Indsamling og overførsel af forhåndsinformation om passagerer

HOVEDPUNKTER

Anvendelsesområde og anvendelighed

Begge forordninger finder anvendelse på luftfartsselskaber, der foretager passagerflyvninger, herunder dem, der transporterer passagerer med forbindelse til andre destinationer (transitpassagerer) og ikketjenestegørende besætningsmedlemmer. Forordning (EU) 2025/13 finder også anvendelse på tjenestegørende besætningsmedlemmer.

• Forordning (EU) 2025/12 finder anvendelse på flyvninger, der ankommer fra tredjelande til EU-medlemsstater, som anvender denne forordning, og til de associerede Schengenlande (Island, Liechtenstein, Norge og Schweiz).
• Forordning (EU) 2025/13 finder anvendelse på:
  • flyvninger mellem medlemsstater, der anvender denne forordning, og tredjelande (flyvninger uden for EU)
  • udvalgte flyvninger inden for EU (flyvninger inden for EU), men kun hvis medlemsstaten anvender reglerne om anvendelse af PNR-oplysninger på disse flyvninger.

Disse regler gælder ikke for militær-, nød-, læge- eller skoleflyvninger.

Luftfartsselskabernes forpligtelser

Luftfartsselskaberne skal:

• indsamle API-oplysninger for hver passager og hvert besætningsmedlem, herunder:
  • fulde navn, fødselsdato, køn, nationalitet
  • rejsedokumentoplysninger (type, nummer, udløbsdato, udstedende land)
  • flynummer, sædenummer, bagageoplysninger (hvis de foreligger)
  • PNR-nummer (hvis det foreligger)
  • indsamlingsmetode (automatiseret/manuel)
• anvende automatiserede metoder (f.eks. scanning af maskinlæsbare områder i rejsedokumenter) for at sikre nøjagtighed og fuldstændighed — manuel indlæsning er kun tilladt i en overgangsperiode eller under særlige omstændigheder, hvor automatisk indsamling er teknisk umulig
• overføre data elektronisk og sikkert til EU’s API/PNR-router:
  • én gang ved check-in (pr. passager) og
  • igen efter flylukning (for alle passagerer og besætningsmedlemmer om bord).

Fælles router til dataoverførsel

EU’s fælles API/PNR-router, der drives af eu-LISA, er den eneste grænseflade for overførsel af API- og PNR-oplysninger. Den modtager API- og PNR-oplysninger fra luftfartsselskaber, validerer det tekniske format og den tekniske integritet og videresender automatisk API-oplysninger til nationale grænsemyndigheder (for forordning (EU) 2025/12) eller API- og PNR-oplysninger til nationale passageroplysningsenheder (PIU’er) (for forordning (EU) 2025/13). routeren sletter oplysninger umiddelbart efter transmissionen, og opbevarer dem kun midlertidigt til routing.

Alle transmissioner skal bruge end-to-end-kryptering. Routeren sikrer kompatibilitet med relevante IT-systemer i EU såsom ind- og udrejsesystemet (EES), det europæiske system for rejseinformation og rejsetilladelse (ETIAS) og visuminformationssystemet (VIS). Den fjerner også behovet for flere direkte forbindelser mellem luftfartsselskaber og nationale myndigheder.

Anvendelse af forhåndsinformation om passagerer

I henhold til forordning (EU) 2025/12 anvendes API-oplysninger udelukkende til at forbedre og lette ind- og udrejsekontrollen ved de ydre grænser og opdage ulovlig indvandring. Brug af oplysninger til profilering eller diskriminerende formål er forbudt. Grænsemyndighederne kan opbevare oplysningerne i op til 48 timer, eventuelt med en forlængelse på yderligere 48 timer i individuelle tilfælde, hvor en passager ikke møder op ved grænsen.

I henhold til forordning (EU) 2025/13 behandles API-oplysninger sammen med PNR-oplysninger for at identificere højrisikopersoner, forebygge og opdage grov kriminalitet og terrorisme og støtte grænseoverskridende politisamarbejde og retligt samarbejde. For flyvninger inden for EU må API-oplysninger kun videregives til PIU’er, hvis medlemsstaten anvender PNR-reglerne på sådanne flyvninger og udvælger dem ved hjælp af objektive, risikobaserede kriterier. Denne udvælgelse skal tages op til fornyet overvejelse mindst én gang om året. Oplysninger fra ikke-udvalgte flyvninger skal straks slettes fra routeren, og luftfartsselskaberne må ikke informeres om, hvilke flyvninger der udvælges.

Passagerrettigheder og databeskyttelse

Forordningerne supplerer databeskyttelsesreglerne i direktiv (EU) 2016/681 og kræver, at al behandling af API- og PNR-oplysninger er i overensstemmelse med gældende EU-databeskyttelsesregler. Disse omfatter:

• Den Europæiske Unions charter om grundlæggende rettigheder
• forordning (EU) 2016/679 (den generelle forordning om databeskyttelse — se resumé), som fastsætter reglerne for, hvordan luftfartsselskaber håndterer personoplysninger, og som finder anvendelse på nationale myndigheder, der behandler API-oplysninger med henblik på grænseforvaltning
• direktiv (EU) 2016/680 (se resumé), som fastsætter EU-reglerne om databeskyttelse for politimyndigheder og strafferetlige myndigheder, der gælder for nationale myndigheder, der behandler API-oplysninger med henblik på retshåndhævelse
• forordning (EU) 2018/1725 (se resumé), som fastsætter EU’s regler om databeskyttelse for EU’s institutioner og agenturer, der gælder for eu-LISA (drift af routeren).

Forordningerne fastsætter vigtige sikkerhedsforanstaltninger, herunder:

• streng formålsbegrænsning — oplysningerne må kun anvendes til de formål, der er fastsat i forordningerne
• et forbud mod indsamling eller anvendelse af biometriske oplysninger som en del af API-oplysninger
• et forbud mod forskelsbehandling og profilering
• ret til information — passagererne skal ved reservation og check-in informeres om indsamlingen af deres data og deres rettigheder
• strenge regler for, hvor længe oplysningerne må opbevares.

Nationale myndigheder

Hver medlemsstat skal udpege:

• en kompetent grænsemyndighed til modtagelse af API-oplysninger med henblik på ind- og udrejsekontrol
• PIU’en til modtagelse af API-oplysninger til retshåndhævelsesformål og PNR-oplysninger i henhold til direktiv (EU) 2016/681
• en national API-tilsynsmyndighed til overvågning af overholdelse og håndhævelse af reglerne.

Forvaltning og tilsyn

eu-LISA er ansvarlig for:

• udformning, udvikling, hosting og drift af routeren
• ydelse af teknisk støtte og uddannelse til interessenter
• sikring af systemsikkerhed og interoperabilitet med andre systemer.

Forvaltningsstrukturerne i eu-LISA omfatter:

• et Programstyringsråd med ansvar for tilsyn med gennemførelsen
• en Rådgivende Gruppe for API-PNR til ydelse af teknisk og operationel rådgivning
• en Kontaktgruppe for API til fremme af inddragelse af interessenter.

Desuden skal Europa-Kommissionen udarbejde en API-ekspertgruppe til at muliggøre kommunikation mellem medlemsstaterne og mellem medlemsstaterne og luftfartsselskaberne om politiske spørgsmål vedrørende API og PNR.

Tilsyn og sanktioner

Medlemsstaterne skal:

• overvåge og håndhæve luftfartsselskabernes og myndighedernes overholdelse
• pålægge sanktioner for manglende overholdelse, herunder:
  • bøder på op til 2 % af luftfartsselskabets samlede omsætning i tilfælde af gentagne tilfælde af manglende overførsel af API-oplysninger
  • andre administrative eller korrigerende foranstaltninger, alt efter hvad der er relevant.

API-tilsynsmyndighederne skal tage hensyn til bruddets art, alvor og varighed, om det var forsætligt eller uagtsomt, de berørte kategorier af oplysninger, eventuelle tidligere overtrædelser og graden af samarbejde.

Overgangsforanstaltninger

I en overgangsperiode kan luftfartsselskaberne fortsat anvende manuelle metoder til indsamling af API-oplysninger. De kan også vælge at tilslutte sig EU's router på frivillig basis, forudsat at de har tilladelse hertil af den pågældende medlemsstat. Kommissionen fastsætter den dato, hvorfra EU’s API/PNR-router bliver operationel, når eu-LISA har underrettet Kommissionen om, at den omfattende test af routeren er afsluttet på tilfredsstillende vis.

Kommissionens beføjelser

Kommissionen tillægges beføjelser til at vedtage:

• delegerede retsakter med henblik på at:
  • bringe overgangsperioden for den manuelle indsamling af API-oplysninger til ophør
  • fastlægge regler for de automatiserede metoder til indsamling af maskinlæsbare API-oplysninger og for manuel indsamling under ekstraordinære omstændigheder og i overgangsperioden
  • fastsætte regler for de fælles protokoller og understøttede dataformater for overførsel af API-oplysninger til routeren
  • fastlægge regler for berigtigelse af udfyldelse og ajourføring af API-oplysninger.
• gennemførelsesretsakter med henblik på at:
  • fastsætte datoen for idriftsættelsen af routeren
  • fastlægge regler for dataverifikation og -underretninger og for overførsel af API- og PNR-oplysninger fra routeren til medlemsstaternes kompetente myndigheder
  • fastsætte regler for luftfartsselskabernes og medlemsstaternes forbindelser og integration i routeren
  • fastlægge medlemsstaternes og de fælles dataansvarliges ansvar og forholdet mellem de fælles dataansvarlige og eu-LISA som databehandler.

Overvågning og evaluering

Kommissionen vil vurdere virkningerne af forordningerne, herunder deres indvirkning på:

• passagerrettigheder
• luftfartsselskabers operationer og konkurrenceevne
• effektiviteten af EU’s API/PNR-router.

For at støtte gennemførelsen og overvågningen af anvendelsen af forordningerne har eu-LISA til opgave at offentliggøre statistikker om routerens funktion og om luftfartsselskabernes overholdelse af de forpligtelser, der er fastsat i forordningerne. Disse statistikker er baseret på anonymiserede passager- og flyoplysninger, der automatisk overføres til og forvaltes af det centrale register for rapportering og statistik (CRRS). Disse statistikker skal anonymiseres og kan ikke bruges til at identificere enkeltpersoner.