Shromažďování a předávání předběžných informací o cestujících

KLÍČOVÉ BODY

Oblast působnosti a použitelnost

Obě nařízení se vztahují na letecké dopravce provozující lety s cestujícími, včetně těch, kteří přepravují cestující do jiných destinací (tranzitní cestující), a na členy posádek mimo službu. Nařízení (EU) 2025/13 se vztahuje rovněž na členy posádky ve službě.

• Nařízení (EU) 2025/12 se vztahuje na lety přilétající ze zemí mimo EU do členských států EU, které toto nařízení uplatňují, a do zemí přidružených k Schengenu (Island, Lichtenštejnsko, Norsko a Švýcarsko).
• Nařízení (EU) 2025/13 se vztahuje na:
  • lety mezi členskými státy, které uplatňují toto nařízení, a třetími zeměmi (lety mimo EU),
  • vybrané lety v rámci EU (lety uvnitř EU), ale pouze v případě, že členský stát na tyto lety uplatňuje pravidla pro používání údajů jmenné evidence cestujících.

Tato nařízení se nevztahují na vojenské, záchranné, lékařské nebo školní lety.

Povinnosti leteckých dopravců

Letečtí dopravci musí:

• shromažďovat údaje API o každém cestujícím a členovi posádky, které zahrnují:
  • celé jméno, datum narození, pohlaví, státní příslušnost,
  • údaje o cestovním dokladu (typ, číslo, datum skončení platnosti, země vydání),
  • číslo letu, číslo sedadla, informace o zavazadlech (jsou-li k dispozici),
  • lokalizační kód záznamu PNR (je-li k dispozici),
  • způsob shromáždění (automatizovaný/ruční);
• použití automatizovaných prostředků (např. skenování strojově čitelných zón cestovních dokladů) pro zajištění přesnosti a úplnosti – ruční zadávání je povoleno pouze během přechodného období nebo za výjimečných okolností, kdy je automatizované shromažďování technicky nemožné;
• předání údajů elektronicky a bezpečně do routeru EU API/PNR:
  • jednou při odbavení (u každého cestujícího) a
  • opět po uzavření letu (u všech cestující a posádky na palubě).

Jeden router pro přenos dat

Jediný router EU API/PNR, který provozuje eu-LISA, je výhradním rozhraním pro předávání údajů API a PNR. Přijímá údaje API a PNR od leteckých dopravců, ověřuje jejich technický formát a integritu a automaticky směruje údaje API k vnitrostátním pohraničním orgánům (pro účely nařízení (EU) č. 2025/12) nebo údaje API a PNR k vnitrostátním jednotkám pro informace o cestujících (PIU) (pro účely nařízení (EU) č. 2025/13). Router data ihned po přenosu smaže a uchovává je pouze dočasně pro účely směrování.

Všechny přenosy musí používat šifrování mezi koncovými body. Router zajišťuje kompatibilitu s příslušnými IT systémy EU, jako je systém vstupu/výstupu (EES), Evropský systém pro cestovní informace a povolení (ETIAS) a vízový informační systém (VIS). Rovněž eliminuje potřebu vícenásobných přímých spojení mezi leteckými společnostmi a vnitrostátními orgány.

Použití předběžných informací o cestujících

Podle nařízení (EU) 2025/12 se údaje API používají výhradně k posílení a usnadnění kontrol na vnějších hranicích a k odhalování nelegálního přistěhovalectví. Použití údajů pro profilování nebo diskriminační účely je zakázáno. Pohraniční orgány mohou údaje uchovávat až do 48 hodin, s možností prodloužení o dalších 48 hodin v jednotlivých případech, kdy se cestující nedostaví na hranici.

Podle nařízení (EU) 2025/13 jsou údaje API zpracovávány společně s údaji PNR s cílem identifikovat vysoce rizikové osoby, předcházet závažné trestné činnosti a terorismu a odhalovat je a podporovat přeshraniční policejní a justiční spolupráci. U letů uvnitř EU mohou být údaje API předávány jednotkám pro shromažďování a analýzu údajů pouze v případě, že členský stát na tyto lety uplatňuje pravidla týkající se údajů PNR a vybírá je na základě objektivních kritérií založených na riziku. Tento výběr musí být přezkoumáván nejméně jednou ročně. Údaje z nevybraných letů musí být okamžitě vymazány z routeru a leteckým dopravcům nesmí být sděleno, které lety byly vybrány.

Práva cestujících a ochrana údajů

Těmito nařízeními se doplňují pravidla pro ochranu údajů stanovená ve směrnici (EU) 2016/681 a vyžadují, aby veškeré zpracování údajů API a PNR bylo v souladu s platnými pravidly EU pro ochranu údajů. Patří mezi ně:

• Listina základních práv Evropské unie;
• Nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů – viz shrnutí), které stanoví pravidla pro nakládání s osobními údaji leteckými dopravci a vztahuje se na vnitrostátní orgány zpracovávající údaje API pro účely správy hranic;
• Směrnice (EU) 2016/680 (viz shrnutí), která stanoví pravidla EU pro ochranu údajů pro policejní a trestněprávní orgány, která se vztahují na vnitrostátní orgány zpracovávající údaje API pro účely vymáhání práva;
• Nařízení (EU) 2018/1725 (viz shrnutí), které stanoví pravidla EU pro ochranu údajů pro orgány a agentury EU, která se vztahují na eu-LISA (provozující router).

Nařízení stanoví klíčová ochranná opatření, která zahrnují:

• přísné omezení účelu – údaje mohou být použity pouze pro účely stanovené v předpisech,
• zákaz shromažďování nebo používání biometrických údajů jako součásti údajů API;
• zákaz diskriminace a profilování,
• právo na informace – cestující musí být při rezervaci a odbavení informováni o shromažďování svých údajů a o svých právech,
• přísná pravidla týkající se doby, po kterou mohou být údaje uchovávány.

Vnitrostátní orgány

Každý členský stát musí určit:

• příslušný pohraniční orgán, který přijímá údaje API pro účely hraničních kontrol,
• složku pro informace o cestujících, do níž se přijímají údaje API pro účely vymáhání práva a údaje PNR v souladu se směrnicí (EU) 2016/681,
• vnitrostátní orgán dozoru nad API za účelem sledování dodržování a prosazování pravidel.

Správa a dohled

eu-LISA odpovídá za:

• navrhování, vývoj, hosting a provoz routeru,
• poskytování technické podpory a odborné přípravy zúčastněným stranám,
• zajištění bezpečnosti systému a interoperability s jinými systémy.

Mezi správní struktury agentury eu-LISA patří:

• Rada pro řízení programu odpovědná za dohled nad prováděním,
• poradní skupina API-PNR zajišťující technické a provozní poradenství,
• kontaktní skupina API usnadňující zapojení zúčastněných stran.

Kromě toho musí Evropská komise zřídit skupinu odborníků pro API, aby umožnila komunikaci mezi členskými státy a mezi členskými státy a leteckými dopravci v otázkách politiky souvisejících s API a PNR.

Dohled a sankce

Členské státy musí:

• sledovat a prosazovat dodržování předpisů leteckými dopravci a orgány,
• ukládat sankce za nedodržení předpisů, které zahrnují:
  • pokuty až do výše 2 % celkového obratu leteckého dopravce v případě opakovaného neposkytnutí údajů API,
  • případně jiná správní nebo nápravná opatření.

Orgány dozoru nad API musí zohlednit povahu, závažnost a trvání porušení, zda bylo úmyslné nebo nedbalostní, kategorie dotčených údajů, případná předchozí porušení a míru spolupráce.

Přechodná opatření

Během přechodného období mohou letečtí dopravci ke shromažďování údajů API i nadále používat ruční metody. Mohou se rovněž dobrovolně připojit k routeru EU, pokud jim to dotčený členský stát povolí. Komise stanoví datum, od kterého bude router EU API/PNR uveden do provozu, jakmile agentura eu-LISA Komisi informuje o úspěšném dokončení komplexního testování routeru.

Pravomoci Komise

Komisi je svěřena pravomoc přijímat:

• akty v přenesené pravomoci za účelem:
  • ukončení přechodného období pro ruční sběr údajů API,
  • stanovení pravidel pro automatizované prostředky shromažďování strojově čitelných údajů API a pro ruční sběr za výjimečných okolností a během přechodného období,
  • stanovení pravidel pro společné protokoly a podporované datové formáty pro přenos údajů API do routeru,
  • vymezení pravidel pro opravu, doplňování a aktualizaci údajů API.
• prováděcí akty za účelem:
  • stanovení data zahájení provozu routeru,
  • vymezení pravidel pro ověřování údajů a oznamování a pro předávání údajů API a PNR z routeru příslušným orgánům členských států,
  • stanovení pravidel pro připojení leteckých dopravců a členských států a jejich integraci do routeru,
  • vymezení odpovědností členských států a společných správců a vztahu mezi společnými správci a eu-LISA jako zpracovatelem.

Monitorování a hodnocení

Komise posoudí dopad nařízení, včetně jejich účinků na:

• práva cestujících,
• provoz a konkurenceschopnost leteckých dopravců,
• účinnost a efektivitu routeru API/PNR EU.

Na podporu provádění a monitorování uplatňování těchto nařízení má eu-LISA za úkol zveřejňovat statistiky o fungování routeru a o plnění povinností stanovených v nařízení leteckými dopravci. Tyto statistiky vycházejí z anonymizovaných údajů o cestujících a letech, které jsou automaticky předávány do centrálního úložiště pro účely podávání zpráv a statistiky (CRRS) a spravovány tímto úložištěm. Tyto statistické údaje musí být anonymizovány a nesmějí být použity k identifikaci jednotlivců.