Artykuł 17

1. Przewoźnicy lotniczy tworzą rejestry wszystkich operacji przetwarzania dotyczących danych API prowadzonych na podstawie niniejszego rozporządzenia przy użyciu zautomatyzowanych środków, o których mowa w art. 5 ust. 2. Rejestry te obejmują datę, godzinę i miejsce przekazania danych API. Rejestry te nie zawierają żadnych danych osobowych poza informacjami niezbędnymi do identyfikacji odpowiednich pracowników przewoźnika lotniczego.

2. eu-LISA prowadzi rejestry dotyczące wszystkich operacji przetwarzania związanych z przekazywaniem i przesyłaniem danych API za pośrednictwem routera na podstawie niniejszego rozporządzenia. Rejestry te obejmują:

a) informacje o przewoźniku lotniczym, który przekazał dane API do routera;

b) informacje o właściwych służbach granicznych, do których przesłano dane API za pośrednictwem routera;

c) datę i godzinę czynności przekazania lub przesłania, o których mowa w lit. a) i b), oraz miejsce przekazania lub przesłania;

d) dostęp pracowników eu-LISA niezbędny do utrzymywania routera, o którym mowa w art. 26 ust. 3;

e) inne informacje dotyczące tych operacji przetwarzania, niezbędne do monitorowania bezpieczeństwa i integralności danych API oraz zgodności tych operacji przetwarzania z prawem.

Rejestry te nie zawierają żadnych danych osobowych poza informacjami niezbędnymi do identyfikacji odpowiednich pracowników eu-LISA, o których mowa w akapicie pierwszym lit. d).

3. Rejestry, o których mowa w ust. 1 i 2 niniejszego artykułu, wykorzystuje się wyłącznie w celu zapewnienia bezpieczeństwa i integralności danych API oraz zgodności przetwarzania z prawem, w szczególności w odniesieniu do zgodności z wymogami określonymi w niniejszym rozporządzeniu, w tym postępowań w sprawie kar za naruszenie tych wymogów zgodnie z art. 36 i 37.

4. Przewoźnicy lotniczy oraz eu-LISA wprowadzają odpowiednie środki w celu ochrony rejestrów, które stworzyli na podstawie odpowiednio ust. 1 i 2, przed nieuprawnionym dostępem i innymi rodzajami ryzyka dla bezpieczeństwa.

5. Krajowy organ nadzorczy odpowiedzialny za dane API, o którym mowa w art. 36, i właściwe służby graniczne mają dostęp do odpowiednich rejestrów, o których mowa w ust. 1 niniejszego artykułu, jeżeli jest to konieczne do celów, o których mowa w ust. 3 niniejszego artykułu.

6. Przewoźnicy lotniczy oraz eu-LISA przechowują rejestry, które utworzyli na podstawie odpowiednio ust. 1 i 2, przez okres roku od momentu ich utworzenia. Po upływie tego okresu natychmiastowo trwale usuwają oni te rejestry.

Jeżeli jednak rejestry te są potrzebne do celów procedur monitorowania lub zapewniania bezpieczeństwa i integralności danych API lub legalności operacji przetwarzania, o których mowa w ust. 3, a w momencie upływu okresu, o którym mowa w akapicie pierwszym niniejszego ustępu, procedury te już się rozpoczęły, eu-LISA i przewoźnicy lotniczy przechowują te rejestry tak długo, jak jest to konieczne do przeprowadzenia tych procedur. W takim przypadku natychmiastowo usuwają oni te rejestry, jeżeli nie są już one konieczne do przeprowadzenia tych procedur.