-uppgifter som utgör personuppgifter, inbegripet genom täta kontroller av de loggar som avses i artikel 13. Artikel 19 Granskning av skyddet av personuppgifter 1.De behöriga nationella dataskyddsmyndigheter som avses i artikel 51 i förordning (EU) 2016/679 ska säkerställa att en granskning av de behöriga gränsmyndigheternas behandling av API-uppgifter som utgör personuppgifter vid tillämpningen av den här förordningen genomförs, i enlighet med relevanta internationella revisionsstandarder, minst en gång vart fjärde år. 2.Europeiska datatillsynsmannen ska säkerställa att en granskning av eu-LISA:s behandling av API-uppgifter som utgör personuppgifter vid tillämpningen av denna förordning och förordning (EU) [API för brottsbekämpning] genomförs i enlighet med relevanta internationella revisionsstandarder minst en gång om året. En rapport om granskningen ska sändas till Europaparlamentet, rådet, kommissionen, medlemsstaterna och eu-LISA. Eu-LISA ska ges tillfälle att yttra sig innan rapporterna antas. 3.När det gäller sådan behandling som avses i punkt 2 ska eu-LISA tillhandahålla Europeiska datatillsynsmannen den information som den begär, ge Europeiska datatillsynsmannen tillgång till alla handlingar som den begär och åtkomst till de loggar som avses i artikel 13.1 samt när som helst bereda Europeiska datatillsynsmannen tillträde till alla sina lokaler. KAPITEL 5 ANSLUTNINGAR OCH YTTERLIGARE BESTÄMMELSER OM ROUTERN Artikel 20 De behöriga gränsmyndigheternas anslutningar till routern 1.Medlemsstaterna ska säkerställa att deras behöriga gränsmyndigheter är anslutna till routern. De ska säkerställa att de behöriga gränsmyndigheternas system och infrastruktur för mottagning av API-uppgifter som överförs i enlighet med denna förordning integreras med routern. Medlemsstaterna ska säkerställa att anslutningen till routern och integreringen med den gör det möjligt för deras behöriga gränsmyndigheter att ta emot och vidarebehandla API-uppgifterna samt att utbyta relaterad kommunikation på ett lagligt, säkert, effektivt och snabbt sätt. 2.Kommissionen ges befogenhet att anta delegerade akter i enlighet med artikel 37 för att komplettera denna förordning genom att fastställa nödvändiga detaljerade regler om de anslutningar till och den integrering med routern som avses i punkt 1. Artikel 21 Lufttrafikföretagens anslutningar till routern

1.Lufttrafikföretagen ska säkerställa att de är anslutna till routern. De ska säkerställa att deras system och infrastruktur för överföring av API-uppgifter till routern i enlighet med denna förordning integreras med routern. Lufttrafikföretagen ska säkerställa att anslutningen till routern och integreringen med den gör det möjligt för dem att överföra API-uppgifterna samt att utbyta relaterad kommunikation på ett lagligt, säkert, effektivt och snabbt sätt. 2.Kommissionen ges befogenhet att anta delegerade akter i enlighet med artikel 37 för att komplettera denna förordning genom att fastställa nödvändiga detaljerade regler om de anslutningar till och den integrering med routern som avses i punkt 1. Artikel 22 Eu-LISA:s uppgifter i samband med utformning och utveckling av routern 1.Eu-LISA ska ansvara för utformningen av routerns fysiska arkitektur, inbegripet fastställandet av de tekniska specifikationerna. 2.Eu-LISA ska ansvara för utvecklingen av routern, inbegripet för eventuella tekniska anpassningar som behövs för routerns drift. Utvecklingen av routern ska bestå i att utarbeta och genomföra de tekniska specifikationerna, testerna och den övergripande projektledningen och samordningen av utvecklingsfasen. 3.Eu-LISA ska säkerställa att routern utformas och utvecklas på ett sådant sätt att routern tillhandahåller de funktioner som anges i denna förordning och förordning (EU) [API för brottsbekämpning] och att routern tas i drift så snart som möjligt efter det att kommissionen antagit de delegerade akter som föreskrivs i artiklarna 5.4, 6.3, 11.4, 20.2 och 21.2. 4.När eu-LISA anser att utvecklingsfasen har slutförts ska byrån utan onödigt dröjsmål genomföra ett övergripande test av routern i samarbete med behöriga gränsmyndigheter, enheterna för passagerarinformation och andra relevanta myndigheter i medlemsstaterna och lufttrafikföretag och informera kommissionen om resultatet av detta test. Artikel 23 Eu-LISA:s uppgifter i samband med hysning och teknisk förvaltning av routern 1.Eu-LISA ska hysa routern i sina tekniska anläggningar. 2.Eu-LISA ska ansvara för den tekniska förvaltningen av routern, inbegripet dess underhåll och tekniska utveckling, på ett sådant sätt att det säkerställs att API-uppgifterna överförs på ett säkert, effektivt och snabbt sätt via routern, i enlighet med denna förordning och förordning (EU) [API för brottsbekämpning]. Den tekniska förvaltningen av routern ska bestå i att utföra alla uppgifter och införa alla tekniska lösningar som krävs för att routern ska fungera korrekt i enlighet med denna förordning och förordning (EU) [API för brottsbekämpning] oavbrutet dygnet runt alla dagar i veckan. Den ska omfatta det underhållsarbete och den tekniska utveckling som krävs för att säkerställa att routern fungerar med tillfredsställande teknisk kvalitet, särskilt när det gäller tillgänglighet, korrekthet och tillförlitlighet i överföringen av API-uppgifter, i enlighet med de tekniska specifikationerna och i möjligaste mån i enlighet med de operativa behoven hos behöriga gränsmyndigheter, enheter för passagerarinformation och lufttrafikföretag. 3.Eu-LISA ska inte ha åtkomst till några av de API-uppgifter som överförs via routern. Detta förbud ska dock inte hindra eu-LISA från att få sådan åtkomst i den mån det är absolut nödvändigt för underhåll av routern. 4.Utan att det påverkar tillämpningen av punkt 3 i denna artikel och artikel 17 i rådets förordning (EEG, Euratom, EKSG) nr 259/68 ska eu-LISA tillämpa lämpliga regler om tystnadsplikt eller andra likvärdiga sekretesskrav på sina anställda som arbetar med API-uppgifter som överförs via routern. Denna skyldighet ska gälla även efter det att de anställda i fråga lämnat sin tjänst eller anställning eller upphört med sin verksamhet. Artikel 24 Eu-LISA:s stöduppgifter avseende routern 1.Eu-LISA ska på deras begäran tillhandahålla behöriga gränsmyndigheter, enheter för passagerarinformation och andra relevanta myndigheter i medlemsstaterna och lufttrafikföretag utbildning om den tekniska användningen av routern.

2.Eu-LISA ska ge stöd till behöriga gränsmyndigheter och enheter för passagerarinformation när det gäller mottagandet av API-uppgifter via routern i enlighet med denna förordning respektive förordning (EU) [API för brottsbekämpning], särskilt när det gäller tillämpningen av artiklarna 11 och 20 i den här förordningen och artiklarna 5 och 10 i förordning (EU) [API för brottsbekämpning]. Artikel 25 Eu-LISA:s och medlemsstaternas kostnader 1.Eu-LISA:s kostnader i samband med utformning, utveckling, hysning och teknisk förvaltning av routern enligt denna förordning och förordning (EU) [API för brottsbekämpning] ska belasta unionens allmänna budget. 2.Medlemsstaternas kostnader i samband med deras anslutningar till och integrering med routern i enlighet med artikel 20 ska belasta unionens allmänna budget. Medlemsstaterna ska dock stå för följande kostnader, som är undantagna: a)Kostnader för projektledningskontoret, bland annat möten, tjänsteresor och kontor. b)Kostnader för att hysa nationella it-system, bland annat utrymme, implementering, el och kylning. c)Kostnader för drift av nationella it-system, bland annat operatörer och supportavtal. d)Kostnader för utformning, utveckling, implementering, drift och underhåll av nationella kommunikationsnätverk. 3.Medlemsstaterna ska också stå för kostnaderna för administration, användning och underhåll av sina anslutningar till och integrering med routern. Artikel 26 Skadeståndsansvar för routern Om en medlemsstats eller ett lufttrafikföretags underlåtenhet att fullgöra sina skyldigheter enligt denna förordning orsakar skada på routern, ska den medlemsstaten eller det lufttrafikföretaget ansvara för denna skada, såvida inte och i den mån som eu-LISA har underlåtit att vidta rimliga åtgärder för att förhindra skadan eller för att begränsa dess verkningar. Artikel 27 Routerns driftsättning Kommiss