a także mając na uwadze, co następuje:(1) Przeprowadzanie odpraw granicznych osób na granicach zewnętrznych znacząco przyczynia się do zapewnienia długoterminowego bezpieczeństwa Unii, jej państw członkowskich i jej obywateli i jako takie pozostaje ważnym zabezpieczeniem, w szczególności na obszarze bez kontroli na granicach wewnętrznych. Odprawy graniczne przeprowadza się w stosownych przypadkach zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/399 3 , aby pomóc zwalczać nielegalną imigrację i zapobiegać zagrożeniom dla bezpieczeństwa wewnętrznego, porządku publicznego, zdrowia publicznego i stosunków międzynarodowych państw członkowskich. Takie odprawy graniczne mają być przeprowadzane z pełnym poszanowaniem godności ludzkiej i w pełnej zgodności z odpowiednimi przepisami prawa Unii, w tym z Kartą praw podstawowych Unii Europejskiej (zwaną dalej "Kartą").
(2) Wykorzystywanie danych pasażera i informacji o locie, przekazywanych przed przybyciem pasażerów, zwanych danymi pasażera przekazywanymi przed podróżą albo danymi API, przyczynia się do przyspieszenia procesu wymaganej odprawy granicznej podczas przekraczania granic. Do celów niniejszego rozporządzenia proces ten dotyczy w szczególności przekraczania granic między państwem trzecim lub państwem członkowskim, do którego niniejsze rozporządzenie nie ma zastosowania, a państwem członkowskim, do którego rozporządzenie to ma zastosowanie. Wykorzystywanie danych API usprawnia odprawy graniczne na tych granicach zewnętrznych dzięki zapewnieniu wystarczającego czasu na przeprowadzenie szczegółowych i kompleksowych odpraw granicznych wszystkich pasażerów, nie powodując przy tym nieproporcjonalnych negatywnych skutków dla pasażerów podróżujących w dobrej wierze. W związku z tym w celu zagwarantowania skuteczności i wydajności odpraw granicznych na granicach zewnętrznych należy ustanowić odpowiednie ramy prawne, aby zapewnić właściwym służbom granicznym państw członkowskich na takich przejściach granicznych na granicach zewnętrznych dostęp do danych API przed przybyciem pasażerów.
(3) Obowiązujące ramy prawne dotyczące danych API, na które składa się dyrektywa Rady 2004/82/WE 4 oraz przepisy krajowe transponujące tę dyrektywę, okazały się istotne w kontekście usprawnienia odpraw granicznych, w szczególności dzięki zapewnieniu państwom członkowskim ram służących wprowadzeniu przepisów nakładających na przewoźników lotniczych obowiązki związane z przekazywaniem danych API dotyczących pasażerów przybywających na ich terytorium. Nadal jednak na poziomie krajowym utrzymują się rozbieżne praktyki. W szczególności od przewoźników lotniczych nie wymaga się systematycznego przekazywania danych API, natomiast muszą oni spełniać różne wymogi dotyczące rodzaju gromadzonych informacji oraz warunki, na jakich dane API muszą być przekazywane właściwym służbom granicznym. Rozbieżności te nie tylko prowadzą do niepotrzebnych kosztów i komplikacji dla przewoźników lotniczych, ale także mają negatywny wpływ na zapewnienie skutecznych i wydajnych kontroli wstępnych osób przybywających na granice zewnętrzne.
(4) Należy zaktualizować i zastąpić istniejące ramy prawne, tak aby zapewnić jasne, zharmonizowane i skuteczne przepisy dotyczące gromadzenia i przekazywania danych API w celu usprawnienia i ułatwienia skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych oraz zwalczania nielegalnej imigracji, zgodnie z zasadami określonymi w rozporządzeniu (UE) 2016/399 w odniesieniu do państw członkowskich, do których ma ono zastosowanie, oraz zgodnie z prawem krajowym, jeżeli rozporządzenie to nie ma zastosowania.
(5) W celu zapewnienia w jak największym stopniu spójnego podejścia na poziomie Unii i poziomie międzynarodowym oraz w świetle obowiązujących na poziomie międzynarodowym przepisów dotyczących gromadzenia danych API w zaktualizowanych ramach prawnych ustanowionych niniejszym rozporządzeniem należy uwzględnić odpowiednie praktyki uzgodnione na poziomie międzynarodowym z branżą lotniczą, takie jak praktyki w kontekście wytycznych Światowej Organizacji Celnej, Zrzeszenia Międzynarodowego Transportu Lotniczego i Organizacji Międzynarodowego Lotnictwa Cywilnego (ICAO) w sprawie danych pasażera przekazywanych przed podróżą.
(6) Gromadzenie i przekazywanie danych API ma wpływ na prywatność osób fizycznych i wiąże się z przetwarzaniem ich danych osobowych. Aby zapewnić pełne przestrzeganie ich praw podstawowych, w szczególności prawa do poszanowania życia prywatnego i prawa do ochrony danych osobowych, zgodnie z Kartą, należy przewidzieć odpowiednie ograniczenia i zabezpieczenia. Na przykład przetwarzanie danych API, w szczególności danych API stanowiących dane osobowe, powinno bezwzględnie ograniczać się do tego, co jest konieczne i proporcjonalne do osiągnięcia celów niniejszego rozporządzenia. Ponadto należy zadbać o to, aby przetwarzanie danych API gromadzonych i przekazywanych na podstawie niniejszego rozporządzenia nie prowadziło do jakiejkolwiek formy dyskryminacji zakazanej w Karcie.
(7) Aby osiągnąć swoje cele, niniejsze rozporządzenie powinno mieć zastosowanie do wszystkich przewoźników lotniczych wykonujących loty do Unii, zgodnie z definicją zawartą w niniejszym rozporządzeniu, niezależnie od siedziby przewoźników lotniczych wykonujących te loty, oraz obsługujących zarówno loty regularne, jak i nieregularne. Gromadzenie danych z innych operacji cywilnych statków powietrznych, takich jak loty szkoleniowe, loty medyczne i loty awaryjne, a także loty wojskowe, nie należy do zakresu niniejszego rozporządzenia. Niniejsze rozporządzenie pozostaje bez uszczerbku dla gromadzenia danych z takich lotów na podstawie prawa krajowego zgodnego z prawem Unii. Komisja powinna ocenić wykonalność unijnego systemu zobowiązującego operatorów lotów prywatnych do gromadzenia i przekazywania danych pasażerów lotniczych.
(8) Obowiązki przewoźników lotniczych dotyczące gromadzenia i przekazywania danych API na podstawie niniejszego rozporządzenia powinny obejmować wszystkich pasażerów lotów do Unii, pasażerów w tranzycie, których cel podróży znajduje się poza Unią, a także członków załogi niepełniących służby, którzy znajdują się na pokładzie z polecenia przewoźnika lotniczego w związku z ich obowiązkami.
(9) W celu zagwarantowania efektywności i pewności prawa należy sporządzić jasny i wyczerpujący wykaz informacji stanowiących łącznie dane API - które mają być gromadzone, a następnie przekazywane na podstawie niniejszego rozporządzenia - obejmujący zarówno informacje dotyczące każdego pasażera, jak i informacje o jego locie. Na podstawie niniejszego rozporządzenia i zgodnie z normami międzynarodowymi takie informacje o locie powinny obejmować informacje o miejscu pasażera na pokładzie i o bagażu, jeżeli takie informacje są dostępne, oraz informacje na temat przejścia granicznego przylotu na terytorium danego państwa członkowskiego we wszystkich przypadkach objętych niniejszym rozporządzeniem. Jeżeli informacje o bagażu lub o miejscu pasażera na pokładzie są dostępne w innych systemach informatycznych, którymi dysponuje przewoźnik lotniczy, jego obsługa naziemna, jego dostawca systemu lub władze portu lotniczego, przewoźnicy lotniczy powinni włączyć te informacje do danych API przekazywanych właściwym służbom granicznym. Dane API zdefiniowane i regulowane niniejszym rozporządzeniem nie obejmują danych biometrycznych.
(10) Aby umożliwić elastyczność i innowacyjność, należy zasadniczo pozostawić każdemu przewoźnikowi lotniczemu decyzję, w jaki sposób wypełnia on swoje obowiązki w zakresie gromadzenia danych API wynikające z niniejszego rozporządzenia, z uwzględnieniem różnych rodzajów przewoźników lotniczych określonych w niniejszym rozporządzeniu, modeli biznesowych poszczególnych przewoźników, w tym terminów odpraw, oraz współpracy z portami lotniczymi. Mając jednak na uwadze fakt, że istnieją odpowiednie rozwiązania technologiczne umożliwiające automatyczne gromadzenie niektórych danych API przy jednoczesnym zapewnieniu, aby dane te były dokładne, kompletne i aktualne, a także uwzględniając korzyści wynikające z zastosowania takiej technologii pod względem skuteczności i wydajności, przewoźnicy lotniczy powinni być zobowiązani do gromadzenia takich danych API w sposób zautomatyzowany przez odczytywanie informacji z danych nadających się do odczytu maszynowego w dokumencie podróży. Jeżeli wykorzystanie takich zautomatyzowanych sposobów w wyjątkowych okolicznościach nie jest technicznie możliwe, przewoźnicy lotniczy powinni wyjątkowo gromadzić dane API manualnie, w ramach odprawy przez internet albo odprawy w porcie lotniczym, w taki sposób, aby wywiązać się z obowiązków spoczywających na nich na podstawie niniejszego rozporządzenia.
(11) Gromadzenie danych API w sposób zautomatyzowany powinno być ściśle ograniczone do danych alfanumerycznych zawartych w dokumencie podróży i nie powinno prowadzić do gromadzenia pochodzących z niego jakichkolwiek danych biometrycznych. Ponieważ gromadzenie danych API jest częścią odprawy, zarówno przez internet, jak i w porcie lotniczym, niniejsze rozporządzenie nie zawiera obowiązku sprawdzania przez przewoźników lotniczych dokumentu podróży pasażera w chwili wejścia na pokład. Przestrzeganie niniejszego rozporządzenia nie obejmuje obowiązku posiadania przez pasażerów dokumentu podróży w chwili wejścia na pokład. Powinno to pozostawać bez uszczerbku dla obowiązków wynikających z innych aktów prawa Unii lub z przepisów prawa krajowego zgodnych z prawem Unii.
(12) Gromadzenie danych API z dokumentów podróży powinno być również spójne z normami ICAO dotyczącymi dokumentów podróży nadających się do odczytu maszynowego, włączonymi do prawa Unii rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2019/1157 5 , rozporządzeniem Rady (WE) nr 2252/2004 6 i dyrektywą Rady (UE) 2019/997 7 .
(13) Wymogi określone w niniejszym rozporządzeniu oraz w odpowiednich aktach delegowanych i wykonawczych powinny prowadzić do jednolitego wdrożenia rozporządzenia przez przewoźników lotniczych i w ten sposób zminimalizować koszty wzajemnych połączeń między ich odpowiednimi systemami. Aby ułatwić zharmonizowane wdrożenie tych wymogów przez przewoźników lotniczych, w szczególności w odniesieniu do struktury danych, ich formatu i protokołu transmisyjnego, Komisja, we współpracy z właściwymi służbami granicznymi, organami innych państw członkowskich, przewoźnikami lotniczymi i odpowiednimi agencjami unijnymi, powinna zapewnić przygotowanie praktycznego podręcznika zawierającego wszystkie niezbędne wytyczne i wyjaśnienia.
(14) Aby poprawić jakość danych API, router, który ma zostać ustanowiony zgodnie z niniejszym rozporządzeniem, powinien weryfikować, czy dane API przekazywane przez przewoźników lotniczych są zgodne z obsługiwanymi formatami danych, w tym z polami lub kodami danych standardowych zarówno pod względem treści, jak i struktury. W przypadku stwierdzenia w wyniku weryfikacji, że dane nie są kompatybilne z tymi formatami danych, router powinien natychmiast automatycznie powiadomić o tym zainteresowanego przewoźnika lotniczego.
(15) Ważne jest, aby systemy zautomatyzowanego gromadzenia danych i inne procesy ustanowione na mocy niniejszego rozporządzenia nie wpływały negatywnie na pracowników sektora lotniczego, którym należy zapewnić możliwości podnoszenia i zmiany kwalifikacji, co zwiększyłoby skuteczność i niezawodność gromadzenia i przekazywania danych, a także poprawiłoby warunki pracy w tym sektorze.
(16) Pasażerowie powinni mieć możliwość samodzielnego przekazywania niektórych danych API w sposób zautomatyzowany podczas odprawy online, na przykład za pośrednictwem bezpiecznej aplikacji na smartfonie pasażera, komputerze lub kamerze internetowej umożliwiającej odczyt danych dokumentu podróży nadających się do odczytu maszynowego. Jeżeli pasażerowie nie odprawiają się przez internet, przewoźnicy lotniczy powinni umożliwić im podanie wymaganych danych API nadających się do odczytu maszynowego podczas odprawy w porcie lotniczym w punkcie samoobsługowym lub z pomocą personelu przewoźników lotniczych przy stanowisku odprawy. Bez uszczerbku dla swobody przewoźników lotniczych w ustalaniu taryf lotniczych i określaniu własnej polityki handlowej, jest ważne, aby obowiązki wynikające z niniejszego rozporządzenia nie prowadziły do nieproporcjonalnych przeszkód - takich jak dodatkowe opłaty za podanie danych API w porcie lotniczym - dla pasażerów, którzy nie mają możliwości podania danych APl przez internet. Ponadto w niniejszym rozporządzeniu należy przewidzieć okres przejściowy, w którym pasażerowie mogą manualnie podawać dane API w ramach odprawy przez internet. W takich przypadkach przewoźnicy lotniczy powinni stosować techniki weryfikacji danych.
(17) Aby zapewnić przestrzeganie praw przewidzianych w Karcie oraz zapewnić - zwłaszcza słabszym grupom społecznym i osobom z niepełnosprawnościami - dostępne i inkluzywne możliwości podróżowania, a także zgodnie z prawami osób niepełnosprawnych oraz osób o ograniczonej sprawności ruchowej podróżujących drogą lotniczą, określonymi w rozporządzeniu (WE) nr 1107/2006 Parlamentu Europejskiego i Rady 8 , przewoźnicy lotniczy, wspierani przez państwa członkowskie, powinni zapewnić stałą możliwość podawania niezbędnych danych przez pasażerów w porcie lotniczym.
(18) Mając na uwadze korzyści płynące z gromadzenia w sposób zautomatyzowany danych API nadających się do odczytu maszynowego oraz przejrzystość wynikającą z wymogów technicznych w tym zakresie, które mają zostać przyjęte na mocy niniejszego rozporządzenia, przewoźnicy lotniczy, którzy zdecydują się na gromadzenie w sposób zautomatyzowany informacji, które są zobowiązani przesyłać na podstawie dyrektywy 2004/82/WE, powinni otrzymać możliwość, ale nie obowiązek, stosowania tych wymogów, po ich przyjęciu, w związku z takim niepełnosprawnych oraz osób o ograniczonej sprawności ruchowej podróżujących drogą lotniczą (Dz.U. L 204 z 26.7.2006, s. 1). stosowaniem automatyzacji, w zakresie, w jakim ta dyrektywa ma zastosowanie i zezwala na to. Dobrowolnego stosowania tych specyfikacji w ramach wykonywania dyrektywy 2004/82/WE nie należy rozumieć jako mającego w jakikolwiek sposób wpływ na obowiązki przewoźników lotniczych i państw członkowskich ustanowione w tej dyrektywie.
(19) W celu zapewnienia skutecznych i wydajnych wstępnych kontroli przeprowadzanych z wyprzedzeniem przez właściwe służby graniczne dane API przekazywane tym służbom powinny zawierać dane pasażerów, którzy faktycznie mają przekroczyć granice zewnętrzne, tj. pasażerów, którzy faktycznie znajdują się na pokładzie samolotu, niezależnie od tego, czy cel podróży pasażera znajduje się na terytorium Unii czy poza nim. W związku z tym przewoźnicy lotniczy powinni przekazywać dane API natychmiast po zamknięciu lotu. Ponadto dane API umożliwiają właściwym służbom granicznym odróżnienie pasażerów podróżujących zgodnie z prawem od pasażerów, którzy mogą być przedmiotem zainteresowania i w związku z tym wymagają dodatkowych weryfikacji, co wiązałoby się z koniecznością zapewnienia większej koordynacji i przygotowania środków następczych, które powinny zostać zastosowane po przylocie. Mogłoby się tak zdarzyć, na przykład, w przypadku niespodziewanej liczby pasażerów będących przedmiotem zainteresowania, których kontrole fizyczne na granicach mogłyby niekorzystnie wpłynąć na odprawę graniczną i czas oczekiwania na granicach pasażerów podróżujących zgodnie z prawem. Aby zapewnić właściwym służbom granicznym możliwość przygotowania odpowiednich i proporcjonalnych środków na granicy, takich jak tymczasowe zwiększenie liczby lub przeniesienie pracowników, zwłaszcza w odniesieniu do lotów, w przypadku których czas pomiędzy zakończeniem odprawy a przybyciem na granicę zewnętrzną jest niewystarczający, aby umożliwić właściwym służbom granicznym przygotowanie najbardziej odpowiedniej reakcji, dane API powinny być również przesyłane przed wejściem na pokład w momencie odprawy każdego pasażera.
(20) Aby uniknąć ryzyka niewłaściwego wykorzystania oraz zgodnie z zasadą celowości, właściwym służbom granicznym należy wyraźnie zabronić przetwarzania danych API, które otrzymują na podstawie niniejszego rozporządzenia, do celów innych niż cele wyraźnie wskazane w niniejszym rozporządzeniu i zgodnie z przepisami określonymi w rozporządzeniu (UE) 2016/399 w odniesieniu do państw członkowskich, do których to rozporządzenie ma zastosowanie, albo, jeżeli to rozporządzenie nie ma zastosowania, zgodnie z odpowiednimi przepisami określonymi w prawie krajowym.
(21) Aby zapewnić właściwym służbom granicznym wystarczający czas na skuteczne przeprowadzenie wstępnych kontroli wszystkich pasażerów, w tym pasażerów podróżujących lotami długodystansowymi oraz lotami łączącymi, jak również wystarczający czas na zapewnienie, aby dane API gromadzone i przekazywane przez przewoźników lotniczych były kompletne, dokładne i aktualne, a w razie potrzeby na zwrócenie się do przewoźników lotniczych o dodatkowe wyjaśnienia, korekty lub uzupełnienie informacji, w celu zapewnienia, że dane API pozostają dostępne do chwili, gdy wszyscy podróżujący rzeczywiście stawili się na przejściu granicznym, właściwe służby graniczne powinny przechowywać dane API, które otrzymały na podstawie niniejszego rozporządzenia, przez ustalony czas, ograniczony do okresu bezwzględnie koniecznego do tych celów. W wyjątkowych okolicznościach, gdy pojedynczy pasażerowie nie stawią się po lądowaniu na przejściu granicznym w takim ustalonym czasie, państwa członkowskie powinny mieć możliwość zezwalania swoim właściwym służbom granicznym na przechowywanie danych API takich pojedynczych pasażerów do czasu, aż stawią się oni na przejściu granicznym, lub najpóźniej przez dodatkowy ustalony czas. Jeżeli państwa członkowskie chcą skorzystać z takiej możliwości, powinny mieć obowiązek wprowadzenia odpowiednich środków identyfikacji takich pojedynczych pasażerów, aby zagwarantować, że przechowywanie przez dłuższy czas konkretnych danych API tych pasażerów ogranicza się do tego, co jest absolutnie niezbędne.
(22) Aby móc odpowiedzieć na wnioski właściwych służb granicznych o przedstawienie dodatkowych wyjaśnień, wprowadzenie korekt lub uzupełnienie informacji, przewoźnicy lotniczy powinni przechowywać dane API, które przekazali na podstawie niniejszego rozporządzenia, przez ustalony i bezwzględnie niezbędny czas. Ponadto, w celu usprawnienia przebiegu podróży pasażerów podróżujących zgodnie z prawem, przewoźnicy lotniczy powinni móc zatrzymywać i wykorzystywać dane API, jeżeli jest to konieczne do normalnego prowadzenia działalności, w szczególności w celu ułatwienia podróży, zgodnie z mającym zastosowanie prawem, a w szczególności z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 9 .
(23) Aby uniknąć konieczności nawiązywania i utrzymywania przez przewoźników lotniczych wielu połączeń z właściwymi służbami granicznymi państw członkowskich w celu przekazywania danych API gromadzonych na podstawie niniejszego rozporządzenia, i w ten sposób uniknąć związanego z tym braku efektywności i ryzyka dla bezpieczeństwa, należy ustanowić jeden router, opracowany i obsługiwany na poziomie Unii zgodnie z niniejszym rozporządzeniem i rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2025/13 10 , który służy jako punkt połączenia i dystrybucji do celów przekazywania danych API. Ze względów efektywności i opłacalności router powinien - w zakresie, w jakim jest to technicznie możliwe i w pełnej zgodności z przepisami niniejszego rozporządzenia i rozporządzenia (UE) 2025/13 - opierać się na elementach technicznych pochodzących z innych odpowiednich systemów utworzonych na podstawie prawa Unii, w szczególności na usłudze sieciowej, o której mowa w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2017/2226 11 , portalu dla przewoźników, o którym mowa w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2018/1240 12 , i portalu dla przewoźników, o którym mowa w rozporządzeniu Parlamentu Europejskiego i Rady (WE) nr 767/2008 13 . Aby ograniczyć wpływ na przewoźników lotniczych i zapewnić zharmonizowane podejście do przewoźników lotniczych, Agencja Unii Europejskiej ds. Zarządzania Operacyjnego Wielkoskalowymi Systemami Informatycznymi w Przestrzeni Wolności, Bezpieczeństwa i Sprawiedliwości (eu-LISA), ustanowiona rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1726 14 , powinna zaprojektować router, w miarę możliwości technicznych i operacyjnych, w sposób spójny i zgodny z obowiązkami przewoźników lotniczych określonymi w rozporządzeniach (WE) nr 767/2008, (UE) 2017/2226 i (UE) 2018/1240.
(24) Aby poprawić skuteczność przesyłania danych o ruchu lotniczym i wesprzeć monitorowanie danych API przesyłanych do właściwych służb granicznych, do routera powinny trafiać dane o ruchu lotniczym w czasie rzeczywistym gromadzone przez inne organizacje, takie jak Europejska Organizacja ds. Bezpieczeństwa Żeglugi Powietrznej (Eurocontrol).
(25) Na podstawie niniejszego rozporządzenia router powinien przesyłać dane API w sposób zautomatyzowany odpowiednim właściwym służbom granicznym, określonym na podstawie przejścia granicznego przylotu na terytorium państwa członkowskiego wskazanego w odpowiednich danych API. W celu ułatwienia procesu dystrybucji każde państwo członkowskie powinno wskazać, które służby graniczne są właściwe do otrzymywania danych API przesyłanych z routera. Istnieje możliwość ustanowienia przez państwa członkowskie pojedynczego punktu wprowadzania danych, który odbiera dane API z routera, a następnie natychmiastowo automatycznie przekazuje te dane dalej do właściwych służb granicznych danego państwa członkowskiego. W celu zapewnienia właściwego funkcjonowania niniejszego rozporządzenia oraz zachowania przejrzystości informacje na temat właściwych służb granicznych należy podawać do wiadomości publicznej.
(26) Router powinien służyć wyłącznie ułatwieniu przekazywania danych API przez przewoźników lotniczych właściwym służbom granicznym zgodnie z niniejszym rozporządzeniem i nie powinien pełnić funkcji repozytorium danych API. W związku z tym, a także aby zminimalizować ryzyko nieuprawnionego dostępu lub innego niewłaściwego wykorzystania oraz zgodnie z zasadą minimalizacji danych, przechowywanie żadnych danych nie powinno mieć miejsca, chyba że jest absolutnie niezbędne do celów technicznych związanych z przesyłaniem, a dane API należy usuwać z routera natychmiast, trwale i w sposób zautomatyzowany z chwilą zakończenia przesyłania.
(27) Aby przewoźnicy lotniczy mogli jak najszybciej odnieść korzyści wynikające z zastosowania routera opracowanego przez eu-LISA zgodnie z niniejszym rozporządzeniem i rozporządzeniem (UE) 2025/13 oraz zdobyć doświadczenie w jego używaniu, należy im zapewnić możliwość, ale nie wprowadzać obowiązku, korzystania z routera w celu przekazywania informacji, które są zobowiązani przekazywać na podstawie dyrektywy 2004/82/WE w okresie pośrednim. Ten okres pośredni powinien rozpocząć się z chwilą rozpoczęcia działania routera i zakończyć się z chwilą, gdy obowiązki wynikające z tej dyrektywy przestaną mieć zastosowanie. W celu zapewnienia, aby powyższe dobrowolne korzystanie z routera odbywało się w sposób odpowiedzialny, należy wymagać uprzedniej pisemnej zgody państwa członkowskiego, które ma otrzymywać informacje, na wniosek przewoźnika lotniczego oraz w razie potrzeby po przeprowadzeniu przez to państwo członkowskie weryfikacji i uzyskaniu zapewnień. Podobnie - w celu uniknięcia sytuacji, w której przewoźnicy lotniczy wielokrotnie zaczynaliby i przestawali korzystać z routera - gdy przewoźnik lotniczy rozpocznie dobrowolne korzystanie z routera, powinien być zobowiązany je kontynuować, chyba że istnieją obiektywne powody, by zaprzestać korzystania z routera do przesyłania informacji odpowiedzialnym organom danego państwa członkowskiego, na przykład jeżeli okaże się, że informacje nie są przesyłane zgodnie z prawem, bezpiecznie, skutecznie i sprawnie. W celu właściwego stosowania możliwości dobrowolnego korzystania z routera, z należytym uwzględnieniem praw i interesów wszystkich zainteresowanych stron, należy w niniejszym rozporządzeniu ustanowić niezbędne przepisy dotyczące konsultacji i przekazywania informacji. Powyższego dobrowolnego korzystania z routera w ramach wykonywania dyrektywy 2004/82/WE zgodnie z niniejszym rozporządzeniem nie należy rozumieć w ten sposób, że w jakikolwiek sposób zmienia ono obowiązki przewoźników lotniczych i państw członkowskich na podstawie tej dyrektywy.
(28) Router, który ma zostać opracowany i być obsługiwany na podstawie niniejszego rozporządzenia i rozporządzenia (UE) 2025/13, powinien ograniczyć i uprościć połączenia techniczne potrzebne do przekazywania danych API na podstawie niniejszego rozporządzenia, ograniczając je do jednego połączenia na jednego przewoźnika lotniczego i na jedną właściwą służbę graniczną. W związku z tym w niniejszym rozporządzeniu należy przewidzieć obowiązek ustanowienia przez właściwe służby graniczne i przewoźników lotniczych takiego połączenia z routerem i osiągnięcia wymaganej integracji z nim, aby zapewnić prawidłowe funkcjonowanie systemu przekazywania danych API ustanowionego niniejszym rozporządzeniem. Zaprojektowanie i opracowanie routera przez eu-LISA powinno pozwolić na skuteczne i wydajne połączenie i integrację systemów i infrastruktury przewoźników lotniczych przez udostępnienie wszystkich odpowiednich norm i wymogów technicznych. Aby zapewnić właściwe funkcjonowanie systemu ustanowionego niniejszym rozporządzeniem, należy przyjąć szczegółowe przepisy. Przy projektowaniu i opracowywaniu routera eu-LISA powinna zapewnić, aby dane API przekazywane przez przewoźników lotniczych i przesyłane właściwym służbom granicznym były przesyłane w postaci zaszyfrowanej.
(29) Ze względu na interes Unii z jej budżetu powinny być pokrywane wszystkie koszty poniesione przez eu-LISA w związku z wykonywaniem jej zadań wynikających z niniejszego rozporządzenia i dotyczących routera, co obejmuje zaprojektowanie, opracowanie i hosting routera oraz techniczne zarządzanie routerem, a także strukturę zarządczą w eu-LISA wspierającą projektowanie, opracowanie i hosting routera oraz techniczne zarządzanie routerem. To samo mogłoby mieć zastosowanie do kosztów ponoszonych przez państwa członkowskie w związku z ich połączeniami i integracją z routerem oraz z ich utrzymywaniem, stosownie do wymogów niniejszego rozporządzenia, zgodnie z mającym zastosowanie prawem Unii. Ważne jest, aby w odniesieniu do tych kosztów budżet Unii zapewniał państwom członkowskim odpowiednie wsparcie finansowe. W związku z tym potrzeby finansowe państw członkowskich powinny być pokrywane z budżetu ogólnego Unii, zgodnie z zasadami kwalifikowalności i stopami współfinansowania określonymi w odpowiednich aktach prawnych Unii. Roczny wkład Unii przydzielony eu-LISA powinien pokrywać potrzeby związane z hostingiem routera i technicznym zarządzaniem routerem na podstawie oceny przeprowadzonej przez eu-LISA. Z budżetu Unii należy również pokrywać wsparcie, np. w formie szkoleń, którego eu-LISA udziela przewoźnikom lotniczym i właściwym służbom granicznym w celu umożliwienia skutecznego przekazywania i przesyłania danych API za pośrednictwem routera. Koszty ponoszone przez niezależne krajowe organy nadzorcze w związku z zadaniami powierzonymi im na mocy niniejszego rozporządzenia powinny być pokrywane przez odpowiednie państwa członkowskie.
(30) Nie można wykluczyć, że ze względu na wyjątkowe okoliczności i pomimo zastosowania wszelkich należytych środków zgodnie z niniejszym rozporządzeniem infrastruktura centralna lub jeden z komponentów technicznych routera lub infrastruktura łączności łącząca właściwe służby graniczne i przewoźników lotniczych z routerem nie będą działać prawidłowo, co doprowadzi do braku technicznej możliwości przekazywania danych API przez przewoźnika lub ich otrzymywania przez właściwe służby graniczne. Ze względu na niedostępność routera i fakt, że zasadniczo przewoźnicy lotniczy nie będą mogli w inny zgodny z prawem, bezpieczny, skuteczny i sprawny sposób przekazywać danych API, których ze względu na awarię routera nie można przekazać, obowiązek przewoźników lotniczych dotyczący przekazywania takich danych API do routera powinien ulec zawieszeniu przez cały czas, w którym takie przekazywanie danych jest technicznie niemożliwe. Aby jednak zapewnić dostępność danych API niezbędnych do usprawnienia i ułatwienia skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych oraz zwalczania nielegalnej imigracji, przewoźnicy lotniczy powinni nadal gromadzić i przechowywać dane API, tak by można je było przekazać niezwłocznie po rozwiązaniu problemu braku możliwości technicznej. W celu ograniczenia do minimum czasu trwania i negatywnych skutków braku możliwości technicznej zainteresowane strony powinny w takim przypadku natychmiast poinformować się wzajemnie i natychmiastowo wprowadzić wszelkie środki niezbędne do rozwiązania problemu braku możliwości technicznej. Rozwiązanie to powinno pozostawać bez uszczerbku dla obowiązków wszystkich zainteresowanych stron wynikających z niniejszego rozporządzenia, dotyczących zapewnienia prawidłowego funkcjonowania routera oraz ich odpowiednich systemów i elementów infrastruktury, a także dla faktu, że przewoźnicy lotniczy podlegają karom w przypadku niewywiązania się z tych obowiązków, w tym w przypadku, gdy korzystają z tego rozwiązania w sytuacji, gdy nie jest to uzasadnione. Aby zniechęcić do takich nadużyć oraz ułatwić sprawowanie nadzoru i w stosownych przypadkach nakładanie kar, przewoźnicy lotniczy, którzy korzystają z tego rozwiązania w związku z awarią ich systemu i infrastruktury, powinni zgłaszać ten fakt właściwemu organowi nadzorczemu.
(31) Jeżeli przewoźnicy lotniczy utrzymują bezpośrednie połączenia z właściwymi służbami granicznymi w celu przekazywania danych API, połączenia te mogą stanowić odpowiednie środki zapewniające niezbędny poziom bezpieczeństwa danych na potrzeby przekazywania danych API bezpośrednio do właściwych służb granicznych w przypadku braku technicznej możliwości korzystania z routera. W wyjątkowym przypadku technicznej niemożliwości używania routera właściwe służby graniczne powinny móc zarządzić korzystanie przez przewoźników lotniczych z tego rodzaju odpowiednich środków, co nie oznacza, że przewoźnicy lotniczy mają obowiązek utrzymywać lub wprowadzić takie bezpośrednie połączenia lub jakiekolwiek inne odpowiednie środki zapewniające niezbędny poziom bezpieczeństwa danych na potrzeby przekazywania danych API bezpośrednio do właściwych służb granicznych. Wyjątkowe przekazywanie danych API innymi odpowiednimi środkami, takimi jak zaszyfrowana poczta elektroniczna lub bezpieczny portal internetowy, z wyłączeniem stosowania niestandardowych formatów elektronicznych, powinno zapewnić niezbędny poziom bezpieczeństwa, jakości i ochrony danych. Dane API otrzymane przez właściwe służby graniczne za pomocą takich innych odpowiednich środków powinny być dalej przetwarzane zgodnie z przepisami i z gwarancjami ochrony danych określonymi w rozporządzeniu (UE) 2016/399 i w mających zastosowanie przepisach krajowych. Po otrzymaniu od eu-LISA powiadomienia, że rozwiązano problem braku technicznej możliwości przesyłania, oraz jeżeli potwierdzono, że dane API przesłano za pośrednictwem routera do właściwych służb granicznych, właściwe służby graniczne powinny natychmiastowo usunąć dane API, które wcześniej otrzymały za pomocą innych odpowiednich środków. To usunięcie nie powinno obejmować konkretnych przypadków, w których dane API otrzymane przez właściwe służby graniczne za pomocą innych odpowiednich środków były w międzyczasie dalej przetwarzane zgodnie z rozporządzeniem (UE) 2016/679 do szczególnych celów usprawnienia i ułatwienia skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych oraz zwalczania nielegalnej imigracji.
(32) W celu zapewnienia przestrzegania podstawowego prawa do ochrony danych osobowych w niniejszym rozporządzeniu należy określić administratora i podmiot przetwarzający oraz przepisy dotyczące kontroli. W celu zapewnienia skutecznego monitorowania, odpowiedniej ochrony danych osobowych i ograniczenia do minimum ryzyka dla bezpieczeństwa należy również ustanowić przepisy dotyczące rejestrowania, bezpieczeństwa przetwarzania i monitorowania własnej działalności. Jeżeli przepisy te odnoszą się do przetwarzania danych osobowych, powinny być zgodne z mającymi ogólne zastosowanie aktami prawnymi Unii dotyczącymi ochrony danych osobowych, w szczególności z rozporządzeniem (UE) 2016/679 oraz rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 15 .
(33) Bez uszczerbku dla bardziej szczegółowych przepisów niniejszego rozporządzenia dotyczących przetwarzania danych osobowych, rozporządzenie (UE) 2016/679 powinno mieć zastosowanie do przetwarzania danych osobowych przez państwa członkowskie i przewoźników lotniczych na podstawie niniejszego rozporządzenia. Do przetwarzania danych osobowych przez eu-LISA podczas wykonywania przez nią obowiązków na podstawie niniejszego rozporządzenia powinno mieć zastosowanie rozporządzenie (UE) 2018/1725.
(34) Z uwagi na prawo pasażerów do informacji o przetwarzaniu ich danych osobowych państwa członkowskie powinny zapewniać, aby pasażerowie otrzymywali - w chwili rezerwacji lotu i w chwili odprawy - dokładne, łatwo dostępne i łatwo zrozumiałe informacje o gromadzeniu danych API, o przekazywaniu takich danych do właściwych służb granicznych i o swoich prawach jako osób, których dane dotyczą.
(35) Kontrole ochrony danych osobowych, za które odpowiadają państwa członkowskie, powinny być prowadzone przez niezależne organy nadzorcze, o których mowa w art. 51 rozporządzenia (UE) 2016/679, lub przez instytucję kontrolną, której organ nadzorczy powierzył to zadanie.
(36) Celami operacji przetwarzania danych na podstawie niniejszego rozporządzenia, a mianowicie przesyłania danych API przez przewoźników lotniczych za pośrednictwem routera właściwym służbom granicznym państw członkowskich, jest wspieranie tych służb w wykonywaniu ich obowiązków w zakresie zarządzania granicami oraz zadania związane ze zwalczaniem nielegalnej imigracji. W związku z tym państwa członkowskie powinny wyznaczyć organy, które będą administratorami do celów przetwarzania danych w routerze, przesyłania danych z routera do właściwych służb granicznych oraz późniejszego przetwarzania tych danych w celu usprawnienia i ułatwienia odprawy granicznej na granicach zewnętrznych. Państwa członkowskie powinny powiadomić Komisję i eu-LISA o tych organach. W odniesieniu do przetwarzania danych osobowych w routerze państwa członkowskie powinny być współadministratorami zgodnie z art. 26 rozporządzenia (UE) 2016/679. Z kolei przewoźnicy lotniczy powinni pełnić rolę odrębnych administratorów w zakresie przetwarzania danych API stanowiących dane osobowe na podstawie niniejszego rozporządzenia. W związku z tym zarówno przewoźnicy lotniczy, jak i właściwe służby graniczne powinni być odrębnymi administratorami danych w odniesieniu do prowadzonej przez siebie działalności związanej z przetwarzaniem danych API na podstawie niniejszego rozporządzenia. Ponieważ eu-LISA jest podmiotem odpowiedzialnym za zaprojektowanie, opracowanie i hosting routera oraz techniczne zarządzanie routerem, powinna ona być podmiotem przetwarzającym do celów przetwarzania za pośrednictwem routera danych API stanowiących dane osobowe, w tym przesyłania danych z routera do właściwych służb granicznych oraz przechowywania tych danych w routerze, o ile takie przechowywanie jest potrzebne do celów technicznych.
(37) Aby zapewnić skuteczne stosowanie przepisów niniejszego rozporządzenia przez przewoźników lotniczych, należy przewidzieć wyznaczenie i upoważnienie organów krajowych jako krajowych organów nadzorczych odpowiedzialnych za dane API, odpowiadających za monitorowanie przestrzegania tych przepisów. Jako krajowe organy nadzorcze odpowiedzialne za dane API państwa członkowskie mogą wyznaczyć swoje właściwe służby graniczne. Przepisy niniejszego rozporządzenia dotyczące takiego monitorowania, w tym, w stosownych przypadkach, w zakresie nakładania kar, nie powinny mieć wpływu na zadania i uprawnienia organów nadzorczych ustanowionych na mocy rozporządzenia (UE) 2016/679, również w odniesieniu do przetwarzania danych osobowych na podstawie niniejszego rozporządzenia.
(38) Państwa członkowskie powinny przewidzieć skuteczne, proporcjonalne i odstraszające kary, obejmujące kary finansowe i niefinansowe, wobec przewoźników lotniczych, którzy nie wypełniają obowiązków wynikających z niniejszego rozporządzenia, w tym dotyczących gromadzenia danych API w sposób zautomatyzowany i przekazywania danych zgodnie z wymaganymi ramami czasowymi, formatami i protokołami. W szczególności państwa członkowskie powinny zapewnić, aby powtarzające się nieprzestrzeganie przez przewoźników lotniczych będących osobami prawnymi obowiązku przekazywania danych API do routera na podstawie niniejszego rozporządzenia podlegało proporcjonalnym karom finansowym w wysokości do 2 % całkowitego obrotu przewoźnika lotniczego w poprzednim roku obrotowym. Ponadto państwa członkowskie powinny móc nakładać na przewoźników lotniczych kary, w tym kary finansowe, za niewypełnianie w inny sposób obowiązków na podstawie niniejszego rozporządzenia.
(39) Przyjmując przepisy dotyczące kar mających zastosowanie do przewoźników lotniczych na podstawie niniejszego rozporządzenia państwa członkowskie mogą wziąć pod uwagę techniczną i operacyjną wykonalność zapewnienia pełnej dokładności danych. Ponadto gdy nakładane są kary, należy ustalić ich zastosowanie i wysokość. Krajowe organy nadzorcze odpowiedzialne za dane API mogą uwzględnić działania podjęte przez przewoźnika lotniczego w celu złagodzenia problemu, a także stopień, w jakim przewoźnik współpracuje z organami krajowymi.
(40) Do celów niniejszego rozporządzenia i rozporządzenia (UE) 2025/13 powinna istnieć jedna struktura zarządzania. Aby umożliwić i ułatwić komunikację między przedstawicielami przewoźników lotniczych i przedstawicielami organów państw członkowskich właściwych na podstawie niniejszego rozporządzenia i rozporządzenia (UE) 2025/13 do otrzymywania danych API przesyłanych z routera, najpóźniej dwa lata po rozpoczęciu działania routera należy powołać dwa specjalne organy. Kwestie techniczne związane z korzystaniem z routera i jego funkcjonowaniem powinny być omawiane na forum grupy kontaktowej ds. API-PNR, w której powinni być obecni również przedstawiciele eu-LISA. Kwestie polityki, np. związane z karami, powinny być omawiane na forum grupy eksperckiej ds. API.
(41) Ponieważ niniejsze rozporządzenie przewiduje ustanowienie nowych zasad dotyczących gromadzenia i przekazywania danych API w celu usprawnienia i ułatwienia skutecznej i efektywnej odprawy granicznej na granicach zewnętrznych, należy uchylić dyrektywę 2004/82/WE.
(42) Ponieważ eu-LISA powinna zaprojektować i opracować router oraz zapewnić hosting routera i techniczne zarządzeniem routerem, konieczna jest zmiana rozporządzenia (UE) 2018/1726 polegająca na dodaniu tego zadania do wykazu zadań eu-LISA. Aby umożliwić przechowywanie sprawozdań i statystyk dotyczących routera w centralnym repozytorium sprawozdawczo-statystycznym (CRRS) powołanym rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2019/817 16 , konieczna jest zmiana tego rozporządzenia. Aby wspierać egzekwowanie niniejszego rozporządzenia przez krajowy organ nadzorczy odpowiedzialny za dane API, koniecznej jest, by zmiany rozporządzenia (UE) 2019/817 obejmowały przepisy w zakresie statystyk dotyczących dokładności i kompletności danych API, na przykład przez wskazanie, czy dane gromadzono w sposób zautomatyzowany. Ważne jest także, aby gromadzić wiarygodne i użyteczne statystyki dotyczące wdrażania niniejszego rozporządzenia w celu wspierania realizacji jego celów i przeprowadzania ocen na jego podstawie. Statystyki te nie powinny zawierać żadnych danych osobowych. W związku z tym CRRS powinno dostarczać statystyki oparte na danych API wyłącznie do celów wdrożenia i skutecznego monitorowania stosowania niniejszego rozporządzenia. Dane, które w tym celu są automatycznie przesyłane z routera do CRRS, nie powinny pozwalać na identyfikację pasażerów.
(43) W celu zwiększenia jasności i pewności prawa, przyczynienia się do zapewnienia jakości danych, zapewnienia odpowiedzialnego korzystania ze zautomatyzowanych środków gromadzenia danych API nadających się do odczytu maszynowego na podstawie niniejszego rozporządzenia oraz zapewnienia manualnego gromadzenia danych API w wyjątkowych okolicznościach i w okresie przejściowym, zapewnienia jasności co do wymogów technicznych mających zastosowanie do przewoźników lotniczych i niezbędnych do zapewnienia bezpiecznego, skutecznego i sprawnego przekazywania danych API, zgromadzonych przez nich na podstawie niniejszego rozporządzenia, do routera, a także w celu zapewnienia, aby niedokładne lub niekompletne dane lub dane, które nie są już aktualne, były korygowane, uzupełniane lub aktualizowane, należy przekazać Komisji uprawnienia do przyjmowania aktów zgodnie z art. 290 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) w celu zakończenia okresu przejściowego manualnego gromadzenia danych API; do przyjmowania środków dotyczących wymogów technicznych i przepisów operacyjnych, których przewoźnicy lotniczy powinni przestrzegać w odniesieniu do gromadzenia w sposób zautomatyzowany na podstawie niniejszego rozporządzenia danych API nadających się do odczytu maszynowego, do manualnego gromadzenia danych API w wyjątkowych okolicznościach oraz do gromadzenia danych API w okresie przejściowym, w tym wymogów dotyczących bezpieczeństwa danych; do ustanowienia szczegółowych przepisów dotyczących wspólnych protokołów i obsługiwanych formatów danych, które mają być wykorzystywane do zaszyfrowanego przekazywania danych API przez przewoźników lotniczych, w tym wymogów dotyczących bezpieczeństwa danych; oraz do ustanowienia przepisów dotyczących korygowania, uzupełniania i aktualizowania danych API. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje z zainteresowanymi podmiotami, w tym z przewoźnikami lotniczymi, w tym na poziomie ekspertów, oraz aby konsultacje te prowadzone były zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa 17 . W szczególności, aby zapewnić Parlamentowi Europejskiemu i Radzie udział na równych zasadach w przygotowaniu aktów delegowanych, instytucje te otrzymują wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji mogą systematycznie brać udział w posiedzeniach grup eksperckich Komisji zajmujących się przygotowaniem aktów delegowanych. Biorąc pod uwagę aktualny stan wiedzy, te wymogi techniczne i przepisy operacyjne mogą z czasem ulec zmianie.
(44) W celu zapewnienia jednolitych warunków wykonywania niniejszego rozporządzenia, tj. w kwestii rozpoczęcia działania routera, przepisów technicznych i proceduralnych dotyczących weryfikacji danych i powiadomień, przepisów technicznych i proceduralnych dotyczących przesyłania danych API z routera do właściwych służb granicznych w sposób zapewniający, aby przesyłane były one bezpiecznie, skutecznie i sprawnie, a wpływ tych czynności na podróże pasażerów i na przewoźników lotniczych nie wykraczał poza to, co konieczne, a także dotyczących połączeń i integracji właściwych służb granicznych i przewoźników lotniczych z routerem, a także w celu określenia obowiązków państw członkowskich jako współadministratorów, w tym w odniesieniu do identyfikacji incydentów związanych z bezpieczeństwem, w tym naruszeń ochrony danych osobowych, oraz zarządzania nimi, a także stosunków między współadministratorami a eu-LISA jako podmiotem przetwarzającym, w tym pomocy ze strony eu-LISA na rzecz administratorów za pomocą odpowiednich środków technicznych i organizacyjnych, w zakresie, w jakim jest to możliwe, w celu wypełnienia przez administratora obowiązków w zakresie udzielania odpowiedzi na wnioski dotyczące wykonywania praw przez osobę, której dane dotyczą, należy powierzyć Komisji uprawnienia wykonawcze. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/2011 18 .
(45) Wszystkim zainteresowanym stronom, a w szczególności przewoźnikom lotniczym i właściwym służbom granicznym, należy zapewnić wystarczający czas na podjęcie niezbędnych działań w celu przygotowania się do wypełniania obowiązków wynikających z niniejszego rozporządzenia, biorąc pod uwagę fakt, że niektóre z tych działań, np. w zakresie obowiązków dotyczących połączenia i integracji z routerem, można sfinalizować dopiero po zakończeniu fazy prac projektowych i rozwojowych nad routerem oraz po rozpoczęciu jego działania. W związku z tym niniejsze rozporządzenie powinno mieć zastosowanie dopiero po upływie odpowiedniego czasu od dnia rozpoczęcia działania routera, określonego przez Komisję zgodnie z niniejszym rozporządzeniem i z rozporządzeniem (UE) 2025/13. Komisja powinna jednak mieć możliwość przyjmowania aktów delegowanych i wykonawczych na mocy niniejszego rozporządzenia już wcześniej, aby zapewnić jak najszybsze uruchomienie systemu ustanowionego niniejszym rozporządzeniem.
(46) Fazy projektowania i opracowania routera ustanowionego na podstawie niniejszego rozporządzenia i rozporządzenia (UE) 2025/13 należy rozpocząć i zakończyć jak najszybciej, tak aby router jak najszybciej rozpoczął działanie, co wymaga również przyjęcia odpowiednich aktów delegowanych i wykonawczych przewidzianych w niniejszym rozporządzeniu. W celu sprawnego i skutecznego przeprowadzenia tych faz należy powołać specjalną komisję ds. zarządzania programem, która zajmować się będzie nadzorem nad wykonywaniem przez eu-LISA jej zadań w tych fazach. Komisję tę należy rozwiązać po upływie dwóch lat od rozpoczęcia działania routera. Ponadto należy utworzyć zgodnie z rozporządzeniem (UE) 2018/1726 specjalny organ doradczy, grupę doradczą ds. API-PNR, w celu zapewnienia eu-LISA i komisji ds. zarządzania programem wiedzy eksperckiej dotyczącej faz projektowania i opracowywania routera, a także w celu zapewnienia eu-LISA wiedzy eksperckiej dotyczącej hostingu routera i zarządzania routerem. Komisja ds. zarządzania programem oraz grupa doradcza ds. API-PNR powinny zostać powołane i działać na wzór istniejących komisji ds. zarządzania programami i grup doradczych.
(47) Niniejsze rozporządzenie powinno podlegać regularnym ocenom w celu zapewnienia monitorowania jego skutecznego stosowania. W szczególności gromadzenie danych API nie powinno odbywać się ze szkodą dla przebiegu podróży pasażerów podróżujących zgodnie z prawem. W związku z tym Komisja powinna uwzględnić w swoich regularnych sprawozdaniach z oceny stosowania niniejszego rozporządzenia ocenę jego wpływu na przebieg podróży pasażerów podróżujących zgodnie z prawem. Ocena powinna obejmować również ocenę jakości danych przesyłanych z routera, a także działanie routera w odniesieniu do właściwych służb granicznych.
(48) Należy również bezzwłocznie przedstawić przewidziane w niniejszym rozporządzeniu objaśnienie dotyczące stosowania specyfikacji w zakresie stosowania automatyzacji w ramach wykonywania dyrektywy 2004/82/WE. Przepisy dotyczące tych kwestii powinny zatem obowiązywać od dnia wejścia w życie niniejszego rozporządzenia. Ponadto, aby umożliwić jak najszybsze dobrowolne korzystanie z routera, przepisy dotyczące takiego korzystania, jak również niektóre inne przepisy mające na celu zapewnienie, aby takie korzystanie odbywało się w sposób odpowiedzialny, powinny mieć zastosowanie jak najwcześniej, tj. od chwili rozpoczęcia działania routera.
(49) Ponieważ niniejsze rozporządzenie wymaga dodatkowych dostosowań ze strony przewoźników lotniczych i wiąże się dla nich z dodatkowymi kosztami administracyjnymi, ogólne obciążenie regulacyjne dla sektora lotnictwa powinno podlegać ścisłemu przeglądowi. W tym kontekście w sprawozdaniu oceniającym funkcjonowanie niniejszego rozporządzenia należy ocenić, w jakim stopniu osiągnięto jego cele i w jakim stopniu wpłynęło to na konkurencyjność sektora.
(50) Niniejsze rozporządzenie pozostaje bez uszczerbku dla kompetencji państw członkowskich w odniesieniu do prawa krajowego dotyczącego bezpieczeństwa narodowego, pod warunkiem że prawo to jest zgodne z prawem Unii.
(51) Niniejsze rozporządzenie pozostaje bez uszczerbku dla kompetencji państw członkowskich, na podstawie prawa krajowego, w zakresie gromadzenia dotyczących pasażerów danych przekazywanych przez dostawców usług transportowych innych niż określeni w niniejszym rozporządzeniu, pod warunkiem że takie prawo krajowe jest zgodne z prawem Unii.
(52) Ponieważ cele niniejszego rozporządzenia, a mianowicie usprawnienie i ułatwienie skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych i zwalczania nielegalnej imigracji, dotyczą kwestii, które z natury mają charakter transgraniczny, nie mogą zostać osiągnięte w sposób wystarczający przez państwa członkowskie działające indywidualnie, natomiast można je lepiej osiągnąć na poziomie Unii. Unia może zatem podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej (TEU). Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia tych celów.
(53) Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do TUE i do TFUE, Dania nie uczestniczy w przyjęciu niniejszego rozporządzenia i nie jest nim związana ani go nie stosuje. Ponieważ niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen, zgodnie z art. 4 tego protokołu Dania - w terminie sześciu miesięcy po przyjęciu przez Radę niniejszego rozporządzenia - podejmuje decyzję, czy dokona jego transpozycji do swego prawa krajowego.
(54) Niniejsze rozporządzenie ma zastosowanie do Irlandii zgodnie z art. 5 ust. 1 Protokołu nr 19 w sprawie dorobku Schengen włączonego w ramy Unii Europejskiej, który jest załączony do TUE i do TFUE, oraz art. 6 ust. 2 decyzji Rady 2002/192/WE 19 .
(55) W odniesieniu do Islandii i Norwegii niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy zawartej przez Radę Unii Europejskiej i Republikę Islandii oraz Królestwo Norwegii dotyczącej włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen 20 , które wchodzą w zakres obszaru, o którym mowa w art. 1 lit. A decyzji Rady 1999/437/WE 21 .
(56) W odniesieniu do Szwajcarii niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy między Unią Europejską, Wspólnotą Europejską a Konfederacją Szwajcarską w sprawie włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen 22 , które wchodzą w zakres obszaru, o którym mowa w art. 1 lit. A decyzji 1999/437/WE w związku z art. 3 decyzji Rady 2008/146/WE 23 .
(57) W odniesieniu do Liechtensteinu niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Protokołu między Unią Europejską, Wspólnotą Europejską, Konfederacją Szwajcarską i Księstwem Liechtensteinu w sprawie przystąpienia Księstwa Liechtensteinu do Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie,
stosowanie i rozwój dorobku Schengen 24 , które wchodzą w zakres obszaru, o którym mowa w art. 1 lit. A decyzji 1999/437/WE w związku z art. 3 decyzji Rady 2011/350/UE 25 .
(58) W odniesieniu do Cypru niniejsze rozporządzenie jest aktem opartym na dorobku Schengen lub w inny sposób z nim związanym w rozumieniu art. 3 ust. 1 Aktu przystąpienia z 2003 r.
(59) Zgodnie z art. 42 ust. 1 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię 8 lutego 2023 r. 26 ,
PRZYJMUJĄ NINIEJSZE ROZPORZĄDZENIE:
