CELEX ID: 32025R0013

--- ENGLISH ---

Document:
Official Journal 
of the European Union
EN
L series
2025/13
8.1.2025
REGULATION (EU) 2025/13 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 19 December 2024
on the collection and transfer of advance passenger information for the prevention, detection, investigation and prosecution of terrorist offences and serious crime, and amending Regulation (EU) 2019/818
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 82(1), point (d), and Article 87(2), point (a), thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
Acting in accordance with the ordinary legislative procedure 
(
2
)
,
Whereas:
(1)
The transnational dimension of serious crime and organised crime and the continuous threat of terrorist attacks on European soil call for action at Union level to adopt appropriate measures to ensure security within an area of freedom, security and justice without internal borders. Information on passengers, such as passenger name records (PNR) and in particular advance passenger information (API), is essential in order to identify high-risk passengers, including those who are not otherwise known to law enforcement authorities, to establish links between members of criminal groups, and to counter terrorist activities.
(2)
While Council Directive 2004/82/EC 
(
3
)
 establishes a legal framework for the collection and transfer of API data by air carriers with the aims of improving border control and combating illegal immigration, it also states that Member States can use API data for law enforcement purposes. However, only creating such a possibility leads to several gaps and shortcomings. In particular, it means that, API data are not systematically collected and transferred by air carriers for law enforcement purposes. The possibility to use API data for law enforcement purposes also means that, where Member States acted upon that possibility, air carriers are faced with diverging requirements under national law as regards when and how to collect and transfer API data for those purposes. Those divergences not only lead to unnecessary costs and complications for air carriers, but they are also prejudicial to the Union’s internal security and effective cooperation between the competent law enforcement authorities of the Member States. Moreover, in view of the different nature of the purposes of facilitating border controls and law enforcement, it is appropriate to establish a distinct legal framework for the collection and transfer of API data for each of those purposes.
(3)
Directive (EU) 2016/681 of the European Parliament and of the Council 
(
4
)
 lays down rules on the use of PNR data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime. Under that Directive, Member States are to adopt the necessary measures to ensure that air carriers transfer PNR data, including any API data collected, to the national passenger information unit (PIU) established under that Directive to the extent that they have already collected such data in the normal course of their business. Consequently, that Directive does not ensure the collection and transfer of API data in all cases, as air carriers do not have any business-related reason to collect a full set of such data. Ensuring that PIUs receive API data together with PNR data is important, since the joint processing of such data is needed for the competent authorities of the Member States to be able to effectively prevent, detect, investigate and prosecute terrorist offences and serious crime. In particular, such joint processing allows for the accurate identification of those passengers that might need to be further examined, in accordance with the applicable law, by those authorities. In addition, that Directive does not specify in detail which information constitutes API data. For those reasons, complementary rules should be established requiring air carriers to collect and subsequently transfer a specifically defined set of API data, which requirements should apply to the extent that the air carriers are bound under that Directive to collect and transfer PNR data on the same flight.
(4)
It is therefore necessary to establish clear, harmonised and effective rules at Union level on the collection and transfer of API data for the purpose of preventing, detecting, investigating and prosecuting terrorist offences and serious crime.
(5)
Considering the close relationship between both acts, this Regulation should be understood as complementing the rules provided for in Directive (EU) 2016/681, as interpreted by the Court of Justice of the European Union (CJEU). Therefore, API data are only to be collected and transferred under this Regulation in accordance with the specific requirements set out herein, including as regards the situations and the manner in which that is to be done. However, the rules of that Directive apply in respect of matters not specifically covered by this Regulation, especially regarding the rules on the subsequent processing of the API data received by the PIUs, exchange of information between Member States, conditions of access by the European Union Agency for Law Enforcement Cooperation (Europol), transfers to third countries, retention and depersonalisation, as well as the protection of personal data. Insofar as those rules apply, the rules of that Directive on penalties and the national supervisory authorities apply as well. This Regulation should leave those rules unaffected and should therefore, in particular, be without prejudice to the requirements and safeguards applicable to the processing of API data by the PIUs.
(6)
The collection and transfer of API data affect the privacy of individuals and entail the processing of their personal data. In order to fully respect their fundamental rights, in particular the right of respect for private life and the right to the protection of personal data, in accordance with the Charter of Fundamental Rights of the European Union (the ‘Charter’), adequate limits and safeguards should be provided for. For example, any processing of API data and, in particular, API data constituting personal data should remain strictly limited to what is necessary for and proportionate to achieving the objectives pursued by this Regulation. In addition, it should be ensured that the processing of any API data collected and transferred under this Regulation does not lead to any form of discrimination precluded by the Charter.
(7)
In view of the complementary nature of this Regulation in relation to Directive (EU) 2016/681, the obligations of air carriers under this Regulation should apply in respect of all flights for which Member States are to require air carriers to transmit PNR data under Directive (EU) 2016/681, irrespective of the place of establishment of the air carriers conducting those flights. Those flights should concern both scheduled and non-scheduled flights, both between Member States and third countries (extra-EU flights), and between several Member States (intra-EU flights) provided that such intra-EU flights will depart from, land on, or make a stop-over on the territory of at least one Member State that has notified its decision to apply Directive (EU) 2016/681 to intra-EU flights in accordance with Article 2(1) of that Directive and in line with the case-law of the CJEU. As regards the intra-EU flights covered by this Regulation, such a targeted approach, enacted in application of Article 2 of Directive (EU) 2016/681 and centred on the demands of effective law enforcement, should also be required in view of the need to ensure compliance with requirements of Union law on the necessity and proportionality of the data processing, the free movement of persons and the abolition of internal border controls. The collection of data from any other civil aircraft operations, such as flight schools, medical flights, emergency flights, as well as from military flights, is not within the scope of this Regulation. This Regulation is without prejudice to the collection of data from such flights as provided for in national law that is compatible with Union law. The Commission should assess the feasibility of a Union scheme obliging operators of private flights to collect and transfer air passenger data.
(8)
The obligations on air carriers to collect and transfer API data under this Regulation should include all passengers and crew members on flights into the Union, transit passengers and crew members whose final destination is outside of the Union and any off-duty crew member positioned on a flight by an air carrier in connection with their duties.
(9)
Accordingly, given that Directive (EU) 2016/681 does not cover domestic flights that depart and land on the territory of the same Member State without any stop-over in the territory of another Member State or a third country, and in view of the transnational dimension of the terrorist offences and the serious crime covered by this Regulation, such flights should not be within the scope of this Regulation either. This Regulation should not be understood as affecting the possibility for Member States to provide, under their national law and in compliance with Union law, for obligations on air carriers to collect and transfer API data on such domestic flights.
(10)
In view of the close relationship between Union legal acts concerned and in the interest of consistency and coherence, the definitions set out in this Regulation should, where appropriate, be aligned with, interpreted and applied in the light of, the definitions set out in Directive (EU) 2016/681 and Regulation (EU) 2025/12 of the European Parliament and of the Council 
(
5
)
.
(11)
In particular, the items of information that together constitute the API data to be collected and subsequently transferred under this Regulation should be listed clearly and exhaustively, covering both information relating to each passenger and crew member and information on the flight of that passenger and crew member. Under this Regulation, and in accordance with international standards, such flight information should cover seating and baggage information, where such information is available, and information on the border crossing point of entry into the territory of the Member State concerned only where applicable, not when the API data relate to intra-EU flights. Where baggage or seat information is available within other IT systems that the air carrier, its handler, its system provider or the airport authority has at its disposal, air carriers should integrate that information in the API data to be transferred to the PIUs. API data as defined and regulated under this Regulation do not include biometric data.
(12)
In order to enable travelling without carrying a travel document where Member States allow such practice under national law in accordance with Union law, including on the basis of an international agreement, it should be possible for a Member State to impose an obligation on air carriers to provide the possibility for passengers to voluntarily upload API data by automated means and to have such data stored by the air carrier with a view to transferring the data for the purpose of future flights.
(13)
In order to allow for flexibility and innovation, it should in principle be left to each air carrier to determine how it meets its obligations regarding the collection of API data set out in this Regulation, taking into account the different types of air carrier as defined in this Regulation and their respective business models, including as regards check-in times and cooperation with airports. However, considering that suitable technological solutions exist that allow certain API data to be collected automatically while ensuring that the API data concerned are accurate, complete and up to date, and having regard to the advantages of the use of such technology in terms of effectiveness and efficiency, air carriers should be required to collect such API data using automated means, by reading information from the machine-readable data of the travel document. Where the use of such automated means is not technically possible in exceptional circumstances, air carriers should exceptionally collect the API data manually, either as part of the online check-in process or as part of the check-in at the airport, in such a manner as to ensure compliance with their obligations under this Regulation.
(14)
The collection of API data by automated means should be strictly limited to the alphanumerical data contained in the travel document and should not lead to the collection of any biometric data from it. As the collection of API data is part of the check-in process, either online or at the airport, this Regulation does not include an obligation for air carriers to check a travel document of the passenger at the moment of boarding. Compliance with this Regulation does not include any obligation for passengers to carry a travel document at the moment of boarding. This should be without prejudice to obligations stemming from other Union legal acts or national law that is compatible with Union law.
(15)
The collection of API data from travel documents should also be consistent with the International Civil Aviation Organisation (ICAO) standards on machine-readable travel documents, which have been incorporated into Union law by means of Regulation (EU) 2019/1157 of the European Parliament and of the Council 
(
6
)
, Council Regulation (EC) No 2252/2004 
(
7
)
 and Council Directive (EU) 2019/997 
(
8
)
.
(16)
In order to avoid a situation in which air carriers have to establish and maintain multiple connections with the PIUs of the Member States for the transfer of API data collected under this Regulation, and thereby avoid the related inefficiencies and security risks, provision should be made for a single router, created and operated at Union level in accordance with this Regulation and Regulation (EU) 2025/12, that serves as a connection and distribution point for those transfers. In the interest of efficiency and cost effectiveness, the router should, to the extent technically possible and in full compliance with the rules of this Regulation and Regulation (EU) 2025/12, rely on technical components from other relevant systems created under Union law, in particular the web service referred to in Regulation (EU) 2017/2226 of the European Parliament and of the Council 
(
9
)
, the carrier gateway referred to in Regulation (EU) 2018/1240 of the European Parliament and of the Council 
(
10
)
 and the carrier gateway referred to in Regulation (EC) No 767/2008 of the European Parliament and of the Council 
(
11
)
. In order to reduce the impact on air carriers and ensure a harmonised approach towards air carriers, the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), established by Regulation (EU) 2018/1726 of the European Parliament and of the Council 
(
12
)
 should design the router, to the extent technically and operationally possible, in a way that is coherent and consistent with the obligations for air carriers set out in Regulations (EC) No 767/2008, (EU) 2017/2226 and (EU) 2018/1240.
(17)
With the aim of ensuring the readability of PNR data by the PIUs and the proper functioning of their PNR systems, the digital messages sent by an air carrier containing one or several passenger name records (‘PNR messages’), should be transferred by air carriers and transmitted by the router in a standardised format by means of standardised data fields or codes, in terms of both content and structure. Before the router starts operations in relation to other PNR data, the tests to be conducted by eu-LISA, should ensure the capability, speed and reliability of the router to provide for such standardisation. To that end, the Commission should take the steps necessary to revise existing implementing legislation adopted pursuant to Article 16 of Directive (EU) 2016/681 setting out common protocols and supported data formats. Such revision should be carried out in close consultation with representatives of the Member States in order to draw on their expertise and guarantee that the best practices they have developed when implementing Directive (EU) 2016/681 at national level are taken into account at Union level for the functioning of the router. The API-PNR Contact Group should support such revision.
(18)
In order to improve the efficiency of the transmission of air traffic data and support the monitoring of the API data transmitted to PIUs, the router should receive real-time flight traffic information collected by other organisations, such as the European Organisation for the Safety of Air Navigation (‘Eurocontrol’).
(19)
The router should serve only to facilitate the transfer of API data and other PNR data from the air carriers to the PIUs in accordance with this Regulation, and should not be a repository of API data or other PNR data. Therefore, and in order to minimise any risk of unauthorised access or other misuse and in accordance with the principle of data minimisation, no storage should take place unless strictly necessary for technical purposes related to the transmission and the API data or other PNR data should be deleted from the router, immediately, permanently and in an automated manner, from the moment that the transmission has been completed or, where relevant under this Regulation, the API data or other PNR data are not to be transmitted at all.
(20)
In order to allow air carriers to benefit as soon as possible from the advantages offered by the use of the router developed by eu-LISA in accordance with this Regulation and Regulation (EU) 2025/12, and to gain experience in using it, air carriers should be provided with the possibility, but not the obligation, to use the router to transfer the information that they are required to transfer under Directive 2004/82/EC during an interim period. That interim period should commence at the moment at which the router starts operations and end when the obligations under that Directive cease to apply. With a view to ensuring that any such voluntary use of the router takes place in a responsible manner, the prior written agreement of the Member State that is to receive the information should be required, upon request of the air carrier and after that Member State having conducted verifications and obtained assurances, as necessary. Similarly, in order to avoid a situation in which air carriers repeatedly start and stop using the router, once an air carrier starts such use on a voluntary basis, it should be required to continue it, unless there are objective reasons to discontinue the use of the router for the transfer of the information to the Member State concerned, such as it having become apparent that the information is not transferred in a lawful, secure, effective and swift manner. In the interest of the proper application of the possibility of voluntarily using the router, with due regard to the rights and interests of all affected parties, the necessary rules on consultations and the provision of information should be provided for in this Regulation. Any such voluntary use of the router in application of Directive 2004/82/EC as provided for in this Regulation should not be understood as affecting in any way the obligations of air carriers and Member States under that Directive.
(21)
The requirements set out in this Regulation and the corresponding delegated and implementing acts should lead to the uniform implementation of this Regulation by the air carriers, thereby minimising the cost of the interconnection of their respective systems. To facilitate the harmonised implementation of those requirements by the air carriers, in particular as regards the data structure, format and transmission protocol, the Commission, on the basis of its cooperation with the PIUs, other Member States authorities, air carriers, and relevant Union agencies, should ensure that the practical handbook to be prepared by the Commission provides all the necessary guidance and clarifications.
(22)
In order to enhance the quality of API data, the router to be established under this Regulation should verify whether the API data transferred to it by the air carriers comply with the supported data formats. Where the verification determines that the data are not compliant with those data formats, the router should, immediately and in an automated manner, notify the air carrier concerned.
(23)
Passengers should have the possibility to provide certain API data themselves by automated means during an online check-in process, for example via a secure application on a passenger’s smartphone, a computer or a webcam with the capability to read the machine-readable data of the travel document. Where passengers do not check in online, air carriers should provide them with the possibility to provide the required machine-readable API data during check-in at the airport with the assistance of a self-service kiosk or of air carriers’ staff at the check-in counter. Without prejudice to air carriers’ freedom to set air fares and define their commercial policy, it is important that the obligations under this Regulation do not lead to disproportionate obstacles for passengers unable to use online means to provide API data, such as additional fees for providing API data at the airport. In addition, this Regulation should provide for a transitional period during which passengers are given the possibility to provide API data manually as part of the online check-in process. In such cases, air carriers should use data verification techniques.
(24)
It is important that automated data collection systems and other processes established under this Regulation do not have a negative impact on the employees in the aviation industry, who are to be provided with upskilling and reskilling opportunities that would increase the efficiency and reliability of data collection and transfer as well as the working conditions in the sector.
(25)
In order to ensure the joint processing of API data and PNR data to effectively fight terrorism and serious crime in the Union and at the same time minimise the interference with passengers’ fundamental rights protected under the Charter, the PIUs should be the competent authorities in the Member States that are entrusted to receive, and subsequently further process and protect, API data collected and transferred under this Regulation. In the interest of efficiency and to minimise any security risks, the router, as designed, developed, hosted and technically maintained by eu-LISA in accordance with this Regulation and Regulation (EU) 2025/12, should transmit the API data, collected and transferred to it by the air carriers under this Regulation, to the relevant PIUs. Given the necessary level of protection of API data constituting personal data, including to ensure the confidentiality of the information concerned, the API data should be transmitted by the router to the relevant PIUs in an automated manner. This Regulation should not affect the possibility for Member States to provide for a single data entry point that ensures their connection to and integration with the router.
(26)
With a view to ensuring the fulfilment of the rights provided for under the Charter, as well as ensuring accessible and inclusive travel options, especially for vulnerable groups and persons with disabilities, and in accordance with the rights of disabled persons and persons with reduced mobility when travelling by air set out in Regulation (EC) No 1107/2006 of the European Parliament and of the Council 
(
13
)
, air carriers, supported by the Member States, should ensure that an option for the provision of the necessary data by passengers at the airport is available at all times.
(27)
For extra-EU flights, the PIU of the Member State on whose territory the flight will land or from whose territory the flight will depart should receive the API data from the router for all those flights for which PNR data are collected in accordance with Directive (EU) 2016/681. The router should identify the flight and the corresponding PIUs using the information contained in the PNR record locator, a data element common to both the API data sets and the PNR data sets allowing for the joint processing of API data and PNR data by the PIUs.
(28)
As regards intra-EU flights, in line with the case-law of the CJEU, in order to avoid unduly interfering with passengers’ relevant fundamental rights as protected under the Charter and to ensure compliance with the requirements of Union law on the free movement of persons and the abolition of internal border controls, a selective approach should be provided for. In view of the importance of ensuring that API data can be processed together with PNR data, that approach should be aligned with that of Directive (EU) 2016/681. For those reasons, API data on those flights should only be transmitted from the router to the relevant PIUs, where the Member States have selected the flights concerned in application of Article 2 of Directive (EU) 2016/681 and in accordance with the selective approach provided for in this Regulation. Only in situations of a genuine and present or foreseeable terrorist threat and on the basis of a decision that is based on a threat assessment, limited in time to what is strictly necessary and that is open to effective review, Member States should be able to apply Directive (EU) 2016/681 to all intra-EU flights arriving at or departing from its territory. In other situations, a selective approach should be provided for. As recalled by the CJEU, the selection entails Member States targeting the obligations in question only at, inter alia, certain routes, travel patterns or airports, subject to the regular review of that selection. Furthermore, the selection should be based on an objective, duly reasoned and non-discriminatory assessment that takes into account only criteria which are relevant for the prevention, detection, investigation and prosecution of terrorist offences and serious crime, having an objective link, including an indirect link, with the carriage of passengers by air. Member States should keep all relevant documentation related to the assessment in order to allow for proper supervision and review their assessment regularly and at least every 12 months in line with Article 13(7) of this Regulation.
(29)
In order to enable the application of the selective approach under this Regulation in respect of intra-EU flights, the Member States should be required to draw up lists of the flights or routes they selected and insert them into the router, so that eu-LISA can ensure that only API data for those flights or routes is transmitted from the router to the relevant PIUs and that the API data on other intra-EU flights is immediately and permanently deleted.
(30)
In order to increase cohesion among the selective approaches taken by the different Member States, the Commission should facilitate a regular exchange of views on the choice of selection criteria, including the sharing of best practices, as well as, on a voluntary basis, the exchange of information on selected flights.
(31)
In order not to endanger the effectiveness of the system that relies on the collection and transfer of API data set up by this Regulation, and of PNR data under the system set up by Directive (EU) 2016/681, for the purpose of preventing, detecting, investigating and prosecuting terrorist offences and serious crime, in particular by creating the risk of circumvention, information on which intra-EU flights the Member States selected should be treated in a confidential manner. For that reason, such information should not be shared with the air carriers and they should therefore be required to collect API data on all flights covered by this Regulation, including all intra-EU flights, and then transfer it to the router, where the necessary selection should be implemented. Moreover, by collecting API data on all intra-EU flights, passengers are not made aware on which selected intra-EU flights API data, and hence also PNR data, is transmitted to the PIUs in accordance with the assessment of Member States. That approach also ensures that any changes relating to that selection can be implemented swiftly and effectively, without imposing any undue economic and operational burdens on the air carriers.
(32)
This Regulation does not permit the collection or transfer of API data on intra-EU flights for the purpose of combating illegal immigration, in accordance with Union law and the case-law of the CJEU.
(33)
In the interest of ensuring compliance with the fundamental right to protection of personal data, this Regulation should identify the controller and processor and set out rules on audits. In the interest of effective monitoring, ensuring adequate protection of personal data and minimising security risks, rules should also be provided for on logging, security of processing and self-monitoring. Where they relate to the processing of personal data, those provisions should be in line with the generally applicable Union legal acts on the protection of personal data, in particular Regulations (EU) 2016/679 
(
14
)
 and (EU) 2018/1725 
(
15
)
 of the European Parliament and the Council.
(34)
Without prejudice to more specific rules laid down in this Regulation for the processing of personal data, Regulation (EU) 2016/679 should apply to the processing of personal data by air carriers under this Regulation. Directive (EU) 2016/680 of the European Parliament and of the Council 
(
16
)
 should apply to the processing of personal data under this Regulation by national competent authorities, as defined in that directive, for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, including the safeguarding against and the prevention of threats to public security. Regulation (EU) 2018/1725 should apply to the processing of personal data by eu-LISA when carrying out its responsibilities under this Regulation.
(35)
Taking into account the right of passengers to be informed of the processing of their personal data, Member States should ensure that passengers are provided with accurate information about the collection of API data, the transfer of such data to the PIU and their rights as data subjects that is easily accessible and easy to understand, at the moment of booking and at the moment of check-in.
(36)
The personal data protection audits that Member States are responsible for should be carried out by the independent supervisory authorities referred to in Article 41 of Directive (EU) 2016/680 or by an auditing body entrusted with this task by the supervisory authority.
(37)
The purposes of the processing operations under this Regulation, namely the transmission of API data from air carriers via the router to the PIUs of the Member States, are to assist those authorities in the performance of their obligations and tasks in accordance with Directive (EU) 2016/681. Therefore, Member States should designate authorities to be controllers for the processing of the data in the router, the transmission of the data from the router to the PIU, and the subsequent processing of those data in accordance with Directive (EU) 2016/681. Member States should communicate those authorities to the Commission and eu-LISA. For the processing of personal data in the router, Member States should be joint controllers in accordance with Article 21 of Directive (EU) 2016/680. The air carriers, in turn, should be separate controllers with regard to the processing of API data constituting personal data under this Regulation. On this basis, both the air carriers and the PIUs should be separate controllers with regard to the processing operations for API data under this Regulation. As eu-LISA is responsible for the design, development, hosting and technical management of the router, it should be the processor for the processing of API data constituting personal data via the router, including the transmission of the data from the router to the PIUs and the storage of those data on the router insofar as such storage is needed for technical purposes.
(38)
The router to be created and operated under this Regulation and Regulation (EU) 2025/12 should reduce and simplify the technical connections needed to transfer API data under this Regulation, limiting them to a single connection per air carrier and per PIU. Therefore, this Regulation should provide for the obligation for the PIUs and air carriers to each establish such a connection to, and achieve the required integration with, the router, to ensure that the system for transferring API data established by this Regulation can function properly. The design and development of the router by eu-LISA should enable the effective and efficient connection and integration of air carriers’ systems and infrastructure by providing for all relevant standards and technical requirements. To ensure the proper functioning of the system set up by this Regulation, detailed rules should be provided. When designing and developing the router, eu-LISA should ensure that API data and other PNR data transferred by air carriers and transmitted to PIUs are encrypted in transit.
(39)
In view of the Union interests at stake, all the costs incurred by eu-LISA for the performance of its tasks under this Regulation in respect of the router should be borne by the Union budget, including the design and development of the router, the hosting and technical management of the router, and the governance structure at eu-LISA to support the design, development, hosting and technical management of the router. The same might apply for the costs incurred by the Member States in relation to their connections to, and integration with, the router and their maintenance, as required under this Regulation, in accordance with the applicable Union law. It is important that the Union budget provides appropriate financial support to the Member States for those costs. To that end, the financial needs of the Member States should be supported by the general budget of the Union, in accordance with the eligibility rules and co-financing rates set by the relevant Union legal acts. The annual Union contribution allocated to eu-LISA should cover the needs related to the hosting and the technical management of the router based on an assessment carried out by eu-LISA. The Union budget should also cover the support, such as training, provided by eu-LISA to air carriers and PIUs to enable effective transfer and transmission of API data through the router. The costs incurred by the independent national supervisory authorities in relation to the tasks entrusted to them under this Regulation should be borne by the respective Member States.
(40)
In accordance with Regulation (EU) 2018/1726, Member States can entrust eu-LISA with the task of facilitating connectivity with air carriers in order to assist Member States in the implementation of Directive (EU) 2016/681, particularly by collecting and transferring PNR data via a router. To that end, and for reasons of cost effectiveness and efficiency for both Member States and air carriers, this Regulation should require air carriers to use the router for the transfer to the databases of their respective PIUs of other PNR data covered by Directive (EU) 2016/681, as part of national measures implementing the provision of that Directive on the obligation for Member States to ensure that air carriers transfer, by the ‘push method’, PNR data to the relevant PIUs.
(41)
In order to ensure that the data at issue are processed in a lawful, secure, effective and swift manner, the rules established by this Regulation in relation to the router and to the transmission of API data from the router to the PIUs should also apply accordingly to other PNR data. Those rules also include the obligations of this Regulation regarding the transfer and transmission of data in connection to intra-EU flights, in line with the case-law of the CJEU, as well as regarding the air carriers’ and the PIU’s connections to the router. As regards the rules on the timing of the transfers, the transmission protocols and the data formats in which the PNR messages are to be transferred to the router, the relevant provisions of Directive (EU) 2016/681 apply.
(42)
It is appropriate to clarify that the use of the router in connection to other PNR data affects only the manner in which those data are transferred and transmitted to the databases of the PIUs of the Member States concerned. The obligations of this Regulation regarding the collection of API data are not applicable in respect of all those other PNR data. Such collection should instead continue to be regulated solely by Directive (EU) 2016/681, only to the extent that air carriers have already collected such data in the normal course of their business within the meaning of the relevant provision of that Directive. Moreover, as is the case for API data collected by air carriers and transferred to the PIUs in accordance with this Regulation, the rules of that Directive in respect of matters not specifically covered by this Regulation, especially the rules on the subsequent processing of other PNR data received by the PIUs, should be left unaffected. Therefore, those rules continue to apply in respect of such data.
(43)
It cannot be excluded that, due to exceptional circumstances and despite all reasonable measures having been taken in accordance with this Regulation, the central infrastructure or one of the technical components of the router, or the communication infrastructures connecting the PIUs and the air carriers thereto fail to function properly, thus leading to a technical impossibility for air carriers to transfer, or for PIUs to receive, API data. Given the unavailability of the router and that it will generally not be reasonably possible for air carriers to transfer the API data affected by the failure in a lawful, secure, effective and swift manner through alternative means, the obligation for air carriers to transfer such API data to the router should cease to apply for as long as the technical impossibility persists. However, to ensure the availability of API data necessary for the prevention, detection, investigation and prosecution of terrorist offences and serious crime, air carriers should continue to collect and store API data so that they can be transferred as soon as the technical impossibility has been resolved. In order to minimise the duration and negative consequences of any technical impossibility, the parties concerned should in such a case immediately inform each other and immediately take all measures necessary to address the technical impossibility. This arrangement should be without prejudice to the obligations under this Regulation of all parties concerned to ensure that the router and their respective systems and infrastructure function properly, as well as to the fact that air carriers are subject to penalties if they fail to meet those obligations, including in cases where they seek to rely on this arrangement where such reliance is not justified. In order to deter such abuse and to facilitate supervision and, where necessary, the imposition of penalties, air carriers that rely on this arrangement on account of the failure of their own system and infrastructure should report thereon to the competent supervisory authority.
(44)
Where air carriers maintain direct connections to PIUs for the transfer of API data, those connections can constitute appropriate means, ensuring the necessary level of data security, to transfer API data directly to the PIUs where it is technically impossible to use the router. PIUs should be able, in the exceptional case of technical impossibility to use the router, to request air carriers to use such appropriate means, which does not imply an obligation on air carriers to maintain or introduce such direct connections or any other appropriate means, ensuring the necessary level of data security, to transfer API data directly to the PIUs. The exceptional transfer of API data by any other appropriate means, such as encrypted email or a secure web portal, and excluding the use of non-standard electronic formats, should ensure the necessary level of data security, data quality and data protection. API data received by the PIUs by such other appropriate means should be further processed in accordance with the rules and data protection safeguards set out in Directive (EU) 2016/681. Following the notification from eu-LISA that the technical impossibility has been successfully addressed, and where it is confirmed that the transmission of the API data through the router to the PIU has been completed, the PIU should immediately delete the API data they previously received by any other appropriate means. That deletion should not affect specific cases where the API data that PIUs received by any other appropriate means has meanwhile been further processed in accordance with Directive (EU) 2016/681 for the specific purposes of preventing, detecting, investigating or prosecuting terrorist offences or serious crime.
(45)
In order to ensure that the rules of this Regulation are applied effectively by air carriers, provision should be made for the designation and empowerment of national authorities as national API supervision authorities charged with monitoring the application of those rules. Member States can designate their PIUs as national API supervision authorities. The rules of this Regulation on such monitoring, including as regards the imposition of penalties where necessary, should leave the tasks and powers of the supervisory authorities established in accordance with Regulation (EU) 2016/679 and Directive (EU) 2016/680 unaffected, including in relation to the processing of personal data under this Regulation.
(46)
Effective, proportionate and dissuasive penalties, which include financial as well as non-financial penalties, should be provided for by Member States against those air carriers failing to meet their obligations under this Regulation, including on the collection of API data by automated means and the transfer of the data in accordance with the required time frames, formats and protocols. In particular, Member States should ensure that a recurrent failure on the part of air carriers as legal persons to comply with their obligation to transfer any API data to the router in accordance with this Regulation is subject to proportionate financial penalties of up to 2 % of the air carrier’s global turnover of the preceding financial year. In addition, Member States should be able to apply penalties, including financial penalties, to air carriers for other forms of non-compliance with obligations under this Regulation.
(47)
When providing for rules on the penalties applicable to air carriers under this Regulation, Member States could take into account the technical and operational feasibility of ensuring complete data accuracy. Additionally, when penalties are imposed, their application and value should be established. National API supervision authorities could take into consideration the actions undertaken by the air carrier to mitigate the issue as well as its level of cooperation with national authorities.
(48)
As the router should be designed, developed, hosted and technically managed by the eu-LISA, it is necessary to amend Regulation (EU) 2018/1726 by adding that task to the tasks of eu-LISA. In order to store reports and statistics of the router on the Central Repository for Reporting and Statistics (CRRS) established by Regulation (EU) 2019/818 of the European Parliament and of the Council 
(
17
)
, it is necessary to amend that Regulation. In order to support the enforcement of this Regulation by the national API supervision authority, it is necessary that the amendments to Regulation (EU) 2019/818 include provisions on statistics on whether the API data are accurate and complete, for example by indicating whether the data were collected by automated means. It is also important to collect reliable and useful statistics concerning the implementation of this Regulation in order to support its objectives and inform the evaluations under this Regulation. At the request of the Commission, eu-LISA should provide it with statistics on specific aspects related to the implementation of this Regulation, such as aggregated statistics on the transmission of API data to the PIUs. Such statistics should not contain any personal data. Therefore, the CRRS should provide statistics based on API data only for the implementation and effective monitoring of the application of this Regulation. The data that the router automatically transmits to the CRRS to that end should not allow for the identification of the passengers concerned.
(49)
In order to increase clarity and legal certainty, to contribute to ensuring data quality, ensuring the responsible use of the automated means for the collection of machine-readable API data under this Regulation and ensuring the manual collection of API data in exceptional circumstances and during the transitional period, to provide clarity on the technical requirements that are applicable to air carriers and that are needed to ensure the API data that they collected under this Regulation are transferred to the router in a secure, effective and swift manner and so that it does not impact passengers’ travel and air carriers more than necessary, and to ensure that inaccurate or incomplete data or data that are no longer up to date are corrected, completed or updated, the power to adopt acts in accordance with Article 290 of the Treaty on the Functioning of the European Union (TFEU) should be delegated to the Commission to terminate the transitional period for the manual collection of API data; to adopt measures relating to the technical requirements and operational rules with which air carriers should comply with regard to the use of automated means for the collection of machine-readable API data under this Regulation and for the manual collection of API data in exceptional circumstances and during the transitional period, including requirements for data security; to lay down detailed rules on the common protocols and supported data formats to be used for the encrypted transfers of API data to the router, including requirements for data security; and to lay down detailed rules on correcting, completing and updating API data. It is of particular importance that the Commission carry out appropriate consultations with relevant stakeholders, including air carriers, during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making 
(
18
)
. In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States’ experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts. Taking into account the state of the art, those technical requirements and operational rules might change over time.
(50)
In order to ensure uniform conditions for the implementation of this Regulation, namely as regards the start of operations of the router, the technical and procedural rules for the data verifications and notifications, the technical and procedural rules for the transmission of API data from the router to the PIUs in a way that ensures that the transmission is secure, effective and swift and impacts passengers’ travel and air carriers no more than necessary, and the PIUs’ connections to and integration with the router, and to specify the responsibilities of the Member States as joint controllers, such as regards the identification and management of security incidents, including of personal data breaches, and the relationship between the joint controllers and eu-LISA as the processor, including the assistance of eu-LISA to the controllers with appropriate technical and organisational measures, insofar as it is possible, for the fulfilment of the controller’s obligations to respond to requests for exercising the data subject’s rights, implementing powers should be conferred on the Commission. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
19
)
.
(51)
All interested parties, and in particular the air carriers and the PIUs, should be afforded sufficient time to make the preparations necessary to be able to meet their respective obligations under this Regulation, taking into account that some of those preparations, such as those regarding the obligations on the connection to and integration with the router, can be finalised only when the design and development phases of the router have been completed and the router starts operations. Therefore, this Regulation should apply only from an appropriate date after the date on which the router starts operations, as specified by the Commission in accordance with this Regulation and Regulation (EU) 2025/12. However, it should be possible for the Commission to adopt delegated and implementing acts under this Regulation already from an earlier date, so as to ensure that the system set up by this Regulation is operational as soon as possible.
(52)
The design and development phases of the router established under this Regulation and Regulation (EU) 2025/12 should be commenced and completed as soon as possible so that the router can start operations as soon as possible, which also requires the adoption of the relevant implementing acts provided for by this Regulation. For the smooth and effective development of those phases, a dedicated Programme Management Board should be established with the function to supervise eu-LISA on fulfilling its tasks during those phases. It should cease to exist two years after the router has started its operations. In addition, a dedicated advisory body, the API-PNR Advisory Group, should be created in accordance with Regulation (EU) 2018/1726, with the objective of providing expertise to eu-LISA and to the Programme Management Board on the design and development phases of the router, as well as to eu-LISA on the hosting and management of the router. The Programme Management Board and the API-PNR Advisory Group should be established and operated following the models of existing programme management boards and advisory groups.
(53)
The clarification provided by this Regulation regarding the application of specifications concerning the use of automated means in application of Directive 2004/82/EC should also be provided without delay. Therefore, the provisions on those matters should apply from the date of the entry into force of this Regulation. In addition, in order to allow for the voluntary use of the router as soon as possible, the provisions on such use, as well as certain other provisions needed to ensure that such use takes place in a responsible manner, should apply from the earliest possible moment, that is, from the moment at which the router starts operations.
(54)
There should be a single governance structure for the purposes of this Regulation and Regulation (EU) 2025/12. With the objective of enabling and fostering communication between the representatives of air carriers, and the representatives of Member States authorities competent under this Regulation and under Regulation (EU) 2025/12 to have API data transmitted from the router, two dedicated bodies should be established at the latest two years after the start of operations of the router. Technical matters related to the usage and functioning of the router should be discussed in the API-PNR Contact Group where eu-LISA representatives should be also present. Policy matters such as in relation to penalties should be discussed in the API Expert Group.
(55)
This Regulation should be subject to regular evaluations to ensure the monitoring of its effective application. In particular, the collection of API data should not be to the detriment of the travel experience of legitimate passengers. Therefore, the Commission should include in its regular evaluation reports on the application of this Regulation an assessment of the impact of this Regulation on the travel experience of legitimate passengers. The evaluation should also include an assessment of the quality of the data sent by the router, as well as the performance of the router in respect of the PIUs.
(56)
Given that this Regulation requires additional adjustment and administrative costs by air carriers, the overall regulatory burden for the aviation sector should be kept under close review. Against this backdrop, the report evaluating the functioning of this Regulation should assess the extent to which the objectives of this Regulation have been met and the extent to which it has had an impact on the competitiveness of the sector.
(57)
The objectives of this Regulation, namely contributing to the prevention, detection, investigation and prosecution of terrorist offences and serious crime, in view of the transnational dimension of the offences concerned and the need to cooperate on a cross-border basis to effectively address them, cannot be sufficiently achieved by the Member States individually, but can rather be better achieved at Union level. The Union may therefore adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union (TEU). In accordance with the principle of proportionality, as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives.
(58)
This Regulation is without prejudice to the competences of Member States with regard to national law concerning national security, provided that such law complies with Union law.
(59)
This Regulation is without prejudice to the competence of Member States to collect, under their national law, passenger data from transportation providers other than those specified in this Regulation, provided that such national law complies with Union law.
(60)
In accordance with Articles 1 and 2 of Protocol No 22 on the position of Denmark, annexed to the TEU and to the TFEU, Denmark is not taking part in the adoption of this Regulation and is not bound by it or subject to its application.
(61)
In accordance with Article 3 of the Protocol No 21 on the position of the United Kingdom and Ireland in respect of the area of freedom, security and justice, annexed to the TEU and the TFEU, Ireland has notified its wish to take part in the adoption and application of this Regulation
(62)
The European Data Protection Supervisor was consulted in accordance with Article 42(1) of Regulation (EU) 2018/1725 and delivered an opinion on 8 February 2023 
(
20
)
,
HAVE ADOPTED THIS REGULATION:
CHAPTER 1
GENERAL PROVISIONS
Article 1
Subject matter
For the purpose of preventing, detecting, investigating and prosecuting terrorist offences and serious crime, this Regulation lays down the rules on:
(a)
the collection of advance passenger information (API) by air carriers on extra-EU flights and intra-EU flights;
(b)
the transfer of API data and other PNR data by air carriers to the router;
(c)
the transmission of API data and other PNR data from the router to the passenger information units (PIUs) on extra-EU flights and selected intra-EU flights.
This Regulation is without prejudice to Regulation (EU) 2016/679, Regulation (EU) 2018/1725 and Directive (EU) 2016/680.
Article 2
Scope
This Regulation applies to air carriers conducting:
(a)
extra-EU flights;
(b)
intra-EU flights that will depart from, arrive in or make a stop-over on the territory of at least one Member State that notified the Commission of its decision to apply Directive (EU) 2016/681 to intra-EU flights in accordance with Article 2(1) of that Directive.
Article 3
Definitions
For the purposes of this Regulation, the following definitions apply:
(1)
‘air carrier’ means an air carrier as defined in Article 3, point (1), of Directive (EU) 2016/681;
(2)
‘extra-EU flight’ means any extra-EU flight as defined in Article 3, point (2), of Directive (EU) 2016/681;
(3)
‘intra-EU flight’ means any intra-EU flight as defined in Article 3, point (3), of Directive (EU) 2016/681;
(4)
‘scheduled flight’ means a scheduled flight as defined in Article 3, point (5), of Regulation (EU) 2025/12;
(5)
‘non-scheduled flight’ means a non-scheduled flight as defined in Article 3, point (6), of Regulation (EU) 2025/12;
(6)
‘passenger’ means a passenger as defined in Article 3, point (4), of Directive (EU) 2016/681;
(7)
‘crew’ means any person on board of an aircraft during the flight, other than a passenger, who works on or operates the aircraft, including flight crew and cabin crew;
(8)
‘advance passenger information’ or ‘API data’ means the data and the flight information referred to in Article 4(2) and (3) respectively;
(9)
‘other passenger name record data’ or ‘other PNR data’ means the passenger name record as defined in Article 3, point (5), of Directive (EU) 2016/681, and as listed in Annex I to that Directive, with the exception of point 18 of that Annex;
(10)
‘passenger information unit’ or ‘PIU’ means the passenger information unit, as contained in the Member States’ notifications to the Commission and modifications thereof published by the Commission pursuant to Article 4(5) of Directive (EU) 2016/681;
(11)
‘terrorist offences’ means terrorist offences as referred to in Articles 3 to 12 of Directive (EU) 2017/541 of the European Parliament and the Council 
(
21
)
;
(12)
‘serious crime’ means serious crime as defined in Article 3, point (9), of Directive (EU) 2016/681;
(13)
‘the router’ means the router referred to in Article 9 of this Regulation and in Article 11 of Regulation (EU) 2025/12;
(14)
‘personal data’ means personal data as defined in Article 3, point (1), of Directive (EU) 2016/680, and Article 4, point 1, of Regulation (EU) 2016/679;
(15)
‘real-time flight traffic data’ means information on the inbound and outbound flight traffic of an airport covered by this Regulation.
CHAPTER 2
COLLECTION, TRANSFER, STORAGE AND DELETION OF API DATA
Article 4
Collection of API data by air carriers
1.   Air carriers shall collect the API data of each passenger and crew member on the flights referred to in Article 2 to be transferred to the router in accordance with Article 5. Where the flight is code-shared between air carriers, the obligation to transfer the API data shall be on the air carrier that operates the flight.
2.   The API data shall consist only of the following data relating to each passenger and crew member on the flight:
(a)
the surname (family name), first name or names (given names);
(b)
the date of birth, sex and nationality;
(c)
the type and number of the travel document and the three-letter code of the issuing country of the travel document;
(d)
the date of expiry of the validity of the travel document;
(e)
the number identifying a passenger name record used by an air carrier to locate a passenger within its information system (PNR record locator);
(f)
the seating information corresponding to the seat in the aircraft assigned to a passenger, where such information is available;
(g)
the baggage tag number or numbers and the number and weight of checked bags, where such information is available;
(h)
a code indicating the method used to capture and validate the data referred to in points (a) to (d).
3.   The API data shall also consist only of the following flight information relating to the flight of each passenger and crew member:
(a)
the flight identification number or, where the flight is code-shared between air carriers, the flight identification numbers, or, if no such number exists, other clear and suitable means to identify the flight;
(b)
where applicable, the border crossing point of entry into the territory of the Member State;
(c)
the code of the airport of arrival or, where the flight is planned to land in one or several airports within the territories of one or more Member States to which this Regulation applies, the codes of the airports of call on the territories of the Member States concerned;
(d)
the code of the airport of departure of the flight;
(e)
the code of the airport of the initial point of embarkation, where available;
(f)
the local date and time of departure;
(g)
the local date and time of arrival;
(h)
the contact details of the air carrier;
(i)
the format used for the transfer of API data.
4.   Air carriers shall collect the API data in a manner that ensures that the API data that they transfer in accordance with Article 5 are accurate, complete and up to date. Compliance with this obligation does not require air carriers to check the travel document at the moment of boarding the aircraft, without prejudice to national law that is compatible with Union law.
5.   This Regulation does not impose an obligation on passengers to carry a travel document when travelling, without prejudice to other Union legal acts or national law that is compatible with Union law.
6.   A Member State may impose an obligation on air carriers to provide the possibility for passengers to voluntarily upload the data referred to in Article 4(2), points (a) to (d), of Regulation (EU) 2025/12 by automated means and to have such data stored by the air carrier with a view to transferring the data for the purpose of future flights in accordance with Article 5 of this Regulation and in a manner compliant with the requirements set out in paragraphs 4, 7 and 8 of this Article. A Member State that imposes such an obligation shall lay down the rules and safeguards on data protection, in accordance with Regulation (EU) 2016/679, including rules on storage period. However, the data shall be deleted where the passenger no longer consents to the storage of the data, or at the latest on the date of expiry of the validity of the travel document.
7.   Air carriers shall collect the API data referred to in paragraph 2, points (a) to (d), using automated means to collect the machine-readable data of the travel document of the passenger concerned. They shall do so in accordance with the detailed technical requirements and operational rules referred to in paragraph 12, once such rules have been adopted and are applicable.
Where air carriers provide an online check-in process, they shall enable passengers to provide the API data referred to in paragraph 2, points (a) to (d), by automated means during that online check-in process. For passengers that do not check in online, air carriers shall enable those passengers to provide those API data by automated means during check-in at the airport with the assistance of a self-service kiosk or of air-carriers’ staff at the counter.
Where the use of automated means is not technically possible, air carriers shall exceptionally collect the API data referred to in paragraph 2, points (a) to (d), manually, either as part of the online check-in or as part of the check-in at the airport, in such a manner as to ensure compliance with paragraph 4.
8.   Any automated means used by air carriers to collect API data under this Regulation shall be reliable, secure and up to date. Air carriers shall ensure that API data are encrypted during the transfer of such data from the passenger to the air carrier.
9.   During a transitional period, and in addition to the automated means referred to in paragraph 7, air carriers shall make it possible for passengers to provide API data manually as part of the online check-in. In such cases, air carriers shall use data verification techniques to ensure compliance with paragraph 4.
10.   The transitional period referred to in paragraph 9 shall not affect the right of air carriers to verify, at the airport prior to the boarding of the aircraft, API data collected as part of the online check-in in order to ensure compliance with paragraph 4, in accordance with the applicable Union law.
11.   The Commission is empowered to adopt, as of the date four years after the start of operations of the router in relation to API data referred to in Article 34, and on the basis of an evaluation of the availability and accessibility of automated means to collect API data, a delegated act in accordance with Article 43 to terminate the transitional period referred to in paragraph 9 of this Article.
12.   The Commission is empowered to adopt delegated acts in accordance with Article 43 to supplement this Regulation by laying down detailed technical requirements and operational rules for the collection of the API data referred to in paragraph 2, points (a) to (d) of this Article, using automated means in accordance with paragraphs 7 and 8 of this Article, and for the manual collection of API data in exceptional circumstances in accordance with paragraph 7 of this Article and during the transitional period referred to in paragraph 9 of this Article. Those technical requirements and operational rules shall include requirements for data security and for using the most reliable automated means available to collect the machine-readable data of a travel document.
Article 5
Obligations for air carriers regarding transfers of API data and other PNR data
1.   Air carriers shall transfer the encrypted API data to the router, by electronic means for the purposes of their transmission to PIUs in accordance with Article 12. Air carriers shall transfer the API data in accordance with the detailed rules referred to in paragraph 4 of this Article, once such rules have been adopted and are applicable.
2.   When adopting measures in accordance with Article 8(1) of Directive (EU) 2016/681, Member States shall require air carriers to transfer any other PNR data they collect in the normal course of their business exclusively to the router, in accordance with the common protocols and data formats set out pursuant to Article 16 of that Directive.
3.   Air carriers shall transfer the API data:
(a)
for passengers:
(i)
per passenger at the moment of check-in, but not earlier than 48 hours prior to the scheduled flight departure time; and
(ii)
for all boarded passengers immediately after flight closure, namely once the passengers have boarded the aircraft in preparation for departure and it is no longer possible for passengers to board or to leave the aircraft;
(b)
for all members of the crew immediately after flight closure, namely once the crew is on board the aircraft in preparation for departure and it is no longer possible for them to leave the aircraft.
4.   The Commission is empowered to adopt delegated acts in accordance with Article 43 to supplement this Regulation by laying down the necessary detailed rules on the common protocols and supported data formats to be used for the encrypted transfers of API data to the router referred to in paragraph 1 of this Article, including the transfer of API data at the moment of check-in and requirements for data security. Such detailed rules shall ensure that air carriers transfer API data using the same structure and content.
Article 6
Storage period and deletion of API data
Air carriers shall store, for a period of 48 hours from the moment of receipt by the router of the API data transferred to it in accordance with Article 5(3), point (a)(ii) and point (b), the API data relating to all passengers and crew that they collected pursuant to Article 4. They shall immediately and permanently delete such API data after the expiry of that period, without prejudice to the possibility for air carriers to retain and use the data where necessary for the normal course of their business in compliance with applicable law, and to Article 16(1) and (3).
Article 7
Correcting, completing and updating API data
1.   Where an air carrier becomes aware that data that it stores under this Regulation were processed unlawfully, or do not constitute API data, it shall immediately and permanently delete those data. If those data have been transferred to the router, the air carrier shall immediately inform the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA). Upon receiving such information, eu-LISA shall immediately inform the PIU that received the data transmitted through the router.
2.   Where an air carrier becomes aware that the data that it stores under this Regulation are inaccurate, incomplete or no longer up to date, it shall immediately correct, complete or update those data. This is without prejudice to the possibility for air carriers to retain and use the data where necessary for the normal course of their business in compliance with the applicable law.
3.   Where an air carrier becomes aware after the transfer of API data under Article 5(3), point (a)(i), but before the transfer under Article 5(3), point (a)(ii), that the data it has transferred are inaccurate, the air carrier shall immediately transfer the corrected API data to the router.
4.   Where an air carrier becomes aware, after the transfer of API data under Article 5(3), point (a)(ii) or point (b), that the data it has transferred are inaccurate, incomplete or no longer up to date, the air carrier shall immediately transfer the corrected, completed or updated API data to the router.
5.   The Commission is empowered to adopt delegated acts in accordance with Article 43 to supplement this Regulation by laying down the necessary detailed rules on correcting, completing and updating API data within the meaning of this Article.
Article 8
Fundamental rights
1.   The collection and processing of personal data in accordance with this Regulation and Regulation (EU) 2025/12 by air carriers and competent authorities shall not result in discrimination against persons on the grounds listed in Article 21 of the Charter of Fundamental Rights of the European Union (the ‘Charter’).
2.   This Regulation shall fully respect human dignity and the fundamental rights and principles recognised by the Charter, including the right to respect for one’s private life, to asylum, to the protection of personal data, to freedom of movement and to effective legal remedies.
3.   Particular attention shall be paid to children, the elderly, persons with a disability and vulnerable persons. The best interests of the child shall be a primary consideration when implementing this Regulation.
CHAPTER 3
PROVISIONS RELATING TO THE ROUTER
Article 9
The router
1.   eu-LISA shall design, develop, host and technically manage, in accordance with Articles 25 and 26, a router for the purpose of facilitating the transfer of encrypted API data and other PNR data by air carriers to the PIUs in accordance with this Regulation.
2.   The router shall be composed of:
(a)
a central infrastructure, including a set of technical components enabling the reception and transmission of encrypted API data and other PNR data;
(b)
a secure communication channel between the central infrastructure and the PIUs, and a secure communication channel between the central infrastructure and the air carriers, for the transfer and transmission of API data and other PNR data and for any communications relating thereto, and for the insertion by the Member States of selected flights as referred to in Article 12(4) into the router and any related updates;
(c)
a secure channel to receive real-time flight traffic data.
3.   Without prejudice to Article 10 of this Regulation, the router shall, where appropriate and to the extent technically possible, share and reuse the technical components, including hardware and software components, of the web service referred to in Article 13 of Regulation (EU) 2017/2226, the carrier gateway referred to in Article 6(2), point (k), of Regulation (EU) 2018/1240, and the carrier gateway referred to in Article 45c of Regulation (EC) No 767/2008.
eu-LISA shall design the router, to the extent technically and operationally possible, in a way that is coherent and consistent with the obligations for air carriers set out in Regulations (EC) No 767/2008, (EU) 2017/2226 and (EU) 2018/1240.
4.   The router shall automatically extract and make available the data, in accordance with Article 39 of this Regulation, to the central repository for reporting and statistics (CRRS) established by Article 39 of Regulation (EU) 2019/818.
5.   eu-LISA shall design and develop the router in such a way that, for any transfer of API data and other PNR data from the air carriers to the router in accordance with Article 5, and for any transmission of API data and other PNR data from the router to the PIUs in accordance with Article 12 and to the CRRS in accordance with Article 39(2), the API data and other PNR data are end-to-end encrypted during transit.
Article 10
Exclusive use of the router
For the purposes of this Regulation, the router shall be used only:
(a)
by air carriers to transfer encrypted API data and other PNR data in accordance with this Regulation;
(b)
by PIUs to receive encrypted API data and other PNR data in accordance with this Regulation;
(c)
on the basis of international agreements enabling the transfer of PNR data via the router, concluded by the Union with third countries that have concluded an agreement providing for their association with the implementation, application and development of the Schengen 
acquis
.
This Article is without prejudice to Article 12 of Regulation (EU) 2025/12.
Article 11
Data format and transfer verifications
1.   The router shall, in an automated manner and on the basis of real-time flight traffic data, verify whether the air carrier transferred the API data in accordance with Article 5(1) or other PNR data in accordance with Article 5(2).
2.   The router shall, immediately and in an automated manner, verify whether the API data transferred to it in accordance with Article 5(1) comply with the detailed rules on the supported data formats, referred to in Article 5(4).
3.   The router shall, immediately and in an automated manner, verify whether the other PNR data transferred to it in accordance with Article 5(2) comply with the rules on the supported data formats, referred to in Article 16 of Directive (EU) 2016/681.
4.   Where the verification referred to in paragraph 1 determines that the data were not transferred by the air carrier or where the verification referred to in paragraph 2 or 3 determines that data are not compliant with the detailed rules on the supported data formats, the router shall, immediately and in an automated manner, notify the air carrier concerned and the PIUs of the Member States to which the data were to be transmitted pursuant to Article 12(1). In such cases, the air carrier shall immediately transfer the API data and other PNR data in accordance with Article 5.
5.   The Commission shall adopt implementing acts specifying the detailed technical and procedural rules necessary for the verifications and notifications referred to in paragraphs 1 to 4 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 42(2).
Article 12
Transmission of API data and other PNR data from the router to the PIUs
1.   Upon the data format and transfer verifications referred to in Article 11, the router shall transmit the encrypted API data and any other PNR data, transferred to it by air carriers pursuant to Article 5(1) and (2), and where applicable, Article 7(3) and (4), to the PIUs of the Member State on whose territory the flight will land or from whose territory it will depart, or to both in the case of intra-EU flights. It shall transmit those data immediately and in an automated manner, without changing their content in any way. Where a flight has one or more stop-overs at the territory of other Member States than the one from which it departed, the router shall transmit the API data and any other PNR data to the PIUs of all the Member States concerned.
For the purposes of such transmission, eu-LISA shall establish and keep up to date a table of correspondence between the different airports of origin and destination and the countries to which they belong.
However, for intra-EU flights, the router shall transmit only API data and other PNR data of the flights included in the list referred to in paragraph 4 to the relevant PIUs.
2.   The router shall transmit the API data and other PNR data in accordance with the detailed rules referred to in paragraph 6, once such rules have been adopted and are applicable.
3.   Member States shall ensure that their PIUs, upon receipt of API data and other PNR data in accordance with paragraph 1, immediately and in an automated manner confirm receipt of such data to the router.
4.   Member States that decide to apply Directive (EU) 2016/681 to intra-EU flights in accordance with Article 2 of that Directive shall each establish a list of the intra-EU flights or routes selected. Member States may use the code of the airport of departure and the airport of arrival for indicating the selected flights or routes. Those Member States shall, in accordance with Article 2 of that Directive and Article 13 of this Regulation, regularly review and where necessary update those lists. A Member State may select all intra-EU flights or routes when duly justified, in accordance with Directive (EU) 2016/681 and Article 13 of this Regulation.
Member States shall, by the relevant date of application of this Regulation referred to in Article 45, second paragraph, insert the selected flights or routes into the router, by automated means through the secure communication channel referred to in Article 9(2)(b), and thereafter provide the router with any updates thereof.
5.   The information inserted by the Member States into the router shall be treated confidentially and access to that information by eu-LISA staff shall be limited to what is strictly necessary for the resolution of technical problems. eu-LISA shall ensure, upon receipt by the router of that information or any updates thereto from a Member State, that the router immediately transmits the API data and other PNR data to the PIU of that Member State in respect of the selected flights or routes, in accordance with paragraph 1.
6.   The Commission shall adopt implementing acts specifying the detailed technical and procedural rules necessary for the transmission of API data and other PNR data from the router referred to in paragraph 1 of this Article and for the insertion of information into the router referred to in paragraph 4 of this Article, including on requirements for data security. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 42(2).
Article 13
Selection of intra-EU flights
1.   Member States that decide, in accordance with Article 2 of Directive (EU) 2016/681, to apply that Directive and consequently this Regulation to intra-EU flights shall select such intra-EU flights in accordance with this Article.
2.   Member States may apply Directive (EU) 2016/681 and consequently this Regulation to all intra-EU flights arriving at or departing from their territory only in situations of a genuine and present or foreseeable terrorist threat, on the basis of a decision that is based on a threat assessment, limited in time to what is strictly necessary and open to effective review either by a court or by an independent administrative body whose decision is binding.
3.   In the absence of a genuine and present or foreseeable terrorist threat, Member States that apply Directive (EU) 2016/681 and consequently this Regulation to intra-EU flights shall select such intra-EU flights according to the outcome of an assessment carried out on the basis of the requirements set out in paragraphs 4 to 7 of this Article.
4.   The assessment referred to in paragraph 3 shall:
(a)
be carried out in an objective, duly reasoned and non-discriminatory way in accordance with Article 2 of Directive (EU) 2016/681;
(b)
take into account only criteria which are relevant for the prevention, detection, investigation and prosecution of terrorist offences and serious crime having an objective link, including an indirect link, with the carriage of passengers by air, and not be purely based on the grounds as listed in Article 21 of the Charter of any passengers or groups of passengers;
(c)
use only information that can support an objective, duly reasoned and non-discriminatory assessment.
5.   On the basis of the assessment referred to in paragraph 3, Member States shall select only intra-EU flights relating to, inter alia, specific routes, travel patterns or airports for which there are indications of terrorist offenses and serious crime and that justify the processing of API and other PNR data. The selection of intra-EU flights shall be limited to what is strictly necessary for achieving the objectives of Directive (EU) 2016/681 and this Regulation.
6.   Member States shall keep all documentation of the assessment referred to in paragraph 3, including where relevant any review thereof, and make it available, in accordance with Directive (EU) 2016/680, to their independent supervisory authorities and national supervisory authorities upon request.
7.   Member States shall, in accordance with Article 2 of Directive (EU) 2016/681, review their assessment referred to in paragraph 3 regularly and at least every 12 months, in order to take into account changes in the circumstances that justified the selection of intra-EU flights and for the purpose of ensuring that the selection of intra-EU flights continues to be limited to what is strictly necessary.
8.   The Commission shall facilitate a regular exchange of views on the selection criteria for the assessment referred to in paragraph 3, including the sharing of best practices, as well as, on a voluntary basis, the exchange of information on selected flights.
Article 14
Deletion of API data and other PNR data from the router
API data and other PNR data, transferred to the router pursuant to this Regulation shall be stored on the router only insofar as necessary to complete the transmission to the relevant PIUs in accordance with this Regulation and shall be deleted from the router, immediately, permanently and in an automated manner, in both of the following situations:
(a)
where it is confirmed, in accordance with Article 12(3), that the transmission of the API data and other PNR data to the relevant PIUs has been completed;
(b)
where the API data or other PNR data relate to intra-EU flights other than those included in the lists referred to in Article 12(4).
The router shall automatically inform eu-LISA and the PIUs of the immediate deletion of intra-EU flights as referred to in point (b).
Article 15
Processing of API data and other PNR data by PIUs
API data and other PNR data transmitted to PIUs in accordance with this Regulation shall subsequently be processed by the PIUs in accordance with Directive (EU) 2016/681, in particular as regards the rules on the processing of API data and other PNR data by PIUs, including those set out in Articles 6, 10, 12 and 13 of that Directive, and solely for the purposes of the prevention, detection, investigation and prosecution of terrorist offences and serious crime.
The PIUs or other competent authorities shall under no circumstances process API data and other PNR data for the purposes of profiling, as referred to in Article 11(3) of Directive (EU) 2016/680.
Article 16
Actions where it is technically impossible to use the router
1.   Where it is technically impossible to use the router to transmit API data or other PNR data because of a failure of the router, eu-LISA shall immediately notify the air carriers and PIUs of that technical impossibility in an automated manner. In that case, eu-LISA shall immediately take measures to address the technical impossibility to use the router and shall immediately notify the air carriers and PIUs when it has been successfully addressed.
During the period of time between those notifications, Article 5(1) shall not apply, insofar as the technical impossibility prevents the transfer of API data or other PNR data to the router. Air carriers shall store the API data or other PNR data until the technical impossibility has been successfully addressed. As soon as the technical impossibility has been successfully addressed, air carriers shall transfer the data to the router in accordance with Article 5(1).
Where it is technically impossible to use the router and in exceptional cases related to the objectives of this Regulation that make it necessary for PIUs to immediately receive API data or other PNR data during the technical impossibility to use the router, PIUs may request air carriers to use any other appropriate means, ensuring the necessary level of data security, data quality and data protection, to transfer the API data or other PNR data directly to the PIUs. The PIUs shall process the API data or other PNR data received through any other appropriate means in accordance with the rules and safeguards set out in Directive (EU) 2016/681.
Following the notification from eu-LISA that the technical impossibility has been successfully addressed, and where it is confirmed in accordance with Article 12(3) that the transmission of the API data or other PNR data through the router to the relevant PIU has been completed, the PIU shall immediately delete the API data or other PNR data received by any other appropriate means.
2.   Where it is technically impossible to use the router to transmit API data or other PNR data because of a failure of the systems or infrastructure referred to in Article 23 of a Member State, the PIU of that Member State shall immediately notify the other PIUs, eu-LISA and the Commission of that technical impossibility in an automated manner. In that case, that Member State shall immediately take measures to address the technical impossibility to use the router and shall immediately notify the other PIUs, eu-LISA and the Commission when it has been successfully addressed. The router shall store the API data or other PNR data until the technical impossibility has been successfully addressed. As soon as the technical impossibility has been successfully addressed, the router shall transmit the data in accordance with Article 12(1).
Where it is technically impossible to use the router and in exceptional cases related to the objectives of this Regulation that make it necessary for PIUs to immediately receive API data or other PNR data during the technical impossibility to use the router, PIUs may request air carriers to use any other appropriate means, ensuring the necessary level of data security, data quality and data protection to transfer the API data or other PNR data directly to the PIUs. The PIUs shall process the API data or other PNR data received through any other appropriate means in accordance with the rules and safeguards set out in Directive (EU) 2016/681.
Following the notification from eu-LISA that the technical impossibility has been successfully addressed, and where it is confirmed in accordance with Article 12(3) that the transmission of the API data or other PNR data through the router to the relevant PIU has been completed, the PIU shall immediately delete the API data or other PNR data received by any other appropriate means.
3.   Where it is technically impossible to use the router to transfer API data or other PNR data because of a failure of the systems or infrastructure referred to in Article 24 of an air carrier, that air carrier shall immediately notify the PIUs, eu-LISA and the Commission of that technical impossibility in an automated manner. In that case, that air carrier shall immediately take measures to address the technical impossibility to use the router and shall immediately notify the PIUs, eu-LISA and the Commission when it has been successfully addressed.
During the period of time between those notifications, Article 5(1) shall not apply, insofar as the technical impossibility prevents the transfer of API data or other PNR data to the router. Air carriers shall store the API data or other PNR data until the technical impossibility has been successfully addressed. As soon as the technical impossibility has been successfully addressed, air carriers shall transfer the data to the router in accordance with Article 5(1).
Where it is technically impossible to use the router and in exceptional cases related to the objectives of this Regulation that make it necessary for PIUs to immediately receive API data or other PNR data during the technical impossibility to use the router, PIUs may request air carriers to use any other appropriate means, ensuring the necessary level of data security, data quality and data protection, to transfer the API data or other PNR data directly to the PIUs. The PIUs shall process the API data or other PNR data received through any other appropriate means in accordance with the rules and safeguards set out in Directive (EU) 2016/681.
Following the notification from eu-LISA that the technical impossibility has been successfully addressed, and where it is confirmed in accordance with Article 12(3) that the transmission of the API data or other PNR data through the router to the relevant PIU has been completed, the PIU shall immediately delete the API data or other PNR data received by any other appropriate means.
When the technical impossibility has been successfully addressed, the air carrier concerned shall, without delay, submit to the national API supervision authority referred to in Article 37 a report containing all necessary details on the technical impossibility, including the reasons for the technical impossibility, its extent and consequences as well as the measures taken to address it.
CHAPTER 4
SPECIFIC PROVISIONS ON THE PROTECTION OF PERSONAL DATA AND SECURITY
Article 17
Keeping of logs
1.   Air carriers shall create logs of all processing operations related to API data under this Regulation undertaken using the automated means referred to in Article 4(7). Those logs shall cover the date, time, and place of transfer of the API data. Those logs shall not contain any personal data, other than the information necessary to identify the relevant member of the staff of the air carrier.
2.   eu-LISA shall keep logs of all processing operations relating to the transfer and transmission of API data and other PNR data through the router under this Regulation. Those logs shall cover the following:
(a)
the air carrier that transferred the API data and other PNR data to the router;
(b)
the air carrier that transferred other PNR data to the router;
(c)
the PIUs to which the API data were transmitted through the router;
(d)
the PIUs to which other PNR data were transmitted through the router;
(e)
the date and time of the transfer or transmission referred to in points (a) to (d), and the place of that transfer or transmission;
(f)
any access by the staff of eu-LISA necessary for the maintenance of the router, as referred to in Article 26(3);
(g)
any other information relating to those processing operations necessary to monitor the security and integrity of the API data and other PNR data and the lawfulness of those processing operations.
Those logs shall not include any personal data, other than the information necessary to identify the relevant member of the staff of eu-LISA, referred to in point (f) of the first subparagraph.
3.   The logs referred to in paragraphs 1 and 2 of this Article shall be used only for ensuring the security and integrity of the API data and other PNR data and the lawfulness of the processing, in particular as regards compliance with the requirements set out in this Regulation, including proceedings for penalties for infringements of those requirements in accordance with Articles 37 and 38.
4.   Air carriers and eu-LISA shall take appropriate measures to protect the logs that they created pursuant to paragraphs 1 and 2, respectively, against unauthorised access and other security risks.
5.   The national API supervision authority referred to in Article 37 and PIUs shall have access to the relevant logs referred to in paragraph 1 of this Article where necessary for the purposes referred to in paragraph 3 of this Article.
6.   Air carriers and eu-LISA shall keep the logs that they created pursuant to paragraphs 1 and 2, respectively, for a period of one year from the moment of the creation of those logs. They shall immediately and permanently delete those logs upon the expiry of that period.
However, if those logs are needed for procedures for monitoring or ensuring the security and integrity of the API data or the lawfulness of the processing operations, as referred to in paragraph 3, and those procedures have already begun at the moment of the expiry of the time period referred to in the first subparagraph of this paragraph, air carriers and eu-LISA shall keep those logs for as long as necessary for those procedures. In that case, they shall immediately delete those logs when they are no longer necessary for those procedures.
Article 18
Data protection responsibilities
1.   Air carriers shall be controllers, within the meaning of Article 4, point (7), of Regulation (EU) 2016/679, for the processing of API data and other PNR data constituting personal data in relation to the collection of such data and the transfer thereof to the router under this Regulation.
2.   Each Member State shall designate a competent authority as controller in accordance with this Article. Member States shall notify the Commission, eu-LISA and the other Member States of those authorities.
All the competent authorities designated by Member States shall be joint controllers in accordance with Article 21 of Directive (EU) 2016/680 for the purposes of the processing of personal data in the router.
3.   eu-LISA shall be a processor within the meaning of Article 3, point (12), of Regulation (EU) 2018/1725 for the purposes of the processing of API data and other PNR data constituting personal data under this Regulation through the router, including transmission of the data from the router to the PIUs and storage for technical reasons of those data on the router. eu-LISA shall ensure that the router is operated in accordance with this Regulation.
4.   The Commission shall adopt implementing acts establishing the respective responsibilities of the joint controllers, and the respective obligations between the joint controllers and the processor. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 42(2).
Article 19
Information for passengers
In accordance with Article 13 of Regulation (EU) 2016/679, air carriers shall provide passengers, on flights covered by this Regulation, with information on the purpose of the collection of their personal data, the type of personal data collected, the recipients of the personal data and the means to exercise their rights as data subjects.
That information shall be communicated to passengers in writing and in an easily accessible format at the moment of booking and at the moment of check-in, irrespective of the means used to collect the personal data at the moment of check-in, in accordance with Article 4.
Article 20
Security
1.   eu-LISA shall ensure the security and encryption of the API data and other PNR data, in particular data constituting personal data, that it processes pursuant to this Regulation. PIUs and air carriers shall ensure the security of the API data, in particular API data constituting personal data, that they process pursuant to this Regulation.eu-LISA, PIUs and air carriers shall cooperate, in accordance with their respective responsibilities and in compliance with Union law, with each other to ensure such security.
2.   eu-LISA shall ensure the security and the confidentiality of the data related to flights and routes selected by the Member States in accordance with Article 12(4). The PIUs and the air carriers shall ensure the security of the API data, in particular API data constituting personal data, that they process pursuant to this Regulation. eu-LISA, PIUs and air carriers shall cooperate, in accordance with their respective responsibilities and in compliance with Union law, with each other to ensure such security.
3.   eu-LISA shall take the measures necessary to ensure the security of the router and the API data and other PNR data, in particular data constituting personal data, transmitted through the router, including by establishing, implementing and regularly updating a security plan, a business continuity plan and a disaster recovery plan, in order to:
(a)
physically protect the router, including by making contingency plans for the protection of critical components thereof;
(b)
prevent any unauthorised processing of the API data or other PNR data, including any unauthorised access thereto and the copying, modification or deletion thereof, both during the transfer of the API data or other PNR data to and from the router and during any storage of the API data or other PNR data on the router where necessary to complete the transmission, in particular by means of appropriate encryption techniques;
(c)
ensure that the persons authorised to access the router have access only to the data covered by their access authorisation;
(d)
ensure that it is possible to verify and establish to which PIUs the API data or other PNR data are transmitted through the router;
(e)
properly report to its Management Board any faults in the functioning of the router;
(f)
monitor the effectiveness of the security measures required under this Article and under Regulation (EU) 2018/1725, and assess and update those security measures where necessary in the light of technological or operational developments.
The measures referred to in the first subparagraph of this paragraph shall not affect Article 32 of Regulation (EU) 2016/679, Article 33 of Regulation (EU) 2018/1725 or Article 29 of Directive (EU) 2016/680.
Article 21
Self-monitoring
Air carriers and the PIUs shall monitor their compliance with their respective obligations under this Regulation, in particular as regards their processing of API data constituting personal data. For air carriers the monitoring shall include frequent verification of the logs referred to in Article 17.
Article 22
Personal data protection audits
1.   The independent supervisory authorities referred to in Article 41 of Directive (EU) 2016/680 shall carry out an audit of processing operations of API data constituting personal data performed by the PIUs for the purposes of this Regulation at least once every four years. Member States shall ensure that their independent supervisory authorities have sufficient resources and expertise to fulfil the tasks entrusted to them under this Regulation.
2.   The European Data Protection Supervisor shall carry out an audit of processing operations of API data and other PNR data constituting personal data performed by eu-LISA for the purposes of this Regulation, in accordance with relevant international auditing standards at least once every year. A report of that audit shall be sent to the European Parliament, to the Council, to the Commission, to the Member States and to eu-LISA. eu-LISA shall be given an opportunity to make comments before the reports are adopted.
3.   In relation to the processing operations referred to in paragraph 2, upon request, eu-LISA shall supply information requested by the European Data Protection Supervisor, shall grant the European Data Protection Supervisor access to all the documents it requests and to the logs referred to in Article 17(2), and shall allow the European Data Protection Supervisor access to all eu-LISA’s premises at any time.
CHAPTER 5
MATTERS RELATING TO THE ROUTER
Article 23
PIUs’ connections to the router
1.   Member States shall ensure that their PIUs are connected to the router. They shall ensure that their national systems and infrastructure for the reception and further processing of API data and other PNR data transferred pursuant to this Regulation are integrated with the router.
Member States shall ensure that the connection to the router and integration with it enables their PIUs to receive and further process those API data and other PNR data, as well as to exchange any communications relating thereto, in a lawful, secure, effective and swift manner.
2.   The Commission shall adopt implementing acts specifying the necessary detailed rules on the connections to and integration with the router referred to in paragraph 1 of this Article, including on requirements for data security. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 42(2).
Article 24
Air carriers’ connections to the router
1.   Air carriers shall ensure that they are connected to the router. They shall ensure that their systems and infrastructure for the transfer of API data and other PNR data to the router pursuant to this Regulation are integrated with the router.
Air carriers shall ensure that the connection to the router and the integration with it enables them to transfer those API data and other PNR data as well as to exchange any communications relating thereto, in a lawful, secure, effective and swift manner. To that end, air carriers shall conduct tests of the transfer of API data and other PNR data to the router in cooperation with eu-LISA in accordance with Article 27(3).
2.   The Commission shall adopt implementing acts specifying the necessary detailed rules on the connections to and integration with the router referred to in paragraph 1 of this Article, including on requirements for data security. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 42(2).
Article 25
eu-LISA’s tasks relating to the design and development of the router
1.   eu-LISA shall be responsible for the design of the physical architecture of the router, including defining its technical specifications.
2.   eu-LISA shall be responsible for the development of the router, including for any technical adaptations necessary for the operation of the router.
The development of the router shall consist of the elaboration and implementation of the technical specifications, testing and overall project management and coordination of the development phase.
3.   eu-LISA shall ensure that the router is designed and developed in such a manner that the router provides the functionalities specified in this Regulation, and that the router starts operations as soon as possible after the adoption by the Commission of the delegated acts provided for in Article 4(12), Article 5(3), Article 7(2), and of the implementing acts provided for in Article 11(5), Article 12(4), Article 23(2), Article 24(2) of this Regulation, and of the implementing acts provided for in Article 16(3) of Directive (EU) 2016/681, and after the carrying out of a data protection impact assessment in accordance with Article 35 of Regulation (EU) 2016/679.
4.   eu-LISA shall provide PIUs, other relevant Member States’ authorities and air carriers with a compliance test set. The compliance test set shall include a test environment, a simulator, test data sets and a test plan. The compliance test set shall allow for comprehensive tests of the router referred to in paragraphs 5 and 6 and it shall remain available after the completion of those tests.
5.   Where eu-LISA considers that the development phase has been completed in relation to API data, it shall, without undue delay, conduct a comprehensive test of the router, in cooperation with the PIUs and other relevant Member States’ authorities and air carriers and inform the Commission of the outcome of that test.
6.   Where eu-LISA considers that the development phase has been completed in relation to other PNR data, it shall, without undue delay, conduct comprehensive tests of the router to ensure the reliability of the connections of the router with air carriers and PIUs, the necessary standardised transmission of other PNR data by air carriers and the transfer and transmission of other PNR data in accordance with Article 16 of Directive (EU) 2016/681, including the use of the common protocols and supported standardised data formats referred to in Article 16, paragraphs 2 and 3, of that Directive to ensure the readability of the other PNR data. Such tests shall be conducted in cooperation with the PIUs and other relevant Member States’ authorities and air carriers. eu-LISA shall inform the Commission of the outcome of those tests.
Article 26
eu-LISA’s tasks relating to the hosting and technical management of the router
1.   eu-LISA shall host the router in its technical sites.
2.   eu-LISA shall be responsible for the technical management of the router, including its maintenance and technical developments, in such a manner as to ensure that the API data and other PNR data are securely, effectively and swiftly transmitted through the router, in compliance with this Regulation.
The technical management of the router shall consist of carrying out all the tasks and enacting all technical solutions necessary for the proper functioning of the router in accordance with this Regulation, in an uninterrupted manner, 24 hours a day, 7 days a week. It shall include the maintenance work and technical developments necessary to ensure that the router functions at a satisfactory level of technical quality, in particular as regards availability, accuracy and reliability of the transmission of API data and other PNR data, in accordance with the technical specifications and, as much as possible, in line with the operational needs of the PIUs and air carriers.
3.   eu-LISA’s staff shall not have access to any of the API data or other PNR data that are transmitted through the router. However, that prohibition shall not preclude eu-LISA’s staff from having such access insofar as strictly necessary for the maintenance and technical management of the router.
4.   Without prejudice to paragraph 3 of this Article and to Article 17 of the Staff Regulations of Officials of the European Union, laid down in Council Regulation (EEC, Euratom, ECSC) No 259/68 
(
22
)
, eu-LISA shall apply appropriate rules of professional secrecy or other equivalent duties of confidentiality to its staff required to work with API data and other PNR data transmitted through the router. This obligation shall also apply after such staff leave office or employment or after the termination of their activities.
Article 27
eu-LISA’s support tasks relating to the router
1.   eu-LISA shall, upon the request of PIUs, other relevant Member States’ authorities or air carriers, provide training to them on the technical use of the router and on their connection to and integration with the router.
2.   eu-LISA shall provide support to the PIUs regarding the reception of API data and other PNR data through the router pursuant to this Regulation in particular as regards the application of Articles 12 and 23.
3.   In accordance with Article 24(1) and making use of the compliance test set referred to in Article 25(4), eu-LISA shall conduct, in cooperation with air carriers, tests of the transfer of API data and other PNR data to the router.
CHAPTER 6
GOVERNANCE
Article 28
Programme Management Board
1.   By 28 January 2025, eu-LISA’s Management Board shall establish a Programme Management Board. It shall be composed of 10 members and shall consist of:
(a)
seven members appointed by eu-LISA’s Management Board from among its members or its alternates;
(b)
the chair of the API-PNR Advisory Group referred to in Article 29;
(c)
one member of the eu-LISA staff appointed by its Executive Director; and
(d)
one member appointed by the Commission.
As regards point (a), the members appointed by eu-LISA’s Management Board shall be elected only from its members or its alternates from those Member States to which this Regulation applies.
2.   The Programme Management Board shall draft its rules of procedure to be adopted by eu-LISA’s Management Board.
The chairpersonship shall be held by a Member State that is a member of the Programme Management Board.
3.   The Programme Management Board shall supervise the effective fulfilment of eu-LISA’s tasks relating to the design and development of the router in accordance with Article 25.
Upon request of the Programme Management Board, eu-LISA shall provide detailed and updated information on the design and development of the router, including on the resources allocated by eu-LISA.
4.   The Programme Management Board shall regularly, and at least three times per quarter, submit written reports on progress in the design and development of the router to eu-LISA’s Management Board.
5.   The Programme Management Board shall have no decision-making power, nor any mandate to represent eu-LISA’s Management Board or its members.
6.   The Programme Management Board shall cease to exist by the date of the application of this Regulation referred to in Article 45, second paragraph.
Article 29
API-PNR Advisory Group
1.   As from 28 January 2025, the API-PNR Advisory Group, established pursuant to Article 27(1), point (de), of Regulation (EU) 2018/1726, shall provide eu-LISA’s Management Board with the necessary expertise related to API-PNR in particular in the context of the preparation of its annual work programme and its annual activity report.
2.   Whenever available, eu-LISA shall provide the API-PNR Advisory Group with versions, even intermediary ones, of the technical specifications and the compliance test sets referred to in Article 25(1), (2) and (4).
3.   The API-PNR Advisory Group shall exercise the following functions:
(a)
provide expertise to eu-LISA and to the Programme Management Board on the design and development of the router in accordance with Article 25;
(b)
provide expertise to eu-LISA on the hosting and technical management of the router in accordance with Article 26;
(c)
provide its opinion to the Programme Management Board, upon its request, on the progress of the design and development of the router, including on the progress of the technical specifications and compliance test sets referred to in paragraph 2.
4.   The API-PNR Advisory Group shall have no decision-making power, nor any mandate to represent the eu-LISA’s Management Board or its members.
Article 30
API-PNR Contact Group
1.   By the relevant date of the application of this Regulation referred to in Article 45, second paragraph, eu-LISA’s Management Board shall establish an API-PNR Contact Group.
2.   The API-PNR Contact Group shall enable communication between Member States’ relevant authorities and air carriers on technical matters related to their respective tasks and obligations under this Regulation.
3.   The API-PNR Contact Group shall be composed of representatives of Member States’ relevant authorities and air carriers, the chairperson of the API-PNR Advisory Group and eu-LISA’s experts.
4.   eu-LISA’s Management Board shall establish the rules of procedure of the API-PNR Contact Group, following an opinion of the API-PNR Advisory Group.
5.   Where deemed necessary, eu-LISA’s Management Board may also establish sub-groups of the API-PNR Contact Group to discuss specific technical matters related to the respective tasks and obligations of Member States’ relevant authorities and air carriers under this Regulation.
6.   The API-PNR Contact Group, including its sub-groups, shall have no decision-making power, nor any mandate to represent the eu-LISA’s Management Board or its members.
Article 31
API Expert Group
1.   By the date of application of this Regulation referred to in Article 45, second paragraph, point (a), the Commission shall establish an API Expert Group in accordance with the horizontal rules on the creation and operation of Commission expert groups.
2.   The API Expert Group shall enable communication among Member States’ relevant authorities, and between Member States’ relevant authorities and air carriers, on policy matters related to their respective tasks and obligations under this Regulation, including in relation to the penalties referred to in Article 38.
3.   The API Expert Group shall be chaired by the Commission and constituted in accordance with the horizontal rules on the creation and operation of Commission expert groups. It shall be composed of representatives of Member States’ relevant authorities, representatives of air carriers and eu-LISA’s experts. Where relevant for the performance of its tasks, the API Expert Group may invite relevant stakeholders, in particular representatives of the European Parliament, the European Data Protection Supervisor and the independent national supervisory authorities, to participate in its work.
4.   The API Expert Group shall carry out its tasks in accordance with the principle of transparency. The Commission shall publish the minutes of the meetings of the API Expert Group and other relevant documents on the Commission website.
Article 32
Costs incurred by eu-LISA, the European Data Protection Supervisor, the national supervisory authorities and Member States
1.   Costs incurred by eu-LISA in relation to the establishment and operation of the router under this Regulation shall be borne by the general budget of the Union.
2.   Costs incurred by the Member States in relation to the implementation of this Regulation, in particular to their connection to and the integration with the router referred to in Article 23, shall be supported by the general budget of the Union, in accordance with the eligibility rules and co-financing rates set in the applicable Union legal acts.
3.   Costs incurred by the European Data Protection Supervisor in relation to the tasks entrusted to it under this Regulation shall be borne by the general budget of the Union.
4.   Costs incurred by independent national supervisory authorities in relation to the tasks entrusted to them under this Regulation shall be borne by the Member States.
Article 33
Liability regarding the router
If a failure of a Member State or an air carrier to comply with its obligations under this Regulation causes damage to the router, that Member State or air carrier shall be liable for such damage, as provided for by the applicable Union or national law, unless and insofar as it is demonstrated that eu-LISA, another Member State or another air carrier failed to take reasonable measures to prevent the damage from occurring or to minimise its impact.
Article 34
Start of operations of the router in relation to API data
The Commission shall determine, without undue delay, the date from which the router starts operations in relation to API data by means of an implementing act once eu-LISA has informed the Commission of the successful completion of the comprehensive test of the router referred to in Article 25(5). That implementing act shall be adopted in accordance with the examination procedure referred to in Article 42(2).
The Commission shall set the date referred to in the first paragraph to be no later than 30 days from the date of the adoption of that implementing act.
Article 35
Start of operations of the router in relation to other PNR data
The Commission shall determine, without undue delay, the date from which the router starts operations in relation to other PNR data by means of an implementing act once eu-LISA has informed the Commission of the successful completion of the comprehensive tests of the router referred to in Article 25(6), including on the reliability of the connections of the router with air carriers and PIUs and on the readability of other PNR data transferred by air carriers and transmitted by the router in the necessary standardised format, in accordance with Article 16 of Directive (EU) 2016/681. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 42(2).
The Commission shall set the date referred to in the first paragraph to be no later than 30 days from the date of the adoption of that implementing act.
Article 36
Voluntary use of the router
1.   Air carriers shall be entitled to use the router to transmit the information referred to in Article 3(1) and (2) of Directive 2004/82/EC or other PNR data collected pursuant to Article 8 of Directive (EU) 2016/681 to one or more of the responsible PIUs, in accordance with those Directives, provided that the Member State concerned has agreed with such use, from an appropriate date set by that Member State. That Member State shall agree only after having established that, in particular as regards both its own PIU’s connection to the router and that of the air carrier concerned, the information can be transmitted in a lawful, secure, effective and swift manner.
2.   Where an air carrier starts using the router in accordance with paragraph 1 of this Article, it shall continue using the router to transmit such information to the PIU of the Member State concerned until the relevant date of application of this Regulation referred to in Article 45, second paragraph. However, that use shall be discontinued, from an appropriate date set by that Member State, where that Member State considers that there are objective reasons that require such discontinuation and has informed the air carrier accordingly.
3.   The Member State concerned shall:
(a)
consult eu-LISA before agreeing with the voluntary use of the router in accordance with paragraph 1;
(b)
except in situations of duly justified urgency, afford the air carrier concerned an opportunity to comment on its intention to discontinue such use in accordance with paragraph 2 and, where relevant, also consult eu-LISA thereon;
(c)
immediately inform eu-LISA and the Commission of any such use to which it agreed and any discontinuation of such use, providing all necessary information, including the date of the start of the use, the date of the discontinuation and the reasons for the discontinuation, as applicable.
CHAPTER 7
SUPERVISION, PENALTIES, STATISTICS AND HANDBOOK
Article 37
National API supervision authority
1.   Member States shall designate one or more national API supervision authorities responsible for monitoring the application within their territory by air carriers of the provisions of this Regulation and ensuring compliance with those provisions.
2.   Member States shall ensure that the national API supervision authorities have all the means and all the investigative and enforcement powers necessary to carry out their tasks under this Regulation, including by imposing the penalties referred to in Article 38 where appropriate. Member States shall ensure that the exercise of the powers conferred on the national API supervision authority is subject to appropriate safeguards in compliance with the fundamental rights guaranteed under Union law.
3.   Member States shall, by the relevant date of application of this Regulation referred to in Article 45, second paragraph, notify the Commission of the name and the contact details of the authorities that they designated under paragraph 1 of this Article. They shall notify the Commission without delay of any subsequent changes or amendments thereto.
4.   This Article is without prejudice to the powers of the supervisory authorities referred to in Article 51 of Regulation (EU) 2016/679, Article 41 of Directive (EU) 2016/680 and Article 15 of Directive (EU) 2016/681.
Article 38
Penalties
1.   Member States shall lay down the rules on penalties applicable to infringements of this Regulation and shall take all measures necessary to ensure that they are implemented. The penalties provided for shall be effective, proportionate and dissuasive.
2.   Member States shall, by the relevant date of application of this Regulation referred to in Article 45, second paragraph, notify the Commission of those rules and of those measures and shall notify it, without delay, of any subsequent amendment affecting them.
3.   Member States shall ensure that the national API supervision authorities, when deciding whether to impose a penalty and when determining the type and level of penalty, take into account relevant circumstances, which may include:
(a)
the nature, gravity and duration of the infringement;
(b)
the degree of the air carrier’s fault;
(c)
previous infringements by the air carrier;
(d)
the overall level of cooperation of the air carrier with the competent authorities;
(e)
the size of the air carrier, such as the annual number of passengers carried;
(f)
whether previous penalties have already been applied by other national API supervision authorities to the same air carrier for the same infringement.
4.   Member States shall ensure that a recurrent failure to transfer API data in accordance with Article 5(1) is subject to proportionate financial penalties of up to 2 % of the air carrier’s global turnover of the preceding financial year. Member States shall ensure that failure to comply with other obligations set out in this Regulation is subject to proportionate penalties, including financial penalties.
Article 39
Statistics
1.   In order to support the implementation and monitoring of the application of this Regulation, and on the basis of the statistical information referred to in paragraphs 5 and 6, eu-LISA shall publish every quarter statistics on the functioning of the router and on the compliance of air carriers with the obligations set out in this Regulation. Those statistics shall not allow for the identification of individuals.
2.   For the purposes set out in paragraph 1, the router shall automatically transmit the data listed in paragraphs 5 and 6 to the CRRS.
3.   In order to support the implementation and monitoring of the application of this Regulation, each year, eu-LISA shall compile statistical data in an annual report for the previous year. It shall publish that annual report and transmit it to the European Parliament, the Council, the Commission, the European Data Protection Supervisor, the European Border and Coast Guard Agency and the national API supervision authorities referred to in Article 37. The annual report shall not disclose confidential working methods or jeopardise ongoing investigations of the Member States’ competent authorities.
4.   At the request of the Commission, eu-LISA shall provide it with statistics on specific aspects related to the implementation of this Regulation as well as the statistics pursuant to paragraph 3.
5.   The CRRS shall provide eu-LISA with the following statistical information necessary for the reporting referred to in Article 44 and for generating statistics in accordance with this Article, without such statistics on API data allowing for the identification of the passengers concerned:
(a)
whether the data concern a passenger or a crew member;
(b)
the nationality, sex and year of birth of the passenger or crew member;
(c)
the date and the initial point of embarkation, the date and airport of departure, and the date and airport of arrival;
(d)
the type of travel document, the three-letter code of the issuing country and the date of expiry of the validity of the travel document;
(e)
the number of passengers checked-in on the same flight;
(f)
the code of the air carrier operating the flight;
(g)
whether the flight is a scheduled or a non-scheduled flight;
(h)
whether API data were transferred immediately after flight closure;
(i)
whether the personal data of the passenger are accurate, complete and up to date;
(j)
the technical means used to capture the API data.
6.   The CRRS shall provide eu-LISA with the following statistical information necessary for the reporting referred to in Article 44 and for generating statistics in accordance with this Article, without such statistics on other PNR data allowing for the identification of the passengers concerned:
(a)
the date and time the PNR message was received by the router;
(b)
flight information contained in the travel itinerary in the specific PNR message;
(c)
code share information contained in the specific PNR message.
7.   For the purposes of the reporting referred to in Article 44 and for generating statistics in accordance with this Article, eu-LISA shall store the data referred to in paragraphs 5 and 6 of this Article in the CRRS. It shall store such data for a period of five years in accordance with paragraph 2, while ensuring that the data do not allow for the identification of the passengers concerned. The CRRS shall provide the duly authorised staff of the PIUs and other relevant authorities of the Member States with customisable reports and statistics on API data as referred to in paragraph 5 of this Article and other PNR data as referred to in paragraph 6 of this Article for the implementation and monitoring of the application of this Regulation.
8.   The use of the data referred to in paragraphs 5 and 6 of this Article shall not result in the profiling of individuals as referred to in Article 11(3) of Directive (EU) 2016/680 or discrimination against persons on the grounds listed in Article 21 of the Charter. The data referred to in paragraph 5 and paragraph 6 of this Article shall not be used to compare or match them with personal data or to combine them with personal data.
9.   The procedures put in place by eu-LISA to monitor the development and the functioning of the router referred to in Article 39(2) of Regulation (EU) 2019/818 shall include the possibility to produce regular statistics to ensure that monitoring.
Article 40
Practical handbook
The Commission shall, in close cooperation with the PIUs, other relevant authorities of the Member States, air carriers and relevant Union bodies and agencies, prepare and make publicly available a practical handbook, containing guidelines, recommendations and best practices for the implementation of this Regulation, including on fundamental rights compliance as well as on penalties in accordance with Article 38.
The practical handbook shall take into account other relevant handbooks.
The Commission shall adopt the practical handbook in the form of a recommendation.
CHAPTER 8
RELATIONSHIP TO OTHER EXISTING INSTRUMENTS
Article 41
Amendment to Regulation (EU) 2019/818
In Article 39 of Regulation (EU) 2019/818, paragraphs 1 and 2 are replaced by the following:
‘1.   A central repository for reporting and statistics (CRRS) is established for the purpose of supporting the objectives of the SIS, Eurodac and ECRIS-TCN, in accordance with the respective legal instruments governing those systems, and to provide cross-system statistical data and analytical reporting for policy, operational and data quality purposes. The CRRS shall also support the objectives of Regulation (EU) 2025/13 of the European Parliament and of the Council
 (
*1
)
.
2.   eu-LISA shall establish, implement and host in its technical sites the CRRS containing the data and statistics referred to in Article 74 of Regulation (EU) 2018/1862 and Article 32 of Regulation (EU) 2019/816 logically separated by EU information system. eu-LISA shall also collect the data and statistics from the router referred to in Article 39(1) of Regulation (EU) 2025/13. Access to the CRRS shall be granted by means of controlled, secured access and specific user profiles, solely for the purposes of reporting and statistics, to the authorities referred to in Article 74 of Regulation (EU) 2018/1862, Article 32 of Regulation (EU) 2019/816 and Article 13(1) of Regulation(EU) 2025/13.
CHAPTER 9
FINAL PROVISIONS
Article 42
Committee procedure
1.   The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply. Where the committee delivers no opinion, the Commission shall not adopt the draft implementing act and Article 5(4), third subparagraph, of Regulation (EU) No 182/2011 shall apply.
Article 43
Exercise of delegation
1.   The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this Article.
2.   The power to adopt delegated acts referred to in Article 4(11) and (12), Article 5(4), and Article 7(5) shall be conferred on the Commission for a period of five years from 28 January 2025. The Commission shall draw up a report in respect of the delegation of power not later than nine months before the end of the five-year period. The delegation of power shall be tacitly extended for periods of an identical duration, unless the European Parliament or the Council opposes such extension not later than three months before the end of each period.
As regards a delegated act adopted pursuant to Article 4(11), if an objection under paragraph 6 of this Article has been expressed either by the European Parliament or by the Council, the European Parliament or the Council shall not oppose the tacit extension referred to in the first subparagraph of this paragraph.
3.   The delegation of power referred to in Article 4(12), Article 5(4) and Article 7(5) may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following the publication of the decision in the 
Official Journal of the European Union
 or at a later date specified therein. It shall not affect the validity of any delegated acts already in force.
4.   Before adopting a delegated act, the Commission shall consult experts designated by each Member State in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making.
5.   As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to the Council.
6.   A delegated act adopted pursuant to Article 4(11) or (12), Article 5(4) or Article 7(5) shall enter into force only if no objection has been expressed either by the European Parliament or by the Council within a period of two months of notification of that act to the European Parliament and the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by two months at the initiative of the European Parliament or of the Council.
Article 44
Monitoring and evaluation
1.   eu-LISA shall ensure that procedures are in place to monitor the development of the router in light of objectives relating to planning and costs, and to monitor the functioning of the router in light of objectives relating to the technical output, cost-effectiveness, security and quality of service.
2.   By 29 January 2026 and every year thereafter during the development phase of the router, eu-LISA shall produce a report on the state of play of the development of the router, and submit that report to the European Parliament and to the Council. The report shall contain detailed information about the costs incurred and about any risks which may impact the overall costs to be borne by the general budget of the Union in accordance with Article 32.
3.   Once the router starts operations, eu-LISA shall produce a report and submit it to the European Parliament and to the Council explaining in detail how the objectives, in particular relating to planning and costs, were achieved and giving reasons for any divergences.
4.   By 29 January 2029, and every four years thereafter, the Commission shall produce a report containing an overall evaluation of this Regulation, including on the necessity and added value of the collection of API data, including an assessment of:
(a)
the application of this Regulation;
(b)
the extent to which this Regulation achieved its objectives;
(c)
the impact of this Regulation on fundamental rights protected under Union law;
(d)
the impact of this Regulation on the travel experience of legitimate passengers;
(e)
the impact of this Regulation on the competitiveness of the aviation sector and the burden incurred by businesses;
(f)
the quality of the data transmitted by the router to the PIUs;
(g)
the performance of the router in respect of the PIUs.
For the purposes of point (e) of the first subparagraph, the Commission’s report shall also address this Regulation’s interaction with other relevant Union legislative acts, in particular Regulations (EC) No 767/2008, (EU) 2017/2226 and (EU) 2018/1240 and, in order to assess the overall impact of related reporting obligations on air carriers, identify provisions that could be updated and simplified, where appropriate, to mitigate the burden on air carriers, and consider actions and measures that could be taken to reduce the total cost pressure on air carriers.
5.   The evaluation referred to in paragraph 4 shall also include an assessment of the necessity, proportionality and effectiveness of including the mandatory collection and transfer of API data relating to intra-EU flights within the scope of this Regulation.
6.   The Commission shall submit the evaluation report to the European Parliament, the Council, the European Data Protection Supervisor and the European Agency for Fundamental Rights. If appropriate, in light of the evaluation conducted, the Commission shall make a legislative proposal to the European Parliament and to the Council with a view to amending this Regulation.
7.   The Member States and air carriers shall, upon request, provide eu-LISA and the Commission with the information necessary to draft the reports referred to in paragraphs 2, 3 and 4. In particular, Member States shall provide quantitative and qualitative information on the collection of API data from an operational perspective. The information provided shall not include personal data. Member States may refrain from providing such information if, and to the extent, necessary not to disclose confidential working methods or jeopardise ongoing investigations of their PIUs or other competent authorities. The Commission shall ensure that any confidential information provided is appropriately protected.
Article 45
Entry into force and application
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
It shall apply:
(a)
in relation to API data, from the date two years from the date on which the router starts operations, as determined by the Commission in accordance with Article 34; and
(b)
in relation to other PNR data, from the date four years from the date on which the router starts operations, as determined by the Commission in accordance with Article 35.
However:
(a)
Article 4(12), Article 5(3), Article 7(5), Article 11(5), Article 12(6), Article 18(4), Article 23(2), Article 24(2), Article 25, Article 28, Article 29, Article 32(1), Article 34, Article 35, Article 42 and Article 43 shall apply from 28 January 2025;
(b)
Article 6, Article 17(1), (2) and (3), Article 18(1), (2) and (3), Article 19, Article 20, Article 26, Article 27, Article 33 and Article 36 shall apply from the date on which the router starts operations, as determined by the Commission in accordance with Article 34 and Article 35.
This Regulation shall be binding in its entirety and directly applicable in the Member States in accordance with the Treaties.
Done at Brussels, 19 December 2024.
For the European Parliament
The President
R. METSOLA
For the Council
The President
BÓKA J.
(
1
)
  
            
OJ C 228, 29.6.2023, p. 97
.
(
2
)
  Position of the European Parliament of 25 April 2024 (not yet published in the Official Journal) and decision of the Council of 12 December 2024.
(
3
)
  Council Directive 2004/82/EC of 29 April 2004 on the obligation of carriers to communicate passenger data (
OJ L 261, 6.8.2004, p. 24
).
(
4
)
  Directive (EU) 2016/681 of the European Parliament and of the Council of 27 April 2016 on the use of passenger name record (PNR) data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime (
OJ L 119, 4.5.2016, p. 132
).
(
5
)
  Regulation (EU) 2025/12 of the European Parliament and of the Council of 19 December 2024 on the collection and transfer of advance passenger information for enhancing and facilitating external border checks, amending Regulations (EU) 2018/1726 and (EU) 2019/817, and repealing Council Directive 2004/82/EC (
OJ L, 2025/12, 8.1.2025, ELI: http://data.europa.eu/eli/reg/2025/12/oj
).
(
6
)
  Regulation (EU) 2019/1157 of the European Parliament and of the Council of 20 June 2019 on strengthening the security of identity cards of Union citizens and of residence documents issued to Union citizens and their family members exercising their right of free movement (
OJ L 188, 12.7.2019, p. 67
).
(
7
)
  Council Regulation (EC) No 2252/2004 of 13 December 2004 on standards for security features and biometrics in passports and travel documents issued by Member States (
OJ L 385, 29.12.2004, p. 1
).
(
8
)
  Council Directive (EU) 2019/997 of 18 June 2019 establishing an EU Emergency Travel Document and repealing Decision 96/409/CFSP (
OJ L 163, 20.6.2019, p. 1
).
(
9
)
  Regulation (EU) 2017/2226 of the European Parliament and of the Council of 30 November 2017 establishing an Entry/Exit System (EES) to register entry and exit data and refusal of entry data of third-country nationals crossing the external borders of the Member States and determining the conditions for access to the EES for law enforcement purposes, and amending the Convention implementing the Schengen Agreement and Regulations (EC) No 767/2008 and (EU) No 1077/2011 (
OJ L 327, 9.12.2017, p. 20
).
(
10
)
  Regulation (EU) 2018/1240 of the European Parliament and of the Council of 12 September 2018 establishing a European Travel Information and Authorisation System (ETIAS) and amending Regulations (EU) No 1077/2011, (EU) No 515/2014, (EU) 2016/399, (EU) 2016/1624 and (EU) 2017/2226 (
OJ L 236, 19.9.2018, p. 1
).
(
11
)
  Regulation (EC) No 767/2008 of the European Parliament and of the Council of 9 July 2008 concerning the Visa Information System (VIS) and the exchange of data between Member States on short-stay visas (VIS Regulation) (
OJ L 218, 13.8.2008, p. 60
).
(
12
)
  Regulation (EU) 2018/1726 of the European Parliament and of the Council of 14 November 2018 on the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), and amending Regulation (EC) No 1987/2006 and Council Decision 2007/533/JHA and repealing Regulation (EU) No 1077/2011 (
OJ L 295, 21.11.2018, p. 99
).
(
13
)
  Regulation (EC) No 1107/2006 of the European Parliament and of the Council of 5 July 2006 concerning the rights of disabled persons and persons with reduced mobility when travelling by air (
OJ L 204, 26.7.2006, p. 1
).
(
14
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
15
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
16
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
(
17
)
  Regulation (EU) 2019/818 of the European Parliament and of the Council of 20 May 2019 on establishing a framework for interoperability between EU information systems in the field of police and judicial cooperation, asylum and migration and amending Regulations (EU) 2018/1726, (EU) 2018/1862 and (EU) 2019/816 (
OJ L 135, 22.5.2019, p. 85
).
(
18
)
  
            
OJ L 123, 12.5.2016, p. 1
.
(
19
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by Member States of the Commission’s exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
, ELI: http://data.europa.eu/eli/reg/2011/182/oj).
(
20
)
  
            
OJ C 84, 7.3.2023, p. 2
.
(
21
)
  Directive (EU) 2017/541 of the European Parliament and of the Council of 15 March 2017 on combating terrorism and replacing Council Framework Decision 2002/475/JHA and amending Council Decision 2005/671/JHA (
OJ L 88, 31.3.2017, p. 6
).
(
22
)
  
            
OJ L 56, 4.3.1968, p. 1
.
ELI: http://data.europa.eu/eli/reg/2025/13/oj
ISSN 1977-0677 (electronic edition)

Summary:
Collection and transfer of advance passenger information
SUMMARY OF:
Regulation (EU) 2025/12 on the collection and transfer of advance passenger information for enhancing and facilitating external border checks
Regulation (EU) 2025/13 on the collection and transfer of advance passenger information for the prevention, detection, investigation and prosecution of terrorist offences and serious crime
WHAT IS THE AIM OF THE REGULATIONS?
These two 
regulations
 establish harmonised 
European Union
 (EU) rules on the collection and transfer of 
advance passenger information (API)
1
 by air carriers:
Regulation (EU) 2025/12
 aims to improve the effectiveness of external 
border checks
 and combat illegal immigration;
Regulation (EU) 2025/13
 aims to support the prevention, detection, investigation and prosecution of terrorist offences and serious crime by complementing existing rules on the transfer and use of passenger name record (PNR) data
2
 under Directive (EU) 
2016/681
 (see 
summary
).
Together, they update the rules established by 
Directive 
2004/82/EC
 and create a common legal and technical framework for the secure and efficient transfer of API data and PNR data via a 
single EU API/PNR router
3
 operated by the 
European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice
 (eu-LISA) (Regulation (EU) 
2018/1726
 – see 
summary
).
KEY POINTS
Scope and applicability
Both regulations apply to air carriers operating passenger flights, including those carrying passengers connecting to other destinations (transit passengers) and off-duty crew members. Regulation (EU) 2025/13 applies also to on-duty crew members.
Regulation (EU) 2025/12 applies to flights 
arriving from non-EU countries to EU 
Member States
 that apply this regulation
 and to the Schengen-associated countries (Iceland, Liechtenstein, Norway and Switzerland).
Regulation (EU) 2025/13 applies to:
flights between Member States that apply this regulation and non-EU countries (
extra-EU flights
);
selected flights within the EU (
intra-EU flights
), but only if the Member State applies the rules on the use of PNR data to those flights.
These regulations do 
not
 apply to military, emergency, medical or school flights.
Obligations for air carriers
Air carriers must:
collect API data
 for each passenger and crew member, including:
the full name, date of birth, sex, nationality,
travel document details (type, number, expiry date, issuing country),
the flight number, seat number, baggage information (if available),
the PNR record locator (if available),
the method of collection (automated/manual);
use automated means
 (such as scanning machine-readable zones of travel documents) to ensure accuracy and completeness – manual input is allowed only during 
a transitional period
 or in exceptional circumstances where automated collection is technically impossible;
transfer data electronically and securely
 to the EU API/PNR router:
once at check-in
 (per passenger), and
again after flight closure
 (for all passengers and crew on board).
Single router for data transfer
The 
single EU API/PNR router
, operated by 
eu-LISA
, is the exclusive interface for API and PNR data transfer. It 
receives
 API and PNR data from air carriers, 
validates
 the technical format and integrity and 
automatically routes
 API data to national 
border authorities
 (for Regulation (EU) 2025/12) or API and PNR data to national 
passenger information units (PIUs)
 (for Regulation (EU) 2025/13). The router 
deletes
 data immediately after transmission, retaining it 
only temporarily
 for routing purposes.
All transmissions must use 
end-to-end encryption
. The router ensures compatibility with relevant EU IT systems such as the 
entry/exit system
 (EES), the 
European travel information and authorisation system
 (ETIAS), and the 
visa information system
 (VIS). It also eliminates the need for multiple direct connections between airlines and national authorities.
Use of advance passenger information data
Under 
Regulation (EU) 2025/12
, API data are used exclusively to enhance and facilitate external border checks and to detect illegal immigration. The use of data for profiling or discriminatory purposes is prohibited. Border authorities may store the data for up to 
48 hours
, with a possible extension of another 48 hours in individual cases where a passenger does not present themselves at the border.
Under 
Regulation (EU) 2025/13
, API data are processed jointly with PNR data to identify high-risk individuals, prevent and detect serious crime and terrorism and support cross-border police and judicial cooperation. For 
intra-EU flights
, API data may be transferred to PIUs only if the Member State applies the PNR rules to such flights and selects them using 
objective, risk-based criteria
. This selection must be reviewed 
at least annually
. Data from non-selected flights must be 
deleted immediately from the router
, and air carriers must 
not
 be informed of which flights are selected.
Passenger rights and data protection
The regulations complement the 
data protection
 rules set out in Directive (EU) 2016/681 and require that all processing of API and PNR data complies with applicable EU data protection rules. These include:
the 
Charter of Fundamental Rights of the European Union
;
Regulation (EU) 
2016/679
 (the General Data Protection Regulation – see 
summary
), which sets out the rules for how air carriers handle personal data and apply to national authorities processing API data for border management purposes;
Directive (EU) 
2016/680
 (see 
summary
), which sets out the EU rules on data protection for police and criminal justice authorities that apply to national authorities processing API data for law enforcement purposes;
Regulation (EU) 
2018/1725
 (see 
summary
), which sets out the EU rules on data protection for EU institutions and agencies that apply to 
eu-LISA
 (operating the router).
The regulations establish key safeguards, including:
strict purpose limitation – data may be used only for the purposes defined in the regulations;
a ban on the collection or use of biometric data as part of API data;
a prohibition on discrimination and profiling;
a right to information – passengers must be informed at booking and check-in about the collection of their data and their rights;
strict rules on how long the data may be retained.
National authorities
Each Member State must designate:
a 
competent border authority
 to receive API data for border checks;
the 
PIU
 to receive API data for law enforcement purposes and PNR data, pursuant to Directive (EU) 2016/681;
a 
national API supervision authority
 to monitor compliance and enforce the rules.
Governance and oversight
eu-LISA
 is responsible for:
designing, developing, hosting and operating the router;
providing technical support and training to stakeholders;
ensuring system security and interoperability with other systems.
Governance structures at eu-LISA include:
a 
Programme Management Board
 responsible for overseeing implementation;
an 
API-PNR Advisory Group
 providing technical and operational advice;
an 
API Contact Group
 facilitating stakeholder engagement.
In addition, the Commission must establish an 
API Expert Group
 to enable communication among Member States and between Member States and air carriers on policy matters related to API and PNR.
Supervision and penalties
Member States must:
monitor and enforce compliance by air carriers and authorities;
impose penalties for non-compliance, including:
fines of up to 
2 % of the air carrier’s global turnover
 in case of recurrent failure to transfer API data,
other administrative or corrective measures, as appropriate.
API supervision authorities must take into account the nature, gravity and duration of the breach, whether it was intentional or negligent, the categories of data affected, any previous breaches and the degree of cooperation.
Transitional measures
During a transitional period, air carriers may continue to use manual methods to collect API data. They may also choose to connect to the EU router on a voluntary basis, provided they are authorised to do so by the Member State concerned. The 
European Commission
 will determine the date from which the EU API/PNR router becomes operational, once eu-LISA has informed the Commission of the successful completion of the comprehensive test of the router.
Commission powers
The Commission is empowered to adopt:
delegated acts
 to:
terminate the transitional period for the manual collection of API data,
define rules for the automated means for the collection of machine-readable API data and for the manual collection in exceptional circumstances and during the transitional period,
set rules on the common protocols and supported data formats for the transfer of API data to the router,
define rules on correcting completing and updating API data.
implementing acts
 to:
set the date of start of operations of the router,
define rules for data verifications and notifications and for the transmission of API and PNR data from the router to the Member States’ competent authorities,
specify rules for air carriers’ and Member States’ connections and integration into the router,
define the responsibilities of the Member States and joint controllers and the relationship between joint controllers and eu-LISA as the processor.
Monitoring and evaluation
The Commission will assess the impact of the regulations, including their effects on:
passenger rights;
air carrier operations and competitiveness;
the effectiveness and efficiency of the EU API/PNR router.
To support the implementation and monitoring the application of the regulations, eu-LISA is tasked with publishing statistics on the functioning of the router and on the compliance of air carriers with the obligations set out in the router. These statistics are based on anonymised passenger and flight data automatically transmitted to and managed by the 
central repository for reporting and statistics
 (CRRS)
. These statistics must be anonymised and cannot be used to identify individuals.
FROM WHEN DO THE REGULATIONS APPLY?
Both regulations entered into force on 
28 January 2025
. Certain rules, particularly those on implementation planning, governance and oversight, apply from that date. Most operational rules apply only 
once the EU API/PNR router enters into operation
, as determined by the Commission. From that point, the rules under Regulation (EU) 2025/12 apply after 
two years
. Under Regulation (EU) 2025/13, rules on the transfer of API data apply after 
two years
, while rules on the transfer of PNR data via the router apply after 
four years
.
BACKGROUND
For further information, see:
Passenger data
 (Council of the European Union).
KEY TERMS
Advance passenger information (API).
Ιdentity data, travel document data and travel-related data collected by air carriers from passengers and crew during check-in, transmitted to national authorities prior to flight departure.
Passenger name record (PNR).
Information gathered during the booking and reservation process of a passenger’s journey, including itinerary, contact details and payment method, used for law enforcement purposes.
EU API/PNR router.
A secure central system operated by eu-LISA that receives API and PNR data collected by the air carriers and transmits them to the relevant competent border authorities or passenger information units of the Member States, depending on the applicable rules.
MAIN DOCUMENTS
Regulation (EU) 
2025/12
 of the European Parliament and of the Council of 
19 December 2024
 on the collection and transfer of advance passenger information for enhancing and facilitating external border checks, amending Regulations (EU) 2018/1726 and (EU) 2019/817, and repealing Council Directive 2004/82/EC (OJ L, 2025/12, 
8.1.2025
).
Regulation (EU) 
2025/13
 of the European Parliament and of the Council of 
19 December 2024
 on the collection and transfer of advance passenger information for the prevention, detection, investigation and prosecution of terrorist offences and serious crime, and amending Regulation (EU) 2019/818 (OJ L, 2025/13, 
8.1.2025
).
Successive amendments to Regulation (EU) 2025/13 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
RELATED DOCUMENTS
Directive (EU) 
2016/681
 of the European Parliament and of the Council of 
27 April 2016
 on the use of passenger name record (PNR) data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime (OJ L 119, 
4.5.2016
, 
pp. 132–149
).
Regulation (EU) 
2019/818
 of the European Parliament and of the Council of 
20 May 2019
 on establishing a framework for interoperability between EU information systems in the field of police and judicial cooperation, asylum and migration and amending Regulations (EU) 2018/1726, (EU) and (EU) 2019/816 (OJ L 135, 
22.5.2019
, 
pp. 85–135
).
See 
consolidated version
.
Regulation (EU) 
2019/817
 of the European Parliament and of the Council of 
20 May 2019
 on establishing a framework for interoperability between EU information systems in the field of borders and visa and amending Regulations (EC) 
No 767/2008
, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 and (EU) 2018/1861 of the European Parliament and of the Council and Council Decisions 2004/512/EC and 2008/633/JHA (OJ L 135, 
22.5.2019
, 
pp. 27–84
).
See 
consolidated version
.
Regulation (EU) 
2018/1726
 of the European Parliament and of the Council of 
14 November 2018
 on the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), and amending Regulation (EC) 
No 1987/2006
 and Council Decision 2007/533/JHA and repealing Regulation (EU) 
No 1077/2011
 (OJ L 295, 
21.11.2018
, 
pp. 99–137
).
See 
consolidated version
.
Regulation (EU) 
2018/1725
 of the European Parliament and of the Council of 
23 October 2018
 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) 
No 45/2001
 and Decision 
No 1247/2002/EC
 (OJ L 295, 
21.11.2018
, 
pp. 39–98
).
Regulation (EU) 
2018/1241
 of the European Parliament and of the Council of 
12 September 2018
 amending Regulation (EU) 2016/794 for the purpose of establishing a European Travel Information and Authorisation System (ETIAS) (OJ L 236, 
19.9.2018
, 
pp. 72–73
).
Regulation (EU) 
2018/1240
 of the European Parliament and of the Council of 
12 September 2018
 establishing a European Travel Information and Authorisation System (ETIAS) and amending Regulations (EU) 
No 1077/2011
, (EU) 
No 515/2014
, (EU) 2016/399, (EU) 2016/1624 and (EU) 2017/2226 (OJ L 236, 
19.9.2018
, 
pp. 1–71
).
See 
consolidated version
.
Regulation (EU) 
2017/2226
 of the European Parliament and of the Council of 
30 November 2017
 establishing an Entry/Exit System (EES) to register entry and exit data and refusal of entry data of third-country nationals crossing the external borders of the Member States and determining the conditions for access to the EES for law enforcement purposes, and amending the Convention implementing the Schengen Agreement and Regulations (EC) 
No 767/2008
 and (EU) 
No 1077/2011
 (OJ L 327, 
9.12.2017
, 
pp. 20–82
).
See 
consolidated version
.
Regulation (EU) 
2017/2225
 of the European Parliament and of the Council of 
30 November 2017
 amending Regulation (EU) 2016/399 as regards the use of the Entry/Exit System (OJ L 327, 
9.12.2017
, 
pp. 1–19
).
Directive (EU) 
2016/680
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (OJ L 119, 
4.5.2016
, 
pp. 89–131
).
See 
consolidated version
.
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 
4.5.2016
, 
pp. 1–88
).
See 
consolidated version
.
Regulation (EC) 
No 
767/2008
 of the European Parliament and of the Council of 
9 July 2008
 concerning the Visa Information System (VIS) and the exchange of data between Member States on short-stay visas (VIS Regulation) (OJ L 218, 
13.8.2008
, 
pp. 60–81
).
See 
consolidated version
.
Council Directive 
2004/82/EC
 of 
29 April 2004
 on the obligation of carriers to communicate passenger data (OJ L 261, 
6.8.2004
, 
pp. 24–27
).
last update 
20.6.2025

--- DANISH ---

Document:
Den Europæiske Unions 
Tidende
DA
L-udgaven
2025/13
8.1.2025
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2025/13
af 19. december 2024
om indsamling og overførsel af forhåndsoplysninger om passagerer med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet, og om ændring af forordning (EU) 2019/818
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 82, stk. 1, litra d), og artikel 87, stk. 2, litra a),
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
efter den almindelige lovgivningsprocedure 
(
2
)
, og
ud fra følgende betragtninger:
(1)
Den internationale dimension af grov kriminalitet og organiseret kriminalitet og den fortsatte trussel om terrorangreb på europæisk jord kræver en indsats på EU-plan for at vedtages passende foranstaltninger for at sikre sikkerheden på et område med frihed, sikkerhed og retfærdighed uden indre grænser. Oplysninger om passagerer såsom passagerlister (PNR) og især forhåndsoplysninger om passagerer (API) er afgørende for at identificere højrisikopassagerer, herunder dem, der ellers ikke er kendt af de retshåndhævende myndigheder, fastslå forbindelser mellem medlemmer af kriminelle grupper og bekæmpe terrorhandlinger.
(2)
Selv om Rådets direktiv 2004/82/EF 
(
3
)
 udgør en retlig ramme for luftfartsselskabers indsamling og overførsel af API-oplysninger med henblik på at forbedre grænsekontrollen og bekæmpe ulovlig indvandring, fastslår det også, at medlemsstaterne kan bruge API-oplysninger til retshåndhævelse. Men kun at skabe en sådan mulighed kan føre til adskillige huller og mangler. Det betyder navnlig, at API-oplysninger ikke systematisk indsamles og overføres af luftfartsselskaber til retshåndhævelsesformål. Muligheden for at bruge API-oplysninger til retshåndhævelsesformål betyder også, at luftfartsselskaberne, i de tilfælde hvor medlemsstaterne har benyttet denne mulighed, står over for divergerende krav i henhold til national ret med hensyn til, hvornår og hvordan de skal indsamle og overføre API-oplysninger til disse formål. Disse forskelle fører ikke blot til unødige omkostninger og komplikationer for luftfartsselskaberne, men de er også skadelige for Unionens indre sikkerhed og for et effektivt samarbejde mellem medlemsstaternes kompetente retshåndhævende myndigheder. I betragtning af de forskellige formål med at lette grænsekontrollen og retshåndhævelsen et det derudover hensigtsmæssigt at fastsætte en særskilt retlig ramme for indsamling og overførsel af API-oplysninger til hvert af disse formål.
(3)
Ved Europa-Parlamentets og Rådets direktiv (EU) 2016/681 
(
4
)
 fastsættes regler om anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet. I henhold til nævnte direktiv skal medlemsstaterne vedtage alle nødvendige foranstaltninger for at sikre, at luftfartsselskaber videregiver PNR-oplysninger, herunder alle indsamlede API-oplysninger, til den nationale passageroplysningsenhed, som er oprettet i henhold til nævnte direktiv, i det omfang de allerede har indsamlet disse oplysninger som led i deres normale forretningsaktiviteter. Direktivet sikrer derfor ikke indsamling og overførsel af API-oplysninger i alle tilfælde, da luftfartsselskaberne ikke har nogen forretningsrelaterede grunde til at indsamle alle sådanne oplysninger. Det er vigtigt at sikre, at passageroplysningsenhederne modtager API-oplysninger sammen med PNR-oplysninger, eftersom den fælles behandling af sådanne oplysninger er nødvendig, hvis medlemsstaternes kompetente myndigheder effektivt skal kunne forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet. En sådan fælles behandling giver navnlig mulighed for nøjagtig identifikation af de passagerer, som det muligvis er nødvendigt for disse myndigheder at undersøge yderligere i overensstemmelse med gældende ret. Derudover redegøres der i nævnte direktiv ikke nærmere for, hvilke oplysninger der udgør API-oplysninger. Der bør af disse årsager derfor fastsættes supplerende regler med krav om, at luftfartsselskaber indsamler og efterfølgende overfører et specifikt defineret sæt API-oplysninger, og disse krav bør finde anvendelse, i det omfang luftfartsselskaberne i henhold til nævnte direktiv er forpligtet til at indsamle og overføre PNR-oplysninger om samme flyvning.
(4)
Det er derfor nødvendigt at fastsætte klare, harmoniserede og effektive regler på EU-plan for indsamling og overførsel af API-oplysninger med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet.
(5)
I betragtning af den tætte sammenhæng mellem begge retsakter bør denne forordning forstås som et supplement til reglerne i direktiv (EU) 2016/681 som fortolket af EU-Domstolen. API-oplysninger skal derfor kun indsamles og overføres i henhold til denne forordning i overensstemmelse med de specifikke krav, der er fastsat heri, herunder med hensyn til de situationer og den måde, hvorpå dette skal ske. Bestemmelserne i nævnte direktiv finder dog anvendelse for så vidt angår spørgsmål, der ikke specifikt er omfattet af denne forordning, navnlig angående reglerne om den efterfølgende behandling af API-oplysninger, som passageroplysningsenhederne modtager, udveksling af oplysninger mellem medlemsstaterne, betingelserne for adgang for Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol), overførsel af personoplysninger til tredjelande, opbevaring og anonymisering samt beskyttelse af personoplysninger. I det omfang disse regler finder anvendelse, finder bestemmelserne i nævnte direktiv om sanktioner og de nationale tilsynsmyndigheder også anvendelse. Denne forordning bør ikke berøre disse regler og bør derfor navnlig ikke berøre de krav og garantier, der gælder for passageroplysningsenhedernes behandling af API-oplysninger.
(6)
Indsamling og overførsel af API-oplysninger påvirker enkeltpersoners privatliv og indebærer behandling af deres personoplysninger. For fuldt ud at respektere deres grundlæggende rettigheder, navnlig retten til respekt for privatliv og retten til beskyttelse af personoplysninger, i overensstemmelse med Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«), bør der fastsættes passende begrænsninger og garantier. Enhver behandling af API-oplysninger, navnlig API-oplysninger, der udgør personoplysninger, bør f.eks. forsat være strengt begrænset til, hvad der er nødvendigt for og står i rimeligt forhold til at nå de mål, der forfølges med denne forordning. Det bør endvidere sikres, at behandlingen af alle de API-oplysninger, der indsamles og overføres i henhold til denne forordning, ikke fører til nogen form for forskelsbehandling, der er udelukket af chartret.
(7)
I betragtning af komplementariteten mellem denne forordning og direktiv (EU) 2016/681 bør luftfartsselskabernes forpligtelser i henhold til denne forordning finde anvendelse på alle flyvninger, for hvilke medlemsstaterne skal stille krav om, at luftfartsselskaberne videregiver PNR-oplysninger i henhold til direktiv (EU) 2016/681, uanset hvor de luftfartsselskaber, der foretager disse flyvninger, har hjemsted. Disse flyvninger bør vedrøre både ruteflyvninger og ikkeruteflyvninger, både mellem medlemsstater og tredjelande (flyvninger uden for EU) og mellem flere medlemsstater (flyvninger inden for EU), forudsat at sådanne flyvninger inden for EU afgår fra, lander eller foretager mellemlanding på mindst én medlemsstats område, og denne medlemsstat har meddelt sin beslutning om at anvende direktiv (EU) 2016/681 på flyvninger inden for EU i overensstemmelse med nævnte direktivs artikel 2, stk. 1, og i overensstemmelse med EU-Domstolens retspraksis. For så vidt angår flyvninger inden for EU, der er omfattet af denne forordning, bør en sådan målrettet tilgang, der er fastsat under anvendelse af artikel 2 i direktiv (EU) 2016/681 og centreret om kravene til en effektiv retshåndhævelse, også være påkrævet i betragtning af behovet for at sikre overholdelse af kravene i EU-retten om nødvendighed og proportionalitet af databehandlingen, den frie bevægelighed for personer og afskaffelsen af kontrollen ved de indre grænser. Indsamling af oplysninger fra andre civile luftfartøjsoperationer såsom flyveskoler, medicinske flyvninger, nødflyvninger samt militære flyvninger er ikke omfattet af denne forordnings anvendelsesområde. Denne forordning berører ikke indsamlingen af oplysninger fra sådanne flyvninger som fastsat i national ret, der er forenelig med EU-retten. Kommissionen bør vurdere gennemførligheden af en EU-ordning, der forpligter operatører af private flyvninger til at indsamle og overføre flypassageroplysninger.
(8)
Luftfartsselskabernes forpligtelser til at indsamle og overføre API-oplysninger i henhold til denne forordning bør omfatte alle passagerer og besætningsmedlemmer på flyvninger til Unionen, transitpassagerer og besætningsmedlemmer, hvis endelige bestemmelsessted ligger uden for Unionen, og ethvert ikketjenestegørende besætningsmedlem, der er placeret på en flyvning af et luftfartsselskab i forbindelse med deres opgaver.
(9)
Da direktiv (EU) 2016/681 ikke omfatter indenrigsflyvninger med afrejse fra og ankomst til samme medlemsstats område uden mellemlanding i en anden medlemsstats eller et tredjelands område, og i betragtning af den internationale dimension af de terrorhandlinger og den grove kriminalitet, der er omfattet af denne forordning, bør sådanne flyvninger derfor heller ikke være omfattet af denne forordnings anvendelsesområde. Denne forordning bør ikke forstås således, at den berører medlemsstaternes mulighed for i henhold til deres nationale ret og under overholdelse af EU-retten at fastsætte forpligtelser for luftfartsselskaber om at indsamle og overføre API-oplysninger om sådanne indenrigsflyvninger.
(10)
I betragtning af den tætte sammenhæng mellem de berørte EU-retsakter og af hensyn til konsekvensen og sammenhængen bør definitionerne i denne forordning, hvor det er hensigtsmæssigt, bringes i overensstemmelse med, fortolkes og anvendes i lyset af definitionerne i direktiv (EU) 2016/681 og Europa-Parlamentets og Rådets forordning (EU) 2025/12 
(
5
)
.
(11)
De oplysninger, der tilsammen udgør de API-oplysninger, der skal indsamles og efterfølgende overføres i henhold til denne forordning, bør navnlig være klart og udtømmende angivet og omfatte både oplysninger om hver enkelt passager og hvert enkelt besætningsmedlem og oplysninger om den pågældende passagers og det pågældende besætningsmedlems flyvning. I henhold til nærværende forordning og i overensstemmelse med internationale standarder bør sådanne flyveoplysninger omfatte flysæde- og baggageoplysninger, hvor sådanne oplysninger er tilgængelige, og oplysninger om grænseovergangstedet for indrejse på den pågældende medlemsstats område, kun når det er relevant, ikke når API-oplysningerne vedrører flyvninger inden for EU. Hvor bagage- eller flysædeoplysninger er tilgængelige i andre IT-systemer, som luftfartsselskabet, dets håndterer, dets systemleverandør eller lufthavnsmyndigheden råder over, bør luftfartsselskaberne integrere disse oplysninger i de API-oplysninger, der skal overføres til passageroplysningsenhederne. API-oplysninger som defineret og reguleret i nærværende forordning omfatter ikke biometriske data.
(12)
For at gøre det muligt at rejse uden at medbringe et rejsedokument, hvis medlemsstaterne tillader en sådan praksis i henhold til national ret i overensstemmelse med EU-retten, herunder på grundlag af en international aftale, bør det være muligt for en medlemsstat at pålægge luftfartsselskaberne en forpligtelse til at give passagerer mulighed for frivilligt at uploade API-oplysninger ved brug af automatiserede metoder og at opbevare sådanne oplysninger hos luftfartsselskabet med henblik på at overføre oplysningerne med henblik på fremtidige flyvninger.
(13)
For at give mulighed for fleksibilitet og innovation bør det i princippet overlades til hvert luftfartsselskab at bestemme, hvordan det opfylder sine i denne forordning fastsatte forpligtelser med hensyn til indsamling af API-oplysninger, idet der tages hensyn til de forskellige typer luftfartsselskaber som defineret i denne forordning og deres respektive forretningsmodeller, herunder for så vidt angår indtjekningstider og samarbejde med lufthavne. I betragtning af at der findes passende teknologiske løsninger, der gør det muligt automatisk at indsamle visse API-oplysninger, samtidig med at det sikres, at de pågældende API-oplysninger er nøjagtige, fuldstændige og ajourførte, og under hensyntagen til fordelene ved at anvende en sådan teknologi med hensyn til virkningsfuldhed og effektivitet, bør luftfartsselskaberne imidlertid pålægges at indsamle sådanne API-oplysninger ved brug af automatiserede metoder ved at læse oplysninger fra rejsedokumentets maskinlæsbare data. Hvor det ikke er teknisk muligt at anvende sådanne automatiserede metoder under ekstraordinære omstændigheder, bør luftfartsselskaberne undtagelsesvis indsamle API-oplysningerne manuelt, enten som led i onlineindtjekningsprocessen eller som led i indtjekningen i lufthavnen, på en sådan måde at det sikres, at de overholder deres forpligtelser i henhold til denne forordning.
(14)
Indsamlingen af API-oplysninger ved brug af automatiserede metoder bør være strengt begrænset til de alfanumeriske oplysninger, der findes i rejsedokumentet, og bør ikke føre til indsamling af eventuelle biometriske oplysninger herfra. Eftersom indsamlingen af API-oplysninger er en del af indtjekningsprocessen, enten online eller i lufthavnen, omfatter denne forordning ikke en forpligtelse for luftfartsselskaberne til at kontrollere et rejsedokument for passageren på ombordstigningstidspunktet. Overholdelse af denne forordning omfatter ikke en forpligtelse for passagererne til at være i besiddelse af et rejsedokument på ombordstigningstidspunktet. Dette bør ikke berøre forpligtelser, der følger af andre EU-retsakter eller national ret, der er forenelig med EU-retten.
(15)
Indsamlingen af API-oplysninger fra rejsedokumenter bør også være i overensstemmelse med Organisationen for International Civil Luftfarts (ICAO's) standarder for maskinlæsbare rejsedokumenter, som er blevet indarbejdet i EU-retten ved Europa-Parlamentets og Rådets forordning (EU) 2019/1157 
(
6
)
, Rådets forordning (EF) nr. 2252/2004 
(
7
)
 og Rådets direktiv (EU) 2019/997 
(
8
)
.
(16)
For at undgå en situation, hvor luftfartsselskaberne skal etablere og opretholde flere tilslutninger til medlemsstaternes passageroplysningsenheder med henblik på overførsel af API-oplysninger, der er indsamlet i henhold til denne forordning, og dermed undgå den forbundne ineffektivitet og de forbundne sikkerhedsrisiciene, bør der fastsættes bestemmelser om en fælles router, der oprettes og drives på EU-plan i overensstemmelse med denne forordning og forordning (EU) 2025/12, der fungerer som tilslutnings- og distributionspunkt for disse overførsler. Af hensyn til effektiviteten og omkostningseffektiviteten bør routeren, i det omfang det er teknisk muligt, og under fuld overholdelse af bestemmelserne i nærværende forordning og forordning (EU) 2025/12 anvende tekniske komponenter fra andre relevante systemer, der er oprettet i henhold til EU-retten, navnlig den webtjeneste, der er omhandlet i Europa-Parlamentets og Rådets forordning (EU) 2017/2226 
(
9
)
, den gatewayfacilitet for transportvirksomheder, der er omhandlet i Europa-Parlamentets og Rådets forordning (EU) 2018/1240 
(
10
)
, og den gatewayfacilitet for transportvirksomheder, der er omhandlet i Europa-Parlamentets og Rådets forordning (EF) nr. 767/2008 
(
11
)
. For at mindske indvirkningen på luftfartsselskaber og sikre en harmoniseret tilgang til luftfartsselskaber bør Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA), der er oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2018/1726 
(
12
)
, i det omfang det er teknisk og operationelt muligt, designe routeren på en måde, der er sammenhængende og i overensstemmelse med luftfartsselskabernes forpligtelser, der er fastsat i forordning (EF) nr. 767/2008, (EU) 2017/2226 og (EU) 2018/1240.
(17)
Med henblik på at sikre, at passageroplysningsenhederne kan læse PNR-oplysninger, og at deres PNR-systemer fungerer korrekt, bør de digitale meddelelser, der sendes af et luftfartsselskab, og som indeholder en eller flere passagerlister (»PNR-meddelelser«), overføres af luftfartsselskaberne og transmitteres af routeren i et standardiseret format ved hjælp af standardiserede datafelter eller -koder, med hensyn til både indhold og struktur. Inden routeren idriftsættes i forbindelse med andre PNR-oplysninger, bør de test, der skal foretages af eu-LISA, sikre routerens kapacitet, hastighed og pålidelighed med henblik på en sådan standardisering. Med henblik herpå bør Kommissionen tage de skridt, der er nødvendige for at revidere eksisterende gennemførelseslovgivning, der er vedtaget i henhold til artikel 16 i direktiv (EU) 2016/681, og som fastsætter fælles protokoller og understøttede dataformater. En sådan revision bør foretages i tæt samråd med repræsentanter for medlemsstaterne for at trække på deres ekspertise og garantere, at der på EU-plan tages hensyn til den bedste praksis, de har udviklet i forbindelse med gennemførelsen af direktiv (EU) 2016/681 på nationalt plan, for så vidt angår routerens funktion. Kontaktgruppen for API-PNR bør støtte en sådan revision.
(18)
For at forbedre effektiviteten af transmissionen af lufttrafikdata og støtte overvågningen af de API-oplysninger, der transmitteres til passageroplysningsenhederne, bør routeren modtage realtidsflytrafikdata indsamlet af andre organisationer såsom Den Europæiske Organisation for Luftfartens Sikkerhed (»Eurocontrol«).
(19)
Routeren bør kun tjene til at lette overførslen af API-oplysninger og andre PNR-oplysninger fra luftfartsselskaberne til passageroplysningsenhederne i overensstemmelse med denne forordning og bør ikke være et register over API-oplysninger eller andre PNR-oplysninger. For at minimere enhver risiko for uautoriseret adgang eller andet misbrug og i overensstemmelse med princippet om dataminimering bør der ikke foretages opbevaring, medmindre det er strengt nødvendigt til tekniske formål i forbindelse med transmissionen, og API-oplysningerne eller de andre PNR-oplysninger bør slettes fra routeren omgående, permanent og på en automatiseret måde fra det tidspunkt, hvor transmissionen er gennemført, eller, hvis det er relevant i henhold til denne forordning, må API-oplysningerne eller de andre PNR-oplysninger slet ikke transmitteres.
(20)
For at gøre det muligt for luftfartsselskaberne så snart som muligt at få gavn af de fordele, som anvendelsen af routeren, der er udviklet af eu-LISA i overensstemmelse med denne forordning og forordning (EU) 2025/12, giver, og for at få erfaring med at bruge den, bør luftfartsselskaberne have mulighed for, men ikke pligt til, at anvende routeren til at overføre de oplysninger, som de er forpligtet til at fremsende i henhold til direktiv 2004/82/EF, i en interimsperiode. Denne interimsperiode bør begynde på det tidspunkt, hvor routeren påbegynder driften, og ophøre, når forpligtelserne i henhold til nævnte direktiv ophører med at finde anvendelse. For at sikre, at en sådan frivillig anvendelse af routeren finder sted på en ansvarlig måde, bør der kræves forudgående skriftligt samtykke fra den medlemsstat, som skal modtage oplysningerne, efter anmodning fra luftfartsselskabet, og efter at denne medlemsstat har foretaget verifikationer og om nødvendigt opnået garantier. For at undgå en situation, hvor luftfartsselskaberne gentagne gange påbegynder og ophører med at anvende routeren, bør et luftfartsselskab ligeledes, når de påbegynder en sådan anvendelse på frivillig basis, være forpligtede til at fortsætte den, medmindre der er objektive grunde til at ophøre med anvendelsen af routeren til overførsel af oplysningerne til den berørte medlemsstat, såsom når det er blevet klart, at oplysningerne ikke overføres på en lovlig, sikker, effektiv og hurtig måde. Med henblik på en korrekt anvendelse af muligheden for frivillig anvendelse af routeren bør der under behørig hensyntagen til alle berørte parters rettigheder og interesser fastsættes de nødvendige regler for konsultationer og meddelelse af oplysninger i nærværende forordning. Enhver sådan frivillig anvendelse af routeren i medfør af direktiv 2004/82/EF som fastsat i nærværende forordning bør ikke på nogen måde forstås således, at den berører luftfartsselskabers og medlemsstaters forpligtelser i henhold til nævnte direktiv.
(21)
De krav, der er fastsat i denne forordning og i de tilhørende delegerede retsakter og gennemførelsesretsakter, bør føre til luftfartsselskabernes ensartede gennemførelse af denne forordning og derved minimere omkostningerne til sammenkoblingen af deres respektive systemer. Med henblik på at fremme luftfartsselskabernes harmoniserede gennemførelse af disse krav, navnlig for så vidt angår protokollen for oplysningernes struktur, format og transmission, bør Kommissionen på grundlag af sit samarbejde med passageroplysningsenhederne, andre medlemsstaters myndigheder, luftfartsselskaber og relevante EU-agenturer sikre, at den praktiske håndbog, der skal udarbejdes af Kommissionen, indeholder al den fornødne vejledning og præcisering.
(22)
For at forbedre kvaliteten af API-oplysninger bør routeren, der skal oprettes i henhold til denne forordning, verificere, hvorvidt de API-oplysninger, som luftfartsselskaberne har overført til den, er forenelige med de understøttede dataformater. Hvor verifikationen har fastslået, at oplysningerne ikke er forenelige med disse dataformater, bør routeren omgående og på en automatiseret måde underrette det pågældende luftfartsselskab.
(23)
Passagerer bør have mulighed for selv at give visse API-oplysninger ved brug af automatiserede metoder under en onlineindtjekningsproces, f.eks. via en sikker applikation på en passagers smartphone, en computer eller et webcam med mulighed for at læse rejsedokumentets maskinlæsbare data. Hvis passagererne ikke foretager indtjekning online, bør luftfartsselskaberne give dem mulighed for at give de krævede maskinlæsbare API-oplysninger under indtjekningen i lufthavnen ved hjælp af en selvbetjeningskiosk eller luftfartsselskabernes personale ved indtjekningsskranken. Uden at det berører luftfartsselskabernes frihed til at fastsætte flybilletpriser og fastlægge deres forretningspolitik, er det vigtigt, at forpligtelserne i henhold til denne forordning ikke fører til uforholdsmæssigt store hindringer for passagerer, der ikke er i stand til at anvende elektroniske midler til at give API-oplysninger, såsom yderligere gebyrer for at give API-oplysninger i lufthavnen. Derudover bør denne forordning fastsætte en overgangsperiode, hvor passagererne har mulighed for at give API-oplysninger manuelt som led i onlineindtjekningsprocessen. I sådanne tilfælde bør luftfartsselskaberne anvende dataverifikationsteknikker.
(24)
Det er vigtigt, at automatiserede dataindsamlingssystemer og andre processer, der indføres i henhold til denne forordning, ikke har en negativ indvirkning på luftfartsindustriens ansatte, som skal gives opkvalificerings- og omskolingsmuligheder, der vil øge effektiviteten og pålideligheden af dataindsamling og -overførsel og forbedre arbejdsvilkårene i sektoren.
(25)
For at sikre fælles behandling af API-oplysninger og PNR-oplysninger for effektivt at bekæmpe terrorisme og grov kriminalitet i Unionen og samtidig minimere indgrebene i passagerernes grundlæggende rettigheder, der er beskyttet i henhold til chartret, bør passageroplysningsenhederne være de kompetente myndigheder i medlemsstaterne, der har til opgave at modtage og efterfølgende behandle og beskytte API-oplysninger, der indsamles og overføres i henhold til denne forordning. Af hensyn til effektiviteten og for at minimere eventuelle sikkerhedsrisici bør routeren som designet, udviklet, hostet og teknisk vedligeholdt af eu-LISA i overensstemmelse med denne forordning og forordning (EU) 2025/12, transmittere de API-oplysninger, som luftfartsselskaberne har indsamlet og overført i henhold til denne forordning, til de relevante passageroplysningsenheder. I betragtning af det nødvendige beskyttelsesniveau for API-oplysninger, der udgør personoplysninger, herunder for at sikre at de pågældende oplysninger behandles fortroligt, bør API-oplysningerne transmitteres fra routeren til de relevante passageroplysningsenheder på en automatiseret måde. Nærværende forordning bør ikke berøre medlemsstaternes mulighed for at oprette et fælles dataindlæsningspunkt, der sikrer deres tilslutning til og integration med routeren.
(26)
Med henblik på at sikre overholdelsen af de rettigheder, der er fastsat i chartret, og sikre tilgængelige og inklusive rejsemuligheder, især for sårbare grupper og personer med handicap, og i overensstemmelse med de i Europa-Parlamentets og Rådets forordning (EF) nr. 1107/2006 
(
13
)
 fastsatte rettigheder for personer med handicap og personer med nedsat mobilitet, når de rejser med fly, bør luftfartsselskaber med støtte fra medlemsstaterne sikre, at passagerer til enhver tid har mulighed for at give de nødvendige oplysninger i lufthavnen.
(27)
Med hensyn til flyvninger uden for EU bør passageroplysningsenheden i den medlemsstat, på hvis område landingen er planlagt, eller fra hvis område afgangen vil foregå, modtage API-oplysninger fra routeren for alle disse flyvninger, som PNR-oplysninger indsamles for, i overensstemmelse med direktiv (EU) 2016/681. Routeren bør identificere flyvningen og de tilsvarende passageroplysningsenheder ved hjælp af PNR-nummeret, et dataelement, der er fælles for både API-oplysningerne og PNR-oplysningerne, og som gør det muligt for passageroplysningsenhederne at behandle API- og PNR-oplysninger i fællesskab.
(28)
For så vidt angår flyvninger inden for EU bør der i overensstemmelse med EU-Domstolens retspraksis anvendes en selektiv fremgangsmåde for at undgå unødige indgreb i passagerernes relevante grundlæggende rettigheder som beskyttet i henhold til chartret og for at sikre overholdelse af kravene i EU-retten om fri bevægelighed for personer og ophævelse af kontrollen ved de indre grænser. Grundet betydningen af at sikre, at API-oplysninger kan behandles sammen med PNR-oplysninger, bør denne fremgangsmåde bringes i overensstemmelse med fremgangsmåden i direktiv (EU) 2016/681. Af disse grunde bør API-oplysninger om disse flyvninger kun transmitteres fra routeren til de relevante passageroplysningsenheder, hvis medlemsstaterne har udvalgt de pågældende flyvninger under anvendelse af artikel 2 i direktiv (EU) 2016/681 og i overensstemmelse med den selektive fremgangsmåde, der er fastlagt i denne forordning. Kun i situationer, hvor der foreligger en reel og aktuel eller forudsigelig terrortrussel, og på grundlag af en afgørelse, der er baseret på en trusselsvurdering, som er begrænset i tid til, hvad der er strengt nødvendigt, og som kan gøres til genstand for en effektiv prøvelse, bør medlemsstaterne kunne anvende direktiv (EU) 2016/681 på alle flyvninger inden for EU, der ankommer til eller afgår fra deres område. I andre situationer bør der indføres en selektiv fremgangsmåde. Som anført af EU-Domstolen indebærer udvælgelsen, at medlemsstaterne kun målretter de pågældende forpligtelser mod bl.a. visse ruter, rejsemønstre eller lufthavne, forudsat at udvælgelsen regelmæssigt revideres. Endvidere bør den selektive fremgangsmåde baseres på en objektiv, behørigt begrundet og ikkeforskelsbehandlende vurdering, der kun tager hensyn til kriterier, som er relevante for forebyggelse, opdagelse, efterforskning og retsforfølgning af terrorhandlinger og grov kriminalitet, der har en objektiv forbindelse, herunder en indirekte forbindelse, til luftbefordring af passagerer. Medlemsstaterne bør opbevare al relevant dokumentation vedrørende vurderingen for at muliggøre passende tilsyn og revidere deres vurdering regelmæssigt og mindst hver 12. måned i overensstemmelse med denne forordnings artikel 13, stk. 7.
(29)
For at gøre det muligt at anvende den selektive fremgangsmåde i henhold til denne forordning for så vidt angår flyvninger inden for EU bør medlemsstaterne være forpligtet til at udarbejde lister over de flyvninger eller ruter, de har udvalgt, og indlæse disse i routeren, således at eu-LISA kan sikre, at alene API-oplysninger vedrørende disse flyvninger eller ruter transmitteres fra routeren til de relevante passageroplysningsenheder, og at API-oplysninger om øvrige flyvninger inden for EU bliver slettet omgående og permanent.
(30)
Med henblik på at opnå en bedre sammenhæng mellem de forskellige medlemsstaters selektive fremgangsmåder bør Kommissionen lette en regelmæssig drøftelse om valget af udvælgelseskriterier, herunder udvekslingen af bedste praksis, samt, på frivillig basis, udvekslingen af oplysninger om udvalgte flyvninger.
(31)
For ikke at bringe effektiviteten af det system, der bygger på indsamling og overførsel af API-oplysninger, og som oprettes ved denne forordning, og af PNR-oplysninger i henhold til det system, der er indført ved direktiv (EU) 2016/681, med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet, i fare, navnlig ved at skabe risiko for omgåelse, bør oplysninger om, hvilke flyvninger inden for EU medlemsstaterne har udvalgt, behandles fortroligt. Af den grund bør sådanne oplysninger ikke deles med luftfartsselskaberne, og de bør derfor være forpligtet til at indsamle API-oplysninger om alle flyvninger, der er omfattet af denne forordning, herunder alle flyvninger inden for EU, og derefter overføre dem til routeren, hvor den nødvendige udvælgelse bør gennemføres. Ved at indsamle API-oplysninger om alle flyvninger inden for EU bliver passagererne endvidere ikke gjort opmærksomme på, om hvilke udvalgte flyvninger inden for EU API-oplysninger og dermed også PNR-oplysninger transmitteres til passageroplysningsenhederne i overensstemmelse med medlemsstaternes vurdering. Denne fremgangsmåde sikrer også, at eventuelle ændringer i forbindelse med denne udvælgelse kan gennemføres hurtigt og effektivt uden at pålægge luftfartsselskaberne en urimelig økonomisk og operationel byrde.
(32)
Denne forordning tillader ikke indsamling eller overførsel af API-oplysninger om flyvninger inden for EU med henblik på at bekæmpe ulovlig immigration i overensstemmelse med EU-retten og EU-Domstolens retspraksis.
(33)
For at sikre overholdelse af den grundlæggende ret til beskyttelse af personoplysninger bør denne forordning identificere den dataansvarlige og databehandleren og fastsætte regler for revisioner. For at sikre effektiv overvågning, tilstrækkelig beskyttelse af personoplysninger og minimering af sikkerhedsrisici bør der også fastsættes regler vedrørende logfiler, behandlingssikkerhed og egenkontrol. Hvor de vedrører behandling af personoplysninger, bør disse bestemmelser være i overensstemmelse med de generelt gældende EU-retsakter om beskyttelse af personoplysninger, navnlig Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
14
)
 og (EU) 2018/1725 
(
15
)
.
(34)
Med forbehold af mere specifikke regler i denne forordning om behandling af personoplysninger bør forordning (EU) 2016/679 finde anvendelse på luftfartsselskabers behandling af personoplysninger i henhold til nærværende forordning. Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
16
)
 bør finde anvendelse på den behandling af personoplysninger i henhold til nærværende forordning, som udføres af de nationale kompetente myndigheder, som defineret i nævnte direktiv, med henblik på at forebygge, efterforske, opdage eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed. Forordning (EU) 2018/1725 bør finde anvendelse på eu-LISA's behandling af personoplysninger, når det udfører sine opgaver i henhold til nærværende forordning.
(35)
Under hensyntagen til passagerernes ret til at blive informeret om behandlingen af deres personoplysninger bør medlemsstaterne sikre, at passagererne får nøjagtige oplysninger om indsamlingen af API-oplysninger, overførslen af disse oplysninger til passageroplysningsenheden og deres rettigheder som registrerede, og at disse oplysninger er lettilgængelige og letforståelige og gives på reservationstidspunktet og på indtjekningstidspunktet.
(36)
De revisioner for så vidt angår beskyttelse af personoplysninger, som medlemsstaterne er ansvarlige for, bør udføres af de i artikel 41 i direktiv (EU) 2016/680 omhandlede uafhængige tilsynsmyndigheder eller af et revisionsorgan, som tilsynsmyndigheden har overdraget denne opgave.
(37)
Formålet med behandlingsaktiviteterne i henhold til denne forordning, nemlig transmission af API-oplysninger fra luftfartsselskaber via routeren til medlemsstaternes passageroplysningsenheder, er at bistå disse myndigheder med opfyldelsen af deres forpligtelser og opgaver i overensstemmelse med direktiv (EU) 2016/681. Medlemsstaterne bør derfor udpege myndigheder, der skal være dataansvarlige for behandlingen af oplysningerne i routeren, transmissionen af oplysningerne fra routeren til passageroplysningsenheden og den efterfølgende behandling af disse oplysninger i overensstemmelse med direktiv (EU) 2016/681. Medlemsstaterne bør underrette Kommissionen og eu-LISA om disse myndigheder. For så vidt angår behandlingen af personoplysninger i routeren bør medlemsstaterne være fælles dataansvarlige i overensstemmelse med artikel 21 i direktiv (EU) 2016/680. Luftfartsselskaberne bør til gengæld være særskilte dataansvarlige for så vidt angår behandling af API-oplysninger, der udgør personoplysninger, i henhold til denne forordning. På dette grundlag bør både luftfartsselskaberne og passageroplysningsenhederne være særskilte dataansvarlige med hensyn til behandlingsaktiviteterne for API-oplysninger i henhold til denne forordning. Som ansvarlig for design, udvikling, hosting og teknisk forvaltning af routeren bør eu-LISA være databehandler for behandling af API-oplysninger, der udgør personoplysninger, via routeren, herunder transmissionen af oplysningerne fra routeren til passageroplysningsenhederne og opbevaring af disse oplysninger på routeren, for så vidt en sådan opbevaring er nødvendig til tekniske formål.
(38)
Den router, der skal oprettes og drives i henhold til denne forordning og forordning (EU) 2025/12, bør reducere og forenkle de tekniske tilslutninger, der er nødvendige for at overføre API-oplysninger i henhold til nærværende forordning, og begrænse dem til en enkelt tilslutning for hvert luftfartsselskab og for hver passageroplysningsenhed. Nærværende forordning bør derfor fastsætte en forpligtelse for passageroplysningsenhederne og luftfartsselskaberne til hver især at etablere en sådan tilslutning til og opnå den krævede integration med routeren for at sikre, at det system til overførsel af API-oplysninger, der oprettes ved denne forordning, kan fungere korrekt. eu-LISA bør ved design og udvikling af routeren fastsætte alle relevante standarder og tekniske krav for at muliggøre en effektiv tilslutning og integration af luftfartsselskabernes systemer og infrastruktur. For at sikre, at den ordning, der indføres ved denne forordning, fungerer korrekt, bør der fastsættes detaljerede regler. eu-LISA bør ved designet og udviklingen af routeren sikre, at de API-oplysninger og andre PNR-oplysninger, der overføres fra luftfartsselskaber og transmitteres til passageroplysningsenheder, krypteres under transit.
(39)
I betragtning af de EU-interesser, der står på spil, bør alle de omkostninger, som eu-LISA afholder i forbindelse med udførelsen af sine opgaver i henhold til denne forordning i forbindelse med routeren, afholdes over Unionens budget, herunder design og udvikling af routeren, hosting og teknisk forvaltning af routeren og forvaltningsstrukturen i eu-LISA til støtte for design, udvikling, hosting og teknisk forvaltning af routeren. Det samme kunne gælde for de udgifter, som afholdes af medlemsstaterne i forbindelse med deres tilslutning til og integration med routeren og dens vedligeholdelse, som krævet i henhold til denne forordning, og i overensstemmelse med den gældende EU-ret. Det er vigtigt, at Unionens budget yder passende finansiel støtte til medlemsstaterne til disse udgifter. Med henblik herpå bør medlemsstaternes finansielle behov støttes af Unionens almindelige budget i overensstemmelse med de regler for støtteberettigelse og medfinansieringssatser, der er fastsat i de relevante EU-retsakter. Det årlige EU-bidrag, der tildeles eu-LISA, bør dække behovene i forbindelse med hosting og den tekniske forvaltning af routeren på grundlag af en vurdering foretaget af eu-LISA. Unionens budget bør også dække den støtte såsom uddannelse, som eu-LISA tilbyder luftfartsselskaber og passageroplysningsenheder, for at muliggøre en effektiv overførsel og transmission af API-oplysninger via routeren. De omkostninger, som de uafhængige nationale tilsynsmyndigheder afholder i forbindelse med de opgaver, de får pålagt i henhold til denne forordning, bør afholdes af de respektive medlemsstater.
(40)
I overensstemmelse med forordning (EU) 2018/1726 kan medlemsstaterne overdrage opgaven med at fremme konnektivitet med luftfartsselskaberne til eu-LISA med henblik på at bistå medlemsstaterne med at gennemføre direktiv (EU) 2016/681, navnlig ved at indsamle og overføre PNR-oplysninger via en router. Med henblik herpå og af hensyn til effektiviteten og omkostningseffektiviteten for både medlemsstaterne og luftfartsselskaberne bør denne forordning kræve, at luftfartsselskaberne anvender routeren til at overføre andre PNR-oplysninger, der er omfattet af direktiv (EU) 2016/681, til deres respektive passageroplysningsenheders databaser som led i nationale foranstaltninger til gennemførelse af bestemmelsen i nævnte direktiv om forpligtelsen for medlemsstaterne til at sikre, at luftfartsselskaber ved hjælp af »push«-metoden videregiver PNR-oplysninger til de relevante passageroplysningsenheder.
(41)
For at sikre, at de pågældende oplysninger behandles lovligt, sikkert, effektivt og hurtigt, bør de regler, der er fastsat i denne forordning vedrørende routeren og overførslen af API-oplysninger fra routeren til passageroplysningsenhederne, også finde anvendelse på andre PNR-oplysninger. Disse regler omfatter også denne forordnings forpligtelser vedrørende overførsel og transmission af oplysninger i forbindelse med flyvninger inden for EU i overensstemmelse med EU-Domstolens retspraksis samt med hensyn til luftfartsselskabernes og passageroplysningsenhedens forbindelser til routeren. For så vidt angår reglerne om tidspunktet for overførslen, transmissionsprotokollerne og de dataformater, hvori PNR-meddelelserne skal overføres til routeren, finder de relevante bestemmelser i direktiv (EU) 2016/681 anvendelse.
(42)
Det er hensigtsmæssigt at præcisere, at anvendelsen af routeren i forbindelse med andre PNR-oplysninger kun påvirker den måde, hvorpå disse oplysninger overføres og transmitteres til de berørte medlemsstaters passageroplysningsenheders databaser. Forpligtelserne i denne forordning vedrørende indsamling af API-oplysninger finder ikke anvendelse på alle disse andre PNR-oplysninger. En sådan indsamling bør i stedet fortsat udelukkende reguleres af direktiv (EU) 2016/681, men kun i det omfang luftfartsselskaberne allerede har indsamlet sådanne oplysninger som led i deres normale forretningsaktiviteter som omhandlet i den relevante bestemmelse i nævnte direktiv. Som det er tilfældet for API-oplysninger, der indsamles af luftfartsselskaber og overføres til passageroplysningsenhederne i overensstemmelse med denne forordning, bør reglerne i nævnte direktiv for så vidt angår spørgsmål, der ikke specifikt er omfattet af denne forordning, navnlig reglerne om efterfølgende behandling af andre PNR-oplysninger, som passageroplysningsenhederne modtager, desuden ikke berøres. Disse regler finder derfor fortsat anvendelse på sådanne oplysninger.
(43)
Det kan ikke udelukkes, at den centrale infrastruktur eller en af routerens tekniske komponenter eller de kommunikationsinfrastrukturer, der tilslutter passageroplysningsenhederne og luftfartsselskaberne hertil, på grund af ekstraordinære omstændigheder og på trods af at alle rimelige foranstaltninger er truffet i overensstemmelse med denne forordning, ikke fungerer korrekt, hvilket kan føre til, at det ikke er teknisk muligt for luftfartsselskaber at overføre eller for passageroplysningsenheder at modtage API-oplysninger. Hvis routeren ikke er tilgængelig, og det generelt ikke med rimelighed er muligt for luftfartsselskaberne at overføre de API-oplysninger, der er berørt af fejlen, på en lovlig, sikker, effektiv og hurtig måde ved hjælp af alternative midler, bør luftfartsselskabernes forpligtelse til at overføre sådanne API-oplysninger til routeren ophøre med at gælde, så længe denne tekniske umulighed består. For at sikre tilgængeligheden af de API-oplysninger, der er nødvendige for at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet, bør luftfartsselskaberne imidlertid fortsat indsamle og opbevare API-oplysninger, således at de kan overføres, så snart den tekniske umulighed er afhjulpet. For at minimere varigheden og de negative konsekvenser af enhver teknisk umulighed bør de berørte parter i så fald omgående underrette hinanden og omgående træffe alle de foranstaltninger, der er nødvendige for at afhjælpe den tekniske umulighed. Denne ordning bør ikke berøre alle de berørte parters forpligtelser i henhold til denne forordning til at sikre, at routeren og deres respektive systemer og infrastruktur fungerer korrekt, eller det forhold, at luftfartsselskaber kan pålægges sanktioner, hvis de ikke opfylder disse forpligtelser, herunder i tilfælde hvor de ønsker at anvende denne ordning, hvor en sådan anvendelse ikke er berettiget. For at forhindre et sådant misbrug og for at lette tilsynet og om nødvendigt pålæggelse af sanktioner bør luftfartsselskaber, der benytter sig af denne ordning på grund af svigt i deres eget system og infrastruktur, indberette dette til den kompetente tilsynsmyndighed.
(44)
Hvor luftfartsselskaber opretholder direkte tilslutninger til passageroplysningsenheder med henblik på overførsel af API-oplysninger, kan disse tilslutninger udgøre passende metoder, der sikrer det nødvendige datasikkerhedsniveau, til at overføre API-oplysninger direkte til passageroplysningsenhederne, hvor det ikke er teknisk muligt at benytte routeren. Passageroplysningsenhederne bør i ekstraordinære tilfælde, hvor det ikke er teknisk muligt at anvende routeren, kunne anmode luftfartsselskaberne om at anvende sådanne passende metoder, hvilket ikke indebærer en forpligtelse for luftfartsselskaberne til at opretholde eller indføre sådanne direkte tilslutninger eller andre passende metoder, der sikrer det nødvendige datasikkerhedsniveau, til at overføre API-oplysninger direkte til passageroplysningsenhederne. Den ekstraordinære overførsel af API-oplysninger ved brug af andre passende metoder såsom krypteret e-mail eller en sikker webportal, og som udelukker anvendelsen af ikkestandardiserede elektroniske formater, bør sikre det nødvendige niveau af datasikkerhed, datakvalitet og databeskyttelse. API-oplysninger, som passageroplysningsenhederne modtager ved brug af sådanne andre passende metoder, bør viderebehandles i overensstemmelse med de regler og databeskyttelsesgarantier, der er fastsat i direktiv (EU) 2016/681. Efter underretningen fra eu-LISA om, at den tekniske umulighed er blevet afhjulpet, og hvis det er bekræftet, at transmissionen af API-oplysningerne via routeren til passageroplysningsenheden er gennemført, bør passageroplysningsenheden omgående slette de API-oplysninger, som den tidligere har modtaget, ved brug af andre passende metoder. Denne sletning bør ikke berøre specifikke tilfælde, hvor de API-oplysninger, som passageroplysningsenhederne har modtaget ved brug af andre passende metoder, i mellemtiden er blevet viderebehandlet i overensstemmelse med direktiv (EU) 2016/681 med det specifikke formål at forebygge, opdage, efterforske eller retsforfølge terrorhandlinger eller grov kriminalitet.
(45)
For at sikre, at luftfartsselskaberne anvender reglerne i denne forordning virkningsfuldt, bør der fastsættes bestemmelser om udpegelse og bemyndigelse af nationale myndigheder som nationale API-tilsynsmyndigheder, der har til opgave at overvåge anvendelsen af disse regler. Medlemsstaterne kan udpege deres passageroplysningsenheder som nationale API-tilsynsmyndigheder. Reglerne i denne forordning on sådan overvågning, herunder for så vidt angår pålæggelse af sanktioner, hvor det er nødvendigt, bør ikke berøre de opgaver og beføjelser, som de tilsynsmyndigheder, der er oprettet i overensstemmelse med forordning (EU) 2016/679 og direktiv (EU) 2016/680, har, herunder i forbindelse med behandlingen af personoplysninger i henhold til nærværende forordning.
(46)
Medlemsstaterne bør fastsætte sanktioner, der omfatter økonomiske samt ikkeøkonomiske sanktioner, og som er effektive, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, over for de luftfartsselskaber, der ikke opfylder deres forpligtelser i henhold til denne forordning, herunder for så vidt angår automatiseret indsamling af API-oplysninger og overførsel af oplysningerne i overensstemmelse med de krævede tidsrammer, formater og protokoller. Medlemsstaterne bør navnlig sikre, at gentagne tilfælde af, at luftfartsselskaberne som juridiske personer undlader at opfylde deres forpligtelse til at overføre API-oplysninger til routeren i overensstemmelse med denne forordning, pålægges forholdsmæssige økonomiske sanktioner på op til 2 % af luftfartsselskabets globale omsætning for det foregående regnskabsår. Endvidere bør medlemsstaterne kunne pålægge luftfartsselskaber sanktioner, herunder økonomiske, for andre former for manglende overholdelse af forpligtelserne i henhold til denne forordning.
(47)
Når medlemsstaterne fastsætter regler om de sanktioner, der skal finde anvendelse for luftfartsselskaberne i henhold til denne forordning, kan de tage hensyn til, om det er teknisk og operationelt muligt at sikre, at oplysningerne er helt nøjagtige. Når der pålægges sanktioner, bør deres anvendelse og værdi derudover fastsættes. Nationale API-tilsynsmyndigheder kan tage hensyn til de tiltag, som luftfartsselskabet har truffet for at afhjælpe problemet, samt dets grad af samarbejde med nationale myndigheder.
(48)
Da routeren bør designes, udvikles, hostes og forvaltes teknisk af eu-LISA, er det nødvendigt at ændre forordning (EU) 2018/1726 ved at tilføje denne opgave til eu-LISA's opgaver. For at opbevare routerens rapporter og statistikker i det centrale register for rapportering og statistik (CRRS), der er oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2019/818 
(
17
)
 er det nødvendigt at ændre nævnte forordning. For at støtte den nationale API-tilsynsmyndigheds håndhævelse af nærværende forordning er det nødvendigt, at ændringen af forordning (EU) 2019/818 omfatter bestemmelser om statistikker over, hvorvidt API-oplysningerne er nøjagtige og fuldstændige, f.eks. ved at angive, hvorvidt oplysningerne er indsamlet ved brug af automatiserede metoder. Det er vigtigt at indsamle pålidelig og relevant statistik for gennemførelsen af nærværende forordning med henblik på at støtte dens mål og danne grundlag for evalueringerne i henhold til nærværende forordning. Efter anmodning fra Kommissionen bør eu-LISA forelægge den statistikker om specifikke aspekter i forbindelse med gennemførelsen af nærværende forordning såsom aggregerede statistikker om overførslen af API-oplysninger til passageroplysningsenhederne. Sådanne statistikker bør ikke indeholde personoplysninger. CRRS bør derfor kun levere statistikker baseret på API-oplysninger med henblik på gennemførelse og effektiv overvågning af anvendelsen af nærværende forordning. De oplysninger, som routeren automatisk overfører til CRRS med henblik herpå, bør ikke gøre det muligt at identificere de pågældende passagerer.
(49)
For at øge klarheden og retssikkerheden, for at bidrage til at sikre datakvaliteten, sikre ansvarlig anvendelse af de automatiserede metoder til indsamling af maskinlæsbare API-oplysninger i henhold til denne forordning og sikre manuel indsamling af API-oplysninger under ekstraordinære omstændigheder og i overgangsperioden, for at skabe klarhed om de tekniske krav, der gælder for luftfartsselskaber, og som er nødvendige for at sikre, at de API-oplysninger, som de indsamler i henhold til denne forordning, overføres til routeren på en sikker, effektiv og hurtig måde, og således at det ikke påvirker passagerernes rejser og luftfartsselskaberne mere end nødvendigt, og for at sikre, at unøjagtige eller ufuldstændige oplysninger eller data, der ikke længere er ajourførte, rettes, fuldstændiggøres eller ajourføres, bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i traktaten om Den Europæiske Unions funktionsmåde (TEUF) for så vidt angår at bringe overgangsperioden for den manuelle indsamling af API-oplysninger til ophør, at vedtage foranstaltninger vedrørende de tekniske krav og operationelle regler, som luftfartsselskaberne bør overholde i relation til anvendelsen af automatiserede metoder til indsamling af maskinlæsbare API-oplysninger i henhold til denne forordning og til manuel indsamling af API-oplysninger under ekstraordinære omstændigheder og i overgangsperioden, herunder krav til datasikkerhed, at fastsætte detaljerede regler for de fælles protokoller og understøttede dataformater, der skal anvendes til krypteret overførsel af API-oplysninger, herunder krav til datasikkerhed, og at fastsætte detaljerede regler for rettelse, fuldstændiggørelse og ajourføring af API-oplysninger. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer af relevante interessenter, herunder luftfartsselskaber, under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning 
(
18
)
. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelsen af delegerede retsakter. Under hensyntagen til det aktuelle tekniske niveau kan de pågældende tekniske krav og operationelle regler ændre sig med tiden.
(50)
For at sikre ensartede betingelser for gennemførelsen af denne forordning, nemlig for så vidt angår idriftsættelsen af routeren, de tekniske og proceduremæssige regler for dataverifikationer og -underretninger, de tekniske og proceduremæssige regler for transmission af API-oplysninger fra routeren til passageroplysningsenhederne på en måde, der sikrer, at transmissionen er sikker, effektiv og hurtig og ikke påvirker passagerernes rejser og luftfartsselskaber mere end nødvendigt, og passageroplysningsenhedernes forbindelser til og integration med routeren, og for at præcisere medlemsstaternes ansvar som fælles dataansvarlige såsom med hensyn til identifikation og håndtering af sikkerhedshændelser, herunder brud på persondatasikkerheden, og forholdet mellem de fælles dataansvarlige og eu-LISA som databehandler, herunder eu-LISA's bistand til de dataansvarlige med passende tekniske og organisatoriske foranstaltninger, så vidt det er muligt, med henblik på opfyldelsen af den dataansvarliges forpligtelser til at besvare anmodninger om udøvelse af den registreredes rettigheder, bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
19
)
.
(51)
Alle interesserede parter, og navnlig luftfartsselskaberne og passageroplysningsenhederne, bør have tilstrækkelig tid til at foretage de nødvendige forberedelser for at kunne opfylde deres respektive forpligtelser i henhold til denne forordning, under hensyntagen til, at nogle af disse forberedelser såsom dem, der vedrører forpligtelserne i forbindelse med forbindelsen til og integrationen med routeren, først kan afsluttes, når design- og udviklingsfasen af routeren er overstået, og routeren idriftsættes. Denne forordning bør derfor først finde anvendelse fra en passende dato efter den dato, hvor routeren idriftsættes, som fastsat af Kommissionen i overensstemmelse med denne forordning og forordning (EU) 2025/12. Det bør imidlertid være muligt for Kommissionen at vedtage delegerede retsakter og gennemførelsesretsakter i henhold til nærværende forordning allerede fra et tidligere tidspunkt for at sikre, at det system, der indføres med nærværende forordning, bliver operationelt så snart som muligt.
(52)
Design- og udviklingsfaserne af den router, der er oprettet i henhold til denne forordning og forordning (EU) 2025/12, bør påbegyndes og afsluttes så snart som muligt, så routeren kan idriftsættes snarest muligt, hvilket også kræver vedtagelse af de relevante delegerede retsakter og gennemførelsesretsakter, der er fastsat i nærværende forordning. Med henblik på en gnidningsløs og effektiv udvikling af disse faser bør der nedsættes et særligt programstyringsråd med den funktion at føre tilsyn med, at eu-LISA udfører sine opgaver i disse faser. Det bør ophøre med at eksistere to år efter routerens idriftsættelse. Desuden bør der nedsættes et særligt rådgivende organ, Den Rådgivende Gruppe for API-PRN, i overensstemmelse med forordning (EU) 2018/1726 med det formål at yde ekspertise til eu-LISA og programstyringsrådet om routerens design- og udviklingsfaser samt til eu-LISA om hosting og forvaltning af routeren. Programstyringsrådet og Den Rådgivende Gruppe for API-PRN bør nedsættes og drives efter modeller for eksisterende programstyringsråd og rådgivende grupper.
(53)
Præciseringen i denne forordning angående anvendelsen af specifikationer vedrørende brugen af automatiserede metoder ved anvendelsen af direktiv 2004/82/EF bør også foretages straks. Bestemmelserne om disse spørgsmål bør derfor finde anvendelse fra datoen for denne forordnings ikrafttræden. For at give mulighed for frivillig brug af routeren så snart som muligt bør bestemmelserne om en sådan brug samt visse andre bestemmelser, der er nødvendige for at sikre, at en sådan brug finder sted på en ansvarlig måde, derudover finde anvendelse fra det tidligst mulige tidspunkt, dvs. fra det tidspunkt, hvor routeren idriftsættelsen.
(54)
Der bør være en fælles forvaltningsstruktur for så vidt angår denne forordning og forordning (EU) 2025/12. Med det formål at muliggøre og fremme kommunikationen mellem repræsentanter for luftfartsselskaber og repræsentanter for medlemsstaternes myndigheder, der er kompetente i henhold til nærværende forordning og forordning (EU) 2025/12 til at få API-oplysninger transmitteret fra routeren, bør der nedsættes to dedikerede organer senest to år efter idriftsættelsen af routeren. Tekniske spørgsmål vedrørende anvendelsen og funktionen af routeren bør drøftes i Kontaktgruppen for API-PNR, hvor repræsentanter for eu-LISA også bør være til stede. Politiske spørgsmål såsom i forbindelse med sanktioner bør drøftes i API-ekspertgruppen.
(55)
Denne forordning bør regelmæssigt evalueres for at sikre overvågningen af dens effektive anvendelse. Navnlig bør indsamlingen af API-oplysninger ikke være til skade for legitime passagerers rejseoplevelse. Kommissionen bør derfor i sine regelmæssige evalueringsrapporter om denne forordnings anvendelse medtage en vurdering af forordningens indvirkning på legitime passagerers rejseoplevelse. Evalueringen bør også omfatte en vurdering af kvaliteten af de oplysninger, som routeren sender, samt routerens præstationer for så vidt angår passageroplysningsenhederne.
(56)
Da denne forordning kræver yderligere tilpasningsomkostninger og administrative omkostninger for luftfartsselskaberne, bør den samlede regelbyrde for luftfartssektoren overvåges nøje. På den baggrund bør rapporten om evaluering af, hvordan denne forordning fungerer, indeholde en vurdering af, i hvilket omfang målene i denne forordning er blevet opfyldt, og i hvilket omfang den har påvirket sektorens konkurrenceevne.
(57)
Målene for denne forordning, nemlig at bidrage til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne hver for sig i betragtning af den internationale dimension af de pågældende lovovertrædelser og behovet for at samarbejde på tværs af grænserne for at håndtere dem effektivt, men kan bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union (TEU). I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.
(58)
Denne forordning berører ikke medlemsstaternes beføjelser med hensyn til national ret vedrørende national sikkerhed, forudsat at sådan ret er i overensstemmelse med EU-retten.
(59)
Denne forordning berører ikke medlemsstaternes beføjelser til i henhold til deres nationale ret at indsamle passageroplysninger fra andre transportvirksomheder end dem, der er fastsat i denne forordning, forudsat at sådan national ret overholder EU-retten.
(60)
I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til TEU og til TEUF, deltager Danmark ikke i vedtagelsen af denne forordning, som ikke er bindende for og ikke finder anvendelse i Danmark.
(61)
I medfør af artikel 3 i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til TEU og til TEUF, har Irland meddelt, at det ønsker at deltage i vedtagelsen og anvendelsen af denne forordning.
(62)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav en udtalelse den 8. februar 2023 
(
20
)
 —
VEDTAGET DENNE FORORDNING:
KAPITEL 1
ALMINDELIGE BESTEMMELSER
Artikel 1
Genstand
Med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet fastsættes der ved denne forordning regler for:
a)
luftfartsselskabers indsamling af forhåndsoplysninger om passagerer (API-oplysninger) vedrørende flyvninger uden for EU og flyvninger inden for EU
b)
luftfartsselskabers overførsel af API-oplysninger og andre PNR-oplysninger til routeren
c)
transmission af API-oplysninger og andre PNR-oplysninger fra routeren til passageroplysningsenhederne om flyvninger uden for EU og udvalgte flyvninger inden for EU.
Denne forordning berører ikke forordning (EU) 2016/679, forordning (EU) 2018/1725 og direktiv (EU) 2016/680.
Artikel 2
Anvendelsesområde
Denne forordning finder anvendelse på luftfartsselskaber, der foretager:
a)
flyvninger uden for EU
b)
flyvninger inden for EU, der afgår fra, ankommer til eller foretager en mellemlanding på området for mindst én medlemsstat, der har meddelt Kommissionen sin beslutning om at anvende direktiv (EU) 2016/681 på flyvninger inden for EU i overensstemmelse med nævnte direktivs artikel 2, stk. 1.
Artikel 3
Definitioner
I denne forordning forstås ved:
1)
»luftfartsselskab«: et luftfartsselskab som defineret i artikel 3, nr. 1), i direktiv (EU) 2016/681
2)
»flyvninger uden for EU«: enhver flyvning uden for EU som defineret i artikel 3, nr. 2), i direktiv (EU) 2016/681
3)
»flyvning inden for EU«: enhver flyvning inden for EU som defineret i artikel 3, nr. 3), i direktiv (EU) 2016/681
4)
»ruteflyvning«: en ruteflyvning som defineret i artikel 3, nr. 5), i forordning (EU) 2025/12
5)
»ikkeruteflyvning«: en ikkeruteflyvning som defineret i artikel 3, nr. 6), i forordning (EU) 2025/12
6)
»passager«: en passager som defineret i artikel 3, nr. 4), i direktiv (EU) 2016/681
7)
»besætning«: enhver person om bord på et luftfartøj under flyvningen, som ikke er passager, og som arbejder på eller betjener luftfartøjet, herunder flyvebesætning og kabinebesætning
8)
»forhåndsoplysninger om passagerer« eller »API-oplysninger«: de oplysninger og de flyveoplysninger, der er omhandlet i artikel 4, henholdsvis stk. 2 og stk. 3
9)
»andre passagerlisteoplysninger« eller »andre PNR-oplysninger«: en passagerliste som defineret i artikel 3, nr. 5), i direktiv (EU) 2016/681 og som anført i bilag I til nævnte direktiv med undtagelse af nævnte bilags punkt 18
10)
»passageroplysningsenhed«: passageroplysningsenheden som indeholdt i medlemsstaternes meddelelser til Kommissionen og ændringer heraf, der er offentliggjort af Kommissionen i henhold til artikel 4, stk. 5, i direktiv (EU) 2016/681
11)
»terrorhandlinger«: terrorhandlinger som omhandlet i artikel 3-12 i Europa-Parlamentets og Rådets direktiv (EU) 2017/541 
(
21
)
12)
»grov kriminalitet«: grov kriminalitet som defineret i artikel 3, nr. 9), i direktiv (EU) 2016/681
13)
»routeren«: den router, der er omhandlet i artikel 9 i denne forordning og i artikel 11 i forordning (EU) 2025/12
14)
»personoplysninger«: personoplysninger som defineret i artikel 3, nr. 1), i direktiv (EU) 2016/680 og artikel 4, nr. 1), i forordning (EU) 2016/679
15)
»realtidsflytrafikdata«: oplysninger om indgående og udgående flytrafik i en lufthavn, der er omfattet af denne forordning.
KAPITEL 2
INDSAMLING, VIDEREGIVELSE, OPBEVARING OG SLETNING AF API-OPLYSNINGER
Artikel 4
Luftfartsselskabers indsamling af API-oplysninger
1.   Luftfartsselskaberne indsamler de API-oplysninger om hver enkelt passager og hvert enkelt besætningsmedlem på flyvninger omhandlet af artikel 2, der skal overføres til routeren i overensstemmelse med artikel 5. Hvis der for en flyvning er code-sharing mellem luftfartsselskaber, er det det luftfartsselskab, der står for flyvningen, som er forpligtet til at overføre API-oplysningerne.
2.   API-oplysningerne skal udelukkende bestå af følgende oplysninger for hver enkelt passager og hvert enkelt besætningsmedlem på flyvningen:
a)
efternavn og fornavn eller fornavne
b)
fødselsdato, køn og nationalitet
c)
rejsedokumentets type og nummer samt koden på tre bogstaver for det land, der har udstedt rejsedokumentet
d)
datoen for udløbet af rejsedokumentets gyldighed
e)
det nummer til identifikation af passagerlisteoplysninger, som et luftfartsselskab anvender til at lokalisere en passager i sit informationssystem (PNR-nummer)
f)
oplysninger om flysæde svarende til det sæde i luftfartøjet, som en passager er tildelt, hvis sådanne oplysninger foreligger
g)
bagagemærkenummer eller -numre og antal indtjekkede stykker bagage og deres vægt, hvis sådanne oplysninger foreligger
h)
en kode, der angiver den metode, der anvendes til at indsamle og validere de oplysninger, der er omhandlet i litra a)-d).
3.   API-oplysningerne skal også udelukkende bestå af følgende flyveoplysninger for hver enkelt passagers og hvert enkelt besætningsmedlems flyvning:
a)
flyvningens identifikationsnummer eller, hvis der for flyvningen er code-sharing mellem luftfartsselskaber, flyvningens identifikationsnumre eller, hvis der ikke findes et sådant nummer, andre klare og egnede midler til at identificere flyvningen
b)
i givet fald grænseovergangsstedet for indrejse på medlemsstatens område
c)
koden for ankomstlufthavnen eller, hvis flyvningen efter planen skal lande i en eller flere lufthavne inden for en eller flere medlemsstaters områder, som denne forordning finder anvendelse på, koderne for landingslufthavnene på de pågældende medlemsstaters område
d)
koden for afgangslufthavnen for flyvningen
e)
koden for lufthavnen på det første ombordstigningssted, hvis en sådan foreligger
f)
dato og afgangstidspunkt i lokal tid
g)
dato og ankomsttidspunkt i lokal tid
h)
luftfartsselskabets kontaktoplysninger
i)
det format, der anvendes til overførslen af API-oplysninger.
4.   Luftfartsselskaberne indsamler API-oplysningerne på en måde, der sikrer, at de API-oplysninger, de overfører i overensstemmelse med artikel 5, er nøjagtige, fuldstændige og ajourførte. Overholdelse af denne forpligtelse kræver ikke, at luftfartsselskaberne skal kontrollere rejsedokumentet på ombordstigningstidspunktet, uden at det berører national ret, der er forenelig med EU-retten.
5.   Denne forordning pålægger ikke passagererne en forpligtelse til at medbringe et rejsedokument på deres rejse, uden at det berører andre EU-retsakter eller national ret, der er forenelig med EU-retten.
6.   En medlemsstat kan pålægge luftfartsselskaberne en forpligtelse til at give passagerer mulighed for frivilligt at uploade de oplysninger, der er omhandlet i artikel 4, stk. 2, litra a)-d), i forordning (EU) 2025/12, automatisk og opbevare sådanne oplysninger hos luftfartsselskabet med henblik på at overføre oplysningerne med henblik på fremtidige flyvninger i overensstemmelse med nærværende forordnings artikel 5 og på en måde, der opfylder kravene i nærværende artikels stk. 4, 7 og 8. En medlemsstat, der pålægger en sådan forpligtelse, fastsætter regler og garantier for databeskyttelse i overensstemmelse med forordning (EU) 2016/679, herunder regler om opbevaringsperiode. Oplysningerne slettes imidlertid, hvor passageren ikke længere giver sit samtykke til opbevaring af oplysningerne, eller senest på datoen for udløbet af rejsedokumentets gyldighed.
7.   Luftfartsselskaberne indsamler de i stk. 2, litra a)-d), omhandlede API-oplysninger ved brug af automatiserede metoder til indsamling af de maskinlæsbare data i den pågældende passagers rejsedokument. De gør dette i overensstemmelse med de detaljerede tekniske krav og operationelle regler, der er omhandlet i stk. 12, når sådanne regler er blevet vedtaget og finder anvendelse.
Hvis luftfartsselskaberne tilbyder en onlineindtjekningsproces, gør de det muligt for passagererne at give de API-oplysninger, der er omhandlet i stk. 2, litra a)-d), ved brug af automatiserede metoder under denne onlineindtjekningsproces. For passagerer, der ikke foretager indtjekning online, gør luftfartsselskaberne det muligt for dem at give disse API-oplysninger ved brug af automatiserede metoder under indtjekningen i lufthavnen ved hjælp af en selvbetjeningskiosk eller luftfartsselskabernes personale ved skranken.
Hvis anvendelsen af automatiserede metoder ikke er teknisk mulig, indsamler luftfartsselskaberne undtagelsesvis de i stk. 2, litra a)-d), omhandlede API-oplysninger manuelt, enten som led i onlineindtjekningsprocessen eller som led i indtjekningen i lufthavnen, på en sådan måde, at det sikres, at stk. 4 overholdes.
8.   Alle automatiserede metoder, som luftfartsselskaberne anvender til at indsamle API-oplysninger i henhold til denne forordning, skal være pålidelige, sikre og tidssvarende. Luftfartsselskaberne sikrer, at API-oplysningerne er krypteret, når disse oplysninger overføres fra passageren til luftfartsselskaberne.
9.   I overgangsperioden og ud over de automatiserede metoder, der er omhandlet i stk. 7, giver luftfartsselskaberne passagerer mulighed for at give API-oplysninger manuelt som led i onlineindtjekningsprocessen. I sådanne tilfælde anvender luftfartsselskaberne dataverifikationsteknikker for at sikre, at stk. 4 overholdes.
10.   Den overgangsperiode, der er omhandlet i stk. 9, berører ikke luftfartsselskabernes ret til i lufthavnen inden ombordstigningen i luftfartøjet at verificere API-oplysninger, der indsamles som led i onlineindtjekningen, for at sikre overholdelse af stk. 4 i overensstemmelse med gældende EU-ret.
11.   Kommissionen tillægges beføjelser til, fra datoen fire år efter den i artikel 34 omhandlede idriftsættelse af routeren for så vidt angår API-oplysninger og på grundlag af en evaluering af tilgængeligheden af og adgangen til automatiserede metoder til indsamling af API-oplysninger, at vedtage en delegeret retsakt i overensstemmelse med artikel 43 for at bringe den overgangsperiode, der er omhandlet i nærværende artikels stk. 9, til ophør.
12.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 43 for at supplere denne forordning ved at fastsætte detaljerede tekniske krav og operationelle regler for indsamling af de API-oplysninger, der er omhandlet i nærværende artikels stk. 2, litra a)-d), ved brug af automatiserede metoder i overensstemmelse med nærværende artikels stk. 7 og 8 og for manuel indsamling af API-oplysninger under ekstraordinære omstændigheder i overensstemmelse med nærværende artikels stk. 7 og i den overgangsperiode, der er omhandlet i nærværende artikels stk. 9. Disse tekniske krav og operationelle regler skal omfatte krav til datasikkerhed og til anvendelse af de mest pålidelige automatiserede metoder til indsamling af maskinlæsbare oplysninger i et rejsedokument.
Artikel 5
Luftfartsselskabers forpligtelser vedrørende overførsel af API-oplysninger og andre PNR-oplysninger
1.   Luftfartsselskaberne overfører de krypterede API-oplysninger til routeren elektronisk med henblik på transmission heraf til passageroplysningsenhederne i overensstemmelse med artikel 12. Luftfartsselskaberne overfører API-oplysningerne i overensstemmelse med de detaljerede regler, der er omhandlet i nærværende artikels stk. 4, når sådanne regler er blevet vedtaget og finder anvendelse.
2.   Når medlemsstaterne vedtager foranstaltninger i overensstemmelse med artikel 8, stk. 1, i direktiv (EU) 2016/681, pålægger de luftfartsselskaberne at overføre alle andre PNR-oplysninger, som de indsamler som led i deres normale forretningsaktiviteter, udelukkende til routeren i overensstemmelse med de fælles protokoller og dataformater, der er fastsat i henhold til nævnte direktivs artikel 16.
3.   Luftfartsselskaberne overfører API-oplysningerne:
a)
for passagerer
i)
pr. passager på indtjekningstidspunktet, men ikke tidligere end 48 timer før det planlagte afgangstidspunkt for flyvningen, og
ii)
for alle ombordstegne passagerer, omgående efter flylukningen, dvs. når passagererne er gået om bord i luftfartøjet med henblik på afrejse, og det ikke længere er muligt for passagerer at gå om bord i eller forlade luftfartøjet
b)
for alle besætningsmedlemmer, omgående efter flylukningen, dvs. når besætningsmedlemmerne er om bord i luftfartøjet med henblik på afrejse, og det ikke længere er muligt for dem at forlade luftfartøjet.
4.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 43 for at supplere denne forordning ved at fastsætte de nødvendige detaljerede regler for de fælles protokoller og understøttede dataformater, der skal anvendes til krypteret overførsel af API-oplysninger til den i nærværende artikels stk. 1 omhandlede router, herunder overførsel af API-oplysninger på indtjekningstidspunktet og datasikkerhedskrav. Sådanne detaljerede regler skal sikre, at luftfartsselskaberne overfører API-oplysningerne ved brug af den samme struktur og med det samme indhold.
Artikel 6
Opbevaringsperiode og sletning af API-oplysninger
Luftfartsselskaberne opbevarer i en periode på 48 timer fra det tidspunkt, hvor routeren modtager de API-oplysninger, der overføres til den i overensstemmelse med artikel 5, stk. 3, litra a), nr. ii), og litra b), API-oplysningerne om alle passagerer og besætningsmedlemmer, som de har indsamlet i henhold til artikel 4. De sletter omgående og permanent sådanne API-oplysninger efter udløbet af denne periode, uden at dette berører luftfartsselskabernes mulighed for at opbevare og anvende oplysningerne, hvor det er nødvendigt for deres normale drift, i overensstemmelse med gældende ret, og artikel 16, stk. 1 og 3.
Artikel 7
Rettelse, fuldstændiggørelse og ajourføring af API-oplysninger
1.   Hvis et luftfartsselskab bliver opmærksom på, at oplysninger, som det opbevarer i henhold til denne forordning, er blevet behandlet ulovligt, eller ikke udgør API-oplysninger, sletter det omgående og permanent disse oplysninger. Hvis disse oplysninger er blevet overført til routeren, underretter luftfartsselskabet omgående Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA). Efter modtagelse af en sådan underretning underretter eu-LISA omgående den passageroplysningsenhed, der modtog de oplysninger, som er transmitteret via routeren.
2.   Hvis et luftfartsselskab bliver opmærksom på, at de oplysninger, som det opbevarer i henhold til denne forordning, er unøjagtige, er ufuldstændige eller ikke længere er ajourførte, skal det omgående rette, fuldstændiggøre eller ajourføre disse oplysninger. Dette berører ikke luftfartsselskabernes mulighed for at opbevare og anvende oplysningerne, hvor det er nødvendigt for deres normale drift i overensstemmelse med gældende ret.
3.   Hvor et luftfartsselskab efter overførslen af API-oplysninger i henhold til artikel 5, stk. 3, litra a), nr. i), men inden overførslen i henhold til artikel 5, stk. 3, litra a), nr. ii), bliver opmærksom på, at de oplysninger, det har videregivet, er unøjagtige, overfører luftfartsselskabet omgående de rettede API-oplysninger til routeren.
4.   Hvor et luftfartsselskab efter overførslen af API-oplysninger i henhold til artikel 5, stk. 3, litra a), nr. ii), eller litra b), bliver opmærksom på, at de oplysninger, det har videregivet, er unøjagtige, er ufuldstændige eller ikke længere er ajourførte, overfører luftfartsselskabet omgående de rettede, fuldstændiggjorte eller ajourførte API-oplysninger til routeren.
5.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 43 for at supplere denne forordning ved at fastsætte de nødvendige detaljerede regler for rettelse, fuldstændiggørelse og ajourføring af API-oplysninger som omhandlet i nærværende artikel.
Artikel 8
Grundlæggende rettigheder
1.   Luftfartsselskabers og kompetente myndigheders indsamling og behandling af personoplysninger i overensstemmelse med denne forordning og forordning (EU) 2025/12 må ikke føre til forskelsbehandling af personer af de grunde, der er anført i artikel 21 i Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«).
2.   Denne forordning respekterer fuldt ud den menneskelige værdighed og de grundlæggende rettigheder og principper, der er anerkendt i chartret, herunder retten til respekt for privatliv, asyl, beskyttelse af personoplysninger, fri bevægelighed og effektive retsmidler.
3.   Der skal tages særligt hensyn til børn, ældre, personer med handicap og sårbare personer. Hensynet til barnets tarv skal komme i første række, når denne forordning gennemføres.
KAPITEL 3
BESTEMMELSER VEDRØRENDE ROUTEREN
Artikel 9
Routeren
1.   eu-LISA designer, udvikler, hoster og teknisk forvalter i overensstemmelse med artikel 25 og 26 en router med henblik på at lette luftfartsselskabernes overførsel af krypterede API-oplysninger og andre PNR-oplysninger til passageroplysningsenhederne i overensstemmelse med denne forordning.
2.   Routeren skal bestå af:
a)
en central infrastruktur, herunder et sæt tekniske komponenter, der gør det muligt at modtage og transmittere krypterede API-oplysninger og andre PNR-oplysninger
b)
en sikker kommunikationskanal mellem den centrale infrastruktur og passageroplysningsenhederne og en sikker kommunikationskanal mellem den centrale infrastruktur og luftfartsselskaberne til overførsel og transmission af API-oplysninger og andre PNR-oplysninger og til al kommunikation i forbindelse hermed, og til medlemsstaternes indlæsning af udvalgte flyvninger som omhandlet i artikel 12, stk. 4, i routeren og eventuelle ajourføringer i den forbindelse
c)
en sikker kanal til modtagelse af realtidsflytrafikdata.
3.   Uden at det berører denne forordnings artikel 10, deler og videreanvender routeren, hvor det er relevant, og i det omfang det er teknisk muligt, de tekniske komponenter, herunder hardware- og softwarekomponenterne, i den webtjeneste, der er omhandlet i artikel 13 i forordning (EU) 2017/2226, den gateway-facilitet for transportvirksomheder, der er omhandlet i artikel 6, stk. 2, litra k), i forordning (EU) 2018/1240, og den gatewayfacilitet for transportvirksomheder, der er omhandlet i artikel 45c i forordning (EF) nr. 767/2008.
eu-LISA designer, i det omfang det er teknisk og operationelt muligt, routeren på en måde, som er sammenhængende og forenelig med de forpligtelser for luftfartsselskaber, der er fastsat i forordning (EF) nr. 767/2008, (EU) 2017/2226 og (EU) 2018/1240.
4.   Routeren udtrækker automatisk oplysningerne og stiller dem i overensstemmelse med denne forordnings artikel 39 til rådighed for det centrale register for rapportering og statistik (CRRS), der er oprettet ved artikel 39 i forordning (EU) 2019/818.
5.   eu-LISA designer og udvikler routeren på en sådan måde, at API-oplysningerne og de andre PNR-oplysninger ved enhver overførsel af API-oplysninger og andre PNR-oplysninger fra luftfartsselskaberne til routeren i overensstemmelse med artikel 5 og ved enhver transmission af API- oplysninger og andre PNR-oplysninger fra routeren til passageroplysningsenhederne i overensstemmelse med artikel 12 og til CRRS i overensstemmelse med artikel 39, stk. 2, er end-to-end-krypteret under transit.
Artikel 10
Eksklusiv anvendelse af routeren
Med henblik på denne forordning må routeren kun anvendes:
a)
af luftfartsselskaber til at overføre krypterede API-oplysninger og andre PNR-oplysninger i overensstemmelse med denne forordning
b)
af passageroplysningsenheder til at modtage krypterede API-oplysninger og andre PNR-oplysninger i overensstemmelse med denne forordning
c)
på grundlag af internationale aftaler, der muliggør overførsel af PNR-oplysninger via routeren, og som Unionen har indgået med tredjelande, der har indgået en aftale om deres associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne.
Denne artikel berører ikke artikel 12 i forordning (EU) 2025/12.
Artikel 11
Dataformats- og overførselsverifikationer
1.   Routeren skal på en automatiseret måde og på baggrund af realtidsflytrafikdata verificere, hvorvidt luftfartsselskabet har overført API-oplysningerne i overensstemmelse med artikel 5, stk. 1, eller andre PNR-oplysninger i overensstemmelse med artikel 5, stk. 2.
2.   Routeren skal omgående og på en automatiseret måde verificere, hvorvidt de API-oplysninger, der blev overført til den i overensstemmelse med artikel 5, stk. 1, overholder de i artikel 5, stk. 4, omhandlede detaljerede regler om de understøttede dataformater.
3.   Routeren skal omgående og på en automatiseret måde verificere, hvorvidt de andre PNR-oplysninger, der blev overført til den i overensstemmelse med artikel 5, stk. 2, overholder de i artikel 16 i direktiv (EU) 2016/681 omhandlede regler om de understøttede dataformater.
4.   Hvor den i stk. 1 omhandlede verifikation viser, at oplysningerne ikke blev overført af luftfartsselskabet, eller hvor den i stk. 2 eller 3 omhandlede verifikation viser, at oplysningerne ikke overholder de detaljerede regler om de understøttede dataformater, underretter routeren omgående og på en automatiseret måde det pågældende luftfartsselskab og passageroplysningsenhederne i de medlemsstater, som oplysningerne skulle transmitteres til i henhold til artikel 12, stk. 1. Luftfartsselskabet skal i sådanne tilfælde omgående overføre API-oplysningerne og de andre PNR-oplysninger i overensstemmelse med artikel 5.
5.   Kommissionen vedtager gennemførelsesretsakter, der præciserer de detaljerede tekniske og proceduremæssige regler, som er nødvendige for de verifikationer og underretninger, der er omhandlet i denne artikels stk. 1-4. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 42, stk. 2.
Artikel 12
Transmission af API-oplysninger og andre PNR-oplysninger fra routeren til passageroplysningsenhederne
1.   Efter den i artikel 11 omhandlede dataformats- og overførselsverifikation transmitterer routeren de krypterede API-oplysninger og alle andre PNR-oplysninger, som luftfartsselskaberne har overført til den, jf. artikel 5, stk. 1 og 2, og, hvor det er relevant, artikel 7, stk. 3 og 4, til passageroplysningsenhederne i den medlemsstat, på hvis område flyvningen efter planen skal lande eller fra hvis område det vil afgå, eller til begge i forbindelse med flyvninger inden for EU. Den transmitterer omgående og på en automatiseret måde disse oplysninger uden på nogen måde at ændre deres indhold. Hvis en flyvning har en eller flere mellemlandinger på området for andre medlemsstater end den, hvorfra den afgik, transmitterer routeren API-oplysningerne og alle andre PNR-oplysninger til passageroplysningsenhederne i alle de berørte medlemsstater.
Med henblik på en sådan transmission udarbejder og ajourfører eu-LISA en sammenligningstabel mellem de forskellige oprindelses- og bestemmelseslufthavne og de lande, som de tilhører.
I forbindelse med flyvninger inden for EU overfører routeren imidlertid kun API-oplysninger og andre PNR-oplysninger fra de flyvninger, der er opført på listen omhandlet i stk. 4, til de relevante passageroplysningsenheder.
2.   Routeren transmitterer API-oplysningerne og andre PNR-oplysninger i overensstemmelse med de detaljerede regler, der er omhandlet i stk. 6, når sådanne regler er blevet vedtaget og finder anvendelse.
3.   Medlemsstaterne sikrer, at deres passageroplysningsenheder, når de modtager API-oplysninger og andre PNR-oplysninger i overensstemmelse med stk. 1, omgående og på en automatiseret måde bekræfter modtagelsen af sådanne oplysninger til routeren.
4.   Medlemsstater, der beslutter at anvende direktiv (EU) 2016/681 på flyvninger inden for EU i overensstemmelse med nævnte direktivs artikel 2, udarbejder hver især en liste over de udvalgte flyvninger eller ruter inden for EU. Medlemsstaterne kan anvende koden for afgangslufthavnen og ankomstlufthavnen til at angive de udvalgte flyvninger eller ruter. Disse medlemsstater gennemgår regelmæssigt og ajourfører om nødvendigt disse lister i overensstemmelse med nævnte direktivs artikel 2 og denne forordnings artikel 13. En medlemsstat kan udvælge alle flyvninger eller ruter inden for EU, når dette er behørigt begrundet, i overensstemmelse med direktiv (EU) 2016/681 og denne forordnings artikel 13.
Medlemsstaterne indlæser senest på denne forordnings relevante anvendelsesdato, der er omhandlet i artikel 45, stk. 2, de udvalgte flyvninger eller ruter i routeren ved hjælp af automatiserede metoder via den sikre kommunikationskanal, der er omhandlet i artikel 9, stk. 2, litra b), og forsyner derefter routeren med eventuelle ajourføringer heraf.
5.   De oplysninger, som medlemsstaterne indlæser i routeren, behandles fortroligt, og eu-LISA's personales adgang til disse oplysninger begrænses til, hvad der er strengt nødvendigt for at løse tekniske problemer. eu-LISA sikrer efter routerens modtagelse af disse oplysninger eller eventuelle ajourføringer heraf fra en medlemsstat, at routeren omgående overfører API-oplysningerne og de andre PNR-oplysninger til den pågældende medlemsstats passageroplysningsenheden for så vidt angår de udvalgte flyvninger eller ruter i overensstemmelse med stk. 1.
6.   Kommissionen vedtager gennemførelsesretsakter, der præciserer de detaljerede tekniske og processuelle regler, der er nødvendige for den i denne artikels stk. 1 omhandlede transmission af API-oplysninger og andre PNR-oplysninger fra routeren og for den i denne artikels stk. 4 omhandlede indlæsning af oplysninger i routeren, herunder om krav til datasikkerhed. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 42, stk. 2.
Artikel 13
Udvælgelse af flyvninger inden for EU
1.   Medlemsstater, der i overensstemmelse med artikel 2 i direktiv (EU) 2016/681 beslutter at anvende nævnte direktiv og dermed denne forordning på flyvninger inden for EU, udvælger sådanne flyvninger inden for EU i overensstemmelse med nærværende artikel.
2.   Medlemsstaterne må kun anvende direktiv (EU) 2016/681 og dermed denne forordning på alle flyvninger inden for EU, der ankommer til eller afgår fra deres område, i situationer med en reel og aktuel eller forudsigelig terrortrussel, på grundlag af en afgørelse, der er baseret på en trusselsvurdering og begrænset i tid til, hvad der er strengt nødvendigt, og det skal kunne gøres til genstand for en effektiv prøvelse af enten en domstol eller et uafhængigt administrativt organ, hvis afgørelse er bindende.
3.   Hvis der ikke foreligger en reel og aktuel eller forudsigelig terrortrussel, udvælger de medlemsstater, der anvender direktiv (EU) 2016/681 og dermed denne forordning på flyvninger inden for EU, sådanne flyvninger inden for EU på grundlag af resultatet af en vurdering, der foretages på grundlag af kravene i denne artikels stk. 4-7.
4.   Den i stk. 3 omhandlede vurdering:
a)
gennemføres på en objektiv, behørigt begrundet og ikkeforskelsbehandlede måde i overensstemmelse med artikel 2 i direktiv (EU) 2016/681
b)
må kun tage hensyn til kriterier, som er relevante for forebyggelse, opdagelse, efterforskning og retsforfølgning af terrorhandlinger og grov kriminalitet, der har en objektiv forbindelse, herunder en indirekte forbindelse, til luftbefordring af passagerer, og ikke udelukkende være baseret på de grunde, der er anført i chartrets artikel 21, hvad angår nogen passagerer eller grupper af passagerer
c)
må kun bruge oplysninger, der kan støtte en objektiv, behørigt begrundet og ikkeforskelsbehandlede vurdering.
5.   På grundlag af den i stk. 3 omhandlede vurdering må medlemsstaterne kun udvælge flyvninger inden for EU, der vedrører bl.a. bestemte ruter, rejsemønstre eller lufthavne, for hvilke der er tegn på terrorhandlinger og grov kriminalitet, og som berettiger behandlingen af API-oplysninger og andre PNR-oplysninger. Udvælgelsen af flyvninger inden for EU begrænses til, hvad der er strengt nødvendigt for at nå målene i direktiv (EU) 2016/681 og denne forordning.
6.   Medlemsstaterne opbevarer al dokumentation vedrørende den i stk. 3 omhandlede vurdering, herunder, hvor det er relevant, enhver revision heraf, og stiller den efter anmodning til rådighed for deres uafhængige tilsynsmyndigheder og nationale tilsynsmyndigheder i overensstemmelse med direktiv (EU) 2016/680.
7.   Medlemsstaterne reviderer i overensstemmelse med artikel 2 i direktiv (EU) 2016/681 deres i stk. 3 omhandlede vurdering regelmæssigt og mindst hver 12. måned for at tage hensyn til ændringer i de omstændigheder, der begrundede udvælgelsen af flyvninger inden for EU, og med henblik på at sikre, at udvælgelsen af flyvninger inden for EU fortsat begrænses til, hvad der er strengt nødvendigt.
8.   Kommissionen letter en regelmæssig drøftelse af udvælgelseskriterierne for den i stk. 3 omhandlede vurdering, herunder udvekslingen af bedste praksis, samt, på frivillig basis, udvekslingen af oplysninger om udvalgte flyvninger.
Artikel 14
Sletning af API-oplysninger og andre PNR-oplysninger fra routeren
API-oplysninger og andre PNR-oplysninger, der er overført til routeren i henhold til denne forordning, må kun opbevares på routeren, i det omfang det er nødvendigt for at gennemføre transmissionen til de relevante passageroplysningsenheder i overensstemmelse med denne forordning, og slettes omgående, permanent og på en automatiseret måde fra routeren i begge følgende situationer:
a)
hvor det i overensstemmelse med artikel 12, stk. 3, bekræftes, at overførslen af API-oplysninger og andre PNR-oplysninger til de relevante passageroplysningsenheder er gennemført
b)
hvor API-oplysningerne eller andre PNR-oplysninger vedrører andre flyvninger inden for EU end dem, der er medtaget på de i artikel 12, stk. 4, omhandlede lister.
Routeren underretter automatisk eu-LISA og passageroplysningsenhederne om den umiddelbart forestående sletning af flyvninger inden for EU som omhandlet i litra b).
Artikel 15
Passageroplysningsenhedernes behandling af API-oplysninger og andre PNR-oplysninger
API-oplysninger og andre PNR-oplysninger, der overføres til passageroplysningsenheder i overensstemmelse med denne forordning, behandles efterfølgende af passageroplysningsenhederne i overensstemmelse med direktiv (EU) 2016/681, navnlig for så vidt angår reglerne om passageroplysningsenhedernes behandling af API-oplysninger og andre PNR-oplysninger, herunder reglerne i nævnte direktivs artikel 6, 10, 12 og 13, og udelukkende med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet.
Passageroplysningsenhederne eller andre kompetente myndigheder må under ingen omstændigheder behandle API-oplysninger og andre PNR-oplysninger med henblik på profilering som omhandlet i artikel 11, stk. 3, i direktiv (EU) 2016/680.
Artikel 16
Tiltag, hvis det er teknisk umuligt at anvende routeren
1.   Hvis det ikke er teknisk muligt at benytte routeren til at transmittere API-oplysninger eller andre PNR-oplysninger på grund af et svigt i routeren, underretter eu-LISA omgående luftfartsselskaberne og passageroplysningsenhederne om denne tekniske umulighed på en automatiseret måde. I så fald træffer eu-LISA omgående foranstaltninger til at afhjælpe den tekniske umulighed af at benytte routeren og underretter omgående luftfartsselskaberne og passageroplysningsenhederne, når den er blevet afhjulpet.
I perioden mellem disse underretninger finder artikel 5, stk. 1, ikke anvendelse, for så vidt som den tekniske umulighed forhindrer overførsel af API-oplysninger eller andre PNR-oplysninger til routeren. Luftfartsselskaberne opbevarer API-oplysningerne eller de andre PNR-oplysninger, indtil den tekniske umulighed er blevet afhjulpet. Så snart den tekniske umuligged er blevet afhjulpet, overfører luftfartsselskaberne oplysningerne til routeren i overensstemmelse med artikel 5, stk. 1.
Hvis det ikke er teknisk muligt at benytte routeren, og i ekstraordinære tilfælde, der vedrører målene for denne forordning og som gør det nødvendigt for passageroplysningsenhederne omgående at modtage API-oplysninger eller andre PNR-oplysninger under den tekniske umulighed af at anvende routeren, kan passageroplysningsenhederne anmode luftfartsselskaberne om at anvende andre passende metoder, der sikrer det nødvendige niveau af datasikkerhed, datakvalitet og databeskyttelse, til at overføre API-oplysninger eller andre PNR-oplysninger direkte til passageroplysningsenhederne. Passageroplysningsenhederne behandler de API-oplysninger eller andre PNR-oplysninger, der modtages ved brug af andre passende metoder, i overensstemmelse med de regler og garantier, der er fastsat i direktiv (EU) 2016/681.
Efter underretningen fra eu-LISA om, at den tekniske umulighed er blevet afhjulpet, og hvor det er bekræftet i overensstemmelse med artikel 12, stk. 3, at transmissionen af API-oplysningerne eller de andre PNR-oplysninger via routeren til den relevante passageroplysningsenhed er blevet gennemført, sletter passageroplysningsenheden omgående de API-oplysninger eller de andre PNR-oplysninger, som den har modtaget ved brug af andre passende metoder.
2.   Hvis det er teknisk umuligt at anvende routeren til at transmittere API-oplysninger eller andre PNR-oplysninger på grund af et svigt i en medlemsstats systemer eller infrastruktur omhandlet i artikel 23, underretter denne medlemsstats passageroplysningsenhed omgående de øvrige passageroplysningsenheder, eu-LISA og Kommissionen om denne tekniske umulighed på en automatiseret måde. I så fald træffer denne medlemsstat omgående foranstaltninger for at afhjælpe den tekniske umulighed af at benytte routeren og underretter omgående de øvrige passageroplysningsenheder, eu-LISA og Kommissionen, når den er blevet afhjulpet. Routeren opbevarer API-oplysningerne eller de andre PNR-oplysninger, indtil den tekniske umulighed er blevet afhjulpet. Så snart den tekniske umulighed er blevet afhjulpet, transmitterer routeren oplysningerne i overensstemmelse med artikel 12, stk. 1.
Hvis det er teknisk umuligt at anvende routeren, og i ekstraordinære tilfælde, som vedrører målene for denne forordning og som gør det nødvendigt for passageroplysningsenhederne omgående at modtage API-oplysninger eller andre PNR-oplysninger under den tekniske umulighed af at anvende routeren, kan passageroplysningsenhederne anmode luftfartsselskaberne om at anvende andre passende metoder, der sikrer det nødvendige niveau af datasikkerhed, datakvalitet og databeskyttelse, til at overføre API-oplysninger eller andre PNR-oplysninger direkte til passageroplysningsenhederne. Passageroplysningsenhederne behandler de API-oplysninger eller andre PNR-oplysninger, der modtages ved brug af andre passende metoder, i overensstemmelse med de regler og garantier, der er fastsat i direktiv (EU) 2016/681.
Efter underretningen fra eu-LISA om, at den tekniske umulighed er blevet afhjulpet, og hvis det er bekræftet i overensstemmelse med artikel 12, stk. 3, at transmissionen af API-oplysningerne eller de andre PNR-oplysninger via routeren til den relevante passageroplysningsenhed er blevet gennemført, sletter passageroplysningsenheden omgående de API-oplysninger eller andre PNR-oplysninger, som den har modtaget ved brug af andre passende metoder.
3.   Hvis det er teknisk umuligt at anvende routeren til at overføre API-oplysninger eller andre PNR-oplysninger på grund af et svigt i et luftfartsselskabs systemer eller infrastruktur omhandlet i artikel 24, underretter dette luftfartsselskab omgående passageroplysningsenhederne, eu-LISA og Kommissionen om denne tekniske umulighed på en automatiseret måde. I så fald træffer dette luftfartsselskab omgående foranstaltninger til at afhjælpe den tekniske umulighed af at benytte routeren og underretter omgående passageroplysningsenhederne, eu-LISA og Kommissionen, når der er blevet afhjulpet.
I perioden mellem disse underretninger finder artikel 5, stk. 1, ikke anvendelse, for så vidt som den tekniske umulighed forhindrer overførsel af API-oplysninger eller andre PNR-oplysninger til routeren. Luftfartsselskaberne opbevarer API-oplysningerne eller de andre PNR-oplysninger, indtil den tekniske umulighed er blevet afhjulpet. Så snart den tekniske umulighed er blevet afhjulpet, overfører luftfartsselskaberne oplysningerne til routeren i overensstemmelse med artikel 5, stk. 1.
Hvis det er teknisk umuligt at benytte routeren, og i ekstraordinære tilfælde, som vedrører målene for denne forordning og som gør det nødvendigt for passageroplysningsenhederne omgående at modtage API-oplysninger eller andre PNR-oplysninger under den tekniske umulighed af at anvende routeren, kan passageroplysningsenhederne anmode luftfartsselskaberne om at anvende andre passende metoder, der sikrer det nødvendige niveau af datasikkerhed, datakvalitet og databeskyttelse, til at overføre API-oplysninger eller andre PNR-oplysninger direkte til passageroplysningsenhederne. Passageroplysningsenhederne behandler de API-oplysninger eller andre PNR-oplysninger, der modtages ved brug af andre passende metoder, i overensstemmelse med de regler og garantier, der er fastsat i direktiv (EU) 2016/681.
Efter underretningen fra eu-LISA om, at den tekniske umulighed er blevet afhjulpet, og hvis det er bekræftet i overensstemmelse med artikel 12, stk. 3, at transmissionen af API-oplysningerne eller de andre PNR-oplysninger via routeren til den relevante passageroplysningsenhed er blevet gennemført, sletter passageroplysningsenheden omgående de API-oplysninger eller andre PNR-oplysninger, som den har modtaget ved brug af andre passende metoder.
Når den tekniske umulighed er blevet afhjulpet, forelægger det pågældende luftfartsselskab straks den i artikel 37a omhandlede nationale API-tilsynsmyndighed en rapport med alle nødvendige oplysninger om den tekniske umulighed, herunder årsagerne til den, dens omfang og konsekvenser samt de foranstaltninger, der er truffet for at afhjælpe den.
KAPITEL 4
SÆRLIGE BESTEMMELSER OM BESKYTTELSE AF PERSONOPLYSNINGER OG SIKKERHED
Artikel 17
Opbevaring af logfiler
1.   Luftfartsselskaberne opretter logfiler over alle behandlingsaktiviteter vedrørende API-oplysninger i henhold til denne forordning, der foretages ved brug af de automatiserede midler, der er omhandlet i artikel 4, stk. 7. Disse logfiler omfatter dato, klokkeslæt og sted for overførsel af API-oplysninger. Disse logfiler må ikke indeholde andre personoplysninger end de oplysninger, der er nødvendige for at identificere luftfartsselskabets relevante medarbejder.
2.   eu-LISA fører logfiler over alle behandlingsaktiviteter vedrørende overførsel og transmission af API-oplysninger og andre PNR-oplysninger gennem routeren i henhold til denne forordning. Disse logfiler omfatter følgende:
a)
det luftfartsselskab, der har overført API-oplysningerne og andre PNR-oplysninger til routeren
b)
det luftfartsselskab, der har overført andre PNR-oplysninger til routeren
c)
de passageroplysningsenheder, som API-oplysningerne blev transmitteret til via routeren
d)
de passageroplysningsenheder, som andre PNR-oplysninger blev transmitteret til via routeren
e)
dato og klokkeslæt for den overførsel eller transmission, der er omhandlet i litra a)-d), og stedet for denne overførsel eller transmission
f)
enhver adgang for eu-LISA's personale, der er nødvendig for vedligeholdelsen af routeren som omhandlet i artikel 26, stk. 3
g)
alle andre oplysninger vedrørende disse behandlingsaktiviteter, der er nødvendige for at overvåge API-oplysningernes og andre PNR-oplysningers sikkerhed og integritet og lovligheden af disse behandlingsaktiviteter.
Disse logfiler må ikke indeholde andre personoplysninger end de oplysninger, der er nødvendige for at identificere eu-LISA’s relevante medarbejder, jf. første afsnit, litra f).
3.   De logfiler, der er omhandlet i denne artikels stk. 1 og 2, må kun anvendes til at garantere API-oplysningers og andre PNR-oplysningers sikkerhed og integritet og lovligheden af behandlingen, navnlig for så vidt angår overholdelse af kravene i denne forordning, herunder procedurer for sanktioner for overtrædelse af disse krav i overensstemmelse med artikel 37 og 38.
4.   Luftfartsselskaberne og eu-LISA træffer passende foranstaltninger til at beskytte de logfiler, de har oprettet i henhold til henholdsvis stk. 1 og stk. 2, mod uautoriseret adgang og andre sikkerhedsrisici.
5.   Den nationale API-tilsynsmyndighed, der er omhandlet i artikel 37, og passageroplysningsenhederne har adgang til de relevante logfiler, der er omhandlet i nærværende artikels stk. 1, hvis det er nødvendigt af hensyn til de i nærværende artikels stk. 3 omhandlede formål.
6.   Luftfartsselskaberne og eu-LISA opbevarer de logfiler, de har oprettet i henhold til henholdsvis stk. 1 og stk. 2, i en periode på ét år fra det tidspunkt, hvor disse logfiler blev oprettet. De sletter omgående og permanent disse logfiler ved udløbet af denne periode.
Hvis disse logfiler er nødvendige for procedurer til overvågning eller sikring af API-oplysninger sikkerhed og integritet eller lovligheden af behandlingsaktiviteterne som omhandlet, jf. stk. 3, og disse procedurer allerede er indledt på tidspunktet for udløbet af den i nærværende stykkes første afsnit omhandlede periode, opbevarer luftfartsselskaberne og eu-LISA dog disse logfiler, så længe det er nødvendigt for disse procedurer. I så fald sletter de omgående disse logfiler, når de ikke længere er nødvendige for disse procedurer.
Artikel 18
Databeskyttelsesansvar
1.   Luftfartsselskaberne er dataansvarlige som omhandlet i artikel 4, nr. 7, i forordning (EU) 2016/679 for behandling af API-oplysninger og andre PNR-oplysninger, der udgør personoplysninger, i forbindelse med indsamlingen af sådanne oplysninger og deres overførsel af disse til routeren i henhold til nærværende forordning.
2.   Hver medlemsstat udpeger en kompetent myndighed som dataansvarlig i overensstemmelse med denne artikel. Medlemsstaterne underretter Kommissionen, eu-LISA og de øvrige medlemsstater om disse myndigheder.
Alle de kompetente myndigheder, som medlemsstaterne har udpeget, er fælles dataansvarlige i overensstemmelse med artikel 21 i direktiv (EU) 2016/680 med henblik på behandling af personoplysninger i routeren.
3.   eu-LISA er databehandler som omhandlet i artikel 3, nr. 12), i forordning (EU) 2018/1725, for så vidt angår behandling af API-oplysninger og andre PNR-oplysninger, der udgør personoplysninger, i henhold til nærværende forordning via routeren, herunder transmission af oplysningerne fra routeren til passageroplysningsenhederne og opbevaring af disse oplysninger på routeren af tekniske årsager. eu-LISA sikrer, at routeren drives i overensstemmelse med nærværende forordning.
4.   Kommissionen vedtager gennemførelsesretsakter, der fastlægger de fælles dataansvarliges respektive ansvarsområder og de respektive forpligtelser mellem de fælles dataansvarlige og databehandleren. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 42, stk. 2.
Artikel 19
Oplysninger til passagererne
I overensstemmelse med artikel 13 i forordning (EU) 2016/679 giver luftfartsselskaber passagerer på flyvninger, der er omfattet af nærværende forordning, oplysninger om formålet med indsamlingen af deres personoplysninger, typen af indsamlede personoplysninger, modtagerne af personoplysningerne og mulighederne for udøvelse af deres rettigheder som registrerede.
Disse oplysninger meddeles passagererne skriftligt i et lettilgængeligt format på reservationstidspunktet og på indtjekningstidspunktet, uanset hvilke metoder der anvendes til at indsamle personoplysningerne på indtjekningstidspunktet, i overensstemmelse med artikel 4.
Artikel 20
Sikkerhed
1.   eu-LISA sørger for sikkerheden og krypteringen af de API-oplysninger og andre PNR-oplysninger, som det behandler i henhold til denne forordning, navnlig oplysninger, der udgør personoplysninger. Passageroplysningsenhederne og luftfartsselskaberne sørger for sikkerheden af de API-oplysninger, som de behandler i henhold til denne forordning, navnlig API-oplysninger, der udgør personoplysninger. eu-LISA, passageroplysningsenhederne og luftfartsselskaberne samarbejder i overensstemmelse med deres respektive ansvarsområder og under overholdelse af EU-retten med hinanden om at sørge for en sådan sikkerhed.
2.   eu-LISA sørger for sikkerheden og fortroligheden af oplysningerne vedrørende flyvninger og ruter, som medlemsstaterne har udvalgt i overensstemmelse med artikel 12, stk. 4. Passageroplysningsenhederne og luftfartsselskaberne sørger for sikkerheden af de API-oplysninger, som det behandler i henhold til denne forordning, navnlig API-oplysninger, der udgør personoplysninger. eu-LISA, passageroplysningsenhederne og luftfartsselskaberne samarbejder i overensstemmelse med deres respektive ansvarsområder og under overholdelse af EU-retten med hinanden om at sørge for en sådan sikkerhed.
3.   eu-LISA træffer de foranstaltninger, der er nødvendige for at sørge for sikkerheden for routeren og API-oplysningerne og andre PNR-oplysninger, navnlig oplysninger, der udgør personoplysninger, og som transmitteres via routeren, herunder ved at udarbejde, gennemføre og regelmæssigt ajourføre en sikkerhedsplan, en forretningskontinuitetsplan og en katastrofeberedskabsplan, med henblik på at:
a)
fysisk beskytte routeren, herunder ved at udarbejde beredskabsplaner for beskyttelse af kritiske komponenter heraf
b)
forhindre uautoriseret behandling af API-oplysninger eller andre PNR-oplysninger, herunder uautoriseret adgang hertil og kopiering, ændring eller sletning heraf, både under overførslen af API-oplysningerne eller andre PNR-oplysninger til og fra routeren og under enhver opbevaring af API-oplysninger eller andre PNR-oplysninger på routeren, hvor det er nødvendigt for at gennemføre transmissionen, navnlig ved hjælp af passende krypteringsteknikker
c)
sikre, at de personer, der er bemyndiget til at få adgang til routeren, kun har adgang til de oplysninger, der er omfattet af deres adgangstilladelse
d)
sikre, at det er muligt at verificere og fastslå, til hvilke passageroplysningsenheder API-oplysningerne eller andre PNR-oplysninger transmitteres via routeren
e)
rapportere behørigt til sin bestyrelse om eventuelle fejl i funktionen af routeren
f)
overvåge virkningsfuldheden af de sikkerhedsforanstaltninger, der kræves i henhold til denne artikel og forordning (EU) 2018/1725, og vurdere og ajourføre disse sikkerhedsforanstaltninger, hvor det er nødvendigt i lyset af den teknologiske eller operationelle udvikling.
De foranstaltninger, der er omhandlet i dette stykkes første afsnit, berører ikke artikel 32 i forordning (EU) 2016/679, artikel 33 i forordning (EU) 2018/1725 eller artikel 29 i direktiv (EU) 2016/680.
Artikel 21
Egenkontrol
Luftfartsselskaber og passageroplysningsenheder overvåger, at de overholder deres respektive forpligtelser i henhold til denne forordning, navnlig med hensyn til deres behandling af API-oplysninger, der udgør personoplysninger. For luftfartsselskaber omfatter overvågningen hyppig verifikation af logfilerne, der er omhandlet i artikel 17.
Artikel 22
Revisioner for så vidt angår beskyttelse af personoplysninger
1.   De uafhængige tilsynsmyndigheder, der er omhandlet i artikel 41 i direktiv (EU) 2016/680, foretager mindst hvert fjerde år en revision af behandlingsaktiviteter for så vidt angår API-oplysninger, der udgør personoplysninger, som foretages af passageroplysningsenhederne med henblik på denne forordning. Medlemsstaterne sikrer, at deres uafhængige tilsynsmyndigheder har tilstrækkelige ressourcer og ekspertise til at udføre de opgaver, som er tillagt dem i henhold til denne forordning.
2.   Den Europæiske Tilsynsførende for Databeskyttelse foretager mindst én gang om året en revision af behandlingsaktiviteter for så vidt angår API-oplysninger og andre PNR-oplysninger, der udgør personoplysninger, som foretages af eu-LISA med henblik på denne forordning, i overensstemmelse med relevante internationale revisionsstandarder. En rapport om denne revision sendes til Europa-Parlamentet, Rådet, Kommissionen, medlemsstaterne og eu-LISA. eu-LISA gives lejlighed til at fremsætte bemærkninger, inden rapporterne vedtages.
3.   I forbindelse med de behandlingsaktiviteter, der er omhandlet i stk. 2, leverer eu-LISA efter anmodning de oplysninger, som Den Europæiske Tilsynsførende for Databeskyttelse anmoder om, giver Den Europæiske Tilsynsførende for Databeskyttelse adgang til alle de dokumenter, som den anmoder om, og til de logfiler, der er omhandlet i artikel 17, stk. 2, og giver Den Europæiske Tilsynsførende for Databeskyttelse adgang til alle eu-LISA's lokaler til enhver tid.
KAPITEL 5
SPØRGSMÅL VEDRØRENDE ROUTEREN
Artikel 23
Passageroplysningsenhedernes tilslutning til routeren
1.   Medlemsstaterne sikrer, at deres passageroplysningsenheder er tilsluttet routeren. De sikrer, at deres nationale systemer og infrastruktur til modtagelse og viderebehandling af API-oplysninger og andre PNR-oplysninger, der overføres i henhold til denne forordning, er integreret med routeren.
Medlemsstaterne sikrer, at tilslutningen til routeren og integrationen med denne gør det muligt for deres passageroplysningsenheder at modtage og viderebehandle disse API-oplysninger og andre PNR-oplysninger samt at udveksle enhver kommunikation i forbindelse hermed på en lovlig, sikker, effektiv og hurtig måde.
2.   Kommissionen vedtager gennemførelsesretsakter, der fastlægger de nødvendige detaljerede regler for den i denne artikels stk. 1 omhandlede tilslutning til og integration med routeren, herunder om krav for så vidt angår datasikkerhed. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 42, stk. 2.
Artikel 24
Luftfartsselskabernes tilslutning til routeren
1.   Luftfartsselskaberne sikrer, at de er tilsluttet routeren. De sikrer, at deres systemer og infrastruktur til overførsel af API-oplysninger og andre PNR-oplysninger til routeren i henhold til denne forordning er integreret med routeren.
Luftfartsselskaberne sikrer, at tilslutningen til routeren og integrationen med denne gør det muligt for dem at overføre disse API-oplysninger og andre PNR-oplysninger samt udveksle enhver kommunikation i forbindelse hermed på en lovlig, sikker, effektiv og hurtig måde. Med henblik herpå foretager luftfartsselskaberne test af overførslen af API-oplysninger og andre PNR-oplysninger til routeren i samarbejde med eu-LISA i overensstemmelse med artikel 27, stk. 3.
2.   Kommissionen vedtager gennemførelsesretsakter, der præciserer de nødvendige detaljerede regler for den i denne artikels stk. 1 omhandlede tilslutning til og integration med routeren, herunder om krav for så vidt angår datasikkerhed. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 42, stk. 2.
Artikel 25
eu-LISA's opgaver i forbindelse med design og udvikling af routeren
1.   eu-LISA er ansvarligt for design af routerens fysiske arkitektur, herunder fastlæggelse af dens tekniske specifikationer.
2.   eu-LISA er ansvarligt for udvikling af routeren, herunder for eventuelle tekniske tilpasninger, der er nødvendige for routerens drift.
Udviklingen af routeren består i udarbejdelse og gennemførelse af de tekniske specifikationer, afprøvning og overordnet projektstyring og koordinering af udviklingsfasen.
3.   eu-LISA sikrer, at routeren er designet og udviklet på en sådan måde, at routeren leverer de funktioner, der er specificeret i denne forordning, og at routeren idriftsættes så snart som muligt efter Kommissionens vedtagelse af de delegerede retsakter, der er omhandlet i denne forordnings artikel 4, stk. 12, artikel 5, stk. 3, og artikel 7, stk. 2, og af de gennemførelsesretsakter, der er omhandlet i denne forordnings artikel 11, stk. 5, artikel 12, stk. 4, artikel 23, stk. 2, og artikel 24, stk. 2, og af de gennemførelsesretsakter, der er omhandlet i artikel 16, stk. 3, i direktiv (EU) 2016/681, og efter udarbejdelsen af en konsekvensanalyse vedrørende databeskyttelse i overensstemmelse med artikel 35 i forordning (EU) 2016/679.
4.   eu-LISA stiller en overensstemmelsestest til rådighed for passageroplysningsenhederne, medlemsstaternes andre relevante myndigheder og luftfartsselskaberne. Overensstemmelsestesten omfatter et testmiljø, en simulator, testdatasæt og en testplan. Overensstemmelsestesten gør det muligt at foretage omfattende test af routeren som omhandlet i stk. 5 og 6, og den forbliver til rådighed efter afslutningen af disse test.
5.   Hvor eu-LISA vurderer, at udviklingsfasen er afsluttet for så vidt angår API-oplysninger, foretager det uden unødigt ophold en omfattende test af routeren i samarbejde med passageroplysningsenhederne og medlemsstaternes andre relevante myndigheder og luftfartsselskaber og underretter Kommissionen om resultatet af denne test.
6.   Hvor eu-LISA vurderer, at udviklingsfasen er afsluttet for så vidt angår andre PNR-oplysninger, foretager det uden unødigt ophold omfattende test af routeren for at sikre pålideligheden af routerens forbindelse med luftfartsselskaber og passageroplysningsenheder, luftfartsselskabernes nødvendige standardiserede transmission af andre PNR-oplysninger og overførsel og transmission af andre PNR-oplysninger i overensstemmelse med artikel 16 i direktiv (EU) 2016/681, herunder anvendelse af de fælles protokoller og understøttede standardiserede dataformater, der er omhandlet i nævnte direktivs artikel 16, stk. 2 og 3, for at sikre læsbarheden af de andre PNR-oplysninger. Sådanne test foretages i samarbejde med passageroplysningsenhederne og medlemsstaternes andre relevante myndigheder og luftfartsselskaber. eu-LISA underretter Kommissionen om resultatet af disse test.
Artikel 26
eu-LISA's opgaver i forbindelse med hosting og teknisk forvaltning af routeren
1.   eu-LISA hoster routeren på sine tekniske lokaliteter.
2.   eu-LISA er ansvarligt for den tekniske forvaltning af routeren, herunder dens vedligeholdelse og tekniske udvikling, på en sådan måde, at det sikres, at API-oplysningerne og andre PNR-oplysninger transmitteres sikkert, effektivt og hurtigt gennem routeren under overholdelse af denne forordning.
Den tekniske forvaltning af routeren består i at udføre alle de opgaver og vedtage alle de tekniske løsninger, der er nødvendige for, at routeren kan fungere korrekt i overensstemmelse med denne forordning uden afbrydelser, 24 timer i døgnet, syv dage om ugen. Den tekniske forvaltning omfatter det vedligeholdelsesarbejde og den tekniske udvikling, der er nødvendig for at sikre, at routeren fungerer på et tilfredsstillende niveau af teknisk kvalitet, navnlig med hensyn til tilgængeligheden, nøjagtigheden og pålideligheden af transmissionen af API-oplysninger og andre PNR-oplysninger, i overensstemmelse med de tekniske specifikationer og så vidt muligt i overensstemmelse med passageroplysningsenhedernes og luftfartsselskabernes operationelle behov.
3.   eu-LISA har ikke adgang til nogen af de API-oplysninger eller andre PNR-oplysninger, der transmitteres gennem routeren. Dette forbud udelukker dog ikke eu-LISA's personale fra at få en sådan adgang, i det omfang det er strengt nødvendigt for vedligeholdelsen og den tekniske forvaltning af routeren.
4.   Uden at det berører denne artikels stk. 3 og artikel 17 i vedtægten for tjenestemænd i Den Europæiske Union, fastsat ved Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 
(
22
)
, anvender eu-LISA passende regler for tavshedspligt eller andre tilsvarende fortrolighedskrav i forbindelse med sine ansatte, der skal arbejde med API-oplysninger eller andre PNR-oplysninger, der transmitteres via routeren. Denne pligt består fortsat, efter at sådanne ansatte har fratrådt deres stilling, eller deres aktiviteter er ophørt.
Artikel 27
eu-LISA's støtteopgaver i forbindelse med routeren
1.   eu-LISA sørger efter anmodning fra passageroplysningsenheder, andre relevante myndigheder i medlemsstaterne eller luftfartsselskaber for uddannelse af disse i den tekniske anvendelse af routeren og i deres tilslutning til og integration med routeren.
2.   eu-LISA yder støtte til passageroplysningsenhederne vedrørende modtagelsen af API-oplysninger og andre PNR-oplysninger gennem routeren i henhold til denne forordning, navnlig for så vidt angår anvendelsen af artikel 12 og 23.
3.   I overensstemmelse med artikel 24, stk. 1, og under anvendelse af det sæt af overensstemmelsestest, der er omhandlet i artikel 25, stk. 4, foretager eu-LISA i samarbejde med luftfartsselskaberne test af overførslen af API-oplysninger og andre PNR-oplysninger til routeren.
KAPITEL 6
FORVALTNING
Artikel 28
Programstyringsråd
1.   Senest den 28. januar 2025 nedsætter eu-LISA's bestyrelse et programstyringsråd. Det skal have 10 medlemmer og bestå af:
a)
syv medlemmer udpeget af eu-LISA's bestyrelse blandt dens medlemmer eller suppleanter
b)
formanden for den i artikel 29 omhandlede Rådgivende Gruppe for API-PNR
c)
et medlem af eu-LISA's personale udpeget af dets administrerende direktør, og
d)
et medlem udpeget af Kommissionen.
For så vidt angår litra a) vælges de medlemmer, der udpeges af eu-LISA's bestyrelse, kun blandt dens medlemmer eller suppleanter fra de medlemsstater, som denne forordning finder anvendelse på.
2.   Programstyringsrådet udarbejder et udkast til sin forretningsorden, der skal vedtages af eu-LISA's bestyrelse.
Formandskabet varetages af en medlemsstat, der er medlem af programstyringsrådet.
3.   Programstyringsrådet fører tilsyn med den effektive udførelse af eu-LISA's opgaver i forbindelse med design og udvikling af routeren i overensstemmelse med artikel 25.
eu-LISA forelægger efter anmodning fra programstyringsrådet detaljerede og ajourførte oplysninger om designet og udviklingen af routeren, herunder om de ressourcer, som eu-LISA har tildelt.
4.   Programstyringsrådet forelægger regelmæssigt og mindst tre gange pr. kvartal skriftlige rapporter om fremskridtene i designet og udviklingen af routeren for eu-LISA's bestyrelse.
5.   Programstyringsrådet har ingen beslutningskompetence eller noget mandat til at repræsentere eu-LISA's bestyrelse eller dens medlemmer.
6.   Programstyringsrådet ophører med at eksistere på denne forordnings anvendelsesdato, der er omhandlet i artikel 45, stk. 2.
Artikel 29
Den Rådgivende Gruppe for API-PNR
1.   Fra den 28. januar 2025 yder Den Rådgivende Gruppe for API-PNR, der er nedsat i henhold til artikel 27, stk. 1, litra de), i forordning (EU) 2018/1726, eu-LISA's bestyrelse den nødvendige ekspertise vedrørende API-PNR, navnlig i forbindelse med udarbejdelsen af det årlige arbejdsprogram og den årlige aktivitetsrapport.
2.   eu-LISA giver, når de foreligger, Den Rådgivende Gruppe for API-PNR versioner, endog overgangsversioner, af de tekniske specifikationer og de overensstemmelsestest, der er omhandlet i artikel 25, stk. 1, 2 og 4.
3.   Den Rådgivende Gruppe for API-PNR varetager følgende funktioner:
a)
yder ekspertise til eu-LISA og programstyringsrådet i forbindelse med design og udvikling af routeren i overensstemmelse med artikel 25
b)
yder ekspertise til eu-LISA om hosting og teknisk forvaltning af routeren i overensstemmelse med artikel 26
c)
afgiver udtalelse til programstyringsrådet på dettes anmodning om fremskridt med hensyn til design og udvikling af routeren, herunder om fremskridt med hensyn til de tekniske specifikationer og overensstemmelsestest, der er omhandlet i stk. 2.
4.   Den Rådgivende Gruppe for API-PNR har ingen beslutningskompetence eller noget mandat til at repræsentere eu-LISA's bestyrelse eller dens medlemmer.
Artikel 30
Kontaktgruppe for API-PNR
1.   Senest på denne forordnings relevante anvendelsesdato, der er omhandlet i artikel 45, stk. 2, nedsætter eu-LISA's bestyrelse en kontaktgruppe for API-PNR.
2.   Kontaktgruppen for API-PNR muliggør kommunikation mellem medlemsstaternes relevante myndigheder og luftfartsselskaber om tekniske spørgsmål vedrørende deres respektive opgaver og forpligtelser i henhold til denne forordning.
3.   Kontaktgruppen for API-PNR består af repræsentanter for medlemsstaternes relevante myndigheder og luftfartsselskaber, formanden for Den Rådgivende Gruppe for API-PNR og eu-LISA's eksperter.
4.   eu-LISA's bestyrelse fastsætter forretningsordenen for Kontaktgruppen for API-PNR efter udtalelse fra Den Rådgivende Gruppe for API-PNR.
5.   Hvor det skønnes nødvendigt, kan eu-LISA's bestyrelse også nedsætte undergrupper under Kontaktgruppen for API-PNR for at drøfte specifikke tekniske spørgsmål vedrørende medlemsstaternes relevante myndigheders og luftfartsselskabers respektive opgaver og forpligtelser i henhold til denne forordning.
6.   Kontaktgruppen for API-PNR, herunder dens undergrupper, har ingen beslutningskompetence eller noget mandat til at repræsentere eu-LISA's bestyrelse eller dens medlemmer.
Artikel 31
API-ekspertgruppe
1.   Senest på denne forordnings anvendelsesdato, der er omhandlet i artikel 45, stk. 2, litra a), nedsætter Kommissionen en API-ekspertgruppe i overensstemmelse med de horisontale regler om oprettelse af Kommissionens ekspertgrupper og deres funktion.
2.   API-ekspertgruppen muliggør kommunikation blandt medlemsstaternes relevante myndigheder og mellem medlemsstaternes relevante myndigheder og luftfartsselskaber om politiske spørgsmål vedrørende deres respektive opgaver og forpligtelser i henhold til denne forordning, herunder i forbindelse med de sanktioner, der er omhandlet i artikel 38.
3.   API-ekspertgruppen ledes af Kommissionen og sammensættes i overensstemmelse med de horisontale regler for oprettelse og drift af Kommissionens ekspertgrupper. Den består af repræsentanter for medlemsstaternes relevante myndigheder, repræsentanter for luftfartsselskaber og eu-LISA's eksperter. API-ekspertgruppen kan, hvor det er relevant for udførelsen af dens opgaver, indbyde relevante interessenter, navnlig repræsentanter for Europa-Parlamentet, Den Europæiske Tilsynsførende for Databeskyttelse og de uafhængige nationale tilsynsmyndigheder, til at deltage i dens arbejde.
4.   API-ekspertgruppen udfører sine opgaver i overensstemmelse med gennemsigtighedsprincippet. Kommissionen offentliggør protokollerne fra API-ekspertgruppens møder og andre relevante dokumenter på sit websted.
Artikel 32
Omkostningerne for eu-LISA, Den Europæiske Tilsynsførende for Databeskyttelse, de nationale tilsynsmyndigheder og medlemsstaterne
1.   eu-LISA's omkostninger i forbindelse med oprettelse og drift af routeren i henhold til denne forordning afholdes over Unionens almindelige budget.
2.   Medlemsstaternes omkostninger i forbindelse med gennemførelsen af denne forordning, navnlig deres i artikel 23 omhandlede tilslutning til og integration med routeren støttes af Unionens almindelige budget i overensstemmelse med de regler for støtteberettigelse og medfinansieringssatser, der er fastsat i de gældende EU-retsakter.
3.   De omkostninger, som Den Europæiske Tilsynsførende for Databeskyttelse pådrager sig i forbindelse med de opgaver, den har fået pålagt i henhold til denne forordning, afholdes over Unionens almindelige budget.
4.   De omkostninger, som de uafhængige nationale tilsynsmyndigheder pådrager sig i forbindelse med de opgaver, de har fået pålagt i henhold til denne forordning, afholdes af medlemsstaterne.
Artikel 33
Ansvar vedrørende routeren
Hvis en medlemsstats eller et luftfartsselskabs manglende opfyldelse af sine forpligtelser i henhold til denne forordning volder skade på routeren, er denne medlemsstat eller dette luftfartsselskab ansvarlig(t) for skaden som fastsat i gældende EU-ret eller national ret, medmindre og i det omfang det påvises, at eu-LISA, en anden medlemsstat eller et andet luftfartsselskab ikke har truffet rimelige foranstaltninger til at forhindre skaden i at ske eller til at begrænse dens omfang.
Artikel 34
Idriftsættelse af routeren for så vidt angår API-oplysninger
Kommissionen fastsætter uden unødigt ophold datoen for routerens idriftsættelse for så vidt angår API-oplysninger ved hjælp af en gennemførelsesretsakt, når eu-LISA har underrettet Kommissionen om den vellykkede gennemførelse af den i artikel 25, stk. 5, omhandlede omfattende test af routeren. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 42, stk. 2.
Kommissionen fastsætter den dato, der er omhandlet i stk. 1, til senest 30 dage efter datoen for vedtagelsen af den pågældende gennemførelsesretsakt.
Artikel 35
Idriftsættelse af routeren i forbindelse med andre PNR-oplysninger
Kommissionen fastsætter uden unødigt ophold datoen for routerens idriftsættelse for så vidt angår andre PNR-oplysninger ved hjælp af en gennemførelsesretsakt, når eu-LISA har underrettet Kommissionen om den vellykkede gennemførelse af den i artikel 25, stk. 6, omhandlede omfattende test af routeren, herunder om pålideligheden af routerens tilslutning til luftfartsselskaber og passageroplysningsenheder og om læsbarheden af andre PNR-oplysninger, der overføres af luftfartsselskaber og videregives af routeren i det nødvendige standardiserede format, i overensstemmelse med artikel 16 i direktiv (EU) 2016/681. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 42, stk. 2.
Kommissionen fastsætter den dato, der er omhandlet i stk. 1, til senest 30 dage efter datoen for vedtagelsen af den pågældende gennemførelsesretsakt.
Artikel 36
Frivillig anvendelse af routeren
1.   Luftfartsselskaberne har lov til at anvende routeren til at fremsende de oplysninger, der er omhandlet i artikel 3, stk. 1 og 2, i direktiv 2004/82/EF, eller andre PNR-oplysninger i henhold til artikel 8 i direktiv (EU) 2016/681 til en eller flere af de ansvarlige passageroplysningsenheder i overensstemmelse med nævnte direktiver, forudsat at den pågældende medlemsstat indvilliger heri, fra en passende dato, der fastsættes af denne medlemsstat. Denne medlemsstat må først indvillige efter at have konstateret, at oplysningerne kan fremsendes på en lovlig, sikker, effektiv og hurtig måde, navnlig hvad angår både dens egen passageroplysningsenheds og det berørte luftfartsselskabs tilslutning til routeren.
2.   Hvis et luftfartsselskab begynder at benytte routeren i overensstemmelse med denne artikels stk. 1, skal det fortsætte det med at anvende routeren til at fremsende disse oplysninger til den pågældende passageroplysningsenhed indtil denne forordnings relevante anvendelsesdato, der er omhandlet i artikel 45, stk. 2. Denne anvendelse ophører dog fra en passende dato, der fastsættes af denne medlemsstat, hvis denne medlemsstat finder, at der er objektive grunde til, at et sådant ophør er nødvendigt, og har underrettet luftfartsselskabet herom.
3.   Den pågældende medlemsstat skal:
a)
høre eu-LISA, inden der indgås aftale om frivillig anvendelse af routeren i overensstemmelse med stk. 1
b)
medmindre der er tale om behørigt begrundede hastetilfælde, give det pågældende luftfartsselskab mulighed for at fremsætte bemærkninger til sin hensigt om at afbryde den pågældende anvendelse i overensstemmelse med stk. 2 og, hvis det er relevant, også høre eu-LISA herom
c)
omgående underrette eu-LISA og Kommissionen om enhver sådan anvendelse, som den indvilliger i, og ethvert ophør af en sådan anvendelse og give alle nødvendige oplysninger, herunder datoen for påbegyndelse af anvendelsen, datoen for ophøret og årsagerne til ophøret, alt efter hvad der er relevant.
KAPITEL 7
TILSYN, SANKTIONER, STATISTIK OG HÅNDBOG
Artikel 37
National API-tilsynsmyndighed
1.   Medlemsstaterne udpeger én eller flere nationale API-tilsynsmyndigheder, der er ansvarlige overvåge, at luftfartsselskaber anvender denne forordnings bestemmelser på deres område, og for at sikre, at disse bestemmelser overholdes.
2.   Medlemsstaterne sikrer, at de nationale API-tilsynsmyndigheder har alle de midler og alle de undersøgelses- og håndhævelsesbeføjelser, der er nødvendige til at udføre deres opgaver i henhold til denne forordning, herunder ved at pålægge de sanktioner, der er omhandlet i artikel 38, hvor det er relevant. Medlemsstaterne sikrer, at udøvelsen af de beføjelser, der er tillagt den nationale API-tilsynsmyndighed, er underlagt passende garantier i overensstemmelse med de grundlæggende rettigheder, der er sikret i henhold til EU-retten.
3.   Medlemsstaterne meddeler senest på denne forordnings relevante anvendelsesdato, der er omhandlet i artikel 45, stk. 2, Kommissionen navn og kontaktoplysninger på de myndigheder, de har udpeget i henhold til stk. 1. De underretter straks Kommissionen om eventuelle senere ændringer eller tilpasninger heraf.
4.   Denne artikel berører ikke de i artikel 51 i forordning (EU) 2016/679, artikel 41 i direktiv (EU) 2016/680 og artikel 15 i direktiv (EU) 2016/681 omhandlede tilsynsmyndigheders beføjelser.
Artikel 38
Sanktioner
1.   Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af bestemmelserne i denne forordning, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.
2.   Medlemsstaterne giver senest på denne forordnings relevante anvendelsesdato, der er omhandlet i artikel 45, stk. 2, Kommissionen meddelelse om disse regler og foranstaltninger og underretter den straks om alle senere ændringer, der berører dem.
3.   Medlemsstaterne sikrer, at de nationale API-tilsynsmyndigheder, når de træffer afgørelse om, hvorvidt der skal pålægges en sanktion, og når de fastlægger sanktionernes type og omfang, tager hensyn til relevante omstændigheder, herunder:
a)
overtrædelsens art, grovhed og varighed
b)
graden af luftfartsselskabets fejl
c)
luftfartsselskabets tidligere overtrædelser
d)
det overordnede niveau af luftfartsselskabets samarbejde med de kompetente myndigheder
e)
luftfartsselskabets størrelse såsom det årlige antal befordrede passagerer
f)
hvorvidt andre nationale API-tilsynsmyndigheder tidligere har pålagt det samme luftfartsselskab sanktioner for den samme overtrædelse.
4.   Medlemsstaterne sikrer, at gentagne tilfælde af manglende overførsel af API-oplysninger i overensstemmelse med artikel 5, stk. 1, medfører forholdsmæssige økonomiske sanktioner på op til 2 % af luftfartsselskabets globale omsætning for det forudgående regnskabsår. Medlemsstaterne sikrer, at manglende overholdelse af andre forpligtelser, der er fastsat i denne forordning, straffes med forholdsmæssige sanktioner, herunder økonomiske sanktioner.
Artikel 39
Statistik
1.   Med henblik på at støtte gennemførelsen, og overvågningen af anvendelsen, af denne forordning og på baggrund af de i stk. 5 og 6 omhandlede statistiske oplysninger offentliggør eu-LISA hvert kvartal statistikker over funktionen af routeren og luftfartsselskabernes overholdelse af forpligtelserne i denne forordning. Disse statistikker må ikke give mulighed for identifikation af enkeltpersoner.
2.   Routeren transmitterer med henblik på stk. 1 automatisk de oplysninger, der er anført i stk. 5 og 6, til CRRS.
3.   Med henblik på at støtte gennemførelsen og overvågningen af anvendelsen af denne forordning indsamler eu-LISA hvert år statistiske data i en årlig rapport for det forudgående år. eu-LISA offentliggør denne årsrapport og sender den til Europa-Parlamentet, Rådet, Kommissionen, Den Europæiske Tilsynsførende for Databeskyttelse, Det Europæiske Agentur for Grænse- og Kystbevogtning og de i artikel 37 omhandlede nationale API-tilsynsmyndigheder. Årsrapporten må ikke afsløre fortrolige arbejdsmetoder eller bringe medlemsstaternes kompetente myndigheders igangværende undersøgelser i fare.
4.   Efter anmodning fra Kommissionen forelægger eu-LISA den statistikker om specifikke aspekter i forbindelse med gennemførelsen af denne forordning samt statistikkerne i henhold til stk. 3.
5.   CRRS forelægger eu-LISA følgende statistiske oplysninger, der er nødvendige for den rapportering, der er omhandlet i artikel 44, og for at generere statistikker i overensstemmelse med nærværende artikel, dog uden at sådanne statistikker om API-oplysninger giver mulighed for at identificere de berørte passagerer:
a)
hvorvidt oplysningerne vedrører en passager eller et besætningsmedlem
b)
passagerens eller besætningsmedlemmets nationalitet, køn og fødselsår
c)
ombordstigningsdato og første ombordstigningssted, afgangsdato og -lufthavn samt ankomstdato og -lufthavn
d)
rejsedokumentets type, koden på tre bogstaver for det udstedende land og datoen for udløbet af rejsedokumentets gyldighed
e)
antallet af indtjekkede passagerer på samme flyvning
f)
koden for det luftfartsselskab, der foretager flyvningen
g)
hvorvidt flyvningen er en ruteflyvning eller en ikkeruteflyvning
h)
hvorvidt API-oplysninger blev overført omgående efter flylukningen
i)
hvorvidt passagerens personoplysninger er nøjagtige, fuldstændige og ajourførte
j)
de tekniske metoder, der anvendes til at indsamle API-oplysninger.
6.   CRRS forelægger eu-LISA følgende statistiske oplysninger, der er nødvendige for den rapportering, der er omhandlet i artikel 44, og med henblik på at generere statistikker i overensstemmelse med nærværende artikel, dog uden at sådanne statistikker om andre PNR-oplysninger giver mulighed for at identificere de berørte passagerer:
a)
dato og tidspunkt for routerens modtagelse af PNR-meddelelsen
b)
oplysninger om flyvninger, der er indeholdt i rejseruten i den specifikke PNR-meddelelse
c)
oplysninger om code-sharing, der er indeholdt i den specifikke PNR-meddelelse.
7.   Med henblik på den rapportering, der er omhandlet i artikel 44, og med henblik på at generere statistikker i overensstemmelse med nærværende artikel opbevarer eu-LISA de oplysninger, der er omhandlet i nærværende artikels stk. 5 og 6, i CRRS. Det opbevarer sådanne oplysninger i en periode på fem år i overensstemmelse med stk. 2, idet det sikres, at oplysningerne ikke giver mulighed for at identificere de berørte passagerer. CRRS forelægger det behørigt bemyndigede personale hos medlemsstaternes passageroplysningsenheder og andre relevante myndigheder skræddersyede rapporter og statistikker om API-oplysninger som omhandlet i nærværende artikels stk. 5 og andre PNR-oplysninger som omhandlet i nærværende artikels stk. 6 med henblik på gennemførelsen og overvågningen af anvendelsen af denne forordning.
8.   Anvendelsen af de oplysninger, der er omhandlet i denne artikels stk. 5 og 6, må ikke føre til profilering af enkeltpersoner som omhandlet i artikel 11, stk. 3, i direktiv (EU) 2016/680 eller forskelsbehandling af personer af de grunde, der er anført i chartrets artikel 21. De oplysninger, der er omhandlet i nærværende artikels stk. 5 og 6, må ikke anvendes til at sammenligne eller matche dem med personoplysninger eller til at kombinere dem med personoplysninger.
9.   De procedurer, som eu-LISA har indført for at overvåge udviklingen og driften af routeren omhandlet i artikel 39, stk. 2, i forordning (EU) 2019/818, skal omfatte muligheden for at udarbejde regelmæssige statistikker for at sikre denne overvågning.
Artikel 40
Praktisk håndbog
Kommissionen udarbejder og offentliggør i tæt samarbejde med passageroplysningsenhederne, medlemsstaternes andre relevante myndigheder, luftfartsselskaber og relevante EU-organer og -agenturer en praktisk håndbog med retningslinjer, henstillinger og bedste praksis for gennemførelsen af denne forordning, herunder vedrørende overholdelse af de grundlæggende rettigheder og vedrørende sanktioner i overensstemmelse med artikel 38.
Den praktiske håndbog tager hensyn til andre relevante håndbøger.
Kommissionen vedtager den praktiske håndbog i form af en henstilling.
KAPITEL 8
SAMMENHÆNG MED ANDRE EKSISTERENDE INSTRUMENTER
Artikel 41
Ændring af forordning (EU) 2019/818
Artikel 39, stk. 1 og 2, i forordning (EU) 2019/818 affattes således:
»1.   Der oprettes et centralt register for rapportering og statistik (CRRS) med henblik på at støtte målene for SIS, Eurodac og ECRIS-TCN i overensstemmelse med de respektive retlige instrumenter, der regulerer disse systemer, og for at tilvejebringe statistiske oplysninger og analytisk rapportering på tværs af systemerne til politiske, operationelle og datakvalitetsmæssige formål. CRRS støtter også målene for Europa-Parlamentets og Rådets forordning (EU) 2025/13
 (
*1
)
.
2.   eu-LISA opretter, gennemfører og hoster CRSS på sine tekniske anlæg, indeholdende de data og statistikker, der er omhandlet i artikel 74 i forordning (EU) 2018/1862 og artikel 32 i forordning (EU) 2019/816, logisk adskilt efter EU-informationssystem. eu-LISA indsamler også de data og statistikker fra routeren, der er omhandlet i artikel 39, stk. 1, i forordning (EU) 2025/13. Der gives adgang til CRRS via en kontrolleret og sikret adgang og specifikke brugerprofiler, udelukkende med henblik på indberetning og statistik, til de myndigheder, der er omhandlet i artikel 74 i forordning (EU) 2018/1862, artikel 32 i forordning (EU) 2019/816 og artikel 13, stk. 1, i forordning (EU) 2025/13.
KAPITEL 9
AFSLUTTENDE BESTEMMELSER
Artikel 42
Udvalgsprocedure
1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse. Afgiver udvalget ikke nogen udtalelse, vedtager Kommissionen ikke udkastet til gennemførelsesretsakt, og artikel 5, stk. 4, tredje afsnit, i forordning (EU) nr. 182/2011 finder anvendelse.
Artikel 43
Udøvelse af de delegerede beføjelser
1.   Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 4, stk. 11 og 12, artikel 5, stk. 4, og artikel 7, stk. 5, tillægges Kommissionen for en periode på fem år fra den 28. januar 2025. Kommissionen udarbejder en rapport vedrørende delegationen af beføjelser senest ni måneder inden udløbet af femårsperioden. Delegationen af beføjelser forlænges stiltiende for perioder af samme varighed, medmindre Europa-Parlamentet eller Rådet modsætter sig en sådan forlængelse senest tre måneder inden udløbet af hver periode.
For så vidt angår en delegeret retsakt vedtaget i henhold til artikel 4, stk. 11, må Europa-Parlamentet eller Rådet ikke, hvis Europa-Parlamentet eller Rådet har gjort indsigelse i henhold til nærværende artikels stk. 6, modsætte sig den stiltiende forlængelse, der er omhandlet i nærværende stykkes første afsnit.
3.   Den i artikel 4, stk. 12, artikel 5, stk. 4, og artikel 7, stk. 5, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i 
Den Europæiske Unions Tidende
 eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4.   Inden vedtagelsen af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.
5.   Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
6.   En delegeret retsakt vedtaget i henhold til artikel 4, stk. 11 eller 12, artikel 5, stk. 4, eller artikel 7, stk. 5, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på to måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med to måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 44
Overvågning og evaluering
1.   eu-LISA sikrer, at der er indført procedurer til at overvåge udviklingen af routeren i lyset af mål vedrørende planlægning og omkostninger og til at overvåge funktionen af routeren i lyset af målene for tekniske resultater, omkostningseffektivitet, sikkerhed og tjenestekvalitet.
2.   Senest den 29. januar 2026 og derefter hvert år i routerens udviklingsfase udarbejder eu-LISA en rapport om status for routerens udvikling og forelægger Europa-Parlamentet og Rådet denne rapport. Rapporten skal indeholde detaljerede oplysninger om de afholdte omkostninger og om eventuelle risici, der måtte have indvirkning på de samlede omkostninger, som skal afholdes over Unionens almindelige budget i overensstemmelse med artikel 32.
3.   Når routeren er sat i drift, udarbejder eu-LISA en rapport, som i detaljer forklarer, hvordan målene, navnlig vedrørende planlægning og omkostninger, er blevet opfyldt, og angiver grundene til eventuelle afvigelser, og forelægger den for Europa-Parlamentet og Rådet.
4.   Senest den 29. januar 2029 og derefter hvert fjerde år forelægger Kommissionen en rapport indeholdende en generel evaluering af denne forordning, herunder om nødvendigheden af og merværdien ved at indsamle API-oplysninger, herunder en vurdering af:
a)
anvendelsen af denne forordning
b)
i hvilket omfang denne forordning har opfyldt sine mål
c)
denne forordnings indvirkning på grundlæggende rettigheder, der er beskyttet i henhold til EU-retten
d)
denne forordnings indvirkning på legitime passagerers rejseoplevelse
e)
denne forordnings indvirkning på luftfartssektorens konkurrenceevne og den byrde, der pålægges virksomheder
f)
kvaliteten af de oplysninger, som routeren transmitterer til passageroplysningsenhederne
g)
routerens præstation for så vidt angår passageroplysningsenhederne.
Med henblik på første afsnits litra e) skal Kommissionens rapport også omhandle denne forordnings samspil med andre relevante EU-retsakter, navnlig forordning (EF) nr. 767/2008, (EU) 2017/2226 og (EU) 2018/1240, med henblik på at vurdere den samlede indvirkning af de dermed forbundne indberetningsforpligtelser for luftfartsselskaberne, identificere bestemmelser, der, hvor det er hensigtsmæssigt, kunne ajourføres og forenkles for at mindske byrden for luftfartsselskaberne, og overveje tiltag og foranstaltninger, der kunne iværksættes for at mindske det samlede omkostningspres på luftfartsselskaberne.
5.   Den evaluering, der er omhandlet i stk. 4, skal også omfatte en vurdering af nødvendigheden, proportionaliteten og effektiviteten af at medtage obligatorisk indsamling og overførsel af API-oplysninger vedrørende flyvninger inden for EU i denne forordnings anvendelsesområde.
6.   Kommissionen forelægger evalueringsrapporten for Europa-Parlamentet, Rådet, Den Europæiske Tilsynsførende for Databeskyttelse og Det Europæiske Agentur for Grundlæggende Rettigheder. Hvis det i lyset af den evaluering, der er foretaget, er hensigtsmæssigt, forelægger Kommissionen for Europa-Parlamentet og Rådet et forslag til en lovgivningsmæssig retsakt med henblik på ændring af denne forordning.
7.   Medlemsstaterne og luftfartsselskaberne giver efter anmodning eu-LISA og Kommissionen de oplysninger, der er nødvendige for at udarbejde de i stk. 2, 3 og 4 omhandlede rapporter. Medlemsstaterne giver navnlig kvantitative og kvalitative oplysninger om indsamlingen af API-oplysninger ud fra et operationelt perspektiv. Disse oplysninger må ikke omfatte personoplysninger. Medlemsstaterne kan undlade at give sådanne oplysninger, hvis og i det omfang det er nødvendigt for ikke at afsløre fortrolige arbejdsmetoder eller bringe deres passageroplysningsenheders eller andre kompetente myndigheders igangværende undersøgelser i fare. Kommissionen sikrer, at alle fortrolige oplysninger beskyttes på passende vis.
Artikel 45
Ikrafttræden og anvendelse
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Den finder anvendelse:
a)
for så vidt angår API-oplysninger, fra datoen to år efter den dato, hvor routeren idriftsættes, som fastsat af Kommissionen i overensstemmelse med artikel 34, og
b)
for så vidt angår andre PNR-oplysninger, fra datoen fire år efter den dato, hvor routeren idriftsættes, som fastsat af Kommissionen i overensstemmelse med artikel 35.
Dog finder:
a)
artikel 4, stk. 12, artikel 5, stk. 3, artikel 7, stk. 5, artikel 11, stk. 5, artikel 12, stk. 6, artikel 18, stk. 4, artikel 23, stk. 2, artikel 24, stk. 2, artikel 25, 28 og 29, artikel 32, stk. 1, og artikel 34, 35, 42 og 43 anvendelse fra den 28. januar 2025
b)
artikel 6, artikel 17, stk. 1, 2 og 3, artikel 18, stk. 1, 2 og 3, og artikel 19, 20, 26, 27, 33 og 36 anvendelse fra den dato, hvor routeren idriftsættes, som fastsat af Kommissionen i overensstemmelse med artikel 34 og 35.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i medlemsstaterne i overensstemmelse med traktaterne.
Udfærdiget i Bruxelles, den 19. december 2024.
På Europa-Parlamentets vegne
R. METSOLA
Formand
På Rådets vegne
BÓKA J.
Formand
(
1
)
  
            
EUT C 228 af 29.6.2023, s. 97
.
(
2
)
  Europa-Parlamentets holdning af 25.4.2024 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 12.12.2024.
(
3
)
  Rådets direktiv 2004/82/EF af 29. april 2004 om transportvirksomheders forpligtelse til at fremsende oplysninger om passagerer (
EUT L 261 af 6.8.2004, s. 24
).
(
4
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/681 af 27. april 2016 om anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet (
EUT L 119 af 4.5.2016, s. 132
).
(
5
)
  Europa-Parlamentets og Rådets forordning (EU) 2025/12 af 19. december 2024 om indsamling og overførsel af forhåndsoplysninger om passagerer med henblik på at forbedre og lette ind- og udrejsekontrollen ved de ydre grænser, om ændring af forordning (EU) 2018/1726 og (EU) 2019/817 og om ophævelse af Rådets direktiv 2004/82/EF (
EUT L, 2025/12, 8.1.2025, ELI: http://data.europa.eu/eli/reg/2025/12/oj
).
(
6
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/1157 af 20. juni 2019 om styrkelse af sikkerheden af unionsborgeres identitetskort og af opholdsdokumenter, der udstedes til unionsborgere og deres familiemedlemmer, som udøver deres ret til fri bevægelighed (
EUT L 188 af 12.7.2019, s. 67
).
(
7
)
  Rådets forordning (EF) nr. 2252/2004 af 13. december 2004 om standarder for sikkerhedselementer og biometriske identifikatorer i pas og rejsedokumenter, som medlemsstaterne udsteder (
EUT L 385 af 29.12.2004, s. 1
).
(
8
)
  Rådets direktiv (EU) 2019/997 af 18. juni 2019 om indførelse af et EU-nødpas og om ophævelse af afgørelse 96/409/FUSP (
EUT L 163 af 20.6.2019, s. 1
).
(
9
)
  Europa-Parlamentets og Rådets forordning (EU) 2017/2226 af 30. november 2017 om oprettelse af et ind- og udrejsesystem til registrering af ind- og udrejseoplysninger og oplysninger om nægtelse af indrejse vedrørende tredjelandsstatsborgere, der passerer medlemsstaternes ydre grænser, om fastlæggelse af betingelserne for adgang til ind- og udrejsesystemet til retshåndhævelsesformål og om ændring af konventionen om gennemførelse af Schengenaftalen og forordning (EF) nr. 767/2008 og (EU) nr. 1077/2011 (
EUT L 327 af 9.12.2017, s. 20
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1240 af 12. september 2018 om oprettelse af et europæisk system vedrørende rejseinformation og rejsetilladelse (ETIAS) og om ændring af forordning (EU) nr. 1077/2011, (EU) nr. 515/2014, (EU) 2016/399 (EU) 2016/1624 og (EU) 2017/2226 (
EUT L 236 af 19.9.2018, s. 1
).
(
11
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 767/2008 af 9. juli 2008 om visuminformationssystemet (VIS) og udveksling af oplysninger mellem medlemsstaterne om visa til kortvarigt ophold (VIS-forordningen) (
EUT L 218 af 13.8.2008, s. 60
).
(
12
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1726 af 14. november 2018 om Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) og om ændring af forordning (EF) nr. 1987/2006 og Rådets afgørelse 2007/533/RIA og om ophævelse af forordning (EU) nr. 1077/2011 (
EUT L 295 af 21.11.2018, s. 99
).
(
13
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1107/2006 af 5. juli 2006 om handicappede og bevægelseshæmmede personers rettigheder, når de rejser med fly (
EUT L 204 af 26.7.2006, s. 1
).
(
14
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
15
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
16
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
(
17
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/818 af 20. maj 2019 om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende politisamarbejde og retligt samarbejde, asyl og migration og om ændring af forordning (EU) 2018/1726, (EU) 2018/1862 og (EU) 2019/816 (
EUT L 135 af 22.5.2019, s. 85
).
(
18
)
  
            
EUT L 123 af 12.5.2016, s. 1
.
(
19
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
, ELI: http://data.europa.eu/eli/reg/2011/182/oj).
(
20
)
  
            
EUT C 84 af 7.3.2023, s. 2
.
(
21
)
  Europa-Parlamentets og Rådets direktiv (EU) 2017/541 af 15. marts 2017 om bekæmpelse af terrorisme og om erstatning af Rådets rammeafgørelse 2002/475/RIA og ændring af Rådets afgørelse 2005/671/RIA (
EUT L 88 af 31.3.2017, s. 6
).
(
22
)
  
            
EUT L 56 af 4.3.1968, s. 1
.
ELI: http://data.europa.eu/eli/reg/2025/13/oj
ISSN 1977-0634 (electronic edition)

Summary:
Indsamling og overførsel af forhåndsinformation om passagerer
RESUMÉ AF:
Forordning (EU) 2025/12 om indsamling og overførsel af forhåndsinformation om passagerer med henblik på at forbedre og lette kontrollen ved de ydre grænser
Forordning (EU) 2025/13 om indsamling og overførsel af forhåndsinformation om passagerer med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet
HVAD ER FORMÅLET MED FORORDNINGERNE?
Disse to 
forordninger
 fastsætter harmoniserede 
europæiske
 regler (EU-regler) om luftfartsselskabers indsamling og overførsel af 
forhåndsinformation om passagerer (API)
1
:
Forordning (EU) 2025/12
 har til formål at forbedre effektiviteten af 
ind- og udrejsekontrollen
 ved de ydre grænser og bekæmpe ulovlig indvandring;
Forordning (EU) 2025/13
 har til formål at støtte forebyggelse, afsløring, efterforskning og retsforfølgning af terrorhandlinger og grov kriminalitet ved at supplere de eksisterende regler om overførsel og anvendelse af passagerlisteoplysninger (PNR-oplysninger)
2
 i henhold til direktiv (EU) 
2016/681
 (se 
sammendrag
).
Tilsammen ajourfører de de regler, der er fastsat af 
direktiv 
2004/82/EF
 og skaber en fælles retlig og teknisk ramme for sikker og effektiv overførsel af API- og PNR-oplysninger via 
EU’s fælles API/PNR-router
3
, som drives af 
Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed
 (eu-LISA) (forordning (EU) 
2018/1726
 — se 
resumé
).
HOVEDPUNKTER
Anvendelsesområde og anvendelighed
Begge forordninger finder anvendelse på luftfartsselskaber, der foretager passagerflyvninger, herunder dem, der transporterer passagerer med forbindelse til andre destinationer (transitpassagerer) og ikketjenestegørende besætningsmedlemmer. Forordning (EU) 2025/13 finder også anvendelse på tjenestegørende besætningsmedlemmer.
Forordning (EU) 2025/12 finder anvendelse på flyvninger, 
der ankommer fra tredjelande til 
EU-medlemsstater
, som anvender denne forordning
, og til de associerede Schengenlande (Island, Liechtenstein, Norge og Schweiz).
Forordning (EU) 2025/13 finder anvendelse på:
flyvninger mellem medlemsstater, der anvender denne forordning, og tredjelande (
flyvninger uden for EU
)
udvalgte flyvninger inden for EU (
flyvninger inden for EU
), men kun hvis medlemsstaten anvender reglerne om anvendelse af PNR-oplysninger på disse flyvninger.
Disse regler gør 
ikke
 gælder for militær-, nød-, læge- eller skoleflyvninger.
Luftfartsselskabernes forpligtelser
Luftfartsselskaberne skal:
indsamle API-oplysninger
 for hver passager og hvert besætningsmedlem, herunder:
fulde navn, fødselsdato, køn, nationalitet
rejsedokumentoplysninger (type, nummer, udløbsdato, udstedende land)
flynummer, sædenummer, bagageoplysninger (hvis de foreligger)
PNR-nummer (hvis det foreligger)
indsamlingsmetode (automatiseret/manuel)
anvende automatiserede metoder
 (f.eks. scanning af maskinlæsbare områder i rejsedokumenter) for at sikre nøjagtighed og fuldstændighed — manuel indlæsning er kun tilladt i 
en overgangsperiode
 eller under særlige omstændigheder, hvor automatisk indsamling er teknisk umulig
overføre data elektronisk og sikkert
 til EU’s API/PNR-router:
én gang ved check-in
 (pr. passager) og
igen efter flylukning
 (for alle passagerer og besætningsmedlemmer om bord).
Fælles router til dataoverførsel
EU’s fælles API/PNR-router
, der drives af 
eu-LISA
, er den eneste grænseflade for overførsel af API- og PNR-oplysninger. Den 
modtager
 API- og PNR-oplysninger fra luftfartsselskaber, 
validerer
 det tekniske format og den tekniske integritet og 
videresender automatisk
 API-oplysninger til nationale 
grænsemyndigheder
 (for forordning (EU) 2025/12) eller API- og PNR-oplysninger til nationale 
passageroplysningsenheder (PIU’er)
 (for forordning (EU) 2025/13). routeren 
sletter
 oplysninger umiddelbart efter transmissionen, og opbevarer dem 
kun midlertidigt
 til routing.
Alle transmissioner skal bruge 
end-to-end-kryptering
. Routeren sikrer kompatibilitet med relevante IT-systemer i EU såsom 
ind- og udrejsesystemet
 (EES), det 
europæiske system for rejseinformation og rejsetilladelse
 (ETIAS) og 
visuminformationssystemet
 (VIS). Den fjerner også behovet for flere direkte forbindelser mellem luftfartsselskaber og nationale myndigheder.
Anvendelse af forhåndsinformation om passagerer
I henhold til 
forordning (EU) 2025/12
 anvendes API-oplysninger udelukkende til at forbedre og lette  ind- og udrejsekontrollen ved de ydre grænser og opdage ulovlig indvandring. Brug af oplysninger til profilering eller diskriminerende formål er forbudt. Grænsemyndighederne kan opbevare oplysningerne i op til 
48 timer
, eventuelt med en forlængelse på yderligere 48 timer i individuelle tilfælde, hvor en passager ikke møder op ved grænsen.
I henhold til 
forordning (EU) 2025/13
 behandles API-oplysninger sammen med PNR-oplysninger for at identificere højrisikopersoner, forebygge og opdage grov kriminalitet og terrorisme og støtte grænseoverskridende politisamarbejde og retligt samarbejde. For 
flyvninger inden for EU
 må API-oplysninger kun videregives til PIU’er, hvis medlemsstaten anvender PNR-reglerne på sådanne flyvninger og udvælger dem ved hjælp af 
objektive, risikobaserede kriterier
. Denne udvælgelse skal tages op til fornyet overvejelse 
mindst én gang om året
. Oplysninger fra ikke-udvalgte flyvninger skal 
straks slettes fra routeren
, og luftfartsselskaberne må 
ikke
 informeres om, hvilke flyvninger der udvælges.
Passagerrettigheder og databeskyttelse
Forordningerne supplerer 
databeskyttelsesreglerne
 i direktiv (EU) 2016/681 og kræver, at al behandling af API- og PNR-oplysninger er i overensstemmelse med gældende EU-databeskyttelsesregler. Disse omfatter:
Den Europæiske Unions charter om grundlæggende rettigheder
forordning (EU) 
2016/679
 (den generelle forordning om databeskyttelse — se 
resumé
), som fastsætter reglerne for, hvordan luftfartsselskaber håndterer personoplysninger, og som finder anvendelse på nationale myndigheder, der behandler API-oplysninger med henblik på grænseforvaltning
direktiv (EU)  
2016/680
 (se 
resumé
), som fastsætter EU-reglerne om databeskyttelse for politimyndigheder og strafferetlige myndigheder, der gælder for nationale myndigheder, der behandler API-oplysninger med henblik på retshåndhævelse
forordning (EU) 
2018/1725
 (se 
resumé
), som fastsætter EU’s regler om databeskyttelse for EU’s institutioner og agenturer, der gælder for 
eu-LISA
 (drift af routeren).
Forordningerne fastsætter vigtige sikkerhedsforanstaltninger, herunder:
streng formålsbegrænsning — oplysningerne må kun anvendes til de formål, der er fastsat i forordningerne
et forbud mod indsamling eller anvendelse af biometriske oplysninger som en del af API-oplysninger
et forbud mod forskelsbehandling og profilering
ret til information — passagererne skal ved reservation og check-in informeres om indsamlingen af deres data og deres rettigheder
strenge regler for, hvor længe oplysningerne må opbevares.
Nationale myndigheder
Hver medlemsstat skal udpege:
en 
kompetent grænsemyndighed
 til modtagelse af API-oplysninger med henblik på ind- og udrejsekontrol
PIU’en
 til modtagelse af API-oplysninger til retshåndhævelsesformål og PNR-oplysninger i henhold til direktiv (EU) 2016/681
en 
national API-tilsynsmyndighed
 til overvågning af overholdelse og håndhævelse af reglerne.
Forvaltning og tilsyn
eu-LISA
 er ansvarlig for:
udformning, udvikling, hosting og drift af routeren
ydelse af teknisk støtte og uddannelse til interessenter
sikring af systemsikkerhed og interoperabilitet med andre systemer.
Forvaltningsstrukturerne i eu-LISA omfatter:
et 
Programstyringsråd
 med ansvar for tilsyn med gennemførelsen
en 
Rådgivende Gruppe for API-PNR
 til ydelse af teknisk og operationel rådgivning
en 
Kontaktgruppe for API
 til fremme af inddragelse af interessenter.
Desuden skal Kommissionen udarbejde en 
API-ekspertgruppe
 til at muliggøre kommunikation mellem medlemsstaterne og mellem medlemsstaterne og luftfartsselskaberne om politiske spørgsmål vedrørende API og PNR.
Tilsyn og sanktioner
Medlemsstaterne skal:
overvåge og håndhæve luftfartsselskabernes og myndighedernes overholdelse
pålægge sanktioner for manglende overholdelse, herunder:
bøder på op til 
2 % af luftfartsselskabets samlede omsætning
 i tilfælde af gentagne tilfælde af manglende overførsel af API-oplysninger
andre administrative eller korrigerende foranstaltninger, alt efter hvad der er relevant.
API-tilsynsmyndighederne skal tage hensyn til bruddets art, alvor og varighed, om det var forsætligt eller uagtsomt, de berørte kategorier af oplysninger, eventuelle tidligere overtrædelser og graden af samarbejde.
Overgangsforanstaltninger
I en overgangsperiode kan luftfartsselskaberne fortsat anvende manuelle metoder til indsamling af API-oplysninger. De kan også vælge at tilslutte sig EU's router på frivillig basis, forudsat at de har tilladelse hertil af den pågældende medlemsstat. 
Europa-Kommissionen
 fastsætter den dato, hvorfra EU’s API/PNR-router bliver operationel, når eu-LISA har underrettet Kommissionen om, at den omfattende test af routeren er afsluttet på tilfredsstillende vis.
Kommissionens beføjelser
Kommissionen tillægges beføjelser til at vedtage:
delegerede retsakter
 med henblik på at:
bringe overgangsperioden for den manuelle indsamling af API-oplysninger til ophør
fastlægge regler for de automatiserede metoder til indsamling af maskinlæsbare API-oplysninger og for manuel indsamling under ekstraordinære omstændigheder og i overgangsperioden
fastsætte regler for de fælles protokoller og understøttede dataformater for overførsel af API-oplysninger til routeren
fastlægge regler for berigtigelse af udfyldelse og ajourføring af API-oplysninger.
gennemførelsesretsakter
 med henblik på at:
fastsætte datoen for idriftsættelsen af routeren
fastlægge regler for dataverifikation og -underretninger og for overførsel af API- og PNR-oplysninger fra routeren til medlemsstaternes kompetente myndigheder
fastsætte regler for luftfartsselskabernes og medlemsstaternes forbindelser og integration i routeren
fastlægge medlemsstaternes og de fælles dataansvarliges ansvar og forholdet mellem de fælles dataansvarlige og eu-LISA som databehandler.
Overvågning og evaluering
Kommissionen vil vurdere virkningerne af forordningerne, herunder deres indvirkning på:
passagerrettigheder
luftfartsselskabers operationer og konkurrenceevne
effektiviteten af EU’s API/PNR-router.
For at støtte gennemførelsen og overvågningen af anvendelsen af forordningerne har eu-LISA til opgave at offentliggøre statistikker om routerens funktion og om luftfartsselskabernes overholdelse af de forpligtelser, der er fastsat i routeren. Disse statistikker er baseret på anonymiserede passager- og flyoplysninger, der automatisk overføres til og forvaltes af det 
centrale register for rapportering og statistik
 (CRRS)
. Disse statistikker skal anonymiseres og kan ikke bruges til at identificere enkeltpersoner.
HVORNÅR GÆLDER FORORDNINGERNE FRA?
Begge forordninger trådte i kraft den 
28. januar 2025
. Visse regler, navnlig reglerne om planlægning, forvaltning og tilsyn med gennemførelsen, finder anvendelse fra denne dato. De fleste operationelle regler gælder kun 
når EU’s API/PNR-router tages i brug
, som fastsat af Kommissionen. Fra dette tidspunkt finder reglerne i forordning (EU) 2025/12 anvendelse efter 
to år
. I henhold til forordning (EU) 2025/13 finder reglerne om overførsel af API-oplysninger anvendelse efter 
to år
, mens reglerne om overførsel af PNR-oplysninger via routeren finder anvendelse efter 
fire år
.
BAGGRUND
For yderligere oplysninger henvises til:
Passageroplysninger
 (Rådet for Den Europæiske Union).
VIGTIGE BEGREBER
Forhåndsinformation om passagerer (API).
 Identitetsoplysninger, rejsedokumentoplysninger og rejserelaterede oplysninger, som luftfartsselskaberne indsamler fra passagerer og besætning i forbindelse med check-in, og som videregives til de nationale myndigheder inden flyets afgang.
Passagerliste (PNR).
 Oplysninger indsamlet under booking- og reservationsprocessen for en passagers rejse, herunder rejseplan, kontaktoplysninger og betalingsmetode, der anvendes til retshåndhævelsesformål.
EU’s API/PNR-router.
 Et sikkert centralt system, der drives af eu-LISA, og som modtager API- og PNR-oplysninger indsamlet af luftfartsselskaberne og videregiver dem til de relevante kompetente grænsemyndigheder eller passageroplysningsenheder i medlemsstaterne, afhængigt af de gældende regler.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2025/12
 af 
19. december 2024
 om indsamling og overførsel af forhåndsoplysninger om passagerer med henblik på at forbedre og lette ind- og udrejsekontrollen ved de ydre grænser, om ændring af forordning (EU) 2018/1726 og (EU) 2019/817 og om ophævelse af Rådets direktiv 2004/82/EF (EUT L, 2025/12, 
8.1.2025
).
Europa-Parlamentets og Rådets forordning (EU) 
2025/13
 af 
19. december 2024
 om indsamling og overførsel af forhåndsoplysninger om passagerer med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet, og om ændring af forordning (EU) 2019/818 (EUT L, 2025/13, 
8.1.2025
).
Efterfølgende ændringer til forordning (EU) 2025/13 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets direktiv (EU) 
2016/681
 af 
27. april 2016
 om anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet (EUT L 119 af 
4.5.2016
, 
s. 132-149
).
Europa-Parlamentets og Rådets forordning (EU) 
2019/818
 af 
20. maj 2019
 om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende politisamarbejde og retligt samarbejde, asyl og migration og om ændring af forordning (EU) 2018/1726, (EU) 2018/1862 og (EU) 2019/816 (EUT L 135, 
22.5.2019
, 
s. 85–135
)
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2019/817
 af 
20. maj 2019
 om fastsættelse af en ramme for interoperabilitet mellem EU-informationssystemer vedrørende grænser og visum og om ændring af Europa-Parlamentets og Rådets forordning (EF) 
nr. 767/2008
, (EU) 2016/399, (EU) 2017/2226, (EU) 2018/1240, (EU) 2018/1726 og (EU) 2018/1861, Rådets beslutning 2004/512/EF og Rådets afgørelse 2008/633/RIA (EUT L 135 af 
22.5.2019
, 
s. 27–84
)
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2018/1726
 af 
14. november 2018
 om Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) og om ændring af forordning (EF) 
nr. 1987/2006
 og Rådets afgørelse 2007/533/RIA og om ophævelse af forordning (EU) 
nr. 1077/2011
 (EUT L 295 af 
21.11.2018
, 
s. 99-137
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2018/1725
 af 
23. oktober 2018
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) 
nr. 45/2001
 og afgørelse 
nr. 1247/2002/EF
 (EUT L 295 af 
21.11.2018
, 
s. 39–98
).
Europa-Parlamentets og Rådets forordning (EU) 
2018/1241
 af 
12. September 2018
 om ændring af forordning (EU) 2016/794 med henblik på oprettelse af et europæisk system vedrørende rejseinformation og rejsetilladelse (ETIAS) (EUT L 236 af 
19.9.2018
, 
s. 72-73
).
Europa-Parlamentets og Rådets forordning (EU) 
2018/1240
 af 
12. september 2018
 om oprettelse af et europæisk system vedrørende rejseinformation og rejsetilladelse (ETIAS) og om ændring af forordning (EU) 
nr. 1077/2011
, (EU) 
nr. 515/2014
, (EU) 2016/399 (EU) 2016/1624 og (EU) 2017/2226 (EUT L 236 af 
19.9.2018
, 
s. 1-71
).
Europa-Parlamentets og Rådets forordning (EU) 
2017/2226
 af 
30. november 2017
 om oprettelse af et ind- og udrejsesystem til registrering af ind- og udrejseoplysninger og oplysninger om nægtelse af indrejse vedrørende tredjelandsstatsborgere, der passerer medlemsstaternes ydre grænser, om fastlæggelse af betingelserne for adgang til ind- og udrejsesystemet til retshåndhævelsesformål og om ændring af konventionen om gennemførelse af Schengenaftalen og forordning (EF) 
nr. 767/2008
 og (EU) 
nr. 1077/2011
 (EUT L 327 af 
9.12.2017
, 
s. 20-82
)
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2017/2225
 af 
30. november 2017
 om ændring af forordning (EU) 2016/399, for så vidt angår brugen af ind- og udrejsesystemet (EUT L 327 af 
9.12.2017
, 
s. 1-19
).
Europa-Parlamentets og Rådets direktiv (EU) 
2016/680
 af 
27. April 2016
 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 
4.5.2016
, 
s. 89-131
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, 
s.01–88
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EF) 
nr. 
767/2008
 af 
9. juli 2008
 om visuminformationssystemet (VIS) og udveksling af oplysninger mellem medlemsstaterne om visa til kortvarigt ophold (VIS-forordningen) (EUT L 218 af 
13.8.2008
, 
s. 60-81
)
Se den 
konsoliderede udgave
.
Rådets direktiv 
2004/82/EF
 af 
29. april 2004
 om transportvirksomheders forpligtelse til at fremsende oplysninger om passagerer (EUT L 261 af 
6.8.2004
, 
s. 24-27
).
senest ajourføring 
20.6.2025