Regulamentul (UE) 2025/13 al Parlamentului European și al Consiliului din 19 decembrie 2024 privind colectarea și transferul de informații prealabile referitoare la pasageri în scopul prevenirii, depistării, investigării și urmăririi penale a infracțiunilor de terorism și a infracțiunilor grave și de modificare a Regulamentului (UE) 2019/818

CAPITOLUL 1

În scopul prevenirii, depistării, investigării și urmăririi penale a infracțiunilor de terorism și a infracțiunilor grave, prezentul regulament stabilește norme privind:

colectarea informațiilor prealabile referitoare la pasageri (API) de către transportatorii aerieni pentru zborurile extra-UE și zborurile intra-UE;

transferul datelor API și a altor date din PNR de către transportatorii aerieni către router;

transmiterea datelor API și a altor date din PNR de la router către unitățile de informații despre pasageri (UIP) privind zborurile extra-UE și privind zborurile intra-UE selectate în acest sens.

Prezentul regulament nu aduce atingere Regulamentelor (UE) 2016/679 și (UE) 2018/1725 și nici Directivei (UE) 2016/680.

Prezentul regulament se aplică transportatorilor aerieni care efectuează:

zboruri extra-UE;

zboruri intra-UE care vor decola, ateriza sau face o escală pe teritoriul a cel puțin unui stat membru care a notificat Comisiei decizia sa de a aplica Directiva (UE) 2016/681 cu privire la zborurile intra-UE în conformitate cu articolul 2 alineatul (1) din directiva respectivă.

În sensul prezentului regulament, se aplică următoarele definiții:

transportator aerian înseamnă un transportator aerian, în sensul definiției de la articolul 3 punctul 1 din Directiva (UE) 2016/681;

zboruri extra-UE înseamnă orice zbor extra-UE, în sensul definiției de la articolul 3 punctul 2 din Directiva (UE) 2016/681;

zboruri intra-UE înseamnă orice zbor intra-UE, în sensul definiției de la articolul 3 punctul 3 din Directiva (UE) 2016/681;

zbor regulat înseamnă un zbor regulat, în sensul definiției de la articolul 3 punctul 5 din Regulamentul (UE) 2025/12;

zbor neregulat înseamnă un zbor neregulat, în sensul definiției de la articolul 3 punctul 6 din Regulamentul (UE) 2025/12;

pasager înseamnă un pasager, în sensul definiției de la articolul 3 punctul 4 din Directiva (UE) 2016/681;

echipaj înseamnă orice persoană aflată la bordul unei aeronave în timpul zborului, alta decât un pasager, care își desfășoară activitatea la bordul aeronavei sau care operează aeronava respectivă, inclusiv echipajul de zbor și echipajul de cabină;

informații prealabile referitoare la pasageri sau date API înseamnă datele și informațiile privind zborurile menționate la articolul 4 alineatul (2) și, respectiv, alineatul (3);

alte date din registrul cu numele pasagerilor sau alte date din PNR înseamnă un registru cu numele pasagerilor, în sensul definiției de la articolul 3 punctul 5 din Directiva (UE) 2016/681, astfel cum sunt enumerate în anexa I la directiva menționată, cu excepția punctului 18 din respectiva anexă;

unitate de informații despre pasageri sau UIP înseamnă unitatea de informații despre pasageri, astfel cum figurează în notificările adresate de statele membre Comisiei și modificările cu privire la acestea publicate de Comisie în temeiul articolului 4 alineatul (5) din Directiva (UE) 2016/681;

infracțiuni de terorism înseamnă infracțiunile de terorism, menționate la articolele 3-12 din Directiva (UE) 2017/541 a Parlamentului European și a Consiliului;

infracțiune gravă înseamnă o infracțiune gravă, în sensul definiției de la articolul 3 punctul 9 din Directiva (UE) 2016/681;

router înseamnă routerul menționat la articolul 9 din prezentul regulament și la articolul 11 din Regulamentul (UE) 2025/12;

date cu caracter personal înseamnă datele cu caracter personal, astfel cum sunt definite la articolul 3 punctul 1 din Directiva (UE) 2016/680 și la articolul 4 punctul 1 din Regulamentul (UE) 2016/679;

date în timp real privind traficul aerian înseamnă informații privind traficul zborurilor de sosire și de plecare al unui aeroport care intră sub incidența prezentului regulament.

CAPITOLUL 2

Transportatorii aerieni colectează datele API ale fiecărui pasager și membru al echipajului pentru zborurile menționate la articolul 2, care urmează să fie transferate către router în conformitate cu articolul 5. În cazul unui zbor al cărui cod este partajat de transportatorii aerieni, obligația de a transfera datele API îi revine transportatorului aerian care operează zborul.

Datele API constau doar în următoarele date referitoare la fiecare pasager și membru al echipajului ai zborului:

numele (numele de familie), prenumele;

data nașterii, sexul și cetățenia;

tipul și numărul documentului de călătorie și codul format din trei litere al țării care a eliberat documentul de călătorie;

data expirării duratei de valabilitate a documentului de călătorie;

numărul de identificare a unui registru cu numele pasagerilor utilizat de un transportator aerian pentru a localiza un pasager în sistemul său de informații (codul de reper al dosarului pasagerului);

informațiile privind locurile corespunzătoare locului din aeronavă atribuit unui pasager, în cazul în care sunt disponibile astfel de informații;

numărul sau numerele etichetei bagajului și numărul și greutatea bagajelor înregistrate, în cazul în care sunt disponibile astfel de informații;

un cod care indică metoda utilizată pentru captarea și validarea datelor menționate la literele (a)-(d).

Datele API constau, de asemenea, doar în următoarele informații referitoare la zborul fiecărui pasager și membru al echipajului:

numărul de identificare al zborului sau, în cazul în care zborul este partajat de transportatorii aerieni, numerele de identificare ale zborurilor sau, dacă nu există un astfel de număr, alte mijloace clare și adecvate de identificare a zborului;

dacă este cazul, punctul de trecere a frontierei la intrarea pe teritoriul statului membru;

codul aeroportului de sosire sau, în cazul în care zborul este planificat să aterizeze pe unul sau mai multe aeroporturi situate pe teritoriul unuia sau mai multor state membre cărora li se aplică prezentul regulament, codurile aeroporturilor de escală pe teritoriile statelor membre în cauză;

codul aeroportului de plecare al zborului;

codul aeroportului unde se află punctul de îmbarcare inițial, dacă este disponibil;

data locală și ora de plecare;

data locală și ora de sosire;

datele de contact ale transportatorului aerian;

formatul folosit pentru transferul datelor API.

Transportatorii aerieni colectează datele API într-un mod care garantează că datele API pe care le transferă în conformitate cu articolul 5 sunt exacte, complete și actualizate. Respectarea acestei obligații nu presupune ca transportatorii aerieni să verifice documentul de călătorie la momentul îmbarcării în aeronavă, fără ca aceasta să aducă atingere dreptului intern compatibil cu dreptul Uniunii.

Prezentul regulament nu impune pasagerilor obligația de a avea asupra lor un document de călătorie atunci când călătoresc, fără a aduce atingere altor dispoziții de drept al Uniunii sau de drept intern compatibil cu dreptul Uniunii.

Un stat membru poate impune transportatorilor aerieni obligația de a oferi pasagerilor posibilitatea de a introduce în mod voluntar datele menționate la articolul 4 alineatul (2) literele (a)-(d) din Regulamentul (UE) 2025/12 prin mijloace automatizate și de a stoca astfel de date în vederea transferului datelor în scopul zborurilor viitoare, în conformitate cu articolul 5 din prezentul regulament și într-un mod care să respecte cerințele prevăzute la alineatele (4), (7) și (8) de la prezentul articol. Un stat membru care impune o astfel de obligație stabilește normele și garanțiile privind protecția datelor, în conformitate cu Regulamentul (UE) 2016/679, inclusiv norme privind durata de stocare. Cu toate acestea, datele se șterg în cazul în care pasagerul nu mai este de acord cu stocarea datelor sau cel târziu la data expirării duratei de valabilitate a documentului de călătorie.

Transportatorii aerieni colectează datele API menționate la alineatul (2) literele (a)-(d) utilizând mijloace automatizate pentru a colecta datele care pot fi citite automat din documentul de călătorie ale pasagerului în cauză. Aceștia colectează datele în conformitate cu cerințele tehnice detaliate și cu normele operaționale menționate la alineatul (12), de îndată ce astfel de norme au fost adoptate și sunt aplicabile.

Toate mijloacele automatizate utilizate de transportatorii aerieni pentru a colecta date API în temeiul prezentului regulament trebuie să fie fiabile, securizate și actualizate. Transportatorii aerieni se asigură că datele API sunt criptate în timpul transferului de astfel de date de la pasager la transportatorii aerieni.

Pe parcursul unei perioade de tranziție și în plus față de mijloacele automatizate menționate la alineatul (7), transportatorii aerieni le oferă pasagerilor posibilitatea de a furniza manual datele API în cadrul înregistrării online. În astfel de cazuri, transportatorii aerieni utilizează tehnici de verificare a datelor pentru a asigura respectarea alineatului (4).

Perioada de tranziție menționată la alineatul (9) nu afectează dreptul transportatorilor aerieni de a verifica, la aeroport, înainte de îmbarcarea în aeronavă, datele API colectate în cadrul înregistrării online pentru a asigura respectarea alineatului (4), în conformitate cu dreptul aplicabil al Uniunii.

Comisia este împuternicită să adopte, după patru ani de la punerea în funcțiune a routerului în ceea ce privește datele API menționate la articolul 34 și pe baza unei evaluări a disponibilității și accesibilității mijloacelor automatizate de colectare a datelor API, un act delegat în conformitate cu articolul 43 pentru a încheia perioada de tranziție menționată la alineatul (9) de la prezentul articol.

Comisia este împuternicită să adopte acte delegate în conformitate cu articolul 43 pentru a completa prezentul regulament prin stabilirea cerințelor tehnice detaliate și a normelor operaționale pentru colectarea datelor API menționate la alineatul (2) literele (a)-(d) de la prezentul articol, utilizând mijloace automatizate în conformitate cu alineatele (7) și (8) de la prezentul articol, și pentru colectarea manuală a datelor API în circumstanțe excepționale în conformitate cu alineatul (7) de la prezentul articol și în cursul perioadei de tranziție menționate la alineatul (9) de la prezentul articol. Respectivele cerințe tehnice detaliate și norme operaționale includ cerințe privind securitatea datelor și pentru utilizarea celor mai fiabile mijloace automatizate disponibile pentru colectarea datelor care pot fi citite automat dintr-un document de călătorie.

Transportatorii aerieni transferă către router, prin mijloace electronice, datele API criptate care urmează să fie transmise UIP în conformitate cu articolul 12. Transportatorii aerieni transferă datele API în conformitate cu normele detaliate menționate la alineatul (4) de la prezentul articol, de îndată ce astfel de norme au fost adoptate și sunt aplicabile.

Atunci când adoptă măsuri în conformitate cu articolul 8 alineatul (1) din Directiva (UE) 2016/681, statele membre solicită transportatorilor aerieni să transfere orice alte date din PNR pe care le colectează în desfășurarea normală a activităților lor exclusiv către router, în conformitate cu protocoalele comune și formatele de date stabilite în temeiul articolului 16 din directiva respectivă.

Transportatorii aerieni transferă datele API:

pentru pasageri:

pentru fiecare pasager în momentul înregistrării, dar nu mai devreme de 48 de ore înainte de ora prevăzută de plecare a zborului; și

pentru toți pasagerii îmbarcați, imediat după închiderea zborului, și anume după îmbarcarea pasagerilor în aeronava care se pregătește de decolare și când niciun pasager nu se mai poate îmbarca sau nu mai poate debarca;

pentru toți membrii echipajului, imediat după închiderea zborului, și anume după îmbarcarea echipajului în aeronava care se pregătește de decolare și când acesta nu mai poate debarca.

pentru fiecare pasager în momentul înregistrării, dar nu mai devreme de 48 de ore înainte de ora prevăzută de plecare a zborului; și

pentru toți pasagerii îmbarcați, imediat după închiderea zborului, și anume după îmbarcarea pasagerilor în aeronava care se pregătește de decolare și când niciun pasager nu se mai poate îmbarca sau nu mai poate debarca;

Comisia este împuternicită să adopte acte delegate în conformitate cu articolul 43 pentru a completa prezentul regulament prin stabilirea normelor detaliate necesare privind protocoalele comune și formatele de date compatibile care trebuie să fie utilizate pentru transferurile criptate de date API către router menționate la alineatul (1) de la prezentul articol, inclusiv transferul de date API în momentul înregistrării și cerințele pentru securitatea datelor. Astfel de norme detaliate asigură că transportatorii aerieni transferă datele API utilizând aceeași structură și același conținut.

Transportatorii aerieni stochează pentru o perioadă de 48 de ore de la momentul primirii de către router a datelor API care i-au fost transferate în conformitate cu articolul 5 alineatul (3) litera (a) punctul (ii) și litera (b) datele API în legătură cu toți pasagerii și echipajul pe care le-au colectat în temeiul articolului 4. Transportatorii aerieni șterg imediat și definitiv astfel de date API după expirarea respectivei perioade, fără a aduce atingere posibilității ca transportatorii aerieni să păstreze și să utilizeze datele atunci când acest lucru este necesar pentru desfășurarea normală a activităților lor, în conformitate cu dreptul aplicabil și cu articolul 16 alineatele (1) și (3).

În cazul în care un transportator aerian ia cunoștință de faptul că datele pe care le stochează în temeiul prezentului regulament au fost prelucrate în mod ilegal sau nu constituie date API, acesta șterge imediat și definitiv datele respective. Dacă datele respective au fost transferate către router, transportatorul aerian informează imediat Agenția Uniunii Europene pentru Gestionarea Operațională a Sistemelor Informatice la Scară Largă în Spațiul de Libertate, Securitate și Justiție (eu-LISA). După primirea unor astfel de informații, eu-LISA informează imediat UIP care a primit datele transmise prin router.

În cazul în care un transportator aerian ia cunoștință de faptul că datele pe care le stochează în temeiul prezentului regulament sunt inexacte, incomplete sau nu mai sunt actuale, acesta corectează, completează sau actualizează imediat datele respective. Această dispoziție nu aduce atingere posibilității ca transportatorii aerieni să păstreze și să utilizeze datele atunci când acest lucru este necesar pentru desfășurarea normală a activităților lor, în conformitate cu dreptul aplicabil.

În cazul în care un transportator aerian ia cunoștință, după transferul datelor API în temeiul articolului 5 alineatul (3) litera (a) punctul (i), dar înainte de transferul în temeiul articolului 5 alineatul (3) litera (a) punctul (ii), de faptul că datele pe care le-a transferat sunt inexacte, transportatorul aerian transferă imediat datele API corectate către router.

În cazul în care un transportator aerian ia cunoștință, după transferul datelor API în temeiul articolului 5 alineatul (3) litera (a) punctul (ii) sau al articolului 5 alineatul (3) litera (b), de faptul că datele pe care le-a transferat sunt inexacte, incomplete sau nu mai sunt actuale, transportatorul aerian transferă imediat datele API corectate, completate sau actualizate către router.

Comisia este împuternicită să adopte acte delegate în conformitate cu articolul 43 pentru a completa prezentul regulament prin stabilirea normelor detaliate necesare privind corectarea, completarea și actualizarea datelor API în sensul prezentului articol.

Colectarea și prelucrarea datelor cu caracter personal în conformitate cu prezentul regulament și cu Regulamentul (UE) 2025/12 de către transportatorii aerieni și autoritățile competente nu conduce la discriminarea persoanelor din motivele menționate la articolul 21 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare carta).

Prezentul regulament respectă pe deplin demnitatea umană, drepturile fundamentale și principiile recunoscute de cartă, inclusiv dreptul la respectarea vieții private, la azil, la protecția datelor cu caracter personal, la libertatea de circulație și la căi de atac eficiente.

Se acordă o atenție deosebită copiilor, vârstnicilor, persoanelor cu dizabilități și persoanelor vulnerabile. Interesul superior al copilului trebuie să fie considerat primordial la punerea în aplicare a prezentului regulament.

CAPITOLUL 3

eu-LISA proiectează, dezvoltă, găzduiește și gestionează din punct de vedere tehnic, în conformitate cu articolele 25 și 26, un router în scopul facilitării transferului de date API criptate și de alte date din PNR de către transportatorii aerieni către UIP, în conformitate cu prezentul regulament.

Routerul este alcătuit din următoarele elemente:

o infrastructură centrală, inclusiv un set de componente tehnice care permit primirea și transmiterea datelor API criptate și a altor date din PNR;

un canal securizat de comunicații între infrastructura centrală și UIP, precum și un canal securizat de comunicații între infrastructura centrală și transportatorii aerieni, pentru transferul și transmiterea de date API și de alte date din PNR și pentru orice fel de comunicații legate de acestea și pentru ca statele membre să introducă în router zborurile selectate menționate la articolul 12 alineatul (4) și actualizările conexe;

un canal securizat pentru primirea datelor în timp real privind traficul aerian.

Fără a aduce atingere articolului 10 din prezentul regulament, routerul partajează și reutilizează, atunci când este cazul și în măsura în care este posibil din punct de vedere tehnic, componentele tehnice, inclusiv componentele hardware și software, ale serviciului web menționat la articolul 13 din Regulamentul (UE) 2017/2226, ale portalului pentru operatorii de transport menționat la articolul 6 alineatul (2) litera (k) din Regulamentul (UE) 2018/1240 și ale portalului pentru operatorii de transport menționat la articolul 45c din Regulamentul (CE) nr. 767/2008.

În conformitate cu articolul 39 din prezentul regulament, routerul extrage și pune datele la dispoziția registrului central de raportare și statistici (CRRS), instituit prin articolul 39 din Regulamentul (UE) 2019/818, în mod automat.

eu-LISA proiectează și dezvoltă routerul astfel încât, pentru orice transfer de date API și de alte date din PNR de la transportatorii aerieni către router, în conformitate cu articolul 5, și pentru orice transmitere a datelor API și a altor date din PNR de la router către UIP, în conformitate cu articolul 12, și către CRRS, în conformitate cu articolul 39 alineatul (2), datele API și alte date din PNR să fie criptate de la un capăt la altul în timpul transferului.

În sensul prezentului regulament, routerul este utilizat numai:

de către transportatorii aerieni, pentru a transfera date API criptate și alte date din PNR, în conformitate cu prezentul regulament;

de către UIP, pentru a primi date API criptate și alte date din PNR, în conformitate cu prezentul regulament;

pe baza acordurilor internaționale care permit transferul de date din PNR prin intermediul routerului, încheiate de Uniune cu țări terțe care au semnat un acord care prevede asocierea acestora la punerea în aplicare, asigurarea respectării și dezvoltarea acquis-ului Schengen.

Prezentul articol nu aduce atingere articolului 12 din Regulamentul (UE) 2025/12.

Într-o manieră automată și pe baza datelor în timp real privind traficul aerian, routerul verifică dacă transportatorul aerian a transferat datele API în conformitate cu articolul 5 alineatul (1) sau alte date din PNR în conformitate cu articolul 5 alineatul (2).

Imediat și într-o manieră automată, routerul verifică dacă datele API care i-au fost transferate în conformitate cu articolul 5 alineatul (1) respectă normele detaliate privind formatele de date compatibile, menționate la articolul 5 alineatul (4).

Imediat și într-o manieră automată, routerul verifică dacă alte date din PNR care i-au fost transferate în conformitate cu articolul 5 alineatul (2) respectă normele privind formatele de date compatibile, menționate la articolul 16 din Directiva (UE) 2016/681.

Dacă verificarea menționată la alineatul (1) stabilește că datele nu au fost transferate de transportatorul aerian sau dacă verificarea menționată la alineatul (2) sau (3) stabilește că datele nu respectă normele detaliate privind formatele de date compatibile, routerul notifică acest lucru imediat și automat transportatorului aerian vizat și UIP din statele membre cărora urma să li se transmită datele în temeiul articolului 12 alineatul (1). În astfel de cazuri, transportatorul aerian transferă imediat datele API și alte date din PNR în conformitate cu articolul 5.

Comisia adoptă acte de punere în aplicare în care se precizează normele tehnice și procedurale detaliate necesare pentru verificările și notificările menționate la alineatele (1)-(4) de la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 42 alineatul (2).

În urma verificării formatului datelor și a transferurilor menționate la articolul 11, routerul transmite datele API criptate și oricare alte date din PNR, care i-au fost transferate de către transportatorii aerieni în temeiul articolului 5 alineatele (1) și (2) și, după caz, al articolului 7 alineatele (3) și (4), către UIP din statul membru pe teritoriul căruia va ateriza zborul sau de pe teritoriul căruia va decola zborul sau către ambele, în cazul zborurilor intra-UE. Routerul transmite imediat și în mod automat datele respective, fără a le schimba conținutul în vreun fel. În cazul în care un zbor are una sau mai multe escale pe teritoriul altor state membre decât cel de unde a decolat, routerul transmite datele API și oricare alte date din PNR către UIP din toate statele membre în cauză.

Routerul transmite datele API și alte date din PNR în conformitate cu normele detaliate menționate la alineatul (6), odată ce astfel de norme au fost adoptate și sunt aplicabile.

Statele membre se asigură că UIP, după primirea datelor API și a altor date din PNR în conformitate cu alineatul (1), confirmă imediat și în mod automat primirea unor astfel de date routerului.

Statele membre care decid să aplice Directiva (UE) 2016/681 în cazul zborurilor intra-UE, în conformitate cu articolul 2 din directiva menționată, întocmesc fiecare câte o listă a zborurilor intra-UE în cauză sau a rutelor selectate. Statele membre pot utiliza codul aeroportului de plecare și al aeroportului de sosire pentru a indica zborurile sau rutele selectate. Statele membre respective, în conformitate cu articolul 2 din directiva menționată și cu articolul 13 din prezentul regulament, revizuiesc și, dacă este necesar, actualizează periodic listele respective. Un stat membru poate selecta toate zborurile sau rutele intra-UE atunci când acest lucru se justifică în mod corespunzător, în conformitate cu Directiva (UE) 2016/681 și cu articolul 13 din prezentul regulament.

Informațiile introduse de statele membre în router sunt tratate cu confidențialitate, iar accesul personalului eu-LISA la informațiile respective se limitează la ceea ce este strict necesar pentru soluționarea problemelor tehnice. La primirea de către router a informațiilor respective sau a oricăror actualizări ale acestora de la un stat membru, eu-LISA se asigură că routerul transmite imediat datele API și alte date din PNR către UIP din statul membru respectiv în ceea ce privește zborurile sau rutele selectate, în conformitate cu alineatul (1).

Comisia adoptă acte de punere în aplicare care precizează normele tehnice și procedurale detaliate necesare pentru transmiterea datelor API și a altor date din PNR de la routerul menționat la alineatul (1) de la prezentul articol și pentru introducerea informațiilor în routerul menționat la alineatul (4) de la prezentul articol, inclusiv în ceea ce privește cerințele privind securitatea datelor. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 42 alineatul (2).

Statele membre care decid, în conformitate cu articolul 2 din Directiva (UE) 2016/681, să aplice directiva respectivă și, în consecință, prezentul regulament zborurilor intra-UE selectează respectivele zboruri intra-UE în conformitate cu prezentul articol.

Statele membre pot aplica Directiva (UE) 2016/681 și, în consecință, prezentul regulament tuturor zborurilor intra-UE care sosesc pe teritoriul lor sau pleacă de pe teritoriul lor numai în situații de amenințare teroristă reală, prezentă sau previzibilă, pe baza unei decizii întemeiate pe o evaluare a amenințării, limitată în timp la ceea ce este strict necesar și care poate face obiectul unei revizuiri efective fie de către o instanță judecătorească, fie de către un organism administrativ independent a cărui decizie este obligatorie.

În absența unei amenințări teroriste reale, prezente sau previzibile, statele membre care aplică Directiva (UE) 2016/681 și, în consecință, prezentul regulament zborurilor intra-UE selectează astfel de zboruri intra-UE în funcție de rezultatul unei evaluări efectuate pe baza cerințelor prevăzute la alineatele (4)-(7) de la prezentul articol.

Evaluarea prevăzută la alineatul (3):

se desfășoară în mod obiectiv, justificat corespunzător și nediscriminatoriu, în conformitate cu articolul 2 din Directiva (UE) 2016/681;

ia în considerare numai criteriile care sunt relevante pentru prevenirea, depistarea, investigarea și urmărirea penală a infracțiunilor de terorism și a infracțiunilor grave care au o legătură obiectivă, inclusiv o legătură indirectă, cu transportul aerian de pasageri și care nu se bazează exclusiv pe motivele menționate la articolul 21 din cartă pentru orice pasager sau grup de pasageri;

utilizează numai informații care pot sprijini o evaluare obiectivă, justificată în mod corespunzător și nediscriminatorie.

Pe baza evaluării menționate la alineatul (3), statele membre selectează numai zborurile intra-UE legate, printre altele, de anumite rute, modele de călătorie sau aeroporturi pentru care există indicii de infracțiuni teroriste și infracțiuni grave și care justifică prelucrarea datelor API și a altor date din PNR. Selectarea zborurilor intra-UE se limitează la ceea ce este strict necesar pentru atingerea obiectivelor Directivei (UE) 2016/681 și ale prezentului regulament.

Statele membre păstrează toată documentația evaluării menționate la alineatul (3), inclusiv, dacă este cazul, orice revizuire a acesteia, și o pun la dispoziția autorităților lor independente de supraveghere și a autorităților naționale de supraveghere, la cerere, în conformitate cu Directiva (UE) 2016/680.

În conformitate cu articolul 2 din Directiva (UE) 2016/681, statele membre își revizuiesc periodic și cel puțin o dată la 12 luni evaluarea menționată la alineatul (3), pentru a ține seama de modificările circumstanțelor care au justificat selectarea zborurilor intra-UE și pentru a se asigura că selectarea zborurilor intra-UE continuă să se limiteze la ceea ce este strict necesar.

Comisia facilitează un schimb periodic de opinii privind criteriile de selecție pentru evaluarea menționată la alineatul (3), inclusiv partajarea celor mai bune practici, precum și, în mod voluntar, schimbul de informații privind zborurile selectate.

Datele API și alte date din PNR transferate către router în temeiul prezentului regulament se stochează pe router numai în măsura în care acest lucru este necesar pentru a finaliza transmiterea către UIP relevante în conformitate cu prezentul regulament și sunt șterse de pe router imediat, permanent și automat, în următoarele două situații:

în cazul în care se confirmă, în conformitate cu articolul 12 alineatul (3), că transmiterea datelor API și a altor date din PNR către UIP relevante a fost finalizată;

în cazul în care datele API și alte date din PNR se referă la alte zboruri intra-UE decât cele incluse pe listele menționate la articolul 12 alineatul (4).

Routerul informează automat eu-LISA și UIP despre ștergerea imediată a zborurilor intra-UE menționate la litera (b).

Datele API și alte date din PNR transmise UIP în conformitate cu prezentul regulament sunt prelucrate ulterior de UIP în conformitate cu Directiva (UE) 2016/681, în special în ceea ce privește normele privind prelucrarea datelor API și a altor date din PNR de către UIP, printre care cele prevăzute la articolele 6, 10, 12 și 13 din respectiva directivă și exclusiv în scopul prevenirii, depistării, investigării și urmăririi penale a infracțiunilor de terorism și a infracțiunilor grave.

UIP sau alte autorități competente nu prelucrează sub nicio formă date API și alte date din PNR în scopul creării de profiluri, astfel cum se menționează la articolul 11 alineatul (3) din Directiva (UE) 2016/680.

În cazul în care este imposibil din punct de vedere tehnic să se utilizeze routerul pentru a transmite date API sau alte date din PNR din cauza unei disfuncționalități a routerului, eu-LISA notifică imediat și în mod automat transportorii aerieni și UIP în legătură cu respectiva imposibilitate tehnică. În acest caz, eu-LISA ia imediat măsuri pentru a remedia imposibilitatea tehnică de a utiliza routerul și notifică imediat transportatorii aerieni și UIP odată remediată imposibilitatea respectivă.

În cazul în care este imposibil din punct de vedere tehnic să se utilizeze routerul pentru a transmite datele API sau alte date din PNR din cauza unei disfuncționalități a sistemelor sau a infrastructurilor unui stat membru, menționate la articolul 23, UIP din statul membru respectiv notifică imediat, în mod automat celelalte UIP, eu-LISA și Comisia cu privire la respectiva imposibilitate tehnică. În acest caz, respectivul stat membru ia imediat măsuri pentru a remedia imposibilitatea tehnică de a utiliza routerul și notifică imediat celelalte UIP, eu-LISA și Comisia odată remediată respectiva imposibilitate. Routerul stochează datele API și alte date din PNR până la remedierea imposibilității tehnice. Imediat după remedierea imposibilității tehnice, routerul transmite datele în conformitate cu articolul 12 alineatul (1).

În cazul în care este imposibil din punct de vedere tehnic să se utilizeze routerul pentru a transfera datele API sau alte date din PNR din cauza unei disfuncționalități a sistemelor sau a infrastructurilor unui transportator aerian menționate la articolul 24, respectivul transportator aerian notifică imediat, în mod automat, UIP, agenția eu-LISA și Comisia în legătură cu această imposibilitate tehnică. În acest caz, respectivul transportator aerian ia imediat măsuri pentru a remedia imposibilitatea tehnică de a utiliza routerul și notifică imediat UIP, eu-LISA și Comisia odată remediată imposibilitatea respectivă.

CAPITOLUL 4

Transportatorii aerieni creează înregistrări ale tuturor operațiunilor de prelucrare legate de datele API efectuate în temeiul prezentului regulament prin utilizarea mijloacelor automatizate menționate la articolul 4 alineatul (7). Respectivele înregistrări includ data, ora și locul transferului datelor API. Respectivele înregistrări nu conțin nicio dată cu caracter personal, în afara informațiilor necesare pentru identificarea angajatului relevant al transportatorului aerian.

Agenția eu-LISA păstrează înregistrări ale tuturor operațiunilor de prelucrare legate de transferul și transmiterea datelor API sau ale altor date din PNR prin intermediul routerului în temeiul prezentului regulament. Respectivele înregistrări includ următoarele elemente:

transportatorul aerian care a transferat datele API și alte date din PNR către router;

transportatorul aerian care a transferat alte date din PNR către router;

UIP cărora le-au fost transmise datele API prin intermediul routerului;

UIP cărora le-au fost transmise alte date din PNR prin intermediul routerului;

data și ora transferului sau al transmiterii menționate la literele (a)-(d), precum și locul transferului sau al transmiterii;

orice acces al personalului eu-LISA necesar pentru întreținerea routerului, așa cum se menționează la articolul 26 alineatul (3);

orice alte informații referitoare la respectivele operațiuni de prelucrare necesare pentru a monitoriza securitatea și integritatea datelor API și a altor date din PNR, precum și legalitatea respectivelor operațiuni de prelucrare.

Înregistrările menționate la alineatele (1) și (2) de la prezentul articol se utilizează numai pentru a asigura securitatea și integritatea datelor API și a altor date din PNR și legalitatea prelucrării, în special în ceea ce privește respectarea cerințelor prevăzute în prezentul regulament, inclusiv procedurile de sancționare a încălcărilor cerințelor respective în conformitate cu articolele 37 și 38.

Transportatorii aerieni și eu-LISA iau măsurile corespunzătoare pentru a proteja înregistrările pe care le-au creat în temeiul alineatului (1) și, respectiv, al alineatului (2) împotriva accesului neautorizat și a altor riscuri pentru securitate.

Autoritatea națională de supraveghere pentru datele API menționată la articolul 37 și UIP au acces la înregistrările relevante menționate la alineatul (1) de la prezentul articol, în cazul în care acest lucru este necesar în scopurile menționate la alineatul (3) de la prezentul articol.

Transportatorii aerieni și eu-LISA păstrează înregistrările pe care le-au creat în temeiul alineatului (1) și, respectiv, al alineatului (2) pentru o perioadă de un an de la momentul creării înregistrărilor respective. Aceștia șterg imediat și definitiv înregistrările respective după expirarea respectivei perioade.

Transportatorii aerieni sunt operatori, în sensul articolului 4 punctul 7 din Regulamentul (UE) 2016/679, în ceea ce privește prelucrarea datelor API și a altor date din PNR care constituie date cu caracter personal, ceea ce include colectarea datelor respective și transferul acestora către router în temeiul prezentului regulament.

Fiecare stat membru desemnează o autoritate competentă în calitate de operator în conformitate cu prezentul articol. Statele membre notifică Comisiei, eu-LISA și celorlalte state membre autoritățile respective.

eu-LISA este persoană împuternicită de operator, în sensul articolului 3 punctul 12 din Regulamentul (UE) 2018/1725, în scopul prelucrării datelor API și a altor date din PNR care constituie date cu caracter personal transmise în temeiul prezentului regulament prin intermediul routerului, inclusiv transmiterea datelor de la router către UIP și stocarea datelor respective pe router din motive tehnice. eu-LISA se asigură că routerul este exploatat în conformitate cu prezentul regulament.

Comisia adoptă acte de punere în aplicare care stabilesc responsabilitățile operatorilor asociați și obligațiile repartizate între operatorii asociați și persoana împuternicită de operator. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 42 alineatul (2).

În conformitate cu articolul 13 din Regulamentul (UE) 2016/679, transportatorii aerieni furnizează pasagerilor care folosesc zborurile care intră sub incidența prezentului regulament informații privind scopul colectării datelor lor cu caracter personal, tipul de date cu caracter personal colectate, beneficiarii datelor cu caracter personal și mijloacele de exercitare a drepturilor lor în calitate de persoane vizate.

Respectivele informații sunt comunicate pasagerilor în scris și într-un format ușor accesibil la momentul rezervării și la momentul înregistrării, indiferent de mijloacele folosite pentru colectarea datelor cu caracter personal la momentul înregistrării, în conformitate cu articolul 4.

eu-LISA asigură securitatea și criptarea datelor API și a altor date din PNR, în special a datelor care constituie date cu caracter personal, pe care le prelucrează în temeiul prezentului regulament. UIP și transportatorii aerieni asigură securitatea datelor API, în special a datelor API care constituie date cu caracter personal, pe care le prelucrează în temeiul prezentului regulament. eu-LISA, UIP și transportatorii aerieni cooperează, în conformitate cu responsabilitățile care le revin și în conformitate cu dreptul Uniunii, pentru a asigura securitatea datelor.

eu-LISA asigură securitatea și confidențialitatea datelor referitoare la zborurile și rutele selectate de statele membre în conformitate cu articolul 12 alineatul (4). UIP și transportatorii aerieni asigură securitatea datelor API, în special a datelor API care constituie date cu caracter personal, pe care le prelucrează în temeiul prezentului regulament. Agenția eu-LISA, UIP și transportatorii aerieni cooperează, în conformitate cu responsabilitățile care le revin și în conformitate cu dreptul Uniunii, pentru a asigura securitatea datelor.

eu-LISA ia măsurile necesare pentru a asigura securitatea routerului, a datelor API și a altor date din PNR, în special a datelor care constituie date cu caracter personal, transmise prin router, inclusiv prin stabilirea, punerea în aplicare și actualizarea periodică a unui plan de securitate, a unui plan de asigurare a continuității activității și a unui plan de recuperare în caz de dezastru, pentru:

a proteja fizic routerul, inclusiv prin elaborarea unor planuri de urgență pentru protecția componentelor critice ale acestuia;

a împiedica orice prelucrare neautorizată a datelor API și a altor date din PNR, inclusiv orice acces neautorizat la acestea, precum și copierea, modificarea sau ștergerea acestora, atât în timpul transferului datelor API și a altor date din PNR către și de la router, cât și în timpul oricărei stocări a datelor API și a altor date din PNR pe router, dacă acest lucru este necesar pentru finalizarea transmiterii, în special prin intermediul unor tehnici de criptare adecvate;

a asigura că persoanele autorizate să acceseze routerul au acces numai la datele care fac obiectul autorizației lor de acces;

a asigura posibilitatea de a verifica și de a stabili UIP cărora le sunt transmise datele API sau alte date din PNR prin intermediul routerului;

a raporta în mod corespunzător Consiliului său de administrație eventualele deficiențe de funcționare a routerului;

a monitoriza eficacitatea măsurilor de securitate necesare în temeiul prezentului articol și al Regulamentului (UE) 2018/1725 și pentru a evalua și actualiza măsurile de securitate respective, dacă este necesar, în lumina evoluțiilor tehnologice sau operaționale.

Transportatorii aerieni și UIP monitorizează respectarea obligațiilor care le revin în temeiul prezentului regulament, în special în ceea ce privește prelucrarea datelor API care constituie date cu caracter personal. În cazul transportatorilor aerieni, monitorizarea include verificarea frecventă a înregistrărilor menționate la articolul 17.

Autoritățile de supraveghere independente menționate la articolul 41 din Directiva (UE) 2016/680 efectuează, cel puțin din patru în patru ani, un audit al operațiunilor de prelucrare a datelor API care constituie date cu caracter personal, efectuate de UIP în sensul prezentului regulament. Statele membre se asigură că autoritățile lor de supraveghere independente dispun de resurse și cunoștințe suficiente pentru a îndeplini sarcinile care le-au fost încredințate în temeiul prezentului regulament.

Autoritatea Europeană pentru Protecția Datelor efectuează, cel puțin o dată pe an, un audit al operațiunilor eu-LISA de prelucrare a datelor API și a altor date din PNR care constituie date cu caracter personal în sensul prezentului regulament, în conformitate cu standardele internaționale de audit relevante. Un raport al respectivului audit se trimite Parlamentului European, Consiliului, Comisiei, statelor membre și eu-LISA. Înainte de adoptarea raportului, se oferă eu-LISA posibilitatea de a formula observații.

În ceea ce privește operațiunile de prelucrare menționate la alineatul (2), eu-LISA furnizează, la cerere, informațiile solicitate de Autoritatea Europeană pentru Protecția Datelor, îi acordă acesteia acces la toate documentele pe care le solicită și la înregistrările menționate la articolul 17 alineatul (2) și îi permite în orice moment accesul în toate incintele eu-LISA.

CAPITOLUL 5

Statele membre se asigură că UIP sunt conectate la router. Acestea se asigură că sistemele și infrastructura lor naționale pentru primirea și prelucrarea ulterioară a datelor API și a altor date din PNR transferate în temeiul prezentului regulament sunt integrate în router.

Comisia adoptă acte de punere în aplicare care precizează normele detaliate necesare privind conexiunile la routerul menționat la alineatul (1) de la prezentul articol și integrarea în acesta, inclusiv în ceea ce privește cerințele referitoare la securitatea datelor. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 42 alineatul (2).

Transportatorii aerieni se asigură că sunt conectați la router. Aceștia se asigură că sistemele și infrastructura lor pentru transferul datelor API și al altor date din PNR către router în temeiul prezentului regulament sunt integrate în router.

Comisia adoptă acte de punere în aplicare care precizează normele detaliate necesare privind conexiunile la routerul menționat la alineatul (1) de la prezentul articol și integrarea în acesta, inclusiv în ceea ce privește cerințele referitoare la securitatea datelor. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 42 alineatul (2).

eu-LISA este responsabilă de proiectarea arhitecturii fizice a routerului, inclusiv pentru definirea specificațiilor tehnice.

eu-LISA este responsabilă de dezvoltarea routerului, inclusiv pentru orice adaptare tehnică necesară pentru funcționarea routerului.

eu-LISA se asigură că routerul este proiectat și dezvoltat astfel încât să ofere funcționalitățile specificate în prezentul regulament și că routerul este pus în funcțiune cât mai curând posibil după adoptarea de către Comisie a actelor delegate prevăzute la articolul 4 alineatul (12), la articolul 5 alineatul (3), la articolul 7 alineatul (2), și a actelor de punere în aplicare prevăzute la articolul 11 alineatul (5), la articolul 12 alineatul (4), la articolul 23 alineatul (2), la articolul 24 alineatul (2) din prezentul regulament și a actelor de punere în aplicare prevăzute la articolul 16 alineatul (3) din Directiva (UE) 2016/681, precum și după efectuarea unei evaluări a impactului în ceea ce privește protecția datelor, în conformitate cu articolul 35 din Regulamentul (UE) 2016/679.

eu-LISA furnizează UIP, altor autorități relevante ale statelor membre și transportatorilor aerieni un set de teste de conformitate. Setul de teste de conformitate include un mediu de testare, un simulator, seturi de date de testare și un plan de testare. Setul de teste de conformitate permite efectuarea unor teste cuprinzătoare ale routerului menționat la alineatele (5) și (6) și trebuie să rămână disponibil după finalizarea testelor respective.

În cazul în care consideră că etapa de dezvoltare a fost încheiată în ce privește datele API, eu-LISA efectuează, fără întârzieri nejustificate, un test cuprinzător al routerului, în cooperare cu UIP și cu alte autorități relevante ale statelor membre și cu transportatorii aerieni, și informează Comisia despre rezultatul testului respectiv.

În cazul în care consideră că faza de dezvoltare a fost finalizată în ce privește alte date din PNR, eu-LISA efectuează, fără întârzieri nejustificate, teste cuprinzătoare ale routerului pentru a asigura fiabilitatea conexiunilor routerului cu transportatorii aerieni și UIP, transmiterea standardizată necesară a altor date din PNR de către transportatorii aerieni și transferul și transmiterea altor date din PNR în conformitate cu articolul 16 din Directiva (UE) 2016/681, inclusiv utilizarea protocoalelor comune și a formatelor standardizate de date compatibile menționate la articolul 16 alineatele (2) și (3) din directiva respectivă, pentru a asigura lizibilitatea celorlalte date din PNR. Astfel de teste se efectuează în cooperare cu UIP și cu alte autorități relevante ale statelor membre și cu transportatori aerieni. eu-LISA informează Comisia despre rezultatul testelor respective.

eu-LISA găzduiește routerul în amplasamentele sale tehnice.

eu-LISA este responsabilă de gestionarea tehnică a routerului, inclusiv de întreținerea și dezvoltarea tehnică a acestuia, astfel încât să se asigure că datele API și alte date din PNR sunt transmise în siguranță, în mod eficace și rapid prin intermediul routerului, în conformitate cu prezentul regulament.

Personalul eu-LISA nu are acces la niciuna dintre datele API sau la alte date din PNR transmise prin router. Respectiva interdicție nu împiedică însă personalul eu-LISA să aibă un astfel de acces în măsura în care este strict necesar pentru întreținerea și gestionarea tehnică a routerului.

Fără a aduce atingere alineatului (3) de la prezentul articol și articolului 17 din Statutul funcționarilor Uniunii Europene prevăzut în Regulamentul (CEE, Euratom, CECO) nr. 259/68 al Consiliului, eu-LISA aplică normele corespunzătoare privind secretul profesional sau alte obligații echivalente de confidențialitate personalului său care trebuie să lucreze cu date API și cu alte date din PNR transmise prin router. Respectiva obligație se aplică și după ce astfel de persoane au încetat să mai ocupe o anumită funcție sau după ce și-au încetat activitatea.

La cererea UIP, a autorităților competente din alte state membre sau a transportatorilor aerieni, eu-LISA asigură formarea acestora cu privire la utilizarea tehnică a routerului, la conectarea lor la router și la integrarea lor în acesta.

eu-LISA oferă sprijin UIP în ceea ce privește primirea datelor API și a altor date din PNR prin intermediul routerului, în conformitate cu prezentul regulament, în special în ceea ce privește aplicarea articolelor 12 și 23.

În conformitate cu articolul 24 alineatul (1) și utilizând setul de teste de conformitate menționat la articolul 25 alineatul (4), eu-LISA efectuează, în cooperare cu transportatorii aerieni, teste de transfer al datelor API și al altor date din PNR către router.

CAPITOLUL 6

Până la 28 ianuarie 2025, Consiliul de administrație al eu-LISA înființează un Consiliu de gestionare a programului. Acesta are 10 membri, fiind compus din:

șapte membri numiți de Consiliul de administrație al eu-LISA din rândul membrilor săi sau al supleanților săi;

președintele Grupului consultativ API-PNR menționat la articolul 29;

un membru al personalului eu-LISA numit de directorul său executiv; și

un membru numit de Comisie.

Consiliul de gestionare a programului își elaborează regulamentul de procedură care urmează să fie adoptat de Consiliul de administrație al eu-LISA.

Consiliul de gestionare a programului supraveghează îndeplinirea efectivă a atribuțiilor eu-LISA legate de proiectarea și dezvoltarea routerului în conformitate cu articolul 25.

Consiliul de gestionare a programului prezintă periodic, de cel puțin trei ori pe trimestru, Consiliului de administrație al eu-LISA rapoarte scrise privind progresele înregistrate în proiectarea și dezvoltarea routerului.

Consiliul de gestionare a programului nu are competențe decizionale și nu dispune de un mandat de reprezentare a Consiliului de administrație al eu-LISA sau al membrilor săi.

Consiliul de gestionare a programului încetează să existe la data aplicării prezentului regulament menționată la articolul 45 al doilea paragraf.

De la 28 ianuarie 2025, Grupul consultativ API-PNR, înființat în temeiul articolului 27 alineatul (1) litera (de) din Regulamentul (UE) 2018/1726, furnizează Consiliului de administrație al eu-LISA cunoștințele de specialitate necesare în legătură cu API-PNR, în special în contextul pregătirii programului său anual de lucru și a raportului său anual de activitate.

Ori de câte ori sunt disponibile, eu-LISA furnizează Grupului consultativ API-PNR versiuni, chiar intermediare, ale specificațiilor tehnice și ale seturilor de teste de conformitate menționate la articolul 25 alineatele (1), (2) și (4).

Grupul consultativ API-PNR exercită următoarele funcții:

furnizează eu-LISA și Consiliului de gestionare a programului cunoștințe de specialitate în proiectarea și dezvoltarea routerului în conformitate cu articolul 25;

furnizează eu-LISA cunoștințe de specialitate legate de găzduirea și gestionarea tehnică a routerului în conformitate cu articolul 26;

emite avize către Consiliul de gestionare a programului, la cererea acestuia, despre progresele înregistrate în proiectarea și dezvoltarea routerului, inclusiv despre progresele înregistrate cu privire la specificațiile tehnice și seturile de teste de conformitate menționate la alineatul (2).

Grupul consultativ API-PNR nu are competențe decizionale și nu dispune de un mandat de reprezentare a Consiliului de administrație al eu-LISA sau al membrilor săi.

Până la data relevantă de aplicare a prezentului regulament menționată la articolul 45 al doilea paragraf, Consiliul de administrație al eu-LISA înființează un grup de contact API-PNR.

Grupul de contact API-PNR permite comunicarea între autoritățile relevante ale statelor membre și transportatorii aerieni cu privire la aspectele tehnice legate de sarcinile și obligațiile care le revin în temeiul prezentului regulament.

Grupul de contact API-PNR se compune din reprezentanți ai autorităților relevante ale statelor membre și ai transportatorilor aerieni, președintele Grupului consultativ API-PNR și experți ai eu-LISA.

Consiliul de administrație al eu-LISA stabilește regulamentul de procedură al Grupului de contact API-PNR, în urma unui aviz al Grupului consultativ API-PNR.

Atunci când se consideră necesar, Consiliul de administrație al eu-LISA poate înființa, de asemenea, subgrupuri ale Grupului de contact API-PNR pentru a discuta aspecte tehnice specifice legate de sarcinile și obligațiile respective ale autorităților relevante ale statelor membre și ale transportatorilor aerieni în temeiul prezentului regulament.

Grupul de contact API-PNR și subgrupurile sale nu au competențe decizionale și nu dispun de un mandat de reprezentare a Consiliului de administrație al eu-LISA sau al membrilor săi.

Până la data aplicării prezentului regulament menționată la articolul 45 al doilea paragraf litera (a), Comisia înființează un grup de experți API în conformitate cu normele orizontale privind înființarea și funcționarea grupurilor de experți ale Comisiei.

Grupul de experți API permite comunicarea între autoritățile relevante ale statelor membre, precum și între autoritățile relevante ale statelor membre și transportatorii aerieni cu privire la aspectele de politică legate de sarcinile și obligațiile care le revin în temeiul prezentului regulament, inclusiv în legătură cu sancțiunile menționate la articolul 38.

Grupul de experți API este prezidat de Comisie și constituit în conformitate cu normele orizontale privind înființarea și funcționarea grupurilor de experți ale Comisiei. Acesta se compune din reprezentanți ai autorităților relevante ale statelor membre, reprezentanți ai transportatorilor aerieni și experți ai eu-LISA. Dacă este important pentru îndeplinirea sarcinilor sale, Grupul de experți API poate invita să participe la lucrările sale părți interesate relevante, în special reprezentanți ai Parlamentului European, ai Autorității Europene pentru Protecția Datelor și ai autorităților independente naționale de supraveghere.

Grupul de experți API își îndeplinește sarcinile în conformitate cu principiul transparenței. Comisia publică procesele-verbale ale reuniunilor Grupului de experți API și alte documente relevante pe site-ul său web.

Costurile suportate de eu-LISA legate de instituirea și funcționarea routerului în temeiul prezentului regulament sunt suportate din bugetul general al Uniunii.

Costurile suportate de statele membre în legătură cu punerea în aplicare a prezentului regulament, în special cu conexiunea lor la routerul menționat la articolul 23 și cu integrarea în acesta sunt suportate din bugetul general al Uniunii, în conformitate cu normele de eligibilitate și cu ratele de cofinanțare stabilite în actele juridice aplicabile ale Uniunii.

Costurile suportate de Autoritatea Europeană pentru Protecția Datelor legate de sarcinile care îi sunt încredințate în temeiul prezentului regulament sunt suportate din bugetul general al Uniunii.

Costurile suportate de autoritățile naționale independente de supraveghere legate de sarcinile care le sunt încredințate în temeiul prezentului regulament sunt suportate de statele membre.

În cazul în care nerespectarea de către un stat membru sau de către un transportator aerian a obligațiilor care îi revin în temeiul prezentului regulament cauzează daune routerului, respectivul stat membru sau transportator aerian este răspunzător pentru astfel de daune, astfel cum se prevede în dreptul Uniunii aplicabil sau în dreptul intern aplicabil, cu excepția cazului și în măsura în care se demonstrează că eu-LISA, un alt stat membru sau un alt transportator aerian nu a luat măsuri rezonabile pentru a împiedica producerea daunelor sau pentru a minimiza impactul acestora.

Comisia stabilește, fără întârzieri nejustificate, data punerii în funcțiune a routerului în ceea ce privește datele API prin intermediul unui act de punere în aplicare, după ce eu-LISA a informat Comisia cu privire la finalizarea cu succes a testului cuprinzător al routerului menționat la articolul 25 alineatul (5). Respectivul act de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 42 alineatul (2).

Comisia stabilește data menționată la primul paragraf ca fiind o dată care nu depășește intervalul de 30 de zile de la data adoptării respectivului act de punere în aplicare.

Comisia stabilește, fără întârzieri nejustificate, data punerii în funcțiune a routerului în ceea ce privește alte date din PNR prin intermediul unui act de punere în aplicare, după ce eu-LISA a informat Comisia cu privire la finalizarea cu succes a testelor cuprinzătoare ale routerului menționate la articolul 25 alineatul (6), inclusiv cu privire la fiabilitatea conexiunilor routerului cu transportatorii aerieni și cu UIP și la lizibilitatea altor date din PNR transferate de transportatorii aerieni și transmise de router în formatul standardizat necesar, în conformitate cu articolul 16 din Directiva (UE) 2016/681. Respectivul act de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 42 alineatul (2).

Comisia stabilește data menționată la primul paragraf ca fiind o dată care nu depășește intervalul de 30 de zile de la data adoptării respectivului act de punere în aplicare.

Transportatorii aerieni au dreptul de a utiliza routerul pentru a transmite informațiile menționate la articolul 3 alineatele (1) și (2) din Directiva 2004/82/CE sau alte date din PNR colectate în temeiul articolului 8 din Directiva (UE) 2016/681 către una sau mai multe dintre UIP responsabile, în conformitate cu directivele respective, cu condiția ca statul membru în cauză să fi fost de acord cu o astfel de utilizare, începând cu o dată adecvată stabilită de statul membru respectiv. Statul membru respectiv își dă acordul numai după ce a stabilit că, în special în ceea ce privește atât conexiunea propriei sale UIP la router, cât și cea a transportatorului aerian în cauză, informațiile pot fi transmise într-un mod legal, sigur, eficace și rapid.

În cazul în care un transportator aerian începe să utilizeze routerul în conformitate cu alineatul (1) de la prezentul articol, acesta continuă să utilizeze routerul pentru a transmite astfel de informații către UIP din statul membru în cauză până la data relevantă de aplicare a prezentului regulament menționată la articolul 45 al doilea paragraf. Cu toate acestea, utilizarea respectivă este întreruptă începând cu o dată adecvată stabilită de statul membru respectiv, în cazul în care statul membru respectiv consideră că există motive obiective care impun o astfel de întrerupere și a informat transportatorul aerian în consecință.

Statul membru în cauză:

consultă eu-LISA înainte de a consimți în privința utilizării voluntare a routerului în conformitate cu alineatul (1);

cu excepția situațiilor de urgență justificate în mod corespunzător, oferă transportatorului aerian în cauză posibilitatea de a prezenta observații cu privire la intenția sa de a întrerupe o astfel de utilizare în conformitate cu alineatul (2) și, după caz, consultă, de asemenea, eu-LISA cu privire la acest aspect;

informează imediat eu-LISA și Comisia cu privire la orice astfel de utilizare pentru care și-a dat consimțământul și cu privire la orice întrerupere a utilizării, furnizând toate informațiile necesare, inclusiv data de începere a utilizării, data întreruperii și motivele întreruperii, după caz.

CAPITOLUL 7

Statele membre desemnează una sau mai multe autorități naționale de supraveghere pentru datele API responsabile cu monitorizarea aplicării pe teritoriul lor de către transportatorii aerieni a dispozițiilor prezentului regulament și cu asigurarea respectării respectivelor dispoziții.

Statele membre se asigură că autoritățile naționale de supraveghere pentru datele API dispun de toate mijloacele și de toate competențele de investigare și de asigurare a respectării legii, necesare pentru a-și îndeplini sarcinile care le revin în temeiul prezentului regulament, inclusiv prin aplicarea sancțiunilor menționate la articolul 38, după caz. Statele membre se asigură că exercitarea competențelor conferite autorității naționale de supraveghere pentru datele API face obiectul unor garanții adecvate, în conformitate cu drepturile fundamentale garantate în temeiul dreptului Uniunii.

Până la data relevantă de aplicare a prezentului regulament menționată la articolul 45 al doilea paragraf, statele membre notifică Comisiei numele și datele de contact ale autorităților pe care le-au desemnat în temeiul alineatului (1) de la prezentul articol. Statele membre informează fără întârziere Comisia cu privire la orice modificare ulterioară sau la orice amendament ulterior adus respectivelor norme.

Prezentul articol nu aduce atingere competențelor autorităților de supraveghere menționate la articolul 51 din Regulamentul (UE) 2016/679, la articolul 41 din Directiva (UE) 2016/680 și la articolul 15 din Directiva (UE) 2016/681.

Statele membre adoptă normele privind sancțiunile care se aplică în cazul nerespectării prezentului regulament și iau toate măsurile necesare pentru a asigura aplicarea acestora. Sancțiunile trebuie să fie efective, proporționale și cu efect de descurajare.

Până la data relevantă de aplicare a prezentului regulament menționată la articolul 45 al doilea paragraf, statele membre notifică Comisiei normele și măsurile respective și îi notifică acesteia, fără întârziere, orice modificare ulterioară a acestora.

Statele membre se asigură că autoritățile naționale de supraveghere pentru datele API, atunci când decid dacă să aplice o sancțiune, precum și atunci când stabilesc tipul și nivelul de gravitate ale sancțiunii, țin cont de circumstanțele relevante, care pot include:

natura, gravitatea și durata încălcării;

gradul de vinovăție a transportatorului aerian;

încălcări anterioare comise de transportatorul aerian;

nivelul general al cooperării transportatorului aerian cu autoritățile competente;

dimensiunea transportatorului aerian, cum ar fi numărul anual de pasageri transportați;

dacă alte autorități naționale de supraveghere pentru datele API au aplicat deja sancțiuni aceluiași transportator aerian pentru aceeași încălcare.

Statele membre se asigură că pentru neefectuarea sistematică a transferului datelor API în conformitate cu articolul 5 alineatul (1) se aplică sancțiuni financiare proporționale de până la 2 % din cifra de afaceri globală a unui transportator aerian corespunzătoare precedentului exercițiu financiar. Statele membre se asigură că nerespectarea altor obligații prevăzute în prezentul regulament face obiectul unor sancțiuni proporționale, inclusiv sancțiuni financiare.

Pentru a sprijini punerea în aplicare și monitorizarea aplicării prezentului regulament și pe baza informațiilor statistice menționate la alineatele (5) și (6), eu-LISA publică în fiecare trimestru statistici privind funcționarea routerului și respectarea de către transportatorii aerieni a obligațiilor prevăzute în prezentul regulament. Statisticile respective nu permit identificarea persoanelor fizice.

În scopurile prevăzute la alineatul (1), routerul transmite automat datele enumerate la alineatele (5) și (6) către CRRS.

În vederea susținerii punerii în aplicare și a monitorizării aplicării prezentului regulament, eu-LISA compilează anual datele statistice într-un raport anual pentru anul anterior. Aceasta publică raportul anual respectiv și îl transmite Parlamentului European, Consiliului, Comisiei, Autorității Europene pentru Protecția Datelor, Agenției Europene pentru Poliția de Frontieră și Garda de Coastă și autorităților naționale de supraveghere pentru datele API menționate la articolul 37. Raportul anual nu trebuie să dezvăluie metodele de lucru confidențiale și nici să pericliteze investigațiile în curs ale autorităților competente ale statelor membre.

La cererea Comisiei, eu-LISA furnizează statistici privind aspecte specifice legate de punerea în aplicare a prezentului regulament, precum și statistici în temeiul alineatului (3).

CRRS furnizează eu-LISA următoarele informații statistice, necesare pentru raportarea menționată la articolul 44 și pentru generarea de statistici în conformitate cu prezentul articol, fără ca astfel de statistici privind datele API să permită identificarea pasagerilor în cauză:

dacă datele se referă la un pasager sau la un membru al echipajului;

cetățenia, sexul și anul nașterii pasagerului sau membrului echipajului;

data și punctul inițial de îmbarcare, data și aeroportul de plecare, precum și data și aeroportul de sosire;

tipul documentului de călătorie, codul format din trei litere al țării emitente și data expirării duratei de valabilitate a documentului de călătorie;

numărul de pasageri înregistrați pentru același zbor;

codul transportatorului aerian care operează zborul;

dacă zborul este regulat sau neregulat;

dacă datele API au fost transferate imediat după închiderea zborului;

dacă datele cu caracter personal ale pasagerului sunt exacte, complete și actualizate.

mijloacele tehnice utilizate pentru a obține datele API.

CRRS furnizează eu-LISA următoarele informații statistice necesare pentru raportarea menționată la articolul 44 și pentru generarea de statistici în conformitate cu prezentul articol, fără ca astfel de statistici privind alte date din PNR să permită identificarea pasagerilor în cauză:

data și ora la care routerul a primit mesajul PNR;

informațiile de zbor cuprinse în itinerarul de călătorie din mesajul PNR specific;

informațiile privind codurile partajate cuprinse în mesajul PNR specific.

În scopul raportării menționate la articolul 44 și pentru generarea de statistici în conformitate cu prezentul articol, eu-LISA stochează în CRRS datele menționate la alineatele (5) și (6) de la prezentul articol. Aceasta stochează astfel de date pentru o perioadă de cinci ani în conformitate cu alineatul (2), asigurând că datele nu permit identificarea pasagerilor în cauză. CRRS transmite personalului autorizat corespunzător al UIP și altor autorități relevante ale statelor membre rapoarte și statistici personalizabile privind datele API menționate la alineatul (5) de la prezentul articol și alte date din PNR menționate la alineatul (6) de la prezentul articol, pentru punerea în aplicare și monitorizarea aplicării prezentului regulament.

Utilizarea datelor menționate la alineatele (5) și (6) de la prezentul articol nu trebuie să conducă la crearea de profiluri ale persoanelor fizice, astfel cum se menționează la articolul 11 alineatul (3) din Directiva (UE) 2016/680 sau la discriminarea persoanelor pe baza motivelor enumerate la articolul 21 din cartă. Datele menționate la alineatele (5) și (6) de la prezentul articol nu trebuie să fie utilizate pentru a fi comparate sau corelate cu date cu caracter personal sau pentru a fi combinate cu date cu caracter personal.

Procedurile instituite de eu-LISA pentru a monitoriza dezvoltarea și funcționarea routerului menționat la articolul 39 alineatul (2) din Regulamentul (UE) 2019/818 includ posibilitatea de a produce statistici periodice pentru asigurarea monitorizării respective.

Comisia, în strânsă cooperare cu UIP, cu alte autorități relevante din statele membre, cu transportatorii aerieni și cu organele și agențiile relevante ale Uniunii, elaborează și pune la dispoziția publicului un manual practic care conține orientări, recomandări și bune practici pentru punerea în aplicare a prezentului regulament, inclusiv cu privire la respectarea drepturilor fundamentale, precum și la sancțiuni în conformitate cu articolul 38.

Manualul practic ține seama de alte manuale relevante.

Comisia adoptă manualul practic sub forma unei recomandări.

CAPITOLUL 8

La articolul 39 din Regulamentul (UE) 2019/818, alineatele (1) și (2) se înlocuiesc cu următorul text:(1)Se instituie un registru central de raportare și statistici (CRRS) în scopul de a sprijini obiectivele SIS, Eurodac și ECRIS-TCN, în conformitate cu instrumentele juridice respective care reglementează sistemele menționate, și utilizabile între sisteme și rapoarte analitice în scop operațional, de elaborare a politicilor și de asigurare a calității datelor. De asemenea, CRRS sprijină obiectivele Regulamentului (UE) 2025/13 al Parlamentului European și al Consiliului.(2)eu-LISA creează, implementează și găzduiește în amplasamentele sale tehnice CRRS care conține datele și statisticile menționate la articolul 74 din Regulamentul (UE) 2018/1862 și la articolul 32 din Regulamentul (UE) 2019/816, separate în mod logic de sistemul de informații al UE. De asemenea, eu-LISA colectează datele și statisticile de la routerul menționat la articolul 39 alineatul (1) din Regulamentul (UE) 2025/13. Accesul la CRRS se acordă printr-un acces controlat și securizat și cu profiluri de utilizator specifice, exclusiv în scopul întocmirii de rapoarte și statistici, autorităților menționate la articolul 74 din Regulamentul (UE) 2018/1862, la articolul 32 din Regulamentul (UE) 2019/816 și la articolul 13 alineatul (1) din Regulamentul (UE) 2025/13.

CAPITOLUL 9

Comisia este asistată de un comitet. Respectivul comitet reprezintă un comitet în înțelesul Regulamentului (UE) nr. 182/2011.

În cazul în care se face trimitere la prezentul alineat, se aplică articolul 5 din Regulamentul (UE) nr. 182/2011. În cazul în care comitetul nu emite un aviz, Comisia nu adoptă proiectul de act de punere în aplicare și se aplică articolul 5 alineatul (4) al treilea paragraf din Regulamentul (UE) nr. 182/2011.

Competența de a adopta acte delegate este conferită Comisiei în condițiile prevăzute la prezentul articol.

Competența de a adopta actele delegate menționate la articolul 4 alineatele (11) și (12), la articolul 4 alineatul (12), la articolul 5 alineatul (4) și la articolul 7 alineatul (5) se conferă Comisiei pentru o perioadă de cinci ani de la 28 ianuarie 2025. Comisia elaborează un raport privind delegarea de competențe cu cel puțin nouă luni înainte de încheierea perioadei de cinci ani. Delegarea de competențe se prelungește tacit cu perioade de timp identice, cu excepția cazului în care Parlamentul European sau Consiliul se opune prelungirii respective cu cel puțin trei luni înainte de încheierea fiecărei perioade.

Delegarea de competențe menționată la articolul 4 alineatul (12), la articolul 5 alineatul (4) și la articolul 7 alineatul (5) poate fi revocată oricând de Parlamentul European sau de Consiliu. O decizie de revocare pune capăt delegării de competențe specificate în decizia respectivă. Decizia produce efecte din ziua care urmează datei publicării acesteia în Jurnalul Oficial al Uniunii Europene sau de la o dată ulterioară menționată în decizie. Decizia nu aduce atingere actelor delegate care sunt deja în vigoare.

Înainte de adoptarea unui act delegat, Comisia consultă experții desemnați de fiecare stat membru în conformitate cu principiile prevăzute în Acordul interinstituțional din 13 aprilie 2016 privind o mai bună legiferare.

De îndată ce adoptă un act delegat, Comisia îl notifică simultan Parlamentului European și Consiliului.

Un act delegat adoptat în temeiul articolului 4 alineatul (11) sau al articolului 4 alineatul (12), al articolului 5 alineatul (4) sau al articolului 7 alineatul (5) intră în vigoare numai în cazul în care nici Parlamentul European și nici Consiliul nu au formulat obiecții în termen de două luni de la notificarea acestuia către Parlamentul European și Consiliu sau în cazul în care, înaintea expirării termenului respectiv, Parlamentul European și Consiliul au informat Comisia că nu vor formula obiecții. Respectivul termen se prelungește cu două luni la inițiativa Parlamentului European sau a Consiliului.

eu-LISA se asigură că există proceduri pentru a monitoriza dezvoltarea routerului din perspectiva obiectivelor legate de planificare și costuri și pentru a monitoriza funcționarea routerului din perspectiva obiectivelor legate de rezultatele tehnice, de eficacitatea din punctul de vedere al costurilor, de securitate și de calitatea serviciilor.

Până la 29 ianuarie 2026 și, ulterior, în fiecare an pe parcursul fazei de dezvoltare a routerului, eu-LISA elaborează un raport privind stadiul de dezvoltare a routerului și îl prezintă Parlamentului European și Consiliului. Raportul conține informații detaliate cu privire la costurile ocazionate și la orice riscuri care pot avea un impact asupra costurilor globale care urmează să fie suportate din bugetul general al Uniunii, în conformitate cu articolul 32.

După punerea în funcțiune a routerului, eu-LISA întocmește un raport pe care îl prezintă Parlamentului European și Consiliului, în care se explică în detaliu modul în care au fost îndeplinite obiectivele, în special cele referitoare la planificare și costuri, și în care se justifică eventualele abateri.

Până la 29 ianuarie 2029 și, ulterior, din patru în patru ani, Comisia întocmește un raport care conține o evaluare globală a prezentului regulament, inclusiv privind necesitatea și valoarea adăugată a colectării datelor API, inclusiv o evaluare a:

aplicării prezentului regulament;

măsurii în care prezentul regulament și-a atins obiectivele;

impactului prezentului regulament asupra drepturilor fundamentale protejate în temeiul dreptului Uniunii;

impactului prezentului regulament asupra experienței de călătorie a pasagerilor care călătoresc în scopuri legitime;

impactului prezentului regulament asupra competitivității sectorului aviației și a sarcinii suportate de întreprinderi;

calității datelor transmise de router către UIP;

performanței routerului față de UIP.

Evaluarea menționată la alineatul (4) include, de asemenea, o evaluare a necesității, proporționalității și eficacității includerii colectării și transferului obligatorii de date API referitoare la zborurile intra-UE care intră în domeniul de aplicare al prezentului regulament.

Comisia prezintă raportul de evaluare Parlamentului European, Consiliului, Autorității Europene pentru Protecția Datelor și Agenției pentru Drepturi Fundamentale a Uniunii Europene. Dacă este cazul, ținând seama de evaluarea efectuată, Comisia face o propunere legislativă Parlamentului European și Consiliului în vederea modificării prezentului regulament.

Statele membre și transportatorii aerieni furnizează eu-Lisa și Comisiei, la cerere, informațiile necesare pentru elaborarea rapoartelor menționate la alineatele (2), (3) și (4). În special, statele membre furnizează informații cantitative și calitative privind colectarea datelor API din perspectivă operațională. Informațiile furnizate nu includ date cu caracter personal. Statele membre dispun de posibilitatea de a nu furniza astfel de informații dacă și în măsura în care acest lucru este necesar pentru a nu divulga metodele de lucru confidențiale sau pentru a nu periclita investigațiile în curs ale unităților de informații despre pasageri sau ale altor autorități competente. Comisia se asigură că orice informație confidențială furnizată este protejată în mod corespunzător.

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Se aplică:

în ceea ce privește datele API, după doi ani de la data punerii în funcțiune a routerului, stabilită de Comisie în conformitate cu articolul 34; și

în ceea ce privește alte date din PNR, după patru ani de la data punerii în funcțiune a routerului, stabilită de Comisie în conformitate cu articolul 35.

Cu toate acestea:

Articolul 4 alineatul (12), articolul 5 alineatul (4), articolul 7 alineatul (5), articolul 11 alineatul (5), articolul 12 alineatul (6), articolul 18 alineatul (4), articolul 23 alineatul (2), articolul 24 alineatul (2), articolele 25, 28 și 29, articolul 32 alineatul (1), articolele 34, 35, 42 și 43 se aplică de la 28 ianuarie 2025;

Articolul 6, articolul 17 alineatele (1), (2) și (3), articolul 18 alineatele (1), (2) și (3), articolele 19, 20, 26, 27, 33 și 36 se aplică începând cu data punerii în funcțiune a routerului, astfel cum este stabilită de Comisie în conformitate cu articolul 34 și cu articolul 35.