Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2025/13 z dnia 19 grudnia 2024 r. w sprawie gromadzenia i przekazywania danych pasażera przekazywanych przed podróżą w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania oraz w sprawie zmiany rozporządzenia (UE) 2019/818

Artykuł 1

Przedmiot

W celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania w niniejszym rozporządzeniu ustanawia się przepisy dotyczące:

a) gromadzenia danych pasażera przekazywanych przed podróżą (API) przez przewoźników lotniczych w odniesieniu do lotów pozaunijnych i lotów wewnątrzunijnych;

b) przekazywania danych API i innych danych PNR przez przewoźników lotniczych do routera;

c) przesyłania danych API i innych danych PNR z routera do jednostek do spraw informacji o pasażerach (JIP) w odniesieniu do lotów pozaunijnych i wybranych lotów wewnątrzunijnych.

Niniejsze rozporządzenie pozostaje bez uszczerbku dla rozporządzenia (UE) 2016/679, rozporządzenia (UE) 2018/1725 i dyrektywy (UE) 2016/680.

Artykuł 2

Zakres

Niniejsze rozporządzenie ma zastosowanie do przewoźników lotniczych wykonujących:

a) loty pozaunijne;

b) loty wewnątrzunijne, w przypadku gdy miejsca odlotu, przylotu lub przerwy w podróży znajdują się na terytorium co najmniej jednego państwa członkowskiego, które powiadomiło Komisję o swojej decyzji o stosowaniu dyrektywy (UE) 2016/681 do lotów wewnątrzunijnych zgodnie z art. 2 ust. 1 tej dyrektywy.

Artykuł 3

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

1) „przewoźnik lotniczy” oznacza przewoźnika lotniczego w rozumieniu art. 3 pkt 1 dyrektywy (UE) 2016/681;

2) „lot pozaunijny” oznacza lot pozaunijny w rozumieniu art. 3 pkt 2 dyrektywy (UE) 2016/681;

3) „lot wewnątrzunijny” oznacza lot wewnątrzunijny w rozumieniu art. 3 pkt 3 dyrektywy (UE) 2016/681;

4) „lot regularny” oznacza lot regularny w rozumieniu art. 3 pkt 5 rozporządzenia (UE) 2025/12;

5) „lot nieregularny” oznacza lot nieregularny w rozumieniu art. 3 pkt 6 rozporządzenia (UE) 2025/12;

6) „pasażer” oznacza pasażera w rozumieniu art. 3 pkt 4 dyrektywy (UE) 2016/681;

7) „załoga” oznacza osoby znajdujące się na pokładzie samolotu podczas lotu, inne niż pasażerowie, które pracują w samolocie lub obsługują go, w tym załogę lotniczą i personel pokładowy;

8) „dane pasażera przekazywane przed podróżą” lub „dane API” oznaczają dane i informacje o locie, o których mowa odpowiednio w art. 4 ust. 2 i 3;

9) „inne dane dotyczące przelotu pasażera” lub „inne dane PNR” oznaczają dane dotyczące przelotu pasażera w rozumieniu art. 3 pkt 5 dyrektywy (UE) 2016/681, wymienione w załączniku I do tej dyrektywy, z wyjątkiem pkt 18 tego załącznika;

10) „jednostka do spraw informacji o pasażerach” lub „JIP” oznacza jednostkę do spraw informacji o pasażerach, której dotyczą powiadomienia kierowane przez państwa członkowskie do Komisji i ich zmiany publikowane przez Komisję na podstawie art. 4 ust. 5 dyrektywy (UE) 2016/681;

11) „przestępstwa terrorystyczne” oznaczają przestępstwa terrorystyczne, o których mowa w art. 3–12 dyrektywy Parlamentu Europejskiego i Rady (UE) 2017/541 (

1

);

12) „poważna przestępczość” oznacza poważną przestępczość w rozumieniu art. 3 pkt 9 dyrektywy (UE) 2016/681;

13) „router” oznacza router, o którym mowa w art. 9 niniejszego rozporządzenia i art. 11 rozporządzenia (UE) 2025/12;

14) „dane osobowe” oznaczają dane osobowe w rozumieniu art. 3 pkt 1 dyrektywy (UE) 2016/680 i art. 4 pkt 1 rozporządzenia (UE) 2016/679;

15) „dane o ruchu lotniczym w czasie rzeczywistym” oznaczają informacje na temat przylotów i odlotów w porcie lotniczym objętym niniejszym rozporządzeniem.

Artykuł 4

Gromadzenie danych API przez przewoźników lotniczych

1. Przewoźnicy lotniczy gromadzą dane API dotyczące każdego pasażera i członka załogi lotów, o których mowa w art. 2, w celu ich przekazania do routera zgodnie z art. 5. Jeżeli lot odbywa się w ramach wspólnej obsługi połączeń przez przewoźników lotniczych, obowiązek przekazania danych API spoczywa na przewoźniku lotniczym obsługującym lot.

2. Dane API obejmują wyłącznie następujące dane dotyczące każdego pasażera i członka załogi lotu:

a) nazwisko, imię lub imiona;

b) data urodzenia, płeć i obywatelstwo;

c) rodzaj i numer dokumentu podróży oraz trzyliterowy kod państwa wydającego dokument podróży;

d) data upływu ważności dokumentu podróży;

e) numer identyfikujący dane dotyczące przelotu pasażera wykorzystywany przez przewoźnika lotniczego do zlokalizowania pasażera w swoim systemie informacyjnym (kod identyfikacyjny danych PNR);

f) informacje na temat miejsca na pokładzie, tj. numer miejsca przydzielonego pasażerowi w samolocie, jeżeli takie informacje są dostępne;

g) numer lub numery kwitów bagażowych oraz liczba i waga sztuk bagażu rejestrowanego, jeżeli takie informacje są dostępne;

h) kod wskazujący na metodę stosowaną do pozyskiwania i zatwierdzania danych, o których mowa w lit. a)–d).

3. Dane API obejmują również wyłącznie następujące informacje o locie dotyczące lotu każdego pasażera i członka załogi:

a) numer identyfikacyjny lotu lub, jeżeli lot odbywa się w ramach wspólnej obsługi połączeń przez przewoźników lotniczych, numery identyfikacyjne lotów lub, w przypadku braku takiego numeru, inny wyraźny i odpowiedni sposób identyfikacji lotu;

b) w stosownych przypadkach – przejście graniczne przylotu na terytorium państwa członkowskiego;

c) kod portu lotniczego przylotu lub, jeżeli planowane jest lądowanie w co najmniej jednym porcie lotniczym na terytorium co najmniej jednego państwa członkowskiego, do którego niniejsze rozporządzenie ma zastosowanie, kody portów lotniczych lądowań na terytoriach tych państw członkowskich;

d) kod portu lotniczego odlotu;

e) kod portu lotniczego początkowego punktu wejścia na pokład, jeżeli jest dostępny;

f) lokalna data i godzina odlotu;

g) lokalna data i godzina przylotu;

h) dane kontaktowe przewoźnika lotniczego;

i) format stosowany do przekazywania danych API.

4. Przewoźnicy lotniczy gromadzą dane API w sposób zapewniający, aby dane API przekazywane przez nich zgodnie z art. 5 były dokładne, kompletne i aktualne. Wypełnienie tego obowiązku nie wymaga od przewoźników lotniczych sprawdzania dokumentu podróży w chwili wejścia na pokład samolotu, bez uszczerbku dla przepisów prawa krajowego zgodnych z prawem Unii.

5. Niniejsze rozporządzenie nie nakłada na pasażerów obowiązku posiadania przy sobie podczas podróży dokumentu podróży, bez uszczerbku dla innych aktów prawnych Unii lub dla przepisów prawa krajowego zgodnych z prawem Unii.

6. Państwo członkowskie może zobowiązać przewoźników lotniczych, by umożliwiali pasażerom dobrowolne przesyłanie w sposób zautomatyzowany danych, o których mowa w art. 4 ust. 2 lit. a)–d) rozporządzenia (UE) 2025/12, i przechowywanie takich danych u przewoźnika lotniczego w celu ich przekazania na potrzeby przyszłych lotów zgodnie z art. 5 niniejszego rozporządzenia oraz z wymogami określonymi w ust. 4, 7 i 8 niniejszego artykułu. Państwo członkowskie, które nakłada taki obowiązek, ustanawia przepisy i zabezpieczenia dotyczące ochrony danych zgodnie z rozporządzeniem (UE) 2016/679, w tym przepisy dotyczące okresu przechowywania. Dane są jednak usuwane, jeżeli pasażer nie zgadza się już na ich przechowywanie lub najpóźniej w dniu wygaśnięcia ważności dokumentu podróży.

7. Przewoźnicy lotniczy gromadzą dane API, o których mowa w ust. 2 lit. a)–d), stosując zautomatyzowane sposoby gromadzenia danych nadających się do odczytu maszynowego z dokumentu podróży danego pasażera. Odbywa się to zgodnie ze szczegółowymi wymogami technicznymi, a od momentu przyjęcia i rozpoczęcia stosowania przepisów operacyjnych, o których mowa w ust. 12, także zgodnie z tymi przepisami.

Jeżeli przewoźnicy lotniczy oferują możliwość odprawy przez internet, umożliwiają pasażerom podczas tej odprawy przez internet podanie danych API, o których mowa w ust. 2 lit. a)–d), w sposób zautomatyzowany. Przewoźnicy lotniczy umożliwiają pasażerom, którzy nie odprawili się przez internet, przekazanie tych danych API w sposób zautomatyzowany podczas odprawy w porcie lotniczym w punkcie samoobsługowym lub z pomocą personelu linii lotniczych przy stanowisku odprawy.

Jeżeli wykorzystanie sposobów zautomatyzowanych nie jest technicznie możliwe, przewoźnicy lotniczy wyjątkowo gromadzą dane API, o których mowa w ust. 2 lit. a)–d), manualnie, w ramach odprawy przez internet albo odprawy w porcie lotniczym, w sposób zapewniający zgodność z ust. 4.

8. Metody gromadzenia danych w sposób zautomatyzowany stosowane przez przewoźników lotniczych do gromadzenia danych API na podstawie niniejszego rozporządzenia muszą być niezawodne, bezpieczne i aktualne. Przewoźnicy lotniczy zapewniają, aby podczas przekazywania danych API przez pasażera przewoźnikowi lotniczemu takie dane były zaszyfrowane.

9. W okresie przejściowym i jako uzupełnienie zautomatyzowanych sposobów gromadzenia danych, o których to sposobach mowa w ust. 7, przewoźnicy lotniczy umożliwiają pasażerom manualne przekazywanie danych API w ramach odprawy przez internet. W takim przypadku w celu zapewnienia zgodności z ust. 4, przewoźnicy lotniczy stosują techniki weryfikacji danych.

10. Okres przejściowy, o którym mowa w ust. 9, nie wpływa na prawo przewoźników lotniczych do zweryfikowania w porcie lotniczym, przed wejściem pasażera na pokład samolotu, danych API zgromadzonych w toku odprawy przez internet, w celu zapewnienia przestrzegania ust. 4, zgodnie z mającym zastosowanie prawem Unii.

11. Komisja jest uprawniona do przyjęcia – cztery lata po rozpoczęciu działania routera w odniesieniu do danych API, o czym mowa w art. 34, na podstawie oceny dostępności i przystępności zautomatyzowanych sposobów gromadzenia danych API – aktu delegowanego zgodnie z art. 43 w celu zakończenia okresu przejściowego, o którym mowa w ust. 9 niniejszego artykułu.

12. Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 43 w celu uzupełnienia niniejszego rozporządzenia przez ustanowienie szczegółowych wymogów technicznych i przepisów operacyjnych odnoszących się do gromadzenia danych API, o których mowa w ust. 2 lit. a)–d) niniejszego artykułu, w sposób zautomatyzowany zgodnie z ust. 7 i 8 niniejszego artykułu, oraz do manualnego gromadzenia danych API w wyjątkowych sytuacjach zgodnie z ust. 7 niniejszego artykułu i w okresie przejściowym, o którym mowa w ust. 9 niniejszego artykułu. Te wymogi techniczne i przepisy operacyjne obejmują wymogi dotyczące bezpieczeństwa danych oraz stosowania najbardziej niezawodnych dostępnych zautomatyzowanych sposobów gromadzenia danych z dokumentu podróży nadających się do odczytu maszynowego.

Artykuł 5

Obowiązki przewoźników lotniczych dotyczące przekazywania danych API i innych danych PNR

1. Przewoźnicy lotniczy przekazują zaszyfrowane dane API do routera drogą elektroniczną na potrzeby ich przesłania do JIP zgodnie z art. 12. Od momentu przyjęcia i rozpoczęcia stosowania szczegółowych przepisów, o których mowa w ust. 4 niniejszego artykułu, przewoźnicy lotniczy przekazują dane API zgodnie z takimi przepisami.

2. Przyjmując środki zgodnie z art. 8 ust. 1 dyrektywy (UE) 2016/681, państwa członkowskie wymagają, aby przewoźnicy lotniczy przekazywali wszelkie inne dane PNR, które gromadzą podczas normalnej działalności, wyłącznie do routera, zgodnie ze wspólnymi protokołami i formatami danych określonymi na podstawie art. 16 tej dyrektywy.

3. Przewoźnicy lotniczy przekazują dane API:

a) w przypadku pasażerów:

(i) dotyczące każdego pasażera w chwili odprawy, ale nie wcześniej niż 48 godzin przed planowym czasem odlotu; oraz

(ii) dotyczące wszystkich pasażerów, którzy weszli na pokład, natychmiast po zamknięciu lotu, to jest po wejściu pasażerów na pokład samolotu przygotowującego się do odlotu, kiedy żadni pasażerowie nie mogą już wejść na pokład ani opuścić samolotu;

b) dotyczące wszystkich członków załogi natychmiast po zamknięciu lotu, to jest bezpośrednio po ich wejściu na pokład samolotu przygotowującego się do odlotu, kiedy nie mogą już oni opuścić samolotu.

4. Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 43 w celu uzupełnienia niniejszego rozporządzenia przez określenie niezbędnych szczegółowych przepisów dotyczących wspólnych protokołów i obsługiwanych formatów danych, które mają być wykorzystywane na potrzeby przekazywania zaszyfrowanych danych API do routera, o którym mowa w ust. 1 niniejszego artykułu, w tym przekazywania danych API w momencie odprawy i wymogów bezpieczeństwa danych. Takie szczegółowe przepisy służą zapewnieniu, aby przewoźnicy lotniczy przekazywali dane API z zastosowaniem tej samej struktury i treści.

Artykuł 6

Okres przechowywania i usuwanie danych API

Przewoźnicy lotniczy przechowują dane API dotyczące wszystkich pasażerów i członków załogi, które gromadzą zgodnie z art. 4, przez 48 godzin od otrzymania przez router danych API przekazanych do niego zgodnie z art. 5 ust. 3 lit. a) ppkt (ii) i lit. b). Po upływie tego okresu natychmiastowo trwale usuwają oni takie dane API, bez uszczerbku dla możliwości zatrzymywania i wykorzystywania danych przez przewoźników lotniczych, jeżeli jest to konieczne do prowadzenia ich normalnej działalności, zgodnie z mającymi zastosowanie przepisami, oraz dla art. 16 ust. 1 i 3.

Artykuł 7

Poprawianie, uzupełnianie i aktualizacja danych API

1. Jeżeli przewoźnik lotniczy dowie się, że dane, które przechowuje na podstawie niniejszego rozporządzenia, były przetwarzane niezgodnie z prawem lub nie stanowią danych API, natychmiastowo trwale usuwa te dane. Jeżeli dane te zostały przekazane do routera, przewoźnik lotniczy natychmiastowo informuje o tym Agencję Unii Europejskiej ds. Zarządzania Operacyjnego Wielkoskalowymi Systemami Informatycznymi w Przestrzeni Wolności, Bezpieczeństwa i Sprawiedliwości (eu-LISA). Po otrzymaniu takiej informacji eu-LISA natychmiastowo informuje o tym fakcie JIP, która otrzymała dane przesłane za pośrednictwem routera.

2. Jeżeli przewoźnik lotniczy dowie się, że dane, które przechowuje na podstawie niniejszego rozporządzenia, są niedokładne, niekompletne lub nieaktualne, natychmiastowo poprawia, uzupełnia lub aktualizuje te dane. Pozostaje to bez uszczerbku dla możliwości zachowania i wykorzystywania danych przez przewoźników lotniczych, jeżeli jest to niezbędne do prowadzenia normalnej działalności zgodnie z mającymi zastosowanie przepisami.

3. Jeżeli po przekazaniu danych API na podstawie art. 5 ust. 3 lit. a) ppkt (i), ale przed przekazaniem na podstawie art. 5 ust. 3 lit. a) ppkt (ii), przewoźnik lotniczy dowie się, że przekazane przez niego dane są niedokładne, natychmiastowo przekazuje on poprawione dane API do routera.

4. Jeżeli po przekazaniu danych API na podstawie art. 5 ust. 3 lit. a) ppkt (ii) lub lit. b) przewoźnik lotniczy dowie się, że przekazane przez niego dane są niedokładne, niekompletne lub nieaktualne, natychmiastowo przekazuje on poprawione, uzupełnione lub zaktualizowane dane API do routera.

5. Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 43 w celu uzupełnienia niniejszego rozporządzenia przez ustanowienie niezbędnych szczegółowych przepisów dotyczących poprawiania, uzupełniania i aktualizowania danych API w rozumieniu niniejszego artykułu.

Artykuł 8

Prawa podstawowe

1. Gromadzenie i przetwarzanie danych osobowych zgodnie z niniejszym rozporządzeniem oraz rozporządzeniem (UE) 2025/12 przez przewoźników lotniczych i właściwe organy nie może prowadzić do dyskryminacji osób ze względów wymienionych w art. 21 Karty praw podstawowych Unii Europejskiej (zwanej dalej „Kartą”).

2. Niniejsze rozporządzenie zapewnia pełne poszanowanie godności ludzkiej oraz praw podstawowych, a także zasad uznanych w Karcie, w tym prawa do poszanowania życia prywatnego, do azylu, do ochrony danych osobowych, do swobody przemieszczania się oraz do skutecznych środków prawnych.

3. Szczególną uwagę zwraca się na dzieci, osoby starsze, osoby z niepełnosprawnością i osoby wymagające szczególnego traktowania. Podczas wdrażania niniejszego rozporządzenia przede wszystkim bierze się pod uwagę dobro dziecka.

Artykuł 9

Router

1. eu-LISA projektuje i opracowuje router, zapewnia jego hosting oraz zarządza nim pod względem technicznym zgodnie z art. 25 i 26, aby umożliwić przekazywanie zaszyfrowanych danych API i innych danych PNR przez przewoźników lotniczych do JIP zgodnie z niniejszym rozporządzeniem.

2. Router składa się z:

a) infrastruktury centralnej obejmującej zestaw elementów technicznych umożliwiających otrzymywanie i przesyłanie zaszyfrowanych danych API i innych danych PNR;

b) bezpiecznego kanału komunikacji między infrastrukturą centralną a JIP oraz bezpiecznego kanału komunikacji między infrastrukturą centralną a przewoźnikami lotniczymi, służącego do przekazywania i przesyłania danych API i innych danych PNR oraz wszelkich powiązanych komunikatów, a także do wprowadzania przez państwa członkowskie do routera wybranych lotów, o których mowa w art. 12 ust. 4, i wszelkich związanych z tym aktualizacji;

c) bezpiecznego kanału do otrzymywania danych o ruchu lotniczym w czasie rzeczywistym.

3. Bez uszczerbku dla art. 10 niniejszego rozporządzenia router współdzieli i ponownie wykorzystuje – w stosownych przypadkach i w zakresie, w jakim jest to technicznie możliwe – elementy techniczne, w tym sprzęt i oprogramowanie usługi sieciowej, o której mowa w art. 13 rozporządzenia (UE) 2017/2226, portalu dla przewoźników, o którym mowa w art. 6 ust. 2 lit. k) rozporządzenia (UE) 2018/1240, oraz portalu dla przewoźników, o którym mowa w art. 45c rozporządzenia (WE) nr 767/2008.

eu-Lisa projektuje router, w miarę możliwości technicznych i operacyjnych, w sposób spójny i zgodny z obowiązkami przewoźników lotniczych określonymi w rozporządzeniach (WE) nr 767/2008, (UE) 2017/2226 i (UE) 2018/1240.

4. Router zgodnie z art. 39 niniejszego rozporządzenia automatycznie pobiera dane i udostępnia je centralnemu repozytorium sprawozdawczo-statystycznemu (CRRS) ustanowionemu na podstawie art. 39 rozporządzenia (UE) 2019/818.

5. eu-LISA projektuje i opracowuje router w taki sposób, aby dane API i inne dane PNR były szyfrowane od końca do końca podczas każdego przekazywania przez przewoźników lotniczych do routera zgodnie z art. 5 oraz podczas każdego przesyłania danych API i innych danych PNR z routera do JIP zgodnie z art. 12 oraz do CRRS zgodnie z art. 39 ust. 2.

Artykuł 10

Korzystanie z routera na zasadzie wyłączności

Do celów niniejszego rozporządzenia router jest wykorzystywany wyłącznie:

a) przez przewoźników lotniczych w celu przekazywania zaszyfrowanych danych API i innych danych PNR zgodnie z niniejszym rozporządzeniem;

b) przez JIP w celu otrzymywania zaszyfrowanych danych API i innych danych PNR zgodnie z niniejszym rozporządzeniem;

c) na podstawie umów międzynarodowych umożliwiających przekazywanie danych PNR za pośrednictwem routera, zawartych przez Unię z państwami trzecimi, które zawarły umowę przewidującą ich włączenie we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen.

Niniejszy artykuł pozostaje bez uszczerbku dla art. 12 rozporządzenia (UE) 2025/12.

Artykuł 11

Weryfikacje formatu i przekazywania danych

1. Router w sposób zautomatyzowany i w oparciu o dane o ruchu lotniczym w czasie rzeczywistym weryfikuje, czy przewoźnik lotniczy przekazał dane API zgodnie z art. 5 ust. 1 lub inne dane PNR zgodnie z art. 5 ust. 2.

2. Router natychmiastowo w sposób zautomatyzowany weryfikuje, czy dane API przekazane mu zgodnie z art. 5 ust. 1 są zgodne ze szczegółowymi przepisami dotyczącymi obsługiwanych formatów danych, o których mowa w art. 5 ust. 4.

3. Router natychmiastowo w sposób zautomatyzowany weryfikuje, czy dane PNR przekazane mu zgodnie z art. 5 ust. 2 są zgodne z przepisami dotyczącymi obsługiwanych formatów danych, o których mowa w art. 16 dyrektywy (UE) 2016/681.

4. Jeżeli weryfikacja, o której mowa w ust. 1, wykaże, że przewoźnik lotniczy nie przekazał danych, lub jeżeli weryfikacja, o której mowa w ust. 2 lub 3, wykaże, że dane nie są zgodne ze szczegółowymi przepisami dotyczącymi obsługiwanych formatów danych, router natychmiastowo w sposób zautomatyzowany powiadamia o tym zainteresowanego przewoźnika lotniczego i JIP państw członkowskich, którym dane miały zostać przekazane zgodnie z art. 12 ust. 1. W takich przypadkach przewoźnik lotniczy natychmiastowo przekazuje dane API i inne dane PNR zgodnie z art. 5.

5. Komisja przyjmuje akty wykonawcze określające szczegółowe przepisy techniczne i proceduralne niezbędne do weryfikacji i powiadomień, o których mowa w ust. 1– 4 niniejszego artykułu. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 42 ust. 2.

Artykuł 12

Przekazywanie danych API i innych danych PNR z routera do JIP

1. Bezpośrednio po weryfikacji formatu i przekazywania danych, o której mowa w art. 11, router przekazuje zaszyfrowane dane API i wszelkie inne dane PNR przesłane do niego przez przewoźników lotniczych na podstawie art. 5 ust. 1 i 2 oraz, w stosownych przypadkach, art. 7 ust. 3 i 4 do JIP państwa członkowskiego, na którego terytorium znajduje się miejsce przylotu lub odlotu, lub do obu tych jednostek w przypadku lotów wewnątrzunijnych. Router przekazuje te dane natychmiastowo w sposób zautomatyzowany, nie zmieniając w żaden sposób ich treści. Jeżeli lot odbywa się z co najmniej jedną przerwą w podróży na terytorium innych państw członkowskich niż to, z którego nastąpił odlot, router przesyła dane API i inne dane PNR do JIP wszystkich zainteresowanych państw członkowskich.

Do celów przesyłania danych eu-LISA tworzy i aktualizuje tabelę korespondencji między poszczególnymi portami lotniczymi pochodzenia i przeznaczenia oraz krajami, w których te porty się znajdują.

W przypadku lotów wewnątrzunijnych router przesyła jednak do odpowiednich JIP wyłącznie dane API i inne dane PNR w odniesieniu do lotów ujętych w wykazie, o którym mowa w ust. 4.

2. Od momentu przyjęcia i rozpoczęcia stosowania szczegółowych przepisów, o których mowa w ust. 6, router przesyła dane API i inne dane PNR zgodnie z takimi przepisami.

3. Państwa członkowskie zapewniają, aby ich JIP po otrzymaniu danych API i innych danych PNR zgodnie z ust. 1 natychmiastowo w sposób zautomatyzowany potwierdzały routerowi odbiór takich danych.

4. Państwa członkowskie, które podejmują decyzję o stosowaniu dyrektywy (UE) 2016/681 do lotów wewnątrzunijnych zgodnie z art. 2 tej dyrektywy, ustanawiają wykaz wybranych lotów lub tras wewnątrzunijnych. Aby wskazać wybrane loty lub trasy, państwa członkowskie mogą stosować kod portu lotniczego odlotu i portu lotniczego przylotu. Te państwa członkowskie, zgodnie z art. 2 tej dyrektywy i art. 13 niniejszego rozporządzenia, regularnie dokonują przeglądu i w razie potrzeby aktualizacji tych wykazów. Zgodnie z dyrektywą (UE) 2016/681 oraz art. 13 niniejszego rozporządzenia państwo członkowskie może wybrać wszystkie loty lub trasy wewnątrzunijne, jeżeli jest to należycie uzasadnione.

Do dnia rozpoczęcia stosowania niniejszego rozporządzenia, o którym to dniu mowa w art. 45 akapit drugi, państwa członkowskie wprowadzają wybrane loty lub trasy do routera w sposób zautomatyzowany za pośrednictwem bezpiecznego kanału komunikacyjnego, o którym mowa w art. 9 ust. 2 lit. b), a następnie przekazują do routera wszelkie aktualizacje tych lotów lub tras.

5. Informacje wprowadzane przez państwa członkowskie do routera są traktowane jako poufne, a dostęp pracowników eu-LISA do tych informacji ogranicza się do tego, co jest ściśle niezbędne do rozwiązania problemów technicznych. Po otrzymaniu przez router tych informacji lub ich aktualizacji od państwa członkowskiego eu-LISA za pomocą routera natychmiastowo przesyła dane API i inne dane PNR do JIP tego państwa członkowskiego w odniesieniu do wybranych lotów lub wybranych tras, zgodnie z ust. 1.

6. Komisja przyjmuje akty wykonawcze określające szczegółowe przepisy techniczne i proceduralne niezbędne do przekazywania danych API i innych danych PNR z routera, o którym to przesyłaniu mowa w ust. 1 niniejszego artykułu, i wprowadzania informacji do routera, o którym to wprowadzaniu mowa w ust. 4 niniejszego artykułu, w tym dotyczące wymogów bezpieczeństwa danych. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 42 ust. 2.

Artykuł 13

Wybór lotów wewnątrzunijnych

1. Państwa członkowskie, które zgodnie z art. 2 dyrektywy (UE) 2016/681 podejmą decyzję o stosowaniu tej dyrektywy i w związku z tym niniejszego rozporządzenia do lotów wewnątrzunijnych, dokonują wyboru takich lotów wewnątrzunijnych zgodnie z niniejszym artykułem.

2. Państwa członkowskie mogą stosować dyrektywę (UE) 2016/681 i w związku z tym niniejsze rozporządzenie do wszystkich lotów wewnątrzunijnych, w przypadku których miejsce przylotu lub odlotu znajduje się na ich terytorium, wyłącznie w sytuacjach rzeczywistego i aktualnego lub możliwego do przewidzenia zagrożenia terrorystycznego na podstawie decyzji opartej na ocenie zagrożenia, ograniczonej do bezwzględnie koniecznego okresu i podlegającej skutecznemu przeglądowi przez sąd lub niezależny organ administracyjny, którego decyzja jest wiążąca.

3. W przypadku braku rzeczywistego i aktualnego lub możliwego do przewidzenia zagrożenia terrorystycznego państwa członkowskie, które stosują dyrektywę (UE) 2016/681 i w związku z tym niniejsze rozporządzenie do lotów wewnątrzunijnych, dokonują wyboru takich lotów wewnątrzunijnych na podstawie wyników oceny przeprowadzonej zgodnie z wymogami określonymi w ust. 4–7 niniejszego artykułu.

4. Ocena, o której mowa w ust. 3:

a) jest przeprowadzana w sposób obiektywny, należycie uzasadniony i niedyskryminacyjny zgodnie z art. 2 dyrektywy (UE) 2016/681;

b) uwzględnia jedynie te kryteria, które są istotne dla zapobiegania przestępstwom terrorystycznym i poważnej przestępczości mającym obiektywny związek, w tym pośredni, z lotniczym przewozem pasażerów, a także które są istotne dla wykrywania takich przestępstw terrorystycznych i poważnej przestępczości, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania, a przy tym nie są oparte wyłącznie na względach wymienionych w art. 21 Karty w odniesieniu do pasażerów lub grup pasażerów;

c) wykorzystuje wyłącznie informacje, które mogą służyć za podstawę obiektywnej, należycie uzasadnionej i niedyskryminującej oceny.

5. Na podstawie oceny, o której mowa w ust. 3, państwa członkowskie wybierają wyłącznie loty wewnątrzunijne, biorąc pod uwagę między innymi określone trasy, prawidłowości w podróżowaniu lub porty lotnicze, w przypadku których istnieją przesłanki wskazujące na przestępstwa terrorystyczne i poważną przestępczość, uzasadniające przetwarzanie danych API i innych danych PNR. Wybór lotów wewnątrzunijnych ogranicza się do tego, co jest absolutnie niezbędne do osiągnięcia celów dyrektywy (UE) 2016/681 i niniejszego rozporządzenia.

6. Państwa członkowskie przechowują całą dokumentację oceny, o której mowa w ust. 3, w tym w stosownych przypadkach jej przeglądu, i udostępniają ją na żądanie – zgodnie z dyrektywą (UE) 2016/680 – swoim niezależnym organom nadzorczym i krajowym organom nadzorczym.

7. Zgodnie z art. 2 dyrektywy (UE) 2016/681 państwa członkowskie regularnie i co najmniej raz na 12 miesięcy przeprowadzają przegląd oceny, o której mowa w ust. 3, aby uwzględnić zmiany okoliczności uzasadniające wybór lotów wewnątrzunijnych oraz zapewnić, aby wybór lotów wewnątrzunijnych był nadal ograniczony do tego, co jest absolutnie niezbędne.

8. Komisja umożliwia regularną wymianę poglądów na temat kryteriów wyboru na potrzeby oceny, o której mowa w ust. 3, w tym dzielenie się najlepszymi praktykami, a także – na zasadzie dobrowolności – wymianę informacji na temat wybranych lotów.

Artykuł 14

Usuwanie danych API i innych danych PNR z routera

Dane API i inne dane PNR przekazane do routera na podstawie niniejszego rozporządzenia przechowuje się w routerze tylko w zakresie niezbędnym do zakończenia procesu ich przesyłania do odpowiednich JIP zgodnie z niniejszym rozporządzeniem oraz natychmiastowo, trwale i w sposób zautomatyzowany usuwa się te dane z routera w obu następujących sytuacjach:

a) gdy potwierdzono, zgodnie z art. 12 ust. 3, że przesyłanie danych API i innych danych PNR do odpowiednich JIP zostało zakończone;

b) gdy dane API lub inne dane PNR dotyczą lotów wewnątrzunijnych innych niż wymienione w wykazach, o których mowa w art. 12 ust. 4.

Router automatycznie informuje eu-LISA i JIP o natychmiastowym usunięciu lotów wewnątrzunijnych, o których mowa w lit. b).

Artykuł 15

Przetwarzanie danych API i innych danych PNR przez JIP

Dane API i inne dane PNR przesyłane do JIP zgodnie z niniejszym rozporządzeniem są następnie przetwarzane przez JIP zgodnie z dyrektywą (UE) 2016/681, w szczególności w odniesieniu do przepisów dotyczących przetwarzania danych API i innych danych PNR przez JIP, w tym art. 6, 10, 12 i 13 tej dyrektywy, wyłącznie w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania.

JIP lub inne właściwe służby w żadnym wypadku nie przetwarzają danych API ani innych danych PNR w celu profilowania, o którym mowa w art. 11 ust. 3 dyrektywy (UE) 2016/680.

Artykuł 16

Czynności podejmowane w przypadku braku technicznej możliwości korzystania z routera

1. Jeżeli korzystanie z routera do przesyłania danych API lub innych danych PNR jest technicznie niemożliwe z powodu awarii routera, eu-LISA natychmiastowo w sposób zautomatyzowany powiadamia przewoźników lotniczych i JIP o braku takiej technicznej możliwości. W takim przypadku eu-LISA natychmiastowo podejmuje działania mające na celu usunięcie braku technicznej możliwości korzystania z routera, a w razie rozwiązania tego problemu natychmiastowo powiadamia o tym przewoźników lotniczych i JIP.

W okresie pomiędzy tymi powiadomieniami art. 5 ust. 1 nie ma zastosowania w zakresie, w jakim brak technicznej możliwości korzystania z routera uniemożliwia przekazywanie danych API lub innych danych PNR do routera. Przewoźnicy lotniczy przechowują dane API lub inne dane PNR do czasu rozwiązania problemu braku możliwości technicznej. Bezpośrednio po rozwiązaniu problemu braku możliwości technicznej przewoźnicy lotniczy przekazują te dane do routera zgodnie z art. 5 ust. 1.

W razie gdy korzystanie z routera jest technicznie niemożliwe i w wyjątkowych przypadkach związanych z celami niniejszego rozporządzenia, które sprawiają, że JIP muszą natychmiastowo otrzymać dane API lub inne dane PNR, podczas gdy korzystanie z routera jest technicznie niemożliwe, JIP mogą zwrócić się do przewoźników lotniczych o posłużenie się innymi odpowiednimi środkami zapewniającymi niezbędny poziom bezpieczeństwa, jakości i ochrony danych do przekazania danych API lub innych danych PNR bezpośrednio do JIP. JIP przetwarzają dane API lub inne dane PNR otrzymane za pomocą wszelkich innych odpowiednich środków zgodnie z zasadami i zabezpieczeniami określonymi w dyrektywie (UE) 2016/681.

Po otrzymaniu od eu-LISA powiadomienia, że rozwiązano problem braku technicznej możliwości przesyłania, oraz jeżeli potwierdzono zgodnie z art. 12 ust. 3 że przesyłanie danych API lub innych danych PNR za pośrednictwem routera do odpowiedniej JIP zostało zakończone, ta JIP natychmiastowo usuwa dane API lub inne dane PNR, które otrzymała za pomocą innych odpowiednich środków.

2. Jeżeli korzystanie z routera do przesyłania danych API lub innych danych PNR jest technicznie niemożliwe z powodu awarii systemów lub infrastruktury państwa członkowskiego, o których mowa w art. 23, JIP tego państwa członkowskiego natychmiastowo w sposób zautomatyzowany powiadamia pozostałe JIP, eu-LISA i Komisję o tym braku technicznej możliwości. W takim przypadku dane państwo członkowskie natychmiastowo podejmuje działania mające na celu usunięcie braku technicznej możliwości korzystania z routera, a o rozwiązaniu tego problemu natychmiastowo powiadamia pozostałe JIP, eu-LISA i Komisję. Router przechowuje dane API lub inne dane PNR do czasu rozwiązania problemu braku technicznej możliwości. Bezpośrednio po rozwiązaniu problemu braku technicznej możliwości router przesyła te dane zgodnie z art. 12 ust. 1.

W razie gdy korzystanie z routera jest technicznie niemożliwe i w wyjątkowych przypadkach związanych z celami niniejszego rozporządzenia, które sprawiają, że JIP muszą natychmiastowo otrzymać dane API lub inne dane PNR, podczas gdy korzystanie z routera jest technicznie niemożliwe, JIP mogą zwrócić się do przewoźników lotniczych o posłużenie się innymi odpowiednimi środkami, zapewniającymi niezbędny poziom bezpieczeństwa danych, jakości danych i ochrony danych, w celu przekazania danych API lub innych danych PNR bezpośrednio do JIP. JIP przetwarzają dane API lub inne dane PNR otrzymane za pomocą innych odpowiednich środków zgodnie z zasadami i zabezpieczeniami określonymi w dyrektywie (UE) 2016/681.

Po otrzymaniu od eu-LISA powiadomienia, że rozwiązano problem braku technicznej możliwości przesyłania, oraz jeżeli potwierdzono zgodnie z art. 12 ust. 3 że przesyłanie danych API lub innych danych PNR za pośrednictwem routera do odpowiedniej JIP zostało zakończone, ta JIP natychmiastowo usuwa dane API lub inne dane PNR, które otrzymała za pomocą innych odpowiednich środków.

3. Jeżeli korzystanie z routera do przekazywania danych API lub innych danych PNR jest technicznie niemożliwe z powodu awarii systemów lub infrastruktury przewoźnika lotniczego, o których mowa w art. 24, przewoźnik ten natychmiastowo w sposób zautomatyzowany powiadamia JIP, eu-LISA i Komisję o tym braku technicznej możliwości. W takim przypadku dany przewoźnik lotniczy natychmiastowo podejmuje działania mające na celu usunięcie braku technicznej możliwości korzystania z routera, a o rozwiązaniu tego problemu natychmiastowo powiadamia JIP, eu-LISA i Komisję.

W okresie pomiędzy tymi powiadomieniami art. 5 ust. 1 nie ma zastosowania w zakresie, w jakim brak technicznej możliwości korzystania z routera uniemożliwia przekazywanie danych API lub innych danych PNR do routera. Przewoźnicy lotniczy przechowują dane API lub inne dane PNR do czasu rozwiązania problemu braku możliwości technicznej. Bezpośrednio po rozwiązaniu problemu braku możliwości technicznej przewoźnicy lotniczy przekazują te dane do routera zgodnie z art. 5 ust. 1.

W razie gdy korzystanie z routera jest technicznie niemożliwe i w wyjątkowych przypadkach związanych z celami niniejszego rozporządzenia, które sprawiają, że JIP muszą natychmiastowo otrzymać dane API lub inne dane PNR, podczas gdy korzystanie z routera jest technicznie niemożliwe, JIP mogą zwrócić się do przewoźników lotniczych o posłużenie się innymi odpowiednimi środkami zapewniającymi niezbędny poziom bezpieczeństwa, jakości i ochrony danych do przekazania danych API lub innych danych PNR bezpośrednio do JIP. JIP przetwarzają dane API lub inne dane PNR otrzymane za pomocą wszelkich innych odpowiednich środków zgodnie z zasadami i zabezpieczeniami określonymi w dyrektywie (UE) 2016/681.

Po otrzymaniu od eu-LISA powiadomienia, że rozwiązano problem braku technicznej możliwości przesyłania, oraz jeżeli potwierdzono zgodnie z art. 12 ust. 3 że przesyłanie danych API lub innych danych PNR za pośrednictwem routera do odpowiedniej JIP zostało zakończone, ta JIP natychmiastowo usuwa dane API lub inne dane PNR, które otrzymała za pomocą innych odpowiednich środków.

Po rozwiązaniu problemu braku technicznej możliwości dany przewoźnik lotniczy niezwłocznie przedkłada krajowemu organowi nadzorczemu odpowiedzialnemu za dane API, o którym mowa w art. 37, sprawozdanie opisujące wszystkie niezbędne szczegóły dotyczące braku technicznej możliwości, w tym przyczyny braku technicznej możliwości, jego zakres i konsekwencje, a także środki podjęte w celu zaradzenia temu brakowi technicznej możliwości.

Artykuł 17

Prowadzenie rejestrów

1. Przewoźnicy lotniczy tworzą rejestry wszystkich operacji przetwarzania dotyczących danych API prowadzonych na podstawie niniejszego rozporządzenia przy użyciu zautomatyzowanych środków, o których mowa w art. 4 ust. 7. Rejestry te obejmują datę, godzinę i miejsce przekazania danych API. Rejestry te nie zawierają żadnych danych osobowych poza informacjami niezbędnymi do identyfikacji odpowiednich pracowników przewoźnika lotniczego.

2. eu-LISA prowadzi rejestry dotyczące wszystkich operacji przetwarzania związanych z przekazywaniem i przesyłaniem danych API i innych danych PNR za pośrednictwem routera na podstawie niniejszego rozporządzenia. Rejestry te obejmują:

a) informacje o przewoźniku lotniczym, który przekazał dane API i inne dane PNR do routera;

b) informacje o przewoźniku lotniczym, który przekazał inne dane PNR do routera;

c) informacje o JIP, do których przesłano dane API za pośrednictwem routera;

d) informacje o JIP, do których przesłano inne dane PNR za pośrednictwem routera;

e) datę i godzinę czynności przekazania lub przesłania, o których mowa w lit. a)–d), oraz miejsce przekazania lub przesłania;

f) dostęp pracowników eu-LISA niezbędny do utrzymywania routera, o którym mowa w art. 26 ust. 3;

g) inne informacje dotyczące tych operacji przetwarzania, niezbędne do monitorowania bezpieczeństwa i integralności danych API i innych danych PNR oraz zgodności tych operacji przetwarzania z prawem.

Rejestry te nie zawierają żadnych danych osobowych poza informacjami niezbędnymi do identyfikacji odpowiednich pracowników eu-LISA, o których mowa w akapicie pierwszym lit. f).

3. Rejestry, o których mowa w ust. 1 i 2 niniejszego artykułu, wykorzystuje się wyłącznie w celu zapewnienia bezpieczeństwa i integralności danych API i innych danych PNR oraz zgodności przetwarzania z prawem, w szczególności w odniesieniu do zgodności z wymogami określonymi w niniejszym rozporządzeniu, w tym postępowań w sprawie kar za naruszenie tych wymogów zgodnie z art. 37 i 38.

4. Przewoźnicy lotniczy oraz eu-LISA wprowadzają odpowiednie środki w celu ochrony rejestrów, które stworzyli na podstawie odpowiednio ust. 1 i 2, przed nieuprawnionym dostępem i innymi rodzajami ryzyka dla bezpieczeństwa.

5. Krajowy organ nadzorczy odpowiedzialny za dane API, o którym mowa w art. 37, i JIP mają dostęp do odpowiednich rejestrów, o których mowa w ust. 1 niniejszego artykułu, jeżeli jest to konieczne do celów, o których mowa w ust. 3 niniejszego artykułu.

6. Przewoźnicy lotniczy oraz eu-LISA przechowują rejestry, które utworzyli na podstawie ust. 1 i 2, odpowiednio przez okres roku od momentu ich utworzenia. Po upływie tego okresu natychmiastowo trwale usuwają oni te rejestry.

Jeżeli jednak rejestry te są potrzebne do celów procedur monitorowania lub zapewniania bezpieczeństwa i integralności danych API lub legalności operacji przetwarzania, o których mowa w ust. 3, a w momencie upływu okresu, o którym mowa w akapicie pierwszym niniejszego ustępu, procedury te już się rozpoczęły, przewoźnicy lotniczy oraz eu-LISA przechowują te rejestry tak długo, jak jest to konieczne do przeprowadzenia tych procedur. W takim przypadku natychmiastowo usuwają oni te rejestry, jeżeli nie są już one konieczne do przeprowadzenia tych procedur.

Artykuł 18

Obowiązki w zakresie ochrony danych

1. Przewoźnicy lotniczy są administratorami w rozumieniu art. 4 pkt 7 rozporządzenia (UE) 2016/679 w odniesieniu do przetwarzania danych API i innych danych PNR stanowiących dane osobowe w odniesieniu do gromadzenia tych danych i przekazywania ich do routera na podstawie niniejszego rozporządzenia.

2. Każde państwo członkowskie wyznacza właściwy organ jako administratora zgodnie z niniejszym artykułem. Państwa członkowskie powiadamiają Komisję, eu-LISA i pozostałe państwa członkowskie o takich organach

Wszystkie właściwe organy wyznaczone przez państwa członkowskie są współadministratorami zgodnie z art. 21 dyrektywy (UE) 2016/680 w odniesieniu do przetwarzania danych osobowych w routerze.

3. eu-LISA jest podmiotem przetwarzającym w rozumieniu art. 3 pkt 12 rozporządzenia (UE) 2018/1725 do celów przetwarzania danych API i innych danych PNR stanowiących dane osobowe na podstawie niniejszego rozporządzenia za pośrednictwem routera, w tym przesyłania danych z routera do JIP i przechowywania tych danych w routerze ze względów technicznych. eu-LISA zapewnia, aby router był obsługiwany zgodnie z niniejszym rozporządzeniem.

4. Komisja przyjmuje akty wykonawcze, w których określa obowiązki poszczególnych współadministratorów oraz obowiązki rozdzielone między poszczególnych współadministratorów i podmiot przetwarzający. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 42 ust. 2.

Artykuł 19

Informacje dla pasażerów

Zgodnie z art. 13 rozporządzenia (UE) 2016/679 przewoźnicy lotniczy przekazują pasażerom korzystającym z lotów objętych niniejszym rozporządzeniem informacje na temat celu gromadzenia danych osobowych, rodzaju gromadzonych danych, odbiorców danych osobowych oraz sposobów korzystania przez nich z praw przysługujących im jako osobom, których dane dotyczą.

Informacje te przekazuje się pasażerom na piśmie i w łatwo dostępnym formacie w chwili rezerwacji i w chwili odprawy, niezależnie od środków wykorzystywanych do gromadzenia danych osobowych w momencie odprawy, zgodnie z art. 4.

Artykuł 20

Bezpieczeństwo

1. eu-LISA zapewnia bezpieczeństwo i szyfrowanie danych API i innych danych PNR, w szczególności danych stanowiących dane osobowe, które to dane przetwarza zgodnie z niniejszym rozporządzeniem. JIP i przewoźnicy lotniczy zapewniają bezpieczeństwo danych API, w szczególności danych API stanowiących dane osobowe, które to dane przetwarzają zgodnie z niniejszym rozporządzeniem.eu-LISA, JIP i przewoźnicy lotniczy współpracują ze sobą, w ramach swoich obowiązków i zgodnie z prawem Unii, w celu zapewnienia bezpieczeństwa danych.

2. eu-LISA zapewnia bezpieczeństwo i poufność danych dotyczących lotów i tras wybranych przez państwa członkowskie zgodnie z art. 12 ust. 4. JIP i przewoźnicy lotniczy zapewniają bezpieczeństwo danych API, w szczególności danych API stanowiących dane osobowe, które to dane przetwarzają zgodnie z niniejszym rozporządzeniem. eu-LISA, JIP i przewoźnicy lotniczy współpracują ze sobą, w ramach swoich obowiązków i zgodnie z prawem Unii, w celu zapewnienia bezpieczeństwa danych.

3. eu-LISA podejmuje środki niezbędne do zapewnienia bezpieczeństwa routera i danych API i innych danych PNR, a w szczególności danych stanowiących dane osobowe, przesyłanych za pośrednictwem routera, w tym poprzez opracowanie, wdrożenie i regularne aktualizowanie planu bezpieczeństwa, planu ciągłości działania i planu przywrócenia gotowości do pracy po wystąpieniu sytuacji nadzwyczajnej, w celu:

a) zapewnienia fizycznej ochrony routera, w tym poprzez opracowanie planów awaryjnych na potrzeby ochrony jego kluczowych elementów;

b) zapobiegania nieuprawnionemu przetwarzaniu danych API lub innych danych PNR – w tym nieuprawnionemu dostępowi do nich oraz ich kopiowaniu, modyfikowaniu lub usuwaniu, zarówno podczas przekazywania danych API lub innych danych PNR do i z routera, jak i podczas przechowywania danych API lub innych danych PNR w routerze, gdy jest to niezbędne do zakończenia procesu przesyłania – w szczególności za pomocą odpowiednich technik szyfrowania;

c) zapewnienia, aby osoby upoważnione do dostępu do routera miały dostęp wyłącznie do danych objętych ich upoważnieniem do dostępu;

d) zapewnienia możliwości sprawdzenia i ustalenia, którym JIP przesyła się dane API lub inne dane PNR za pośrednictwem routera;

e) właściwego zgłaszania zarządowi wszelkich błędów w funkcjonowaniu routera;

f) monitorowania skuteczności środków bezpieczeństwa wymaganych na podstawie niniejszego artykułu i na podstawie rozporządzenia (UE) 2018/1725 oraz – w stosownych przypadkach – oceny i aktualizacji tych środków bezpieczeństwa w świetle zmian technologicznych lub operacyjnych.

Środki, o których mowa w akapicie pierwszym niniejszego ustępu, nie mają wpływu na art. 32 rozporządzenia (UE) 2016/679, na art. 33 rozporządzenia (UE) 2018/1725 ani na art. 29 dyrektywy (UE) 2016/680.

Artykuł 21

Monitorowanie własnej działalności

Przewoźnicy lotniczy i JIP monitorują wypełnianie swoich odpowiednich obowiązków wynikających z niniejszego rozporządzenia, w szczególności w odniesieniu do przetwarzania przez nich danych API stanowiących dane osobowe. W przypadku przewoźników lotniczych monitorowanie obejmuje częstą weryfikację rejestrów, o których mowa w art. 17.

Artykuł 22

Kontrole ochrony danych osobowych

1. Niezależne organy nadzorcze, o których mowa w art. 41 dyrektywy (UE) 2016/680, co najmniej raz na cztery lata dokonują kontroli przeprowadzanych przez JIP na potrzeby niniejszego rozporządzenia operacji przetwarzania danych API stanowiących dane osobowe. Państwa członkowskie zapewniają, aby ich niezależne organy nadzorcze dysponowały zasobami i wiedzą fachową wystarczającymi do wykonywania zadań powierzonych im na podstawie niniejszego rozporządzenia.

2. Europejski Inspektor Ochrony Danych co najmniej raz w roku dokonuje kontroli operacji przetwarzania danych API i innych danych PNR stanowiących dane osobowe przeprowadzanych przez eu-LISA na potrzeby niniejszego rozporządzenia, zgodnie z odpowiednimi międzynarodowymi standardami kontroli. Sprawozdanie z takiej kontroli przekazuje się Parlamentowi Europejskiemu, Radzie, Komisji, państwom członkowskim i eu-LISA. eu-LISA ma możliwość przedstawienia uwag dotyczących sprawozdania przed jego przyjęciem.

3. W odniesieniu do operacji przetwarzania, o których mowa w ust. 2, na wniosek Europejskiego Inspektora Ochrony Danych eu-LISA przekazuje żądane informacje, udziela mu dostępu do wszelkich żądanych przez niego dokumentów i do rejestrów, o których mowa w art. 17 ust. 2, oraz umożliwia mu uzyskanie dostępu do wszystkich pomieszczeń eu-LISA w dowolnym momencie.

Artykuł 23

Połączenia JIP z routerem

1. Państwa członkowskie zapewniają swoim JIP połączenie z routerem. Zapewniają one, aby ich krajowe systemy i infrastruktura do odbioru i dalszego przetwarzania danych API i innych danych PNR przekazywanych na podstawie niniejszego rozporządzenia były zintegrowane z routerem.

Państwa członkowskie zapewniają, by połączenie z routerem i integracja z routerem umożliwiały ich JIP otrzymywanie i dalsze przetwarzanie tych danych API i innych danych PNR, a także wymianę wszelkich związanych z nimi komunikatów w sposób zgodny z prawem, bezpieczny, skuteczny i sprawny.

2. Komisja przyjmuje akty wykonawcze określające niezbędne szczegółowe przepisy dotyczące połączeń i integracji z routerem, o których mowa w ust. 1 niniejszego artykułu, w tym wymogów bezpieczeństwa danych. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 42 ust. 2.

Artykuł 24

Połączenia przewoźników lotniczych z routerem

1. Przewoźnicy lotniczy zapewniają, aby byli połączeni z routerem. Zapewniają oni, aby ich systemy i infrastruktura służące przekazywaniu danych API i innych danych PNR do routera na podstawie niniejszego rozporządzenia były zintegrowane z routerem.

Przewoźnicy lotniczy zapewniają, aby połączenie i integracja z routerem umożliwiały im przekazywanie tych danych API i innych danych PNR, jak również wymianę wszelkich powiązanych komunikatów, w sposób zgodny z prawem, bezpieczny, skuteczny i sprawny. W tym celu przewoźnicy lotniczy przeprowadzają – we współpracy z eu-LISA zgodnie z art. 27 ust. 3 – testy przekazywania danych API i innych danych PNR do routera.

2. Komisja przyjmuje akty wykonawcze określające niezbędne szczegółowe przepisy dotyczące połączeń i integracji z routerem, o których mowa w ust. 1 niniejszego artykułu, w tym wymogów bezpieczeństwa danych. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 42 ust. 2.

Artykuł 25

Zadania eu-LISA związane z projektowaniem i opracowaniem routera

1. eu-LISA jest odpowiedzialna za sporządzenie projektu architektury fizycznej routera, jak również za określenie jego specyfikacji technicznej.

2. eu-LISA odpowiada za opracowanie routera, w tym za wszelkie dostosowania techniczne niezbędne do jego funkcjonowania.

Opracowanie routera obejmuje przygotowanie i wdrożenie specyfikacji technicznych, przeprowadzenie testów oraz ogólną koordynację projektu i zarządzanie nim w fazie opracowania.

3. eu-LISA zapewnia, aby router zaprojektowano i opracowano w taki sposób, by umożliwiał korzystanie z funkcji określonych w niniejszym rozporządzeniu, a także by rozpoczął działanie jak najszybciej po przyjęciu przez Komisję aktów delegowanych przewidzianych w art. 4 ust. 12, art. 5 ust. 3, art. 7 ust. 2 oraz aktów wykonawczych przewidzianych w art. 11 ust. 5, art. 12 ust. 4, art. 23 ust. 2, art. 24 ust. 2 niniejszego rozporządzenia, a także aktów wykonawczych przewidzianych w art. 16 ust. 3 dyrektywy (UE) 2016/681 i po ocenie skutków dla ochrony danych zgodnie z art. 35 rozporządzenia (UE) 2016/679.

4. eu-LISA przekazuje JIP, innym właściwym organom państw członkowskich i przewoźnikom lotniczym zestaw testów zgodności. Zestaw testów zgodności obejmuje środowisko testowe, symulator, zbiory danych testowych oraz plan testów. Zestaw testów zgodności musi umożliwiać kompleksowe testy routera, o którym mowa w ust. 5 i 6, i pozostaje dostępny po zakończeniu tych testów.

5. Jeżeli eu-LISA stwierdzi, że fazę opracowania zakończono w odniesieniu do danych API, bez zbędnej zwłoki przeprowadza kompleksowy test routera we współpracy z JIP i innymi właściwymi organami państw członkowskich oraz przewoźnikami lotniczymi, a także informuje Komisję o wynikach tego testu.

6. Jeżeli eu-LISA stwierdzi, że fazę opracowania zakończono w odniesieniu do innych danych PNR, bez zbędnej zwłoki przeprowadza kompleksowe testy routera, aby zapewnić niezawodność połączeń routera z przewoźnikami lotniczymi i JIP, niezbędne standardowe przekazywanie innych danych PNR przez przewoźników lotniczych oraz przekazywanie i przesyłanie innych danych PNR zgodnie z art. 16 dyrektywy (UE) 2016/681, w tym korzystanie ze wspólnych protokołów i obsługiwanych standardowych formatów danych, o których mowa w art. 16 ust. 2 i 3 tej dyrektywy, w celu zapewnienia czytelności innych danych PNR. Testy takie przeprowadza się we współpracy z JIP i innymi właściwymi organami państw członkowskich oraz przewoźnikami lotniczymi. eu-LISA informuje Komisję o wynikach tych testów.

Artykuł 26

Zadania eu-LISA związane z hostingiem routera oraz z zarządzaniem technicznym routerem

1. eu-LISA zapewnia hosting routera w swoich centrach technicznych.

2. eu-LISA jest odpowiedzialna za zarządzanie techniczne routerem, w tym za jego utrzymanie i rozwój techniczny, w sposób zapewniający bezpieczne, skuteczne i sprawne przesyłanie danych API i innych danych PNR za pośrednictwem routera, zgodnie z niniejszym rozporządzeniem.

Zarządzanie techniczne routerem polega na wykonywaniu wszystkich zadań i wprowadzaniu wszystkich rozwiązań technicznych niezbędnych do zapewnienia prawidłowego funkcjonowania routera zgodnie z niniejszym rozporządzeniem, w sposób nieprzerwany, przez 24 godziny na dobę, 7 dni w tygodniu. Obejmuje ono w szczególności prace konserwacyjne i zmiany techniczne konieczne do zapewnienia zadowalającego poziomu jakości technicznej funkcjonowania routera, w szczególności w zakresie dostępności, dokładności i niezawodności przesyłania danych API i innych danych PNR, zgodnie ze specyfikacją techniczną i w jak największym stopniu zgodnie z potrzebami operacyjnymi JIP i przewoźników lotniczych.

3. Pracownicy eu-LISA nie mają dostępu do jakichkolwiek danych API lub innych danych PNR przesyłanych za pośrednictwem routera. Zakaz ten nie wyklucza jednak możliwości uzyskania przez pracowników eu-LISA takiego dostępu w zakresie bezwzględnie niezbędnym do utrzymywania routera i technicznego zarządzania routerem.

4. Bez uszczerbku dla ust. 3 niniejszego artykułu oraz art. 17 regulaminu pracowniczego urzędników Unii Europejskiej określonego w rozporządzeniu Rady (EWG, Euratom, EWWiS) nr 259/68 (

2

), eu-LISA stosuje właściwe przepisy dotyczące tajemnicy zawodowej lub nakłada inne równoważne obowiązki zachowania poufności na swoich pracowników zobowiązanych do pracy z danymi API i innymi danymi PNR przesyłanymi za pośrednictwem routera. Obowiązki te mają zastosowanie także po odejściu takich pracowników z urzędu lub z pracy lub po zakończeniu przez nich działalności.

Artykuł 27

Zadania pomocnicze eu-LISA związane z routerem

1. Na wniosek JIP, innych właściwych organów państw członkowskich lub przewoźników lotniczych eu-LISA zapewnia im szkolenie w zakresie technicznego korzystania z routera oraz połączenia i integracji z routerem.

2. eu-LISA zapewnia JIP wsparcie w zakresie odbioru danych API i innych danych PNR za pośrednictwem routera zgodnie z niniejszym rozporządzeniem, w szczególności w kwestii stosowania art. 12 i 23.

3. eu-LISA przeprowadza testy przekazywania danych API i innych danych PNR do routera we współpracy z przewoźnikami lotniczymi zgodnie z art. 24 ust. 1, z wykorzystaniem zestawu testów zgodności, o którym mowa w art. 25 ust. 4.

Artykuł 28

Komisja ds. zarządzania programem

1. Do dnia 28 stycznia 2025 r. zarząd eu-LISA powołuje komisję ds. zarządzania programem. W skład komisji wchodzi 10 członków:

a) siedmiu członków wyznaczonych przez zarząd eu-LISA spośród jego członków lub ich zastępców;

b) przewodniczący grupy doradczej ds. API-PNR, o której mowa w art. 29;

c) jeden pracownik eu-LISA wyznaczony przez jej dyrektora wykonawczego; oraz

d) jeden członek wyznaczony przez Komisję.

W odniesieniu do lit. a) członkowie wyznaczeni przez zarząd eu-LISA są wybierani wyłącznie spośród jego członków lub ich zastępców z tych państw członkowskich, do których niniejsze rozporządzenie ma zastosowanie.

2. Komisja ds. zarządzania programem opracowuje swój regulamin, który ma zostać przyjęty przez zarząd eu-LISA.

Przewodnictwo sprawuje państwo członkowskie, które jest członkiem komisji ds. zarządzania programem.

3. Komisja ds. zarządzania programem nadzoruje realizację zadań eu-LISA związanych z projektowaniem i opracowaniem routera zgodnie z art. 25.

Na wniosek Komisji ds. zarządzania programem eu-LISA przedstawia szczegółowe i aktualne informacje na temat projektowania i opracowania routera, w tym na temat zasobów przydzielonych przez eu-LISA.

4. Komisja ds. zarządzania programem regularnie, co najmniej trzy razy na kwartał, składa zarządowi eu-LISA pisemne sprawozdania z postępów w projektowaniu i opracowaniu routera.

5. Komisji ds. zarządzania programem nie przysługują uprawnienia do podejmowania decyzji ani do reprezentowania zarządu lub członków eu-LISA.

6. Komisja ds. zarządzania programem zostaje rozwiązana z dniem rozpoczęcia stosowania niniejszego rozporządzenia, o którym to dniu mowa w art. 45 akapit drugi.

Artykuł 29

Grupa doradcza ds. API-PNR

1. Od dnia 28 stycznia 2025 r. grupa doradcza ds. API-PNR, ustanowiona na podstawie art. 27 ust. 1 lit. de) rozporządzenia (UE) 2018/1726, zapewnia zarządowi eu-LISA niezbędną wiedzę fachową związaną z API-PNR, w szczególności w kontekście przygotowywania rocznego programu prac i rocznego sprawozdania z działalności.

2. W miarę dostępności eu-LISA przekazuje grupie doradczej ds. API-PNR wersje – nawet nieostateczne – specyfikacji technicznej i zestawów testów zgodności, o których mowa w art. 25 ust. 1, 2 i 4.

3. Grupa doradcza ds. API-PNR pełni następujące funkcje:

a) przekazuje eu-LISA i komisji ds. zarządzania programem wiedzę fachową na temat projektowania i opracowania routera zgodnie z art. 25;

b) przekazuje eu-LISA wiedzę fachową na temat hostingu routera i zarządzania technicznego routerem zgodnie z art. 26;

c) przedstawia komisji ds. zarządzania programem, na jej wniosek, swoją opinię na temat postępów w projektowaniu i opracowaniu routera, w tym na temat postępów w zakresie specyfikacji technicznych i zestawów testów zgodności, o których mowa w ust. 2.

4. Grupie doradczej ds. API-PNR nie przysługują uprawnienia do podejmowania decyzji ani do reprezentowania zarządu eu-LISA lub jej członków.

Artykuł 30

Grupa kontaktowa ds. API-PNR

1. Do odpowiedniego dnia rozpoczęcia stosowania niniejszego rozporządzenia, o którym to dniu mowa w art. 45 akapit drugi, zarząd eu-LISA powołuje grupę kontaktową ds. API-PNR.

2. Grupa kontaktowa ds. API-PNR umożliwia komunikację między właściwymi organami państw członkowskich a przewoźnikami lotniczymi w kwestiach technicznych związanych z ich odpowiednimi zadaniami i obowiązkami wynikającymi z niniejszego rozporządzenia.

3. W skład grupy kontaktowej ds. API-PNR wchodzą przedstawiciele właściwych organów państw członkowskich i przewoźników lotniczych, przewodniczący grupy doradczej ds. API-PNR oraz eksperci eu-LISA.

4. Zarząd eu-LISA opracowuje regulamin grupy kontaktowej ds. API-PNR po uzyskaniu opinii grupy doradczej ds. API-PNR.

5. W razie potrzeby zarząd eu-LISA może również powołać podgrupy grupy kontaktowej ds. API-PNR, które omawiają konkretne kwestie techniczne związane z odpowiednimi zadaniami i obowiązkami właściwych organów państw członkowskich i przewoźników lotniczych na podstawie niniejszego rozporządzenia.

6. Grupie kontaktowej ds. API-PNR, w tym jej podgrupom, nie przysługują uprawnienia do podejmowania decyzji ani do reprezentowania zarządu eu-LISA lub jej członków.

Artykuł 31

Grupa ekspercka ds. API

1. Do dnia rozpoczęcia stosowania niniejszego rozporządzenia, o którym to dniu mowa w art. 45 akapit drugi lit. a), Komisja powołuje grupę ekspercką ds. API zgodnie z przepisami horyzontalnymi dotyczącymi tworzenia i funkcjonowania grup eksperckich Komisji.

2. Grupa ekspercka ds. API umożliwia komunikację między właściwymi organami państw członkowskich oraz między właściwymi organami państw członkowskich a przewoźnikami lotniczymi w kwestiach związanych z polityką dotyczącą ich odpowiednich zadań i obowiązków wynikających z niniejszego rozporządzenia, w tym w odniesieniu do kar, o których mowa w art. 38.

3. Grupie eksperckiej ds. API przewodniczy Komisja, a powołuje się ją zgodnie z przepisami horyzontalnymi dotyczącymi tworzenia i funkcjonowania grup eksperckich Komisji. W jej skład wchodzą przedstawiciele odpowiednich organów państw członkowskich, przedstawiciele przewoźników lotniczych i eksperci eu-LISA. Jeżeli jest to istotne dla wykonywania jej zadań, grupa ekspercka ds. API może zaprosić do udziału w swoich pracach odpowiednie zainteresowane strony, w szczególności przedstawicieli Parlamentu Europejskiego, Europejskiego Inspektora Ochrony Danych i niezależnych krajowych organów nadzorczych.

4. Grupa ekspercka ds. API wykonuje swoje zadania zgodnie z zasadą przejrzystości. Komisja publikuje na swojej stronie internetowej protokoły posiedzeń grupy eksperckiej ds. API oraz inne odpowiednie dokumenty.

Artykuł 32

Koszty ponoszone przez eu-LISA, Europejskiego Inspektora Ochrony Danych, krajowe organy nadzorcze i państwa członkowskie

1. Koszty poniesione przez eu-LISA w związku z utworzeniem i funkcjonowaniem routera na podstawie niniejszego rozporządzenia są pokrywane z budżetu ogólnego Unii.

2. Koszty poniesione przez państwa członkowskie w związku z wdrażaniem niniejszego rozporządzenia, a w szczególności w związku z ich połączeniem oraz integracją z routerem, o których mowa w art. 23, są pokrywane z budżetu ogólnego Unii, zgodnie z zasadami kwalifikowalności i stopami współfinansowania określonymi w mających zastosowanie aktach prawnych Unii.

3. Koszty poniesione przez Europejskiego Inspektora Ochrony Danych w związku z zadaniami powierzonymi mu na mocy niniejszego rozporządzenia pokrywane są z budżetu ogólnego Unii.

4. Koszty poniesione przez niezależne krajowe organy nadzorcze w związku z zadaniami powierzonymi im na mocy niniejszego rozporządzenia są pokrywane przez państwa członkowskie.

Artykuł 33

Odpowiedzialność za router

Jeżeli niewywiązanie się przez państwo członkowskie lub przewoźnika lotniczego z obowiązków wynikających z niniejszego rozporządzenia spowoduje szkodę w routerze, dane państwo członkowskie lub dany przewoźnik lotniczy odpowiada za taką szkodę, zgodnie z przepisami mającego zastosowanie prawa Unii lub prawa krajowego, chyba że – i w zakresie w jakim – wykazano, że eu-LISA, inne państwo członkowskie lub inny przewoźnik lotniczy nie zastosowali należytych środków, by zapobiec wystąpieniu szkody lub zminimalizować jej skutki.

Artykuł 34

Rozpoczęcie działania routera w odniesieniu do danych API

Komisja określa bez zbędnej zwłoki, w drodze aktu wykonawczego, termin rozpoczęcia działania routera w odniesieniu do danych API po otrzymaniu informacji od eu-LISA o pomyślnym zakończeniu kompleksowego testu routera, o którym mowa w art. 25 ust. 5. Ten akt wykonawczy przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 42 ust. 2.

Komisja wyznacza termin, o którym mowa w akapicie pierwszym, na datę nie późniejszą niż 30 dni od przyjęcia tego aktu wykonawczego.

Artykuł 35

Rozpoczęcie działania routera w odniesieniu do innych danych PNR

Komisja określa bez zbędnej zwłoki, w drodze aktu wykonawczego, termin rozpoczęcia działania routera w odniesieniu do innych danych PNR, po otrzymaniu od eu-LISA informacji o pomyślnym zakończeniu kompleksowych testów routera, o których mowa w art. 25 ust. 6, w tym niezawodności połączeń routera z przewoźnikami lotniczymi i JIP oraz czytelności innych danych PNR przekazywanych przez przewoźników lotniczych i przesyłanych przez router w niezbędnym standardowym formacie, zgodnie z art. 16 dyrektywy (UE) 2016/681. Ten akt wykonawczy przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 42 ust. 2.

Komisja wyznacza termin, o którym mowa w akapicie pierwszym, na datę nie późniejszą niż 30 dni od dnia przyjęcia tego aktu wykonawczego.

Artykuł 36

Korzystanie z routera na zasadzie dobrowolności

1. Przewoźnicy lotniczy są uprawnieni do korzystania z routera w celu przesyłania informacji, o których mowa w art. 3 ust. 1 i 2 dyrektywy 2004/82/WE, lub innych danych PNR zgromadzonych na podstawie art. 8 dyrektywy (UE) 2016/681, co najmniej jednemu z właściwych JIP, zgodnie z tymi dyrektywami, pod warunkiem że dane państwo członkowskie wyraziło zgodę na takie korzystanie, od odpowiedniej daty ustalonej przez to państwo członkowskie. To państwo członkowskie wyraża zgodę dopiero po ustaleniu, że – w szczególności w odniesieniu do połączenia własnych JIP z routerem oraz połączenia danego przewoźnika lotniczego – informacje mogą być przesyłane w sposób zgodny z prawem, bezpieczny, skuteczny i sprawny.

2. Gdy przewoźnik lotniczy rozpocznie korzystanie z routera zgodnie z ust. 1 niniejszego artykułu, wykorzystuje router do przesyłania takich informacji do JIP danego państwa członkowskiego do odpowiedniego dnia rozpoczęcia stosowania niniejszego rozporządzenia, o którym mowa w art. 45 akapit drugi. Zaprzestaje się jednak korzystania z routera z dniem określonym przez dane państwo członkowskie, jeżeli to państwo członkowskie uzna, że istnieją obiektywne powody wymagające takiego zaprzestania, i poinformuje o tym przewoźnika lotniczego.

3. Zainteresowane państwo członkowskie:

a) zasięga opinii eu-LISA przed wyrażeniem zgody na dobrowolne korzystanie z routera zgodnie z ust. 1;

b) z wyjątkiem sytuacji należycie uzasadnionych pilną potrzebą umożliwia zainteresowanemu przewoźnikowi lotniczemu zgłoszenie uwag na temat zamiaru zaprzestania takiego korzystania zgodnie z ust. 2 oraz, w stosownych przypadkach, zasięga opinii eu-LISA w tej sprawie;

c) natychmiastowo informuje eu-LISA i Komisję o każdym przypadku takiego korzystania, na które wyraziło zgodę, oraz o zaprzestaniu takiego korzystania i przekazuje wszelkie niezbędne informacje, w tym, w stosownych przypadkach, datę rozpoczęcia korzystania z routera, datę zaprzestania korzystania z routera oraz przyczyny zaprzestania korzystania z routera.

Artykuł 37

Krajowy organ nadzorczy odpowiedzialny za dane API

1. Państwa członkowskie wyznaczają co najmniej jeden krajowy organ nadzorczy odpowiedzialny za dane API zajmujący się monitorowaniem stosowania przepisów niniejszego rozporządzenia na terytorium krajowym przez przewoźników lotniczych i zapewnieniem przestrzegania tych przepisów.

2. Państwa członkowskie zapewniają, by krajowe organy nadzorcze odpowiedzialne za dane API posiadały wszelkie środki i wszelkie uprawnienia dochodzeniowe i wykonawcze niezbędne do wykonywania swoich zadań na podstawie niniejszego rozporządzenia, w tym – w stosownych przypadkach – poprzez nakładanie kar, o których mowa w art. 38. Państwa członkowskie zapewniają, aby wykonywanie uprawnień przyznanych krajowemu organowi nadzorczemu odpowiedzialnemu za dane API podlegało odpowiednim zabezpieczeniom zgodnie z prawami podstawowymi zagwarantowanymi w prawie Unii.

3. Do odpowiedniego dnia rozpoczęcia stosowania niniejszego rozporządzenia, o którym to dniu mowa w art. 45 akapit drugi, państwa członkowskie powiadamiają Komisję o nazwie i danych kontaktowych organów wyznaczonych na podstawie ust. 1 niniejszego artykułu. Niezwłocznie powiadamiają one Komisję o wszelkich późniejszych zmianach lub poprawkach w tym zakresie.

4. Niniejszy artykuł pozostaje bez uszczerbku dla uprawnień organów nadzorczych, o których mowa w art. 51 rozporządzenia (UE) 2016/679, art. 41 dyrektywy (UE) 2016/680 i art. 15 dyrektywy (UE) 2016/681.

Artykuł 38

Kary

1. Państwa członkowskie ustanawiają przepisy dotyczące kar mających zastosowanie w przypadku naruszeń przepisów niniejszego rozporządzenia i podejmują wszelkie niezbędne środki w celu zapewnienia ich wykonywania. Przewidziane kary muszą być skuteczne, proporcjonalne i odstraszające.

2. Państwa członkowskie powiadamiają Komisję o tych przepisach i środkach do odpowiedniego dnia rozpoczęcia stosowania niniejszego rozporządzenia, o którym to dniu mowa w art. 45 akapit drugi, i niezwłocznie przekazują informacje o wszelkich późniejszych zmianach, które ich dotyczą.

3. Państwa członkowskie zapewniają, aby krajowe organy nadzorcze odpowiedzialne za dane API uwzględniały przy podejmowaniu decyzji w sprawie nałożenia kary i ustalaniu rodzaju i wysokości kary odpowiednie okoliczności, takie jak:

a) charakter, waga i czas trwania naruszenia;

b) poziom zawinienia przewoźnika lotniczego;

c) wcześniejsze naruszenia, których dopuścił się przewoźnik lotniczy;

d) ogólny stopień współpracy przewoźnika lotniczego z właściwymi organami;

e) wielkość przewoźnika lotniczego, np. liczba pasażerów w ciągu roku;

f) wskazanie, czy inne krajowe organy nadzorcze odpowiedzialne za dane API nałożyły wcześniej kary na tego samego przewoźnika lotniczego za to samo naruszenie.

4. Państwa członkowskie zapewniają, aby powtarzające się przypadki nieprzekazania danych API zgodnie z art. 5 ust. 1 podlegały proporcjonalnym karom finansowym w wysokości do 2 % łącznych obrotów przewoźnika lotniczego w poprzednim roku finansowym. Państwa członkowskie zapewniają, aby niewypełnienie innych obowiązków określonych w niniejszym rozporządzeniu podlegało proporcjonalnym karom, w tym karom finansowym.

Artykuł 39

Statystyki

1. W celu wspierania wdrażania i monitorowania stosowania niniejszego rozporządzenia eu-LISA na podstawie informacji statystycznych, o których mowa w ust. 5 i 6, publikuje co kwartał statystyki dotyczące funkcjonowania routera i przestrzegania przez przewoźników lotniczych zobowiązań określonych w niniejszym rozporządzeniu. Statystyki te nie mogą umożliwiać identyfikacji osób fizycznych.

2. Do celów określonych w ust. 1 router automatycznie przesyła dane wymienione w ust. 5 i 6 do CRRS.

3. W celu wspierania wdrażania i monitorowania stosowania niniejszego rozporządzenia każdego roku eu-LISA zestawia dane statystyczne w sprawozdaniu rocznym za poprzedni rok. Sprawozdanie roczne publikuje i przesyła ona Parlamentowi Europejskiemu, Radzie, Komisji, Europejskiemu Inspektorowi Ochrony Danych, Europejskiej Agencji Straży Granicznej i Przybrzeżnej oraz krajowym organom nadzorczym odpowiedzialnym za dane API, o których mowa w art. 37. W sprawozdaniu rocznym nie ujawnia się poufnych metod pracy ani informacji mogących utrudnić prowadzenie przez właściwe organy państw członkowskich toczących się postępowań.

4. Na wniosek Komisji eu-LISA przedstawia Komisji statystyki dotyczące określonych aspektów wdrażania niniejszego rozporządzenia oraz statystyki, o których mowa w ust. 3.

5. CRRS przekazuje eu-LISA następujące informacje statystyczne niezbędne do celów sprawozdawczości, o której mowa w art. 44, i tworzenia statystyk zgodnie z niniejszym artykułem, przy czym takie statystyki dotyczące danych API nie umożliwiają identyfikacji odpowiednich pasażerów, a mianowicie:

a) informacje, czy dane dotyczą pasażera czy członka załogi;

b) informacje o obywatelstwie, płci i roku urodzenia pasażera lub członka załogi;

c) data i początkowy punkt wejścia na pokład, data i port lotniczy odlotu oraz data i port lotniczy przylotu;

d) rodzaj dokumentu podróży, trzyliterowy kod państwa wydającego dokument podróży oraz data upływu ważności tego dokumentu;

e) informacje o liczbie pasażerów odprawionych na ten sam lot;

f) kod przewoźnika lotniczego obsługującego lot;

g) informacje, czy lot jest lotem regularnym czy nieregularnym;

h) informacje, czy dane API zostały przekazane w natychmiastowo po zamknięciu lotu;

i) informacje, czy dane osobowe pasażera są dokładne, kompletne i aktualne;

j) informacje o środkach technicznych wykorzystywanych do pozyskiwania danych API.

6. CRRS przekazuje eu-LISA następujące informacje statystyczne niezbędne do celów sprawozdawczości, o której mowa w art. 44, i tworzenia statystyk zgodnie z niniejszym artykułem, przy czym takie statystyki dotyczące innych danych PNR nie umożliwiają identyfikacji odpowiednich pasażerów:

a) datę i godzinę otrzymania wiadomości PNR przez router;

b) informacje o locie zawarte w planie podróży w konkretnej wiadomości PNR;

c) informacje o wspólnym kodzie zawarte w konkretnej wiadomości PNR.

7. Do celów sprawozdawczości, o której mowa w art. 44, i tworzenia statystyk zgodnie z niniejszym artykułem eu-LISA przechowuje w CRRS dane, o których mowa w ust. 5 i 6 niniejszego artykułu. Przechowuje ona takie dane przez okres pięciu lat zgodnie z ust. 2, zapewniając zarazem, aby dane te nie pozwalały na identyfikację odpowiednich pasażerów. CRRS dostarcza należycie upoważnionemu personelowi JIP oraz innych odpowiednich organów państw członkowskich sprawozdania i statystyki, podlegające indywidualnym dostosowaniom, dotyczące danych API, o których mowa w ust. 5 niniejszego artykułu, i innych danych PNR, o których mowa w ust. 6 niniejszego artykułu, do celów wdrażania i monitorowania stosowania niniejszego rozporządzenia.

8. Wykorzystanie danych, o których mowa w ust. 5 i 6 niniejszego artykułu, nie może prowadzić do profilowania osób, o którym mowa w art. 11 ust. 3 dyrektywy (UE) 2016/680, ani do dyskryminacji osób ze względów wymienionych w art. 21 Karty. Danych, o których mowa w ust. 5 i 6 niniejszego artykułu, nie wykorzystuje się do porównywania z danymi osobowymi, znajdowania dopasowań do danych osobowych ani łączenia ich z danymi osobowymi.

9. Procedury wprowadzone przez eu-LISA w celu monitorowania opracowania i funkcjonowania routera, o których mowa w art. 39 ust. 2 rozporządzenia (UE) 2019/818, obejmują możliwość regularnego generowania statystyk na potrzeby tego monitorowania.

Artykuł 40

Praktyczny podręcznik

Komisja, w ścisłej współpracy z JIP, innymi odpowiednimi organami państw członkowskich, przewoźnikami lotniczymi i odpowiednimi organami i agencjami Unii, przygotowuje i publicznie udostępnia praktyczny podręcznik zawierający wytyczne, zalecenia i najlepsze praktyki dotyczące wdrażania niniejszego rozporządzenia, w tym dotyczące przestrzegania praw podstawowych oraz dotyczące kar zgodnie z art. 38.

Praktyczny podręcznik uwzględnia inne odpowiednie podręczniki.

Komisja przyjmuje praktyczny podręcznik w formie zalecenia.

Artykuł 41

Zmiana rozporządzenia (UE) 2019/818

Art. 39 ust. 1 i 2 rozporządzenia (UE) 2019/818 otrzymują brzmienie:

„1.

Centralne repozytorium sprawozdawczo-statystyczne ustanawia się, aby wspierać realizację celów systemów SIS, Eurodac i ECRIS-TCN zgodnie z odpowiednimi aktami prawnymi regulującymi te systemy oraz zapewniać międzysystemowe dane statystyczne i sprawozdania analityczne służące strategiom politycznym, celom operacyjnym i celom związanym z jakością danych. Centralne repozytorium sprawozdawczo-statystyczne wspiera ponadto realizację celów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2025/13 (

*1

).

2. eu-LISA ustanawia i wdraża centralne repozytorium sprawozdawczo-statystyczne oraz zapewnia jego hosting w swoich centrach technicznych; repozytorium to zawiera dane i statystyki, o których mowa w art. 74 rozporządzenia (UE) 2018/1862 oraz art. 32 rozporządzenia (UE) 2019/816, logicznie oddzielone według systemu informacyjnego UE. eu-LISA gromadzi ponadto dane i statystyki z routera, o których mowa w art. 39 ust. 1 rozporządzenia (UE) 2025/13. Dostęp do centralnego repozytorium sprawozdawczo-statystycznego w postaci kontrolowanego, bezpiecznego dostępu i określonych profili użytkowników przyznaje się – wyłącznie w celach sprawozdawczo-statystycznych – organom, o których mowa w art. 74 rozporządzenia (UE) 2018/1862, art. 32 rozporządzenia (UE) 2019/816 i art. 13 ust. 1 rozporządzenia (UE) 2025/13.

Artykuł 42

Procedura komitetowa

1. Komisję wspomaga komitet. Komitet ten jest komitetem w rozumieniu rozporządzenia (UE) nr 182/2011.

2. W przypadku odesłania do niniejszego ustępu stosuje się art. 5 rozporządzenia (UE) nr 182/2011. W przypadku gdy komitet nie wyda opinii, Komisja nie przyjmuje projektu aktu wykonawczego i stosuje się art. 5 ust. 4 akapit trzeci rozporządzenia (UE) nr 182/2011.

Artykuł 43

Wykonywanie przekazanych uprawnień

1. Powierzenie Komisji uprawnień do przyjmowania aktów delegowanych podlega warunkom określonym w niniejszym artykule.

2. Uprawnienia do przyjmowania aktów delegowanych, o których mowa w art. 4 ust. 11 i 12, art. 5 ust. 4 i art. 7 ust. 5 powierza się Komisji na okres dwóch lat od dnia 28 stycznia 2025 r. Komisja sporządza sprawozdanie dotyczące przekazania uprawnień nie później niż dziewięć miesięcy przed końcem okresu pięciu lat. Przekazanie uprawnień zostaje automatycznie przedłużone na takie same okresy, chyba że Parlament Europejski lub Rada sprzeciwią się takiemu przedłużeniu nie później niż trzy miesiące przed końcem każdego okresu.

Co się tyczy aktu delegowanego przyjętego na mocy art. 4 ust. 11, jeżeli Parlament Europejski albo Rada wyraziły sprzeciw na podstawie ust. 6 niniejszego artykułu, nie mogą one sprzeciwić się automatycznemu przedłużeniu, o którym mowa w akapicie pierwszym niniejszego ustępu.

3. Przekazanie uprawnień, o którym mowa w art. 4 ust. 12, art. 5 ust. 4 i art. 7 ust. 5, może zostać w dowolnym momencie odwołane przez Parlament Europejski lub przez Radę. Decyzja o odwołaniu kończy przekazanie określonych w niej uprawnień. Decyzja o odwołaniu staje się skuteczna następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej lub w późniejszym terminie określonym w tej decyzji. Nie wpływa ona na ważność już obowiązujących aktów delegowanych.

4. Przed przyjęciem aktu delegowanego Komisja konsultuje się z ekspertami wyznaczonymi przez każde państwo członkowskie zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa.

5. Niezwłocznie po przyjęciu aktu delegowanego Komisja przekazuje go równocześnie Parlamentowi Europejskiemu i Radzie.

6. Akt delegowany przyjęty na podstawie art. 4 ust. 11 lub 12, art. 5 ust. 4 lub art. 7 ust. 5 wchodzi w życie tylko wówczas, gdy ani Parlament Europejski, ani Rada nie wyraziły sprzeciwu w terminie dwóch miesięcy od przekazania tego aktu Parlamentowi Europejskiemu i Radzie, lub gdy, przed upływem tego terminu, zarówno Parlament Europejski, jak i Rada poinformowały Komisję, że nie wniosą sprzeciwu. Termin ten przedłuża się o dwa miesiące z inicjatywy Parlamentu Europejskiego lub Rady.

Artykuł 44

Monitorowanie i ocena

1. eu-LISA zapewnia wprowadzenie procedur w zakresie monitorowania opracowania routera pod kątem celów dotyczących planowania i kosztów oraz procedur w zakresie monitorowania funkcjonowania routera pod kątem celów dotyczących rezultatów technicznych, opłacalności, bezpieczeństwa i jakości działania.

2. Do dnia 29 stycznia 2026 r., a następnie co roku w trakcie fazy opracowania routera eu-LISA przedstawia Parlamentowi Europejskiemu i Radzie sprawozdanie ze stanu prac nad opracowaniem routera. Sprawozdanie zawiera szczegółowe informacje na temat poniesionych kosztów oraz wszelkich rodzajów ryzyka, które mogą mieć wpływ na ogólne koszty pokrywane z budżetu ogólnego Unii zgodnie z art. 32.

3. Po rozpoczęciu działania routera eu-LISA sporządza i przekazuje Parlamentowi Europejskiemu i Radzie sprawozdanie zawierające szczegółowe wyjaśnienia dotyczące sposobu, w jaki osiągnięto cele, w szczególności, w zakresie planowania i kosztów, a także powody ewentualnych rozbieżności.

4. Do dnia 29 stycznia 2029 r., a następnie co cztery lata Komisja sporządza sprawozdanie zawierające ogólną ocenę niniejszego rozporządzenia, w tym konieczności i wartości dodanej gromadzenia danych API, a także ocenę:

a) stosowania niniejszego rozporządzenia;

b) zakresu, w jakim niniejsze rozporządzenie osiągnęło swoje cele;

c) wpływu niniejszego rozporządzenia na prawa podstawowe chronione prawem Unii;

d) wpływu niniejszego rozporządzenia na komfort podróży pasażerów podróżujących zgodnie z prawem;

e) wpływu niniejszego rozporządzenia na konkurencyjność sektora lotnictwa i obciążenia spoczywające na przedsiębiorstwach;

f) jakości danych przesyłanych przez router do JIP;

g) wydajności routera w odniesieniu do JIP.

Na potrzeby akapitu pierwszego lit. e) sprawozdanie Komisji odnosi się również do wzajemnego oddziaływania niniejszego rozporządzenia z innymi odpowiednimi aktami ustawodawczymi Unii, w szczególności z rozporządzeniami (WE) nr 767/2008, (UE) 2017/2226 i (UE) 2018/1240, w celu oceny ogólnego wpływu powiązanych obowiązków sprawozdawczych na przewoźników lotniczych, określenia przepisów, które można – w razie potrzeby – zaktualizować i uprościć, aby zmniejszyć obciążenia spoczywające na przewoźnikach lotniczych, oraz rozważenia działań i środków, które można podjąć w celu zmniejszenia całkowitej presji kosztowej na przewoźników lotniczych.

5. Ocena, o której mowa w ust. 4, obejmuje również ocenę konieczności, proporcjonalności i skuteczności objęcia zakresem niniejszego rozporządzenia obowiązkowego gromadzenia i przekazywania danych API dotyczących lotów wewnątrzunijnych.

6. Komisja przekazuje powyższe sprawozdanie oceniające Parlamentowi Europejskiemu, Radzie, Europejskiemu Inspektorowi Danych Osobowych i Agencji Praw Podstawowych Unii Europejskiej. W stosownych przypadkach, w świetle przeprowadzonej oceny, Komisja przedkłada Parlamentowi Europejskiemu i Radzie wniosek ustawodawczy mający na celu zmianę niniejszego rozporządzenia.

7. Państwa członkowskie i przewoźnicy lotniczy przekazują eu-LISA i Komisji, na ich wniosek, informacje niezbędne do sporządzenia sprawozdań, o których mowa w ust. 2, 3 i 4. W szczególności państwa członkowskie przekazują ilościowe i jakościowe informacje na temat gromadzenia danych API pod kątem operacyjnym. Informacje te nie mogą obejmować danych osobowych. Państwa członkowskie mogą odmówić przekazania takich informacji, jeżeli jest to niezbędne – i w stopniu, w jakim jest to niezbędne – aby nie ujawniać poufnych metod pracy lub nie zagrażać toczącym się postępowaniom prowadzonym przez ich JIP lub inne właściwe służby. Komisja zapewnia odpowiednią ochronę wszelkich przekazywanych informacji poufnych.

Artykuł 45

Wejście w życie i rozpoczęcie stosowania

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie stosuje się:

a) w odniesieniu do danych API – po upływie dwóch lat od dnia rozpoczęcia działania routera, który Komisja ustala zgodnie z art. 34; oraz

b) w odniesieniu do innych danych PNR – po upływie czterech lat od dnia rozpoczęcia działania routera, który Komisja ustala zgodnie z art. 35.

Jednakże:

a) art. 4 ust. 12, art. 5 ust. 4, art. 7 ust. 5, art. 11 ust. 5, art. 12 ust. 6, art. 18 ust. 4, art. 23 ust. 2, art. 24 ust. 2, art. 25, 28 i 29, art. 32 ust. 1, art. 34, 35, 42 i 43 stosuje się od dnia 28 stycznia 2025 r.;

b) art. 6, art. 17 ust. 1, 2, i 3, art. 18 ust. 1, 2 i 3, art. 19, 20, 26, 27, 33 i 36 stosuje się od dnia rozpoczęcia działania routera, który Komisja ustala zgodnie z art. 34 i 35.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane w państwach członkowskich zgodnie z Traktatami.

(

) Dyrektywa Parlamentu Europejskiego i Rady (UE) 2017/541 z dnia 15 marca 2017 r. w sprawie zwalczania terroryzmu i zastępująca decyzję ramową Rady 2002/475/WSiSW oraz zmieniająca decyzję Rady 2005/671/WSiSW (Dz.U. L 88 z 31.3.2017, s. 6).

(

)

Dz.U. L 56 z 4.3.1968, s. 1.

(

*1

) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2025/13 z dnia 19 grudnia 2024 r. w sprawie gromadzenia i przekazywania danych pasażera przekazywanych przed podróżą w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania oraz zmieniające rozporządzenie (UE) 2019/818 (Dz.U. L, 2025/13, 8.1.2025, ELI: http://data.europa.eu/eli/reg/2025/13/oj).”.