Artykuł 20

1. eu-LISA zapewnia bezpieczeństwo i szyfrowanie danych API, w szczególności danych API stanowiących dane osobowe, które to dane przetwarza zgodnie z niniejszym rozporządzeniem. Właściwe służby graniczne i przewoźnicy lotniczy zapewniają bezpieczeństwo danych API, w szczególności danych API stanowiących dane osobowe, które przetwarzają na podstawie niniejszego rozporządzenia. eu-LISA, właściwe służby graniczne i przewoźnicy lotniczy współpracują ze sobą, w ramach swoich obowiązków i zgodnie z prawem Unii, w celu zapewnienia bezpieczeństwa danych.

2. eu-LISA podejmuje środki niezbędne do zapewnienia bezpieczeństwa routera i danych API, a w szczególności danych API stanowiących dane osobowe, przesyłanych za pośrednictwem routera, w tym poprzez opracowanie, wdrożenie i regularne aktualizowanie planu bezpieczeństwa, planu ciągłości działania i planu przywrócenia gotowości do pracy po wystąpieniu sytuacji nadzwyczajnej, w celu:

a) zapewnienia fizycznej ochrony routera, w tym poprzez opracowanie planów awaryjnych na potrzeby ochrony jego kluczowych elementów;

b) zapobiegania nieuprawnionemu przetwarzaniu danych API – w tym nieuprawnionemu dostępowi do nich oraz ich kopiowaniu, modyfikowaniu lub usuwaniu, zarówno podczas przekazywania danych API do i z routera, jak i podczas przechowywania danych API w routerze, gdy jest to niezbędne do zakończenia procesu przesyłania – w szczególności za pomocą odpowiednich technik szyfrowania;

c) zapewnienia, aby osoby upoważnione do dostępu do routera miały dostęp wyłącznie do danych objętych ich upoważnieniem do dostępu;

d) zapewnienia możliwości sprawdzenia i ustalenia, którym właściwym służbom granicznym przesyła się dane API za pośrednictwem routera;

e) właściwego zgłaszania zarządowi wszelkich błędów w funkcjonowaniu routera;

f) monitorowania skuteczności środków bezpieczeństwa wymaganych na podstawie niniejszego artykułu i na podstawie rozporządzenia (UE) 2018/1725 oraz – w stosownych przypadkach – oceny i aktualizacji tych środków bezpieczeństwa w świetle zmian technologicznych lub operacyjnych.

Środki, o których mowa w akapicie pierwszym niniejszego ustępu, nie mają wpływu na art. 32 rozporządzenia (UE) 2016/679 ani na art. 33 rozporządzenia (UE) 2018/1725.