Artykuł 20

1. eu-LISA zapewnia bezpieczeństwo i szyfrowanie danych API i innych danych PNR, w szczególności danych stanowiących dane osobowe, które to dane przetwarza zgodnie z niniejszym rozporządzeniem. JIP i przewoźnicy lotniczy zapewniają bezpieczeństwo danych API, w szczególności danych API stanowiących dane osobowe, które to dane przetwarzają zgodnie z niniejszym rozporządzeniem.eu-LISA, JIP i przewoźnicy lotniczy współpracują ze sobą, w ramach swoich obowiązków i zgodnie z prawem Unii, w celu zapewnienia bezpieczeństwa danych.

2. eu-LISA zapewnia bezpieczeństwo i poufność danych dotyczących lotów i tras wybranych przez państwa członkowskie zgodnie z art. 12 ust. 4. JIP i przewoźnicy lotniczy zapewniają bezpieczeństwo danych API, w szczególności danych API stanowiących dane osobowe, które to dane przetwarzają zgodnie z niniejszym rozporządzeniem. eu-LISA, JIP i przewoźnicy lotniczy współpracują ze sobą, w ramach swoich obowiązków i zgodnie z prawem Unii, w celu zapewnienia bezpieczeństwa danych.

3. eu-LISA podejmuje środki niezbędne do zapewnienia bezpieczeństwa routera i danych API i innych danych PNR, a w szczególności danych stanowiących dane osobowe, przesyłanych za pośrednictwem routera, w tym poprzez opracowanie, wdrożenie i regularne aktualizowanie planu bezpieczeństwa, planu ciągłości działania i planu przywrócenia gotowości do pracy po wystąpieniu sytuacji nadzwyczajnej, w celu:

a) zapewnienia fizycznej ochrony routera, w tym poprzez opracowanie planów awaryjnych na potrzeby ochrony jego kluczowych elementów;

b) zapobiegania nieuprawnionemu przetwarzaniu danych API lub innych danych PNR – w tym nieuprawnionemu dostępowi do nich oraz ich kopiowaniu, modyfikowaniu lub usuwaniu, zarówno podczas przekazywania danych API lub innych danych PNR do i z routera, jak i podczas przechowywania danych API lub innych danych PNR w routerze, gdy jest to niezbędne do zakończenia procesu przesyłania – w szczególności za pomocą odpowiednich technik szyfrowania;

c) zapewnienia, aby osoby upoważnione do dostępu do routera miały dostęp wyłącznie do danych objętych ich upoważnieniem do dostępu;

d) zapewnienia możliwości sprawdzenia i ustalenia, którym JIP przesyła się dane API lub inne dane PNR za pośrednictwem routera;

e) właściwego zgłaszania zarządowi wszelkich błędów w funkcjonowaniu routera;

f) monitorowania skuteczności środków bezpieczeństwa wymaganych na podstawie niniejszego artykułu i na podstawie rozporządzenia (UE) 2018/1725 oraz – w stosownych przypadkach – oceny i aktualizacji tych środków bezpieczeństwa w świetle zmian technologicznych lub operacyjnych.

Środki, o których mowa w akapicie pierwszym niniejszego ustępu, nie mają wpływu na art. 32 rozporządzenia (UE) 2016/679, na art. 33 rozporządzenia (UE) 2018/1725 ani na art. 29 dyrektywy (UE) 2016/680.