EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS (EU) 2025/13,

annettu 19 päivänä joulukuuta 2024,

matkustajien ennakkotietojen keräämisestä ja siirtämisestä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten sekä asetuksen (EU) 2019/818 muuttamisesta

EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 82 artiklan 1 kohdan d alakohdan ja 87 artiklan 2 kohdan a alakohdan,

ottavat huomioon Euroopan komission ehdotuksen,

sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille,

ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon (1),

noudattavat tavallista lainsäätämisjärjestystä (2),

sekä katsovat seuraavaa:

(1)

Vakavan rikollisuuden ja järjestäytyneen rikollisuuden kansainvälinen ulottuvuus ja Euroopan maaperällä tehtävien terrori-iskujen jatkuva uhka edellyttävät unionin tason toimia, jotta voidaan toteuttaa asianmukaisia toimenpiteitä turvallisuuden varmistamiseksi vapauden, turvallisuuden ja oikeuden alueella, jolla ei ole sisärajoja. Matkustajia koskevat tiedot, kuten matkustajarekisteritiedot (PNR) ja erityisesti matkustajien ennakkotiedot (API), ovat olennaisen tärkeitä, jotta voidaan tunnistaa suuren riskin aiheuttavat matkustajat, myös ne, jotka eivät muuten ole lainvalvontaviranomaisten tiedossa, selvittää rikollisryhmien jäsenten välisiä yhteyksiä ja torjua terroritoimintaa.

(2)

Neuvoston direktiivissä 2004/82/EY (3) vahvistetaan oikeudellinen kehys lentoliikenteen harjoittajien suorittamalle API-tietojen keräämiselle ja siirtämiselle tavoitteena parantaa rajavalvontaa ja torjua laitonta maahanmuuttoa, ja siinä todetaan myös, että jäsenvaltiot voivat käyttää API-tietoja lainvalvontatarkoituksiin. Ainoastaan tällaisen mahdollisuuden tarjoaminen johtaa kuitenkin useisiin aukkoihin ja puutteisiin. Se tarkoittaa erityisesti sitä, että lentoliikenteen harjoittajat eivät kerää eivätkä siirrä API-tietoja järjestelmällisesti lainvalvontatarkoituksiin. Mahdollisuus käyttää API-tietoja lainvalvontatarkoituksiin tarkoittaa myös sitä, että tapauksissa, joissa jäsenvaltiot ovat hyödyntäneet tätä mahdollisuutta, lentoliikenteen harjoittajat joutuvat noudattamaan toisistaan poikkeavia kansallisen lainsäädännön mukaisia vaatimuksia siitä, milloin ja miten API-tietoja kerätään ja siirretään näihin tarkoituksiin. Nämä erot aiheuttavat lentoliikenteen harjoittajille tarpeettomia kustannuksia ja hankaluuksia, mutta ne ovat haitallisia myös unionin sisäisen turvallisuuden ja jäsenvaltioiden toimivaltaisten lainvalvontaviranomaisten välisen tehokkaan yhteistyön kannalta. Koska pyrkimykset helpottaa rajavalvontaa ja lainvalvontaa ovat luonteeltaan erilaisia, on lisäksi aiheellista vahvistaa erillinen oikeudellinen kehys API-tietojen keräämiselle ja siirtämiselle näihin eri tarkoituksiin.

(3)

Euroopan parlamentin ja neuvoston direktiivissä (EU) 2016/681 (4) vahvistetaan sääntöjä PNR-tietojen käytöstä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten. Kyseisen direktiivin nojalla jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että lentoliikenteen harjoittajat siirtävät PNR-tiedot, mukaan lukien API-tiedot, jos niitä on kerätty, kyseisellä direktiivillä perustetulle kansalliselle matkustajatietoyksikölle siltä osin kuin ne ovat jo keränneet tällaiset tiedot tavanomaisen liiketoimintansa yhteydessä. Näin ollen kyseinen direktiivi ei varmista API-tietojen keräämistä ja siirtämistä kaikissa tapauksissa, koska lentoliikenteen harjoittajilla ei ole liiketoimintaan liittyvää perustetta kerätä kaikkia tällaisia tietoja. On tärkeää varmistaa, että matkustajatietoyksiköt saavat API-tietoja yhdessä PNR-tietojen kanssa, koska tällaisten tietojen yhteiskäsittelyä tarvitaan, jotta jäsenvaltioiden toimivaltaiset viranomaiset voivat tehokkaasti estää ennalta, paljastaa ja tutkia terrorismirikoksia ja vakavaa rikollisuutta sekä toteuttaa niihin liittyviä syytetoimia. Tällainen yhteiskäsittely mahdollistaa erityisesti niiden matkustajien tarkan tunnistamisen sovellettavan lainsäädännön mukaisesti, joita kyseiset viranomaiset saattavat joutua tutkimaan tarkemmin. Mainitussa direktiivissä ei myöskään täsmennetä yksityiskohtaisesti, mitkä tiedot ovat API-tietoja. Näistä syistä olisi vahvistettava täydentävät säännöt, joissa lentoliikenteen harjoittajia vaaditaan keräämään ja siirtämään erikseen määritellyt API-tiedot, ja näitä vaatimuksia olisi sovellettava siltä osin kuin lentoliikenteen harjoittajat ovat kyseisen direktiivin nojalla velvollisia keräämään ja siirtämään PNR-tietoja samasta lennosta.

(4)	Näistä syistä on tarpeen vahvistaa unionin tasolla selkeät, yhdenmukaistetut ja tehokkaat säännöt, jotka koskevat API-tietojen keräämistä ja siirtämistä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten.

(5)

Kun otetaan huomioon säädösten välinen läheinen suhde, tämän asetuksen olisi katsottava täydentävän direktiivissä (EU) 2016/681 säädettyjä sääntöjä, sellaisina kuin Euroopan unionin tuomioistuin on niitä tulkinnut. Sen vuoksi API-tiedot olisi kerättävä ja siirrettävä ainoastaan tämän asetuksen nojalla ja siinä vahvistettujen nimenomaisten vaatimusten mukaisesti, myös siltä osin kuin ne koskevat tilanteita, joissa tämä tehdään, ja tapaa, jolla tämä tehdään. Mainitun direktiivin sääntöjä sovelletaan kuitenkin seikkoihin, jotka eivät nimenomaisesti kuulu tämän asetuksen soveltamisalaan, erityisesti kun on kyse säännöistä, jotka koskevat matkustajatietoyksiköiden vastaanottamien API-tietojen jatkokäsittelyä, jäsenvaltioiden välistä tietojenvaihtoa, Euroopan unionin lainvalvontayhteistyöviraston (Europol) pääsyä tietoihin koskevia edellytyksiä, siirtoja kolmansiin maihin, tietojen säilyttämistä ja tunnistamisen mahdollistavien tiedonosien erottamista sekä henkilötietojen suojaa. Sovellettaessa näitä sääntöjä sovelletaan myös kyseisen direktiivin sääntöjä, jotka koskevat seuraamuksia ja kansallisia valvontaviranomaisia. Tämän asetuksen ei pitäisi vaikuttaa näihin sääntöihin, eikä se saisi sen vuoksi etenkään vaikuttaa vaatimuksiin ja suojatoimiin, joita sovelletaan matkustajatietoyksiköiden suorittamaan API-tietojen käsittelyyn.

(6)

API-tietojen kerääminen ja siirtäminen vaikuttavat henkilöiden yksityisyydensuojaan ja edellyttävät heidän henkilötietojensa käsittelyä. Jotta heidän perusoikeuksiaan, erityisesti oikeutta yksityiselämän kunnioittamiseen ja henkilötietojen suojaan, voitaisiin kunnioittaa kaikilta osin Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, mukaisesti, olisi säädettävä asianmukaisista rajoituksista ja suojatoimista. Esimerkiksi API-tietojen ja etenkin henkilötietoja sisältävien API-tietojen käsittely olisi rajoitettava tiukasti siihen, mikä on tarpeen ja oikeasuhteista tämän asetuksen tavoitteiden saavuttamiseksi. Lisäksi olisi varmistettava, että tämän asetuksen nojalla kerättyjen ja siirrettyjen API-tietojen käsittely ei johda minkäänlaiseen perusoikeuskirjassa kiellettyyn syrjintään.

(7)

Kun otetaan huomioon tämän asetuksen täydentävä luonne suhteessa direktiiviin (EU) 2016/681, lentoliikenteen harjoittajien tämän asetuksen mukaisia velvoitteita olisi sovellettava kaikkiin lentoihin, joiden osalta jäsenvaltioiden on vaadittava lentoliikenteen harjoittajia toimittamaan PNR-tiedot direktiivin (EU) 2016/681 nojalla, kyseisiä lentoja liikennöivien lentoliikenteen harjoittajien sijoittautumispaikasta riippumatta. Näiden lentojen olisi koskettava sekä reitti- että tilauslentoja niin jäsenvaltioiden ja kolmansien maiden välillä (EU:n ulkopuoliset lennot) kuin myös useiden jäsenvaltioiden välillä (EU:n sisäiset lennot) edellyttäen, että tällaiset EU:n sisäiset lennot lähtevät sellaisen vähintään yhden jäsenvaltion alueelta, laskeutuvat sellaisen vähintään yhden jäsenvaltion alueelle tai tekevät välilaskun vähintään yhden sellaisen jäsenvaltion alueella, joka on ilmoittanut päätöksestään soveltaa direktiiviä (EU) 2016/681 EU:n sisäisiin lentoihin mainitun direktiivin 2 artiklan 1 kohdan mukaisesti ja Euroopan unionin tuomioistuimen oikeuskäytännön mukaisesti. Tämän asetuksen soveltamisalaan kuuluvien EU:n sisäisten lentojen osalta olisi myös edellytettävä tällaista kohdennettua lähestymistapaa, joka pannaan täytäntöön direktiivin (EU) 2016/681 2 artiklan soveltamiseksi ja jossa keskitytään tehokkaan lainvalvonnan vaatimuksiin, kun otetaan huomioon tarve varmistaa tietojenkäsittelyn tarpeellisuutta ja oikeasuhteisuutta, henkilöiden vapaata liikkuvuutta ja sisärajatarkastusten poistamista koskevien unionin oikeuden vaatimusten noudattaminen. Tietojen kerääminen mistä tahansa muusta siviili-ilma-aluksilla harjoitettavasta toiminnasta, kuten lentokouluista, lääkintälennoista ja avustuslennoista, sekä sotilaslennoista ei kuulu tämän asetuksen soveltamisalaan. Tämä asetus ei rajoita tietojen keräämistä tällaisista lennoista unionin oikeuden kanssa yhteensopivassa kansallisessa lainsäädännössä säädetyllä tavalla. Komission olisi arvioitava sellaisen unionin järjestelmän toteutettavuutta, jossa yksityislentoja suorittavat liikenteenharjoittajat velvoitetaan keräämään ja siirtämään lentomatkustajien tietoja.

(8)

Tässä asetuksessa lentoliikenteen harjoittajille asetettujen API-tietojen keräämistä ja siirtämistä koskevien velvoitteiden olisi katettava kaikki unioniin suuntautuvien lentojen matkustajat ja miehistön jäsenet, kauttakulkevat matkustajat ja miehistön jäsenet, joiden lopullinen määränpää on unionin ulkopuolella, sekä mahdolliset miehistön jäsenet, jotka eivät ole työtehtävissä mutta jotka lentoliikenteen harjoittaja on asettanut lennolle heidän työtehtäviinsä liittyen.

(9)

Koska direktiivi (EU) 2016/681 ei kata kotimaan lentoja, jotka lähtevät ja laskeutuvat saman jäsenvaltion alueella ilman välilaskua toisen jäsenvaltion tai kolmannen maan alueella, ja kun otetaan huomioon tämän asetuksen soveltamisalaan kuuluvien terrorismirikosten ja vakavan rikollisuuden kansainvälinen ulottuvuus, tällaisten lentojen ei myöskään pitäisi kuulua tämän asetuksen soveltamisalaan. Tämän asetuksen ei pitäisi katsoa vaikuttavan jäsenvaltioiden mahdollisuuteen asettaa kansallisen lainsäädäntönsä nojalla ja unionin oikeutta noudattaen lentoliikenteen harjoittajille velvoitteita kerätä ja siirtää API-tietoja tällaisista kotimaan lennoista.

(10)

Kun otetaan huomioon kyseisten unionin säädösten välinen läheinen suhde ja jotta voidaan varmistaa yhdenmukaisuus ja johdonmukaisuus, tässä asetuksessa vahvistetut määritelmät olisi tarvittaessa yhdenmukaistettava direktiivissä (EU) 2016/681 ja Euroopan parlamentin ja neuvoston asetuksessa (EU) 2025/12 (5) vahvistettujen määritelmien kanssa ja niitä olisi tulkittava ja sovellettava nämä määritelmät huomioon ottaen.

(11)

Tiedot, jotka yhdessä muodostavat tämän asetuksen nojalla kerättävät ja myöhemmin siirrettävät API-tiedot, olisi lueteltava selkeästi ja tyhjentävästi, ja niiden olisi katettava sekä kutakin matkustajaa ja miehistön jäsentä koskevat tiedot että tiedot kyseisen matkustajan ja miehistön jäsenen lennosta. Tämän asetuksen nojalla ja kansainvälisten standardien mukaisesti tällaisten lentotietojen olisi sisällettävä istumapaikka- ja matkatavaratiedot, jos tällaisia tietoja on saatavilla, sekä tiedot rajanylityspaikasta, jonka kautta henkilö saapuu asianomaisen jäsenvaltion alueelle, ainoastaan soveltuvin osin, toisin sanoen ei silloin, kun API-tiedot liittyvät EU:n sisäisiin lentoihin. Jos matkatavara- tai istumapaikkatiedot ovat saatavilla muissa tietoteknisissä järjestelmissä, jotka ovat lentoliikenteen harjoittajan, sen matkatavarankäsittelijän, sen järjestelmän tarjoajan tai lentoasemaviranomaisen käytettävissä, lentoliikenteen harjoittajien olisi sisällytettävä nämä tiedot matkustajatietoyksiköille siirrettäviin API-tietoihin. Tässä asetuksessa määriteltyihin ja säänneltyihin API-tietoihin ei sisälly biometrisiä tietoja.

(12)

Jotta matkustaminen ilman matkustusasiakirjaa olisi mahdollista silloin, kun jäsenvaltiot sallivat tällaisen käytännön unionin oikeuden mukaisen kansallisen lainsäädännön nojalla, myös kansainvälisen sopimuksen perusteella, jäsenvaltion olisi voitava asettaa lentoliikenteen harjoittajille velvoite antaa matkustajille mahdollisuus ladata vapaaehtoisesti API-tietoja automatisoiduin keinoin ja pitää tällaiset tiedot tallennettuina lentoliikenteen harjoittajalla tietojen siirtämiseksi tulevia lentoja varten.

(13)

Joustavuuden ja innovoinnin mahdollistamiseksi olisi lähtökohtaisesti jätettävä kunkin lentoliikenteen harjoittajan päätettäväksi, miten se täyttää tässä asetuksessa säädetyt API-tietojen keräämistä koskevat velvoitteensa, kun otetaan huomioon tässä asetuksessa määritellyn lentoliikenteen harjoittajan eri tyypit ja niiden liiketoimintamallit, esimerkiksi lähtöselvitysaikojen ja lentoasemien kanssa tehtävän yhteistyön osalta. Koska on kuitenkin olemassa sopivia teknisiä ratkaisuja, joilla voidaan kerätä tiettyjä API-tietoja automaattisesti ja varmistaa samalla, että kyseiset API-tiedot ovat tarkkoja, täydellisiä ja ajantasaisia, ja kun otetaan huomioon tällaisen teknologian käytön edut tuloksellisuuden ja tehokkuuden kannalta, lentoliikenteen harjoittajat olisi velvoitettava keräämään kyseiset API-tiedot automatisoiduin keinoin matkustusasiakirjaan sisältyvistä koneellisesti luettavista tiedoista. Jos tällaisten automatisoitujen keinojen käyttö ei ole teknisistä syistä mahdollista poikkeuksellisissa olosuhteissa, lentoliikenteen harjoittajien olisi poikkeuksellisesti kerättävä API-tiedot manuaalisesti joko osana verkossa tehtävää lähtöselvitysprosessia tai lentoasemalla tehtävää lähtöselvitystä tavalla, jolla varmistetaan niiden tämän asetuksen mukaisten velvoitteiden noudattaminen.

(14)

API-tietojen kerääminen automatisoiduin keinoin olisi rajoitettava tiukasti matkustusasiakirjaan sisältyviin aakkosnumeerisiin tietoihin, eikä se saisi johtaa biometristen tietojen keräämiseen matkustusasiakirjasta. Koska API-tietojen kerääminen on osa joko verkossa tai lentoasemalla tehtävää lähtöselvitysprosessia, tähän asetukseen ei sisälly lentoliikenteen harjoittajien velvoitetta tarkastaa matkustajan matkustusasiakirjaa ilma-alukseen nousemisen hetkellä. Tämän asetuksen noudattaminen ei sisällä matkustajien velvoitetta pitää mukanaan matkustusasiakirjaa ilma-alukseen nousemisen hetkellä. Tämä ei kuitenkaan saisi rajoittaa muista unionin säädöksistä tai unionin oikeuden mukaisesta kansallisesta lainsäädännöstä johtuvien velvoitteiden soveltamista.

(15)

API-tietojen keräämisen matkustusasiakirjoista olisi oltava yhdenmukaista myös koneellisesti luettavia matkustusasiakirjoja koskevien Kansainvälisen siviili-ilmailujärjestön (ICAO) standardien kanssa, jotka on sisällytetty unionin lainsäädäntöön Euroopan parlamentin ja neuvoston asetuksella (EU) 2019/1157 (6), neuvoston asetuksella (EY) N:o 2252/2004 (7) ja neuvoston direktiivillä (EU) 2019/997 (8).

(16)

Jotta vältettäisiin tilanne, jossa lentoliikenteen harjoittajien tarvitsee muodostaa ja ylläpitää useita yhteyksiä jäsenvaltioiden matkustajatietoyksiköihin tämän asetuksen nojalla kerättävien API-tietojen siirtämiseksi, ja siten vältettäisiin tällaisiin yhteyksiin liittyvät tehottomuudet ja turvallisuusriskit, olisi säädettävä yhdestä tämän asetuksen ja asetuksen (EU) 2025/12 mukaisesti unionin tasolla perustettavasta ja käytettävästä reitittimestä, joka toimii näiden siirtojen yhteys- ja jakelupisteenä. Tehokkuuden ja kustannustehokkuuden vuoksi reitittimen olisi, siinä määrin kuin se on teknisesti mahdollista ja noudattaen kaikilta osin tämän asetuksen ja asetuksen (EU) 2025/12 sääntöjä, perustuttava unionin lainsäädännön nojalla perustettujen muiden asiaankuuluvien järjestelmien teknisiin komponentteihin, erityisesti Euroopan parlamentin ja neuvoston asetuksessa (EU) 2017/2226 (9) tarkoitettuun verkkopalveluun, Euroopan parlamentin ja neuvoston asetuksessa (EU) 2018/1240 (10) tarkoitettuun liikenteenharjoittajien yhdyskäytävään ja Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 767/2008 (11) tarkoitettuun liikenteenharjoittajien yhdyskäytävään. Jotta voidaan vähentää lentoliikenteen harjoittajiin kohdistuvia vaikutuksia ja varmistaa lentoliikenteen harjoittajiin sovellettava yhdenmukainen lähestymistapa, Euroopan parlamentin ja neuvoston asetuksella (EU) 2018/1726 (12) perustetun vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaavan Euroopan unionin viraston (eu-LISA) olisi suunniteltava reititin, siinä määrin kuin se on teknisesti ja operatiivisesti mahdollista, tavalla, joka on johdonmukainen ja yhdenmukainen lentoliikenteen harjoittajille asetuksissa (EY) N:o 767/2008, (EU) 2017/2226 ja (EU) 2018/1240 asetettujen velvoitteiden kanssa.

(17)

Jotta voidaan varmistaa PNR-tietojen luettavuus matkustajatietoyksiköissä ja niiden PNR-järjestelmien asianmukainen toiminta, lentoliikenteen harjoittajien olisi siirrettävä lentoliikenteen harjoittajan lähettämät yhden tai useamman matkustajarekisterin sisältävät digitaaliset viestit, jäljempänä ’PNR-viestit’, ja reitittimen toimitettava ne standardoidussa muodossa sekä sisällön että rakenteen osalta standardoitujen tietokenttien tai koodien avulla. Ennen kuin reititin otetaan käyttöön muiden PNR-tietojen osalta, eu-LISAn suorittamilla testeillä olisi varmistettava reitittimen toimintakyky, nopeus ja luotettavuus tällaisen standardoinnin mahdollistamiseksi. Tätä varten komission olisi toteutettava tarvittavat toimet tarkistaakseen direktiivin (EU) 2016/681 16 artiklan nojalla annettua voimassa olevaa täytäntöönpanolainsäädäntöä, jossa vahvistetaan yhteiset yhteyskäytännöt ja tuetut tietomuodot. Tällainen tarkistaminen olisi toteutettava tiiviissä yhteistyössä jäsenvaltioiden edustajien kanssa, jotta voidaan hyödyntää niiden asiantuntemusta ja taata, että niiden direktiivin (EU) 2016/681 täytäntöönpanon yhteydessä kansallisella tasolla kehittämät parhaat käytännöt otetaan unionin tasolla huomioon reitittimen toimintaa varten. API- ja PNR-tietojen yhteysryhmän olisi tuettava tällaista tarkistamista.

(18)	Lentoliikennetietojen toimittamisen tehostamiseksi ja matkustajatietoyksiköille toimitettujen API-tietojen seurannan tukemiseksi reitittimen olisi saatava muiden organisaatioiden, kuten Euroopan lennonvarmistusjärjestön (Eurocontrol), keräämiä reaaliaikaisia lentoliikennetietoja.

(19)

Reitittimen tarkoituksena olisi oltava ainoastaan helpottaa API-tietojen ja muiden PNR-tietojen siirtämistä lentoliikenteen harjoittajilta matkustajatietoyksiköille tämän asetuksen mukaisesti, eikä se saisi toimia API-tietojen tai muiden PNR-tietojen tietoarkistona. Tämän vuoksi ja luvattoman pääsyn tai muun väärinkäytön riskin minimoimiseksi sekä tietojen minimoinnin periaatteen mukaisesti mitään tietoja ei pitäisi tallentaa, paitsi jos se on ehdottoman tarpeen toimittamiseen liittyviä teknisiä tarkoituksia varten, ja API-tiedot tai muut PNR-tiedot olisi poistettava reitittimeltä välittömästi, pysyvästi ja automaattisesti heti, kun toimittaminen on saatu päätökseen, tai tapauksen mukaan tämän asetuksen nojalla API-tietoja tai muita PNR-tietoja ei pidä toimittaa lainkaan.

(20)

Jotta lentoliikenteen harjoittajat voisivat mahdollisimman pian hyötyä eu-LISAn tämän asetuksen ja asetuksen (EU) 2025/12 mukaisesti kehittämän reitittimen käytön tarjoamista eduista ja saada kokemusta reitittimen käytöstä, lentoliikenteen harjoittajille olisi annettava mahdollisuus muttei asetettava velvoitetta käyttää reititintä välivaiheen aikana niiden tietojen siirtämiseen, jotka niiden on siirrettävä direktiivin 2004/82/EY nojalla. Välivaiheen olisi alettava siitä hetkestä, jona reititin otetaan käyttöön, ja päätyttävä, kun kyseisen direktiivin mukaisia velvoitteita lakataan soveltamasta. Jotta voidaan varmistaa, että tällainen reitittimen vapaaehtoinen käyttö tapahtuu vastuullisella tavalla, tiedot vastaanottavalta jäsenvaltiolta olisi vaadittava kirjallinen ennakkosuostumus lentoliikenteen harjoittajan pyynnöstä sen jälkeen, kun kyseinen jäsenvaltio on suorittanut tarvittavat tarkistukset ja saanut tarvittavat takeet. Vastaavasti, jotta vältettäisiin tilanne, jossa lentoliikenteen harjoittaja toistuvasti aloittaa ja lopettaa reitittimen käytön, lentoliikenteen harjoittajalta olisi edellytettävä, että se reitittimen käytön vapaaehtoisesti aloitettuaan jatkaa käyttöä, paitsi jos on objektiivisia syitä lopettaa reitittimen käyttö tietojen siirtämiseksi asianomaiselle jäsenvaltiolle, esimerkiksi silloin, kun käy ilmi, että tietoja ei siirretä lainmukaisesti, turvallisesti, tehokkaasti ja nopeasti. Jotta mahdollisuutta käyttää reititintä vapaaehtoisesti voitaisiin soveltaa asianmukaisesti ja ottaen asiaankuuluvasti huomioon kaikkien asianomaisten osapuolten oikeudet ja edut, tässä asetuksessa olisi vahvistettava tarvittavat säännöt kuulemisista ja tietojen antamisesta. Tällaisen tässä asetuksessa säädetyn reitittimen vapaaehtoisen käytön direktiivin 2004/82/EY soveltamiseksi ei pitäisi katsoa vaikuttavan millään tavoin kyseisen direktiivin mukaisiin lentoliikenteen harjoittajien ja jäsenvaltioiden velvoitteisiin.

(21)

Tässä asetuksessa sekä vastaavissa delegoiduissa säädöksissä ja täytäntöönpanosäädöksissä vahvistettujen vaatimusten olisi johdettava siihen, että lentoliikenteen harjoittajat panevat tämän asetuksen täytäntöön yhdenmukaisesti, millä minimoidaan niiden järjestelmien yhteenliittämisen kustannukset. Komission olisi matkustajatietoyksiköiden, muiden jäsenvaltioiden viranomaisten, lentoliikenteen harjoittajien ja asiaankuuluvien unionin virastojen kanssa tekemänsä yhteistyön avulla varmistettava, että sen laatimassa käytännön käsikirjassa annetaan kaikki tarvittavat ohjeet ja selvennykset, ja näin helpotettava sitä, että lentoliikenteen harjoittajat voivat panna kyseiset vaatimukset täytäntöön yhdenmukaisesti erityisesti tietorakenteen, tietomuodon ja siirtoyhteyskäytännön osalta.

(22)

API-tietojen laadun parantamiseksi tämän asetuksen nojalla perustettavan reitittimen olisi tarkistettava, ovatko lentoliikenteen harjoittajien sille siirtämät API-tiedot tuettujen tietomuotojen mukaiset. Jos tarkistuksessa todetaan, että tiedot eivät ole kyseisten tietomuotojen mukaiset, reitittimen olisi välittömästi ja automaattisesti ilmoitettava asiasta asianomaiselle lentoliikenteen harjoittajalle.

(23)

Matkustajilla olisi oltava mahdollisuus antaa tietyt API-tiedot itse automatisoiduin keinoin verkossa tehtävän lähtöselvitysprosessin aikana, esimerkiksi matkustajan älypuhelimessa, tietokoneessa tai verkkokamerassa olevalla suojatulla sovelluksella, joka pystyy lukemaan matkustusasiakirjaan sisältyvät koneellisesti luettavat tiedot. Jos matkustaja ei tee lähtöselvitystä verkossa, lentoliikenteen harjoittajan olisi annettava kyseiselle matkustajalle mahdollisuus antaa vaaditut koneellisesti luettavat API-tiedot lentoasemalla itsepalvelukioskilla tai lentoliikenteen harjoittajan henkilöstön avustuksella lähtöselvitystiskillä tehtävän lähtöselvityksen aikana. On tärkeää, että tämän asetuksen mukaiset velvoitteet eivät aiheuta kohtuuttomia esteitä matkustajille, jotka eivät pysty käyttämään verkossa olevia keinoja API-tietojen antamiseksi, kuten lisämaksuja API-tietojen antamisesta lentoasemalla, sanotun kuitenkaan rajoittamatta lentoliikenteen harjoittajien vapautta asettaa lentohinnat ja määritellä liiketoimintaperiaatteensa. Lisäksi tässä asetuksessa olisi säädettävä siirtymäkaudesta, jonka aikana matkustajille annetaan mahdollisuus antaa API-tiedot manuaalisesti osana verkossa tehtävää lähtöselvitysprosessia. Tällaisissa tapauksissa lentoliikenteen harjoittajien olisi käytettävä tietojen tarkistamismenetelmiä.

(24)

On tärkeää, että tämän asetuksen nojalla perustetut automatisoidut tiedonkeruujärjestelmät ja muut prosessit eivät vaikuta kielteisesti ilmailualan työntekijöihin, vaan heille olisi tarjottava täydennys- ja uudelleenkoulutusmahdollisuuksia, jotka parantaisivat tiedonkeruun ja -siirron tehokkuutta ja luotettavuutta sekä alan työoloja ja -ehtoja.

(25)

Jotta voidaan varmistaa API-tietojen ja PNR-tietojen yhteiskäsittely terrorismin ja vakavan rikollisuuden torjumiseksi tehokkaasti unionissa ja samalla minimoida perusoikeuskirjassa suojattuihin matkustajien perusoikeuksiin puuttuminen, matkustajatietoyksiköiden olisi oltava ne jäsenvaltioiden toimivaltaiset viranomaiset, joiden tehtävänä on vastaanottaa ja myöhemmin jatkokäsitellä ja suojata tämän asetuksen nojalla kerättäviä ja siirrettäviä API-tietoja. Tehokkuuden varmistamiseksi ja mahdollisten turvallisuusriskien minimoimiseksi reitittimen, jonka eu-LISA suunnittelee ja kehittää ja jota se ylläpitää ja hallinnoi teknisesti tämän asetuksen ja asetuksen (EU) 2025/12 mukaisesti, olisi toimitettava lentoliikenteen harjoittajien tämän asetuksen mukaisesti keräämät ja sille siirtämät API-tiedot asianomaisille matkustajatietoyksiköille. Kun otetaan huomioon henkilötietoja sisältävien API-tietojen tarvittava suojan taso muun muassa kyseisten tietojen luottamuksellisuuden varmistamiseksi, reitittimen olisi toimitettava API-tiedot asianomaisille matkustajatietoyksiköille automaattisesti. Tämä asetus ei saisi vaikuttaa jäsenvaltioiden mahdollisuuteen säätää keskitetystä tiedonsyöttöpisteestä, jolla varmistetaan niiden liittäminen ja integrointi reitittimeen.

(26)

Jotta voidaan taata perusoikeuskirjassa vahvistettujen oikeuksien toteutuminen sekä varmistaa esteettömät ja osallistavat matkustusvaihtoehdot erityisesti haavoittuville ryhmille ja vammaisille henkilöille ja noudattaen Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1107/2006 (13) vahvistettuja vammaisten ja liikuntarajoitteisten henkilöiden oikeuksia lentoliikenteessä, lentoliikenteen harjoittajien olisi jäsenvaltioiden tuella varmistettava, että matkustajilla on aina mahdollisuus antaa tarvittavat tiedot lentoasemalla.

(27)

EU:n ulkopuolisten lentojen osalta sen jäsenvaltion matkustajatietoyksikön, jonka alueelle lento laskeutuu tai jonka alueelta lento lähtee, olisi saatava reitittimeltä API-tiedot kaikista niistä lennoista, joista PNR-tiedot kerätään direktiivin (EU) 2016/681 mukaisesti. Reitittimen olisi yksilöitävä lento ja sitä vastaavat matkustajatietoyksiköt käyttäen PNR-varaustunnuksen sisältämiä tietoja. Tämä tiedonosa on yhteinen API-tietojoukoille ja PNR-tietojoukoille ja mahdollistaa API-tietojen ja PNR-tietojen yhteiskäsittelyn matkustajatietoyksiköissä.

(28)

EU:n sisäisten lentojen osalta olisi Euroopan unionin tuomioistuimen oikeuskäytännön mukaisesti säädettävä valikoivasta lähestymistavasta, jotta vältetään aiheeton puuttuminen matkustajien asiaankuuluviin perusoikeuskirjassa suojattuihin perusoikeuksiin ja varmistetaan henkilöiden vapaata liikkuvuutta ja sisärajavalvonnan poistamista koskevan unionin oikeuden vaatimusten noudattaminen. Koska on tärkeää varmistaa, että API-tietoja voidaan käsitellä yhdessä PNR-tietojen kanssa, tämä lähestymistapa olisi yhdenmukaistettava direktiivissä (EU) 2016/681 noudatettavan lähestymistavan kanssa. Näistä syistä kyseisiä lentoja koskevat API-tiedot olisi toimitettava reitittimeltä asianomaisille matkustajatietoyksiköille vain, jos jäsenvaltiot ovat valinneet kyseiset lennot direktiivin (EU) 2016/681 2 artiklan soveltamiseksi, ja tässä asetuksessa säädetyn valikoivan lähestymistavan mukaisesti. Jäsenvaltioiden olisi voitava soveltaa direktiiviä (EU) 2016/681 kaikkiin alueelleen saapuviin tai alueeltaan lähteviin EU:n sisäisiin lentoihin ainoastaan tilanteissa, joissa on todellinen ja välitön tai ennakoitavissa oleva terroriuhka, sekä sellaisen päätöksen perusteella, joka perustuu uhka-arvioon ja on ajallisesti rajoitettu täysin välttämättömään ja johon voidaan kohdistaa tehokasta valvontaa. Muissa tilanteissa olisi säädettävä valikoivasta lähestymistavasta. Kuten Euroopan unionin tuomioistuin on muistuttanut, valinta merkitsee sitä, että jäsenvaltiot kohdistavat kyseiset velvoitteet vain esimerkiksi tiettyihin reitteihin, matkustusmalleihin tai lentoasemiin, ja valintaa on tarkasteltava säännöllisesti uudelleen. Valinnan olisi lisäksi perustuttava objektiiviseen, asianmukaisesti perusteltuun ja syrjimättömään arviointiin, jossa otetaan huomioon ainoastaan kriteerejä, jotka ovat merkityksellisiä terrorismirikosten ja vakavan rikollisuuden ennalta estämisen, paljastamisen ja tutkimisen sekä tällaisiin rikoksiin liittyvien syytetoimien kannalta ja joilla on objektiivinen yhteys, mukaan lukien välillinen yhteys, matkustajalentoliikenteeseen. Jäsenvaltioiden olisi säilytettävä kaikki arviointiin liittyvä merkityksellinen asiakirja-aineisto, jotta asianmukainen valvonta olisi mahdollista, ja tarkasteltava arviointiaan uudelleen säännöllisesti ja vähintään 12 kuukauden välein tämän asetuksen 13 artiklan 7 kohdan mukaisesti.

(29)

Jotta tämän asetuksen mukaista valikoivaa lähestymistapaa voitaisiin soveltaa EU:n sisäisiin lentoihin, jäsenvaltiot olisi velvoitettava laatimaan luettelot valikoimistaan lennoista tai reiteistä ja syöttämään ne reitittimelle, jotta eu-LISA voi varmistaa, että ainoastaan kyseisten lentojen tai reittien API-tiedot toimitetaan reitittimeltä asianomaisille matkustajatietoyksiköille ja että muiden EU:n sisäisten lentojen API-tiedot poistetaan välittömästi ja pysyvästi.

(30)	Eri jäsenvaltioiden soveltamien valikoivien lähestymistapojen johdonmukaisuuden lisäämiseksi komission olisi helpotettava säännöllistä näkemystenvaihtoa valintakriteerien valinnasta, mukaan lukien parhaiden käytäntöjen jakaminen, ja vapaaehtoisesti myös tietojenvaihtoa valikoiduista lennoista.

(31)

Jotta tällä asetuksella perustetun API-tietojen keräämiseen ja siirtämiseen perustuvan järjestelmän ja direktiivillä (EU) 2016/681 perustetun PNR-tietojen keräämiseen ja siirtämiseen perustuvan järjestelmän tehokkuus terrorismirikosten ja vakavan rikollisuuden ennalta estämisen, paljastamisen ja tutkinnan sekä tällaisiin rikoksiin liittyvien syytetoimien suhteen ei vaarantuisi erityisesti vaatimusten kiertämisen riskin takia, tietoa siitä, mitä EU:n sisäisiä lentoja jäsenvaltiot ovat valinneet, olisi käsiteltävä luottamuksellisesti. Tästä syystä tällaista tietoa ei pitäisi jakaa lentoliikenteen harjoittajien kanssa, ja siksi ne olisi velvoitettava keräämään API-tiedot kaikista tämän asetuksen soveltamisalaan kuuluvista lennoista, myös kaikista EU:n sisäisistä lennoista, ja siirtämään ne sitten reitittimelle, missä tarvittava valinta olisi tehtävä. Kun API-tietoja kerätään kaikista EU:n sisäisistä lennoista, matkustajat eivät myöskään ole tietoisia siitä, mistä valikoiduista EU:n sisäisistä lennoista API-tiedot ja siten myös PNR-tiedot toimitetaan matkustajatietoyksiköille jäsenvaltioiden arvion mukaisesti. Tällä lähestymistavalla varmistetaan myös, että kaikki valintaan liittyvät muutokset voidaan toteuttaa nopeasti ja tehokkaasti aiheuttamatta lentoliikenteen harjoittajille kohtuuttomia taloudellisia ja operatiivisia rasitteita.

(32)	Tällä asetuksella ei sallita EU:n sisäisiä lentoja koskevien API-tietojen keräämistä tai siirtämistä laittoman maahanmuuton torjumiseksi unionin oikeuden ja Euroopan unionin tuomioistuimen oikeuskäytännön mukaisesti.

(33)

Jotta voidaan varmistaa henkilötietojen suojaa koskevan perusoikeuden noudattaminen, tässä asetuksessa olisi määritettävä, ketkä ovat rekisterinpitäjiä ja henkilötietojen käsittelijöitä, ja vahvistettava tarkastuksia koskevat säännöt. Tehokkaan seurannan, henkilötietojen riittävän suojan ja turvallisuusriskien minimoinnin varmistamiseksi olisi säädettävä myös lokitietoja, käsittelyn turvallisuutta ja omavalvontaa koskevista säännöistä. Siltä osin kuin nämä säännökset liittyvät henkilötietojen käsittelyyn, niiden olisi oltava yhdenmukaisia yleisesti sovellettavien henkilötietojen suojaa koskevien unionin säädösten, erityisesti Euroopan parlamentin ja neuvoston asetusten (EU) 2016/679 (14) ja (EU) 2018/1725 (15), kanssa.

(34)

Lentoliikenteen harjoittajien tämän asetuksen nojalla suorittamaan henkilötietojen käsittelyyn olisi sovellettava asetusta (EU) 2016/679, sanotun kuitenkaan rajoittamatta tässä asetuksessa säädettyjen, henkilötietojen käsittelyä koskevien täsmällisempien sääntöjen soveltamista. Kansallisten toimivaltaisten viranomaisten tämän asetuksen nojalla Euroopan parlamentin ja neuvoston direktiivissä (EU) 2016/680 (16) määritellyllä tavalla rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, suorittamaan henkilötietojen käsittelyyn olisi sovellettava kyseistä direktiiviä. eu-LISAn tämän asetuksen mukaisia tehtäviään hoitaessaan suorittamaan henkilötietojen käsittelyyn olisi sovellettava asetusta (EU) 2018/1725.

(35)

Koska matkustajilla on oikeus saada tieto henkilötietojensa käsittelystä, jäsenvaltioiden olisi varmistettava, että matkustajille annetaan varauksen ja lähtöselvityksen hetkellä helposti saavutettavissa ja helposti ymmärrettävissä olevia tarkkoja tietoja API-tietojen keräämisestä, tällaisten tietojen siirtämisestä matkustajatietoyksikölle ja heidän oikeuksistaan rekisteröityinä.

(36)	Direktiivin (EU) 2016/680 41 artiklassa tarkoitettujen riippumattomien valvontaviranomaisten tai tarkastuselimen, jolle valvontaviranomainen on antanut tehtäväksi jäsenvaltioiden vastuulla olevat henkilötietojen suojaa koskevat tarkastukset, olisi suoritettava nämä tarkastukset.

(37)

Tämän asetuksen mukaisilla käsittelytoimilla eli API-tietojen toimittamisella lentoliikenteen harjoittajilta reitittimen kautta jäsenvaltioiden matkustajatietoyksiköille on tarkoituksena avustaa kyseisiä viranomaisia niiden velvoitteiden ja tehtävien hoitamisessa direktiivin (EU) 2016/681 mukaisesti. Sen vuoksi jäsenvaltioiden olisi nimettävä viranomaiset, jotka ovat rekisterinpitäjiä reitittimellä olevien tietojen käsittelyssä, tietojen toimittamisessa reitittimeltä matkustajatietoyksikölle ja kyseisten tietojen myöhemmässä käsittelyssä direktiivin (EU) 2016/681 mukaisesti. Jäsenvaltioiden olisi ilmoitettava nämä viranomaiset komissiolle ja eu-LISAlle. Kun on kyse reitittimellä olevien henkilötietojen käsittelystä, jäsenvaltioiden olisi oltava direktiivin (EU) 2016/680 21 artiklan mukaisia yhteisrekisterinpitäjiä. Lentoliikenteen harjoittajien olisi puolestaan oltava erillisiä rekisterinpitäjiä tämän asetuksen nojalla suoritettavan henkilötietoja sisältävien API-tietojen käsittelyn osalta. Tämän perusteella sekä lentoliikenteen harjoittajien että matkustajatietoyksiköiden olisi oltava erillisiä rekisterinpitäjiä tämän asetuksen nojalla suoritettavien API-tietojen käsittelytoimien osalta. Koska eu-LISA vastaa reitittimen suunnittelusta, kehittämisestä, ylläpidosta ja teknisestä hallinnoinnista, sen olisi oltava henkilötietojen käsittelijä reitittimen kautta suoritettavassa henkilötietoja sisältävien API-tietojen käsittelyssä, mukaan lukien tietojen toimittaminen reitittimeltä matkustajatietoyksiköille ja kyseisten tietojen tallentaminen reitittimelle, siltä osin kuin tällainen tallentaminen on tarpeen teknisiä tarkoituksia varten.

(38)

Tämän asetuksen ja asetuksen (EU) 2025/12 nojalla perustettavalla ja käytettävällä reitittimellä on määrä vähentää ja yksinkertaistaa API-tietojen siirtämiseen tämän asetuksen mukaisesti tarvittavia teknisiä yhteyksiä ja rajoittaa ne yhteen yhteyteen lentoliikenteen harjoittajaa ja matkustajatietoyksikköä kohti. Sen vuoksi tässä asetuksessa olisi säädettävä matkustajatietoyksiköiden ja lentoliikenteen harjoittajien velvoitteesta muodostaa tällainen yhteys ja toteuttaa vaadittu integrointi reitittimeen, jotta voidaan varmistaa, että tällä asetuksella perustettava API-tietojen siirtojärjestelmä voi toimia asianmukaisesti. eu-LISAn toteuttaman reitittimen suunnittelun ja kehittämisen olisi mahdollistettava lentoliikenteen harjoittajien järjestelmien ja infrastruktuurin tuloksellinen ja tehokas liittäminen ja integrointi huomioimalla kaikki asiaankuuluvat standardit ja tekniset vaatimukset. Tällä asetuksella perustettavan järjestelmän asianmukaisen toiminnan varmistamiseksi olisi vahvistettava yksityiskohtaiset säännöt. Suunnitellessaan ja kehittäessään reititintä eu-LISAn olisi varmistettava, että lentoliikenteen harjoittajien siirtämät ja matkustajatietoyksiköille toimitetut API-tiedot ja muut PNR-tiedot salataan siirron ja toimittamisen ajaksi.

(39)

Asiaan liittyvä unionin etu huomioon ottaen kaikki kustannukset, joita eu-LISAlle aiheutuu tämän asetuksen mukaisten reitittimeen liittyvien tehtävien suorittamisesta, olisi katettava unionin talousarviosta, mukaan lukien reitittimen suunnittelu ja kehittäminen, reitittimen ylläpito ja tekninen hallinnointi sekä eu-LISAn hallintorakenne reitittimen suunnittelun, kehittämisen, ylläpidon ja teknisen hallinnoinnin tukemiseksi. Sama voisi koskea niitä kustannuksia, joita jäsenvaltioille aiheutuu niiden yhteyksistä ja integroinnista reitittimeen ja näiden ylläpitämisestä tässä asetuksessa edellytetyllä tavalla sovellettavan unionin oikeuden mukaisesti. On tärkeää, että jäsenvaltioille annetaan unionin talousarviosta asianmukaista taloudellista tukea näitä kustannuksia varten. Sen vuoksi jäsenvaltioiden rahoitustarpeita olisi tuettava unionin yleisestä talousarviosta asiaankuuluvissa unionin säädöksissä vahvistettujen tukikelpoisuussääntöjen ja yhteisrahoitusosuuksien mukaisesti. eu-LISAlle osoitetulla vuotuisella unionin rahoitusosuudella olisi katettava reitittimen ylläpitoon ja tekniseen hallinnointiin liittyvät tarpeet eu-LISAn tekemän arvioinnin perusteella. Unionin talousarviosta olisi katettava myös tuki, kuten koulutus, jota eu-LISA tarjoaa lentoliikenteen harjoittajille ja matkustajatietoyksiköille, jotta voidaan mahdollistaa API-tietojen tuloksellinen siirtäminen ja toimittaminen reitittimen kautta. Asianomaisten jäsenvaltioiden olisi vastattava kustannuksista, joita riippumattomille kansallisille valvontaviranomaisille aiheutuu niille tämän asetuksen nojalla annetuista tehtävistä.

(40)

Jäsenvaltiot voivat antaa asetuksen (EU) 2018/1726 mukaisesti eu-LISAlle tehtäväksi helpottaa yhteenliitettävyyttä lentoliikenteen harjoittajien järjestelmien kanssa auttaakseen jäsenvaltioita direktiivin (EU) 2016/681 täytäntöönpanossa erityisesti keräämällä ja siirtämällä PNR-tietoja reitittimen kautta. Tätä varten ja kustannustehokkuuden ja tehokkuuden varmistamiseksi sekä jäsenvaltioiden että lentoliikenteen harjoittajien kannalta tässä asetuksessa olisi edellytettävä, että lentoliikenteen harjoittajat käyttävät reititintä direktiivin (EU) 2016/681 soveltamisalaan kuuluvien muiden PNR-tietojen siirtämiseksi matkustajatietoyksiköidensä tietokantoihin osana kansallisia toimenpiteitä, joilla pannaan täytäntöön mainitun direktiivin säännös jäsenvaltioiden velvoitteesta varmistaa, että lentoliikenteen harjoittajat toimittavat ”tarjontamenetelmällä” PNR-tietoja asianomaisille matkustajatietoyksiköille.

(41)

Sen varmistamiseksi, että kyseisiä tietoja käsitellään lainmukaisesti, turvallisesti, tehokkaasti ja nopeasti, tällä asetuksella vahvistettuja reititintä ja API-tietojen toimittamista reitittimeltä matkustajatietoyksiköille koskevia sääntöjä olisi sovellettava vastaavasti myös muihin PNR-tietoihin. Kyseisiin sääntöihin sisältyvät myös tämän asetuksen mukaiset velvoitteet, jotka koskevat tietojen siirtämistä ja toimittamista EU:n sisäisten lentojen yhteydessä Euroopan unionin tuomioistuimen oikeuskäytännön mukaisesti sekä lentoliikenteen harjoittajien ja matkustajatietoyksiköiden yhteyksiä reitittimeen. Kun on kyse säännöistä, jotka koskevat siirtojen ajoitusta, siirtoyhteyskäytäntöjä sekä tietomuotoja, joissa PNR-viestit on tarkoitus siirtää reitittimelle, sovelletaan direktiivin (EU) 2016/681 asiaa koskevia säännöksiä.

(42)

On aiheellista selventää, että reitittimen käyttö muiden PNR-tietojen yhteydessä vaikuttaa ainoastaan tapaan, jolla kyseiset tiedot siirretään ja toimitetaan asianomaisten jäsenvaltioiden matkustajatietoyksiköiden tietokantoihin. API-tietojen keräämistä koskevia tämän asetuksen mukaisia velvoitteita ei sovelleta kaikkien näiden muiden PNR-tietojen osalta. Tällaista keräämistä olisi sen sijaan jatkossakin säänneltävä yksinomaan direktiivillä (EU) 2016/681 ainoastaan siltä osin kuin lentoliikenteen harjoittajat ovat jo keränneet tällaiset tiedot kyseisen direktiivin asiaa koskevassa säännöksessä tarkoitetulla tavalla tavanomaisen liiketoimintansa yhteydessä. Samoin kuin lentoliikenteen harjoittajien tämän asetuksen mukaisesti keräämien ja matkustajatietoyksiköille siirrettyjen API-tietojen tapauksessa, tämän asetuksen soveltamisalaan kuulumattomia seikkoja koskeviin kyseisen direktiivin sääntöihin, erityisesti matkustajatietoyksiköiden vastaanottamien muiden PNR-tietojen myöhempää käsittelyä koskeviin sääntöihin, ei pitäisi kohdistua vaikutuksia. Näin ollen näitä sääntöjä sovelletaan jatkossakin tällaisten tietojen osalta.

(43)

Poikkeuksellisten olosuhteiden vuoksi ja huolimatta kaikista tämän asetuksen mukaisesti toteutetuista kohtuullisista toimenpiteistä voi käydä niin, että reitittimen keskusinfrastruktuuri tai jokin tekninen komponentti taikka viestintäinfrastruktuurit, jotka liittävät matkustajatietoyksiköt ja lentoliikenteen harjoittajat reitittimeen, eivät toimi asianmukaisesti, jolloin lentoliikenteen harjoittajien on teknisistä syistä mahdotonta siirtää API-tietoja tai matkustajatietoyksiköiden vastaanottaa niitä. Jos reititin ei ole käytettävissä eikä lentoliikenteen harjoittajilla yleisesti ottaen ole kohtuullisia mahdollisuuksia siirtää API-tietoja, joihin toimintahäiriö vaikuttaa, lainmukaisesti, turvallisesti, tehokkaasti ja nopeasti vaihtoehtoisin keinoin, lentoliikenteen harjoittajien velvoitetta siirtää tällaiset API-tiedot reitittimelle ei saisi soveltaa niin kauan kuin tekninen toimintahäiriö jatkuu. Jotta voidaan varmistaa terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten tarvittavien API-tietojen saatavuus, lentoliikenteen harjoittajien olisi kuitenkin jatkettava API-tietojen keräämistä ja säilyttämistä, jotta ne voidaan siirtää heti, kun tekninen toimintahäiriö on korjattu. Mahdollisten teknisten toimintahäiriöiden keston ja kielteisten seurausten minimoimiseksi asianomaisten osapuolten olisi tällaisessa tapauksessa välittömästi ilmoitettava asiasta toisilleen ja välittömästi toteutettava kaikki tarvittavat toimenpiteet teknisen toimintahäiriön korjaamiseksi. Tämä järjestely ei saisi vaikuttaa kaikkien asianomaisten osapuolten tämän asetuksen mukaisiin velvoitteisiin varmistaa, että reititin ja osapuolten järjestelmät ja infrastruktuurit toimivat asianmukaisesti, eikä siihen, että lentoliikenteen harjoittajille määrätään seuraamuksia, jos ne eivät täytä kyseisiä velvoitteita, mukaan lukien silloin, kun ne pyrkivät turvautumaan tällaiseen järjestelyyn perusteetta. Jotta voidaan estää tällaiset väärinkäytökset ja helpottaa valvontaa ja tarvittaessa seuraamusten määräämistä, lentoliikenteen harjoittajien, jotka turvautuvat tähän järjestelyyn järjestelmässään ja infrastruktuurissaan ilmenevän toimintahäiriön vuoksi, olisi ilmoitettava asiasta toimivaltaiselle valvontaviranomaiselle.

(44)

Jos lentoliikenteen harjoittajat ylläpitävät suoria yhteyksiä matkustajatietoyksiköihin API-tietojen siirtämistä varten, nämä yhteydet voivat tarjota asianmukaiset keinot, joilla varmistetaan tarvittava tietoturvan taso API-tietojen siirtämiseksi suoraan matkustajatietoyksiköille, kun reitittimen käyttö on teknisistä syistä mahdotonta. Jos reitittimen käyttö on poikkeuksellisessa tapauksessa teknisistä syistä mahdotonta, matkustajatietoyksiköiden olisi voitava pyytää lentoliikenteen harjoittajia käyttämään tällaisia asianmukaisia keinoja, mikä ei merkitse sitä, että lentoliikenteen harjoittajilla olisi velvoite ylläpitää tai ottaa käyttöön tällaisia suoria yhteyksiä tai mitä tahansa muita asianmukaisia keinoja, joilla varmistetaan tarvittava tietoturvan taso API-tietojen siirtämiseksi suoraan matkustajatietoyksiköille. Sillä, että API-tietoja poikkeuksellisesti siirretään millä tahansa muilla asianmukaisilla keinoilla, kuten salatulla sähköpostilla tai suojatun verkkoportaalin kautta, epätavanomaisten sähköisten muotojen käyttöä lukuun ottamatta, olisi varmistettava tarvittava tietoturvan, tietojen laadun ja tietosuojan taso. Matkustajatietoyksiköiden tällaisilla muilla asianmukaisilla keinoilla vastaanottamia API-tietoja olisi jatkokäsiteltävä direktiivissä (EU) 2016/681 vahvistettujen sääntöjen ja tietosuojatakeiden mukaisesti. Kun eu-LISA on antanut ilmoituksen, että tekninen toimintahäiriö on korjattu onnistuneesti, ja jos on vahvistettu, että API-tietojen toimittaminen reitittimen kautta matkustajatietoyksikölle on saatu päätökseen, matkustajatietoyksikön olisi välittömästi poistettava ne API-tiedot, jotka se aiemmin vastaanotti millä tahansa muilla asianmukaisilla keinoilla. Poistaminen ei saisi vaikuttaa erityistapauksiin, joissa matkustajatietoyksiköiden millä tahansa muilla asianmukaisilla keinoilla vastaanottamia API-tietoja on tällä välin jatkokäsitelty direktiivin (EU) 2016/681 mukaisesti nimenomaisesti terrorismirikosten tai vakavan rikollisuuden ennalta estämistä, paljastamista tai tutkintaa tai tällaisiin rikoksiin liittyviä syytetoimia varten.

(45)

Jotta voidaan varmistaa, että lentoliikenteen harjoittajat soveltavat tämän asetuksen sääntöjä tehokkaasti, olisi säädettävä kansallisten viranomaisten nimeämisestä ja valtuuttamisesta kansallisiksi API-valvontaviranomaisiksi, joiden tehtävänä on valvoa näiden sääntöjen soveltamista. Jäsenvaltiot voivat nimetä matkustajatietoyksikkönsä kansallisiksi API-valvontaviranomaisiksi. Tällaista valvontaa koskevien tämän asetuksen sääntöjen, mukaan lukien tarvittaessa seuraamusten määräämistä koskevien sääntöjen, ei ole tarkoitus vaikuttaa asetuksen (EU) 2016/679 ja direktiivin (EU) 2016/680 mukaisesti perustettujen valvontaviranomaisten tehtäviin ja valtuuksiin, ei myöskään tämän asetuksen mukaisen henkilötietojen käsittelyn osalta.

(46)

Jäsenvaltioiden olisi säädettävä tehokkaista, oikeasuhteisista ja varoittavista seuraamuksista, joihin kuuluu sekä taloudellisia että muita kuin taloudellisia seuraamuksia, niille lentoliikenteen harjoittajille, jotka eivät täytä tämän asetuksen mukaisia velvoitteitaan, esimerkiksi velvoitteita, jotka koskevat API-tietojen keräämistä automatisoiduin keinoin ja tietojen siirtämistä vaadittujen määräaikojen, muotojen ja yhteyskäytäntöjen mukaisesti. Jäsenvaltioiden olisi erityisesti varmistettava, että jos lentoliikenteen harjoittajat oikeushenkilöinä toistuvasti jättävät noudattamatta velvoitettaan siirtää mitä tahansa API-tietoja reitittimelle tämän asetuksen mukaisesti, niille määrätään oikeasuhteisia taloudellisia seuraamuksia, jotka ovat enintään kaksi prosenttia lentoliikenteen harjoittajan edellisen tilikauden maailmanlaajuisesta liikevaihdosta. Lisäksi jäsenvaltioiden olisi voitava soveltaa lentoliikenteen harjoittajiin seuraamuksia, myös taloudellisia seuraamuksia, muista tämän asetuksen mukaisten velvoitteiden noudattamatta jättämisen muodoista.

(47)

Kun jäsenvaltiot säätävät säännöistä, jotka koskevat lentoliikenteen harjoittajiin tämän asetuksen nojalla sovellettavia seuraamuksia, ne voisivat ottaa huomioon tietojen täydellisen oikeellisuuden varmistamisen teknisen ja operatiivisen toteutettavuuden. Kun seuraamuksia määrätään, olisi lisäksi vahvistettava niiden soveltaminen ja arvo. Kansalliset API-valvontaviranomaiset voisivat ottaa huomioon toimet, joita lentoliikenteen harjoittaja on toteuttanut ongelman lieventämiseksi, sekä sen, missä määrin lentoliikenteen harjoittaja on tehnyt yhteistyötä kansallisten viranomaisten kanssa.

(48)

Koska eu-LISAn on tarkoitus vastata reitittimen suunnittelusta, kehittämisestä, ylläpidosta ja teknisestä hallinnoinnista, asetusta (EU) 2018/1726 on tarpeen muuttaa lisäämällä tämä tehtävä eu-LISAn tehtäviin. Jotta reititintä koskevat raportit ja tilastot voidaan tallentaa Euroopan parlamentin ja neuvoston asetuksella (EU) 2019/818 (17) perustettuun raportoinnin ja tilastoinnin keskustietoarkistoon (CRRS), myös kyseistä asetusta on tarpeen muuttaa. Jotta voidaan tukea kansallisen API-valvontaviranomaisen harjoittamaa tämän asetuksen täytäntöönpanon valvontaa, on tarpeen sisällyttää asetuksen (EU) 2019/818 muutoksiin säännöksiä, jotka koskevat tilastoja siitä, ovatko API-tiedot tarkkoja ja täydellisiä, esimerkiksi ilmoittamalla, onko tiedot kerätty automatisoiduin keinoin. Lisäksi on tärkeää kerätä luotettavia ja hyödyllisiä tilastoja tämän asetuksen täytäntöönpanosta sen tavoitteiden tukemiseksi ja tämän asetuksen mukaisten arviointien tueksi. eu-LISAn olisi annettava komission pyynnöstä sille tilastot tietyistä tämän asetuksen täytäntöönpanoon liittyvistä näkökohdista, kuten yhdistetyt tilastot API-tietojen toimittamisesta matkustajatietoyksiköille. Tällaiset tilastot eivät saisi sisältää henkilötietoja. CRRS:n olisi näin ollen tarjottava API-tietoihin perustuvia tilastoja ainoastaan tämän asetuksen täytäntöönpanoa ja sen soveltamisen tehokasta valvontaa varten. Tiedot, jotka reititin toimittaa automaattisesti CRRS:ään tätä tarkoitusta varten, eivät saisi mahdollistaa asianomaisten matkustajien tunnistamista.

(49)

Jotta voidaan lisätä selkeyttä ja oikeusvarmuutta ja osaltaan varmistaa tietojen laatu sekä automatisoitujen keinojen vastuullinen käyttö koneellisesti luettavien API-tietojen keräämiseen tämän asetuksen nojalla samoin kuin API-tietojen manuaalinen kerääminen poikkeuksellisissa olosuhteissa ja siirtymäkauden aikana, jotta voidaan selkeyttää lentoliikenteen harjoittajiin sovellettavia teknisiä vaatimuksia, jotka ovat tarpeen sen varmistamiseksi, että niiden tämän asetuksen nojalla keräämät API-tiedot siirretään reitittimelle turvallisesti, tehokkaasti ja nopeasti sekä niin, ettei se vaikuta matkustajien matkustamiseen ja lentoliikenteen harjoittajiin enempää kuin on tarpeen, ja jotta voidaan varmistaa, että virheelliset, puutteelliset tai vanhentuneet tiedot korjataan, niitä täydennetään tai ne päivitetään, komissiolle olisi siirrettävä valta hyväksyä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, joilla lopetetaan API-tietojen manuaalista keräämistä koskeva siirtymäkausi; hyväksytään sellaisiin teknisiin vaatimuksiin ja toimintasääntöihin liittyviä toimenpiteitä, joita lentoliikenteen harjoittajien olisi noudatettava, kun on kyse automatisoitujen keinojen käytöstä koneellisesti luettavien API-tietojen keräämiseen tämän asetuksen nojalla samoin kuin API-tietojen manuaaliseen keräämiseen poikkeuksellisissa olosuhteissa ja siirtymäkauden aikana, mukaan lukien tietoturvavaatimukset; vahvistetaan yksityiskohtaisia sääntöjä, jotka koskevat API-tietojen salattuihin siirtoihin reitittimelle käytettäviä yhteisiä yhteyskäytäntöjä ja tuettuja tietomuotoja, mukaan lukien tietoturvavaatimukset; sekä vahvistetaan API-tietojen korjaamista, täydentämistä ja päivittämistä koskevia yksityiskohtaisia sääntöjä. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset asiaankuuluvien sidosryhmien, myös lentoliikenteen harjoittajien, kanssa, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa (18) vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle toimitetaan kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä. Kehityksen taso huomioon ottaen nämä tekniset vaatimukset ja toimintasäännöt saattavat muuttua ajan mittaan.

(50)

Jotta voidaan varmistaa tämän asetuksen yhdenmukainen täytäntöönpano, kun on kyse erityisesti reitittimen käyttöönotosta, tietojen tarkistuksia ja ilmoituksia koskevista teknisistä säännöistä ja menettelysäännöistä, teknisistä säännöistä ja menettelysäännöistä, jotka koskevat API-tietojen toimittamista reitittimeltä matkustajatietoyksiköille siten, että varmistetaan, että toimittaminen on turvallista, tehokasta ja nopeaa eikä vaikuta matkustajien matkustamiseen ja lentoliikenteen harjoittajiin enempää kuin on tarpeen, sekä matkustajatietoyksiköiden yhteyksistä ja integroinnista reitittimeen, ja jotta voidaan täsmentää jäsenvaltioille yhteisrekisterinpitäjinä kuuluvat vastuut, jotka koskevat esimerkiksi turvallisuushäiriöiden, kuten henkilötietojen tietoturvaloukkausten, havaitsemista ja hallinnointia, sekä yhteisrekisterinpitäjien ja henkilötietojen käsittelijänä toimivan eu-LISAn välistä suhdetta, mukaan lukien eu-LISAn rekisterinpitäjille asianmukaisten teknisten ja organisatoristen toimenpiteiden muodossa tarjoama apu, siltä osin kuin se on mahdollista, jotta rekisterinpitäjät voivat täyttää velvoitteensa vastata rekisteröidyn oikeuksien käyttämistä koskeviin pyyntöihin, komissiolle olisi siirrettävä täytäntöönpanovaltaa. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (19) mukaisesti.

(51)

Kaikille asianomaisille osapuolille ja erityisesti lentoliikenteen harjoittajille ja matkustajatietoyksiköille olisi annettava riittävästi aikaa tehdä tarvittavat valmistelut, jotta ne voivat täyttää tämän asetuksen mukaiset velvoitteensa, kun otetaan huomioon, että jotkin näistä valmisteluista, kuten ne, jotka liittyvät reitittimeen liittämistä ja integrointia koskeviin velvoitteisiin, voidaan viimeistellä vasta, kun reitittimen suunnittelu- ja kehittämisvaiheet on saatu päätökseen ja reititin otetaan käyttöön. Sen vuoksi tätä asetusta olisi sovellettava vasta sopivasta komission tämän asetuksen ja asetuksen (EU) 2025/12 mukaisesti määrittämää reitittimen käyttöönottopäivää myöhemmästä päivästä. Komission olisi kuitenkin voitava antaa tämän asetuksen nojalla delegoituja säädöksiä ja täytäntöönpanosäädöksiä jo aikaisemmin sen varmistamiseksi, että tällä asetuksella perustettu järjestelmä on toiminnassa mahdollisimman pian.

(52)

Tämän asetuksen ja asetuksen (EU) 2025/12 nojalla perustettavan reitittimen suunnittelu- ja kehittämisvaiheet olisi aloitettava ja saatava päätökseen mahdollisimman pian, jotta reititin voidaan ottaa käyttöön mahdollisimman pian, mikä edellyttää myös tässä asetuksessa säädettyjen asiaankuuluvien täytäntöönpanosäädösten hyväksymistä. Näiden vaiheiden sujuvaa ja tuloksellista kehittämistä varten olisi perustettava erityinen ohjelman hallintoneuvosto, jonka tehtävänä on valvoa eu-LISAa sen tehtävien suorittamisessa näiden vaiheiden aikana. Hallintoneuvosto olisi lakkautettava kahden vuoden kuluttua siitä, kun reititin on otettu käyttöön. Lisäksi olisi luotava asetuksen (EU) 2018/1726 mukaisesti erityinen neuvoa-antava elin eli API- ja PNR-tietojen neuvoa-antava ryhmä, jonka tarkoituksena on tarjota asiantuntemusta eu-LISAlle ja ohjelman hallintoneuvostolle reitittimen suunnittelu- ja kehittämisvaiheista sekä eu-LISAlle reitittimen ylläpidosta ja hallinnoinnista. Ohjelman hallintoneuvosto ja API- ja PNR-tietojen neuvoa-antava ryhmä olisi perustettava ja niiden olisi toimittava nykyisten ohjelmien hallintoneuvostojen ja neuvoa-antavien ryhmien tarjoamien mallien mukaisesti.

(53)

Tässä asetuksessa säädetty selvennys sellaisten täsmennysten soveltamisesta, jotka koskevat automatisoitujen keinojen käyttöä direktiivin 2004/82/EY soveltamiseksi, olisi myös annettava viipymättä. Sen vuoksi näitä kysymyksiä käsitteleviä säännöksiä olisi sovellettava tämän asetuksen voimaantulopäivästä. Lisäksi, jotta reitittimen vapaaehtoinen käyttö olisi mahdollista mahdollisimman pian, tällaista käyttöä koskevia säännöksiä sekä tiettyjä muita säännöksiä, jotka ovat tarpeen sen varmistamiseksi, että tällainen käyttö tapahtuu vastuullisella tavalla, olisi sovellettava mahdollisimman varhaisesta ajankohdasta eli siitä hetkestä, kun reititin otetaan käyttöön.

(54)

Tämän asetuksen ja asetuksen (EU) 2025/12 soveltamista varten olisi oltava yksi ainoa hallintorakenne. Jotta voidaan mahdollistaa lentoliikenteen harjoittajien edustajien ja jäsenvaltioiden niiden viranomaisten edustajien välinen viestintä, joilla on tämän asetuksen ja asetuksen (EU) 2025/12 nojalla toimivalta velvoittaa toimittamaan API-tietoja reitittimeltä, ja edistää tätä viestintää, viimeistään kahden vuoden kuluttua reitittimen käyttöönotosta olisi perustettava kaksi erityistä elintä. Reitittimen käyttöön ja toimintaan liittyvistä teknisistä kysymyksistä olisi keskusteltava API- ja PNR-tietojen yhteysryhmässä, jossa olisi oltava läsnä myös eu-LISAn edustajia. Toimintapoliittisista kysymyksistä, esimerkiksi seuraamusten osalta, olisi keskusteltava API-tietojen asiantuntijaryhmässä.

(55)

Tätä asetusta olisi arvioitava säännöllisesti, jotta varmistetaan sen tehokkaan soveltamisen valvonta. API-tietojen kerääminen ei etenkään saisi heikentää laillisten matkustajien matkustuskokemusta. Komission olisi tämän vuoksi sisällytettävä tämän asetuksen soveltamista koskeviin säännöllisiin arviointikertomuksiinsa arviointi tämän asetuksen vaikutuksista laillisten matkustajien matkustuskokemukseen. Arvioinnissa olisi arvioitava myös reitittimen lähettämien tietojen laatua sekä reitittimen suorituskykyä matkustajatietoyksiköiden kannalta.

(56)

Koska tämä asetus edellyttää lentoliikenteen harjoittajilta lisämukautuksia ja hallinnollisia kustannuksia, ilmailualalle sääntelystä aiheutuvaa kokonaisrasitusta olisi pidettävä tarkasti silmällä. Näin ollen kertomuksessa, jossa arvioidaan tämän asetuksen toimivuutta, olisi arvioitava, missä määrin tämän asetuksen tavoitteet on saavutettu ja missä määrin se on vaikuttanut alan kilpailukykyyn.

(57)

Jäsenvaltiot eivät yksin voi riittävällä tavalla saavuttaa tämän asetuksen tavoitteita eli edistää terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia, kun otetaan huomioon kyseisten rikosten kansainvälinen ulottuvuus ja tarve tehdä rajat ylittävää yhteistyötä niiden torjumiseksi tehokkaasti, vaan ne voidaan saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen kyseisten tavoitteiden saavuttamiseksi.

(58)	Tämä asetus ei vaikuta jäsenvaltioiden toimivaltaan kansallista turvallisuutta koskevan kansallisen lainsäädännön osalta edellyttäen, että tällainen lainsäädäntö on unionin oikeuden mukaista.

(59)	Tämä asetus ei vaikuta jäsenvaltioiden toimivaltaan kerätä kansallisen lainsäädäntönsä nojalla matkustajatietoja muilta kuin tässä asetuksessa täsmennetyiltä liikenteenharjoittajilta edellyttäen, että tällainen kansallinen lainsäädäntö on unionin oikeuden mukaista.

(60)	Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyssä, Tanskan asemasta tehdyssä pöytäkirjassa N:o 22 olevien 1 ja 2 artiklan mukaisesti Tanska ei osallistu tämän asetuksen hyväksymiseen, asetus ei sido Tanskaa eikä sitä sovelleta Tanskaan.

(61)

Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyssä, Yhdistyneen kuningaskunnan ja Irlannin asemasta vapauden, turvallisuuden ja oikeuden alueen osalta tehdyssä pöytäkirjassa N:o 21 olevan 3 artiklan mukaisesti Irlanti on ilmoittanut haluavansa osallistua tämän asetuksen hyväksymiseen ja soveltamiseen.

(62)	Euroopan tietosuojavaltuutettua on kuultu asetuksen (EU) 2018/1725 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausunnon 8 päivänä helmikuuta 2023 (20),

OVAT HYVÄKSYNEET TÄMÄN ASETUKSEN:

1 LUKU

YLEISET SÄÄNNÖKSET

1 artikla

Kohde

Tässä asetuksessa vahvistetaan terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten säännöt, jotka koskevat

a)	lentoliikenteen harjoittajien suorittamaa matkustajien ennakkotietojen (API) keräämistä EU:n ulkopuolisista lennoista ja EU:n sisäisistä lennoista;

b)	lentoliikenteen harjoittajien suorittamaa API-tietojen ja muiden PNR-tietojen siirtämistä reitittimelle;

c)	EU:n ulkopuolisia lentoja ja valikoituja EU:n sisäisiä lentoja koskevien API-tietojen ja muiden PNR-tietojen toimittamista reitittimeltä matkustajatietoyksiköille.

Tämä asetus ei rajoita asetuksen (EU) 2016/679, asetuksen (EU) 2018/1725 eikä direktiivin (EU) 2016/680 soveltamista.

2 artikla

Soveltamisala

Tätä asetusta sovelletaan lentoliikenteen harjoittajiin, jotka liikennöivät

a)	EU:n ulkopuolisia lentoja;

EU:n sisäisiä lentoja, jotka lähtevät vähintään yhden sellaisen jäsenvaltion alueelta, saapuvat vähintään yhden sellaisen jäsenvaltion alueelle tai tekevät välilaskun vähintään yhden sellaisen jäsenvaltion alueella, joka on ilmoittanut komissiolle päätöksestään soveltaa direktiiviä (EU) 2016/681 EU:n sisäisiin lentoihin mainitun direktiivin 2 artiklan 1 kohdan mukaisesti.

3 artikla

Määritelmät

Tässä asetuksessa tarkoitetaan:

1)	’lentoliikenteen harjoittajalla’ direktiivin (EU) 2016/681 3 artiklan 1 alakohdassa määriteltyä lentoliikenteen harjoittajaa;

2)	’EU:n ulkopuolisella lennolla’ mitä tahansa direktiivin (EU) 2016/681 3 artiklan 2 alakohdassa määriteltyä EU:n ulkopuolista lentoa;

3)	’EU:n sisäisellä lennolla’ mitä tahansa direktiivin (EU) 2016/681 3 artiklan 3 alakohdassa määriteltyä EU:n sisäistä lentoa;

4)	’reittilennolla’ asetuksen (EU) 2025/12 3 artiklan 5 alakohdassa määriteltyä reittilentoa;

5)	’tilauslennolla’ asetuksen (EU) 2025/12 3 artiklan 6 alakohdassa määriteltyä tilauslentoa;

6)	’matkustajalla’ direktiivin (EU) 2016/681 3 artiklan 4 alakohdassa määriteltyä matkustajaa;

7)	’miehistöllä’ ilma-aluksessa lennon aikana olevaa henkilöä, joka ei ole matkustaja ja joka työskentelee ilma-aluksessa tai käyttää sitä, mukaan lukien ohjaamomiehistö ja matkustamomiehistö;

8)	’matkustajien ennakkotiedoilla’ tai ’API-tiedoilla’ 4 artiklan 2 kohdassa tarkoitettuja tietoja ja 4 artiklan 3 kohdassa tarkoitettuja lentotietoja;

9)	’muilla matkustajarekisteritiedoilla’ tai ’muilla PNR-tiedoilla’ direktiivin (EU) 2016/681 3 artiklan 5 alakohdassa määriteltyä matkustajarekisteriä, sellaisena kuin se luetellaan mainitun direktiivin liitteessä I, lukuun ottamatta mainitun liitteen 18 kohtaa;

10)	’matkustajatietoyksiköllä’ matkustajatietoyksikköä, jota tarkoitetaan jäsenvaltioiden direktiivin (EU) 2016/681 4 artiklan 5 kohdan nojalla komissiolle tekemissä ja komission julkaisemissa ilmoituksissa ja niiden muutoksissa;

11)	’terrorismirikoksilla’ Euroopan parlamentin ja neuvoston direktiivin (EU) 2017/541 (21) 3–12 artiklassa tarkoitettuja terrorismirikoksia;

12)	’vakavalla rikollisuudella’ direktiivin (EU) 2016/681 3 artiklan 9 alakohdassa määriteltyä vakavaa rikollisuutta;

13)	’reitittimellä’ tämän asetuksen 9 artiklassa ja asetuksen (EU) 2025/12 11 artiklassa tarkoitettua reititintä;

14)	’henkilötiedoilla’ direktiivin (EU) 2016/680 3 artiklan 1 alakohdassa ja asetuksen (EU) 2016/679 4 artiklan 1 alakohdassa määriteltyjä henkilötietoja;

15)	’reaaliaikaisilla lentoliikennetiedoilla’ tietoja tämän asetuksen soveltamisalaan kuuluvan lentoaseman saapuvasta ja lähtevästä lentoliikenteestä.

2 LUKU

API-TIETOJEN KERÄÄMINEN, SIIRTÄMINEN, TALLENTAMINEN JA POISTAMINEN

4 artikla

Lentoliikenteen harjoittajien suorittama API-tietojen kerääminen

1. Lentoliikenteen harjoittajien on kerättävä 2 artiklassa tarkoitettujen lentojen kustakin matkustajasta ja miehistön jäsenestä API-tiedot, jotka siirretään reitittimelle 5 artiklan mukaisesti. Jos kyseessä on lentoliikenteen harjoittajien yhteistunnuksin suorittama lento, velvoite siirtää API-tiedot koskee sitä lentoliikenteen harjoittajaa, joka liikennöi lennon.

2. API-tiedot koostuvat ainoastaan seuraavista kutakin lennolla olevaa matkustajaa ja miehistön jäsentä koskevista tiedoista:

a)	sukunimi ja etunimi tai etunimet;

b)	syntymäaika, sukupuoli ja kansalaisuus;

c)	matkustusasiakirjan tyyppi ja numero sekä matkustusasiakirjan myöntäneen maan kolmikirjaiminen koodi;

d)	matkustusasiakirjan viimeinen voimassaolopäivä;

e)	matkustajarekisterinumero, jota lentoliikenteen harjoittaja käyttää matkustajan paikantamiseen tietojärjestelmässään (PNR-varaustunnus);

f)	istumapaikkatiedot, jotka vastaavat matkustajalle ilma-aluksessa osoitettua istumapaikkaa, jos tällaiset tiedot ovat saatavilla;

g)	matkatavaralipukke(id)en numero(t) ja kirjattujen matkatavaroiden lukumäärä ja paino, jos tällaisia tietoja on saatavilla;

h)	sen menetelmän koodi, jota a–d alakohdassa tarkoitettujen tietojen talteenottoon ja validointiin on käytetty.

3. API-tiedot koostuvat myös ainoastaan seuraavista kunkin matkustajan ja miehistön jäsenen lentoa koskevista lentotiedoista:

a)	lennon tunnistenumero tai, jos kyseessä on lentoliikenteen harjoittajien yhteistunnuksin suorittama lento, lennon tunnistenumerot tai, jos tällaista numeroa ei ole, muu selkeä ja soveltuva keino lennon tunnistamiseksi;

b)	tarvittaessa rajanylityspaikka, jonka kautta henkilö saapuu jäsenvaltion alueelle;

c)	saapumislentoaseman koodi tai, jos lennon on tarkoitus laskeutua yhdelle tai useammalle lentoasemalle yhden tai useamman sellaisen jäsenvaltion alueella, johon sovelletaan tätä asetusta, asianomaisten jäsenvaltioiden alueella sijaitsevien käyntilentoasemien koodit;

d)	lennon lähtölentoaseman koodi;

e)	alkuperäisen koneeseen nousupaikan lentoaseman koodi, jos se on saatavilla;

f)	paikallinen lähtöpäivämäärä ja -aika;

g)	paikallinen saapumispäivämäärä ja -aika;

h)	lentoliikenteen harjoittajan yhteystiedot;

i)	API-tietojen siirrossa käytetty tietomuoto.

4. Lentoliikenteen harjoittajien on kerättävä API-tiedot tavalla, jolla varmistetaan, että niiden 5 artiklan mukaisesti siirtämät API-tiedot ovat tarkkoja, täydellisiä ja ajantasaisia. Tämän velvoitteen noudattaminen ei edellytä, että lentoliikenteen harjoittajat tarkastavat matkustusasiakirjan ilma-alukseen nousemisen hetkellä, sanotun kuitenkaan rajoittamatta unionin oikeuden kanssa yhteensopivan kansallisen lainsäädännön soveltamista.

5. Tällä asetuksella ei aseteta matkustajille velvoitetta pitää matkustaessaan mukana matkustusasiakirjaa, sanotun kuitenkaan rajoittamatta muiden unionin säädösten tai unionin oikeuden kanssa yhteensopivan kansallisen lainsäädännön soveltamista.

6. Jäsenvaltio voi asettaa lentoliikenteen harjoittajille velvoitteen antaa matkustajille mahdollisuus ladata vapaaehtoisesti asetuksen (EU) 2025/12 4 artiklan 2 kohdan a–d alakohdassa tarkoitetut tiedot automatisoiduin keinoin ja pitää tällaiset tiedot tallennettuina lentoliikenteen harjoittajalla tietojen siirtämiseksi tulevia lentoja varten tämän asetuksen 5 artiklan mukaisesti ja tämän artiklan 4, 7 ja 8 kohdassa vahvistettujen vaatimusten mukaisella tavalla. Tällaisen velvoitteen asettavan jäsenvaltion on vahvistettava tietosuojaa koskevat säännöt ja suojatoimet asetuksen (EU) 2016/679 mukaisesti, mukaan lukien säilytysaikaa koskevat säännöt. Tiedot on kuitenkin poistettava, jos matkustaja ei enää anna suostumustaan tietojen säilyttämiseen, tai viimeistään matkustusasiakirjan viimeisenä voimassaolopäivänä.

7. Lentoliikenteen harjoittajien on kerättävä 2 kohdan a–d alakohdassa tarkoitetut API-tiedot käyttäen automatisoituja keinoja asianomaisen matkustajan matkustusasiakirjaan sisältyvien koneellisesti luettavien tietojen keräämiseksi. Niiden on tehtävä tämä 12 kohdassa tarkoitettujen yksityiskohtaisten teknisten vaatimusten ja toimintasääntöjen mukaisesti, kun tällaisia sääntöjä on hyväksytty ja niitä sovelletaan.

Jos lentoliikenteen harjoittajilla on käytössä verkossa tehtävä lähtöselvitysprosessi, niiden on tarjottava matkustajille mahdollisuus antaa 2 kohdan a–d alakohdassa tarkoitetut API-tiedot automatisoiduin keinoin kyseisen verkossa tehtävän lähtöselvitysprosessin aikana. Jos matkustajat eivät ole tehneet lähtöselvitystä verkossa, lentoliikenteen harjoittajien on annettava kyseisille matkustajille mahdollisuus antaa kyseiset API-tiedot automatisoiduin keinoin lentoasemalla itsepalvelukioskilla tai lentoliikenteen harjoittajan henkilöstön avustuksella lähtöselvitystiskillä tehtävän lähtöselvityksen aikana.

Jos automatisoitujen keinojen käyttö ei ole teknisistä syistä mahdollista, lentoliikenteen harjoittajien on poikkeuksellisesti kerättävä 2 kohdan a–d alakohdassa tarkoitetut API-tiedot manuaalisesti osana joko verkossa tehtävää lähtöselvitystä tai lentoasemalla tehtävää lähtöselvitystä tavalla, jolla varmistetaan 4 kohdan noudattaminen.

8. Lentoliikenteen harjoittajien tämän asetuksen mukaiseen API-tietojen keräämiseen käyttämien automatisoitujen keinojen on oltava luotettavia, turvallisia ja ajantasaisia. Lentoliikenteen harjoittajien on varmistettava, että matkustajalta lentoliikenteen harjoittajille tapahtuvan API-tietojen siirron ajaksi tällaiset tiedot salataan.

9. Siirtymäkauden aikana ja 7 kohdassa tarkoitettujen automatisoitujen keinojen lisäksi lentoliikenteen harjoittajien on tarjottava matkustajille mahdollisuus antaa API-tiedot manuaalisesti osana verkossa tehtävää lähtöselvitystä. Tällaisissa tapauksissa lentoliikenteen harjoittajien on käytettävä tietojen tarkistamismenetelmiä, jotta varmistetaan 4 kohdan noudattaminen.

10. Edellä 9 kohdassa tarkoitettu siirtymäkausi ei vaikuta lentoliikenteen harjoittajien oikeuteen tarkistaa osana verkossa tehtävää lähtöselvitystä kerättyjä API-tietoja lentoasemalla ennen ilma-alukseen nousemista sovellettavan unionin oikeuden mukaisesti, jotta varmistetaan 4 kohdan noudattaminen.

11. Siirretään komissiolle alkaen päivästä, joka on neljän vuoden kuluttua 34 artiklassa tarkoitetusta reitittimen käyttöönotosta API-tietojen osalta, ja API-tietojen keräämiseen käytettävien automatisoitujen keinojen saatavuuden ja saavutettavuuden arvioinnin perusteella valta antaa 43 artiklan mukaisesti delegoitu säädös tämän artiklan 9 kohdassa tarkoitetun siirtymäkauden lopettamiseksi.

12. Siirretään komissiolle valta antaa 43 artiklan mukaisesti delegoituja säädöksiä, joilla täydennetään tätä asetusta vahvistamalla yksityiskohtaiset tekniset vaatimukset ja toimintasäännöt, jotka koskevat tämän artiklan 2 kohdan a–d alakohdassa tarkoitettujen API-tietojen keräämistä automatisoituja keinoja käyttäen tämän artiklan 7 ja 8 kohdan mukaisesti ja API-tietojen manuaalista keräämistä poikkeuksellisissa olosuhteissa tämän artiklan 7 kohdan mukaisesti ja tämän artiklan 9 kohdassa tarkoitetun siirtymäkauden aikana. Näihin teknisiin vaatimuksiin ja toimintasääntöihin on sisällyttävä vaatimuksia, jotka koskevat tietoturvaa ja luotettavimpien käytettävissä olevien automatisoitujen keinojen käyttämistä matkustusasiakirjaan sisältyvien koneellisesti luettavien tietojen keräämiseksi.

5 artikla

Lentoliikenteen harjoittajien API-tietojen ja muiden PNR-tietojen siirtoja koskevat velvoitteet

1. Lentoliikenteen harjoittajien on siirrettävä salatut API-tiedot reitittimelle sähköisesti, jotta ne voidaan toimittaa matkustajatietoyksiköille 12 artiklan mukaisesti. Lentoliikenteen harjoittajien on siirrettävä API-tiedot tämän artiklan 4 kohdassa tarkoitettujen yksityiskohtaisten sääntöjen mukaisesti, kun tällaiset säännöt on hyväksytty ja niitä sovelletaan.

2. Toteuttaessaan toimenpiteitä direktiivin (EU) 2016/681 8 artiklan 1 kohdan mukaisesti jäsenvaltioiden on edellytettävä, että lentoliikenteen harjoittajat siirtävät mitkä tahansa muut tavanomaisen liiketoimintansa yhteydessä keräämänsä PNR-tiedot yksinomaan reitittimelle mainitun direktiivin 16 artiklan nojalla vahvistettujen yhteisten yhteyskäytäntöjen ja tietomuotojen mukaisesti.

3. Lentoliikenteen harjoittajien on siirrettävä API-tiedot

matkustajien osalta:

i)	kustakin matkustajasta lähtöselvityksen hetkellä, mutta aikaisintaan 48 tuntia ennen lennon aikataulun mukaista lähtöaikaa; ja

ii)	kaikista ilma-alukseen nousseista matkustajista välittömästi lähtöportin sulkeuduttua eli kun matkustajat ovat nousseet ilma-alukseen lähtöön valmistautumista varten eikä matkustajien ole enää mahdollista nousta ilma-alukseen tai poistua siitä;

b)	kaikkien miehistön jäsenten osalta välittömästi lähtöportin sulkeuduttua eli kun miehistö on ilma-aluksessa lähtöön valmistautumista varten eikä miehistön jäsenten ole enää mahdollista nousta ilma-alukseen tai poistua siitä.

4. Siirretään komissiolle valta antaa 43 artiklan mukaisesti delegoituja säädöksiä, joilla täydennetään tätä asetusta vahvistamalla tarvittavat yksityiskohtaiset säännöt, jotka koskevat tämän artiklan 1 kohdassa tarkoitetussa API-tietojen salatussa siirrossa reitittimelle käytettäviä yhteisiä yhteyskäytäntöjä ja tuettuja tietomuotoja, mukaan lukien API-tietojen siirtäminen lähtöselvityksen hetkellä ja tietoturvavaatimukset. Tällaisilla yksityiskohtaisilla säännöillä varmistetaan, että lentoliikenteen harjoittajat siirtävät API-tiedot käyttäen samaa rakennetta ja sisältöä.

6 artikla

API-tietojen säilytysaika ja poistaminen

Lentoliikenteen harjoittajien on säilytettävä kaikista matkustajista ja miehistön jäsenistä 4 artiklan nojalla keräämänsä API-tiedot 48 tunnin ajan siitä hetkestä, kun reititin on vastaanottanut sille 5 artiklan 3 kohdan a alakohdan ii alakohdan ja b alakohdan mukaisesti siirretyt API-tiedot. Niiden on poistettava tällaiset API-tiedot välittömästi ja pysyvästi kyseisen ajanjakson päätyttyä, sanotun kuitenkaan rajoittamatta lentoliikenteen harjoittajien mahdollisuutta säilyttää tiedot ja käyttää niitä sovellettavaa lainsäädäntöä noudattaen, jos se on tarpeen niiden tavanomaisen liiketoiminnan harjoittamiseksi, ja rajoittamatta 16 artiklan 1 ja 3 kohdan soveltamista.

7 artikla

API-tietojen korjaaminen, täydentäminen ja päivittäminen

1. Jos lentoliikenteen harjoittaja saa tietoonsa, että sen tämän asetuksen nojalla säilyttämiä tietoja on käsitelty lainvastaisesti tai että tiedot eivät ole API-tietoja, sen on välittömästi ja pysyvästi poistettava kyseiset tiedot. Jos kyseiset tiedot on siirretty reitittimelle, lentoliikenteen harjoittajan on välittömästi ilmoitettava asiasta vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaavalle Euroopan unionin virastolle (eu-LISA). Saatuaan tällaisen tiedon eu-LISA ilmoittaa asiasta välittömästi sille matkustajatietoyksikölle, joka on vastaanottanut reitittimen kautta toimitetut tiedot.

2. Jos lentoliikenteen harjoittaja saa tietoonsa, että sen tämän asetuksen nojalla säilyttämät tiedot ovat virheellisiä, puutteellisia tai vanhentuneita, sen on välittömästi korjattava kyseiset tiedot, täydennettävä niitä tai päivitettävä ne. Tämä ei rajoita lentoliikenteen harjoittajien mahdollisuutta säilyttää tiedot ja käyttää niitä sovellettavaa lainsäädäntöä noudattaen, jos se on tarpeen niiden tavanomaisen liiketoiminnan harjoittamiseksi.

3. Jos lentoliikenteen harjoittaja saa tietoonsa 5 artiklan 3 kohdan a alakohdan i alakohdan mukaisen API-tietojen siirron jälkeen mutta ennen 5 artiklan 3 kohdan a alakohdan ii alakohdan mukaista siirtoa, että sen siirtämät tiedot ovat virheellisiä, lentoliikenteen harjoittajan on välittömästi siirrettävä reitittimelle korjatut API-tiedot.

4. Jos lentoliikenteen harjoittaja saa tietoonsa 5 artiklan 3 kohdan a alakohdan ii alakohdan tai b alakohdan mukaisen API-tietojen siirron jälkeen, että sen siirtämät tiedot ovat virheellisiä, puutteellisia tai vanhentuneita, lentoliikenteen harjoittajan on välittömästi siirrettävä reitittimelle korjatut, täydennetyt tai päivitetyt API-tiedot.

5. Siirretään komissiolle valta antaa 43 artiklan mukaisesti delegoituja säädöksiä, joilla täydennetään tätä asetusta vahvistamalla tarvittavat yksityiskohtaiset säännöt, jotka koskevat tässä artiklassa tarkoitettua API-tietojen korjaamista, täydentämistä ja päivittämistä.

8 artikla

Perusoikeudet

1. Lentoliikenteen harjoittajien ja toimivaltaisten viranomaisten tämän asetuksen ja asetuksen (EU) 2025/12 mukaisesti suorittama henkilötietojen kerääminen ja käsittely eivät saa johtaa henkilöiden syrjintään Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, 21 artiklassa luetelluin perustein.

2. Tässä asetuksessa kunnioitetaan kaikilta osin ihmisarvoa ja perusoikeuskirjassa tunnustettuja perusoikeuksia ja periaatteita, mukaan lukien oikeus yksityiselämän kunnioittamiseen, turvapaikkaan, henkilötietojen suojaan, liikkumisvapauteen ja tehokkaisiin oikeussuojakeinoihin.

3. Lapsiin, ikääntyneisiin, vammaisiin henkilöihin ja haavoittuvassa asemassa oleviin henkilöihin on kiinnitettävä erityistä huomiota. Tämän asetuksen täytäntöönpanossa on ensisijaisesti otettava huomioon lapsen etu.

3 LUKU

REITITTIMEEN LIITTYVÄT SÄÄNNÖKSET

9 artikla

Reititin

1. eu-LISA suunnittelee ja kehittää reitittimen, jonka tarkoituksena on helpottaa lentoliikenteen harjoittajien suorittamaa salattujen API-tietojen ja muiden PNR-tietojen siirtämistä matkustajatietoyksiköille tämän asetuksen mukaisesti, ja ylläpitää ja hallinnoi sitä teknisesti 25 ja 26 artiklan mukaisesti.

2. Reititin muodostuu seuraavista osista:

a)	keskusinfrastruktuuri, mukaan lukien salattujen API-tietojen ja muiden PNR-tietojen vastaanottamisen ja toimittamisen mahdollistavat tekniset komponentit;

keskusinfrastruktuurin ja matkustajatietoyksiköiden välinen suojattu viestintäkanava sekä keskusinfrastruktuurin ja lentoliikenteen harjoittajien välinen suojattu viestintäkanava API-tietojen ja muiden PNR-tietojen siirtämistä ja toimittamista sekä näihin tietoihin liittyvää viestintää varten ja jäsenvaltioiden suorittamaa 12 artiklan 4 kohdassa tarkoitettujen valikoitujen lentojen reitittimelle syöttämistä ja siihen liittyviä päivityksiä varten;

c)	suojattu kanava reaaliaikaisten lentoliikennetietojen vastaanottamista varten.

3. Tarvittaessa ja siinä määrin kuin se on teknisesti mahdollista reititin jakaa ja käyttää uudelleen asetuksen (EU) 2017/2226 13 artiklassa tarkoitetun verkkopalvelun, asetuksen (EU) 2018/1240 6 artiklan 2 kohdan k alakohdassa tarkoitetun liikenteenharjoittajien yhdyskäytävän ja asetuksen (EY) N:o 767/2008 45 c artiklassa tarkoitetun liikenteenharjoittajien yhdyskäytävän tekniset komponentit, mukaan lukien laitteisto- ja ohjelmistokomponentit, sanotun kuitenkaan rajoittamatta tämän asetuksen 10 artiklan soveltamista.

eu-LISA suunnittelee reitittimen, siinä määrin kuin se on teknisesti ja operatiivisesti mahdollista, tavalla, joka on johdonmukainen ja yhdenmukainen lentoliikenteen harjoittajille asetuksissa (EY) N:o 767/2008, (EU) 2017/2226 ja (EU) 2018/1240 säädettyjen velvoitteiden kanssa.

4. Reititin poimii tiedot automaattisesti ja asettaa ne saataville tämän asetuksen 39 artiklan mukaisesti asetuksen (EU) 2019/818 39 artiklalla perustettuun raportoinnin ja tilastoinnin keskustietoarkistoon (CRRS).

5. eu-LISA suunnittelee ja kehittää reitittimen siten, että API-tiedot ja muut PNR-tiedot salataan päästä päähän siksi ajaksi, kun API-tiedot ja muut PNR-tiedot siirretään lentoliikenteen harjoittajilta reitittimelle 5 artiklan mukaisesti ja kun API-tiedot ja muut PNR-tiedot toimitetaan reitittimeltä matkustajatietoyksiköille 12 artiklan mukaisesti sekä CRRS:ään 39 artiklan 2 kohdan mukaisesti.

10 artikla

Reitittimen yksinomainen käyttö

Tämän asetuksen soveltamiseksi reititintä saa käyttää ainoastaan seuraavasti:

a)	lentoliikenteen harjoittajat salattujen API-tietojen ja muiden PNR-tietojen siirtämiseen tämän asetuksen mukaisesti;

b)	matkustajatietoyksiköt salattujen API-tietojen ja muiden PNR-tietojen vastaanottamiseen tämän asetuksen mukaisesti;

c)	sellaisten kansainvälisten sopimusten perusteella, jotka mahdollistavat PNR-tietojen siirtämisen reitittimen kautta ja jotka unioni on tehnyt sellaisten kolmansien maiden kanssa, jotka ovat tehneet sopimuksen osallistumisestaan Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen.

Tämä artikla ei rajoita asetuksen (EU) 2025/12 12 artiklan soveltamista.

11 artikla

Tietomuoto- ja siirtotarkistukset

1. Reititin tarkistaa automaattisesti ja reaaliaikaisten lentoliikennetietojen perusteella, onko lentoliikenteen harjoittaja siirtänyt API-tiedot 5 artiklan 1 kohdan mukaisesti tai muut PNR-tiedot 5 artiklan 2 kohdan mukaisesti.

2. Reititin tarkistaa välittömästi ja automaattisesti, ovatko sille 5 artiklan 1 kohdan mukaisesti siirretyt API-tiedot 5 artiklan 4 kohdassa tarkoitettujen tuettuja tietomuotoja koskevien yksityiskohtaisten sääntöjen mukaisia.

3. Reititin tarkistaa välittömästi ja automaattisesti, ovatko sille 5 artiklan 2 kohdan mukaisesti siirretyt muut PNR-tiedot direktiivin (EU) 2016/681 16 artiklassa tarkoitettujen tuettuja tietomuotoja koskevien sääntöjen mukaisia.

4. Jos 1 kohdassa tarkoitetussa tarkistuksessa todetaan, että lentoliikenteen harjoittaja ei ole siirtänyt tietoja, tai jos 2 tai 3 kohdassa tarkoitetussa tarkistuksessa todetaan, että tiedot eivät ole tuettuja tietomuotoja koskevien yksityiskohtaisten sääntöjen mukaisia, reititin ilmoittaa asiasta välittömästi ja automaattisesti asianomaiselle lentoliikenteen harjoittajalle ja niiden jäsenvaltioiden matkustajatietoyksiköille, joille tiedot oli määrä toimittaa 12 artiklan 1 kohdan nojalla. Tällaisissa tapauksissa lentoliikenteen harjoittajan on välittömästi siirrettävä API-tiedot ja muut PNR-tiedot 5 artiklan mukaisesti.

5. Komissio hyväksyy täytäntöönpanosäädöksiä, joissa täsmennetään tarvittavat yksityiskohtaiset tekniset säännöt ja menettelysäännöt tämän artiklan 1–4 kohdassa tarkoitettuja tarkistuksia ja ilmoituksia varten. Nämä täytäntöönpanosäädökset hyväksytään 42 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

12 artikla

API-tietojen ja muiden PNR-tietojen toimittaminen reitittimeltä matkustajatietoyksiköille

1. Edellä 11 artiklassa tarkoitettujen tietomuoto- ja siirtotarkistusten jälkeen reitittimen on toimitettava lentoliikenteen harjoittajien sille 5 artiklan 1 ja 2 kohdan ja tapauksen mukaan 7 artiklan 3 ja 4 kohdan nojalla siirtämät salatut API-tiedot ja mahdolliset muut PNR-tiedot sen jäsenvaltion matkustajatietoyksiköille, jonka alueelle lento laskeutuu tai jonka alueelta lento lähtee, tai molemmille, jos kyseessä on EU:n sisäinen lento. Sen on toimitettava kyseiset tiedot välittömästi ja automaattisesti, mitenkään muuttamatta tietojen sisältöä. Jos lentoon kuuluu yksi tai useampi välilasku muiden jäsenvaltioiden alueella kuin sen jäsenvaltion, jolta lento lähti, reititin toimittaa API-tiedot ja mahdolliset muut PNR-tiedot kaikkien asianomaisten jäsenvaltioiden matkustajatietoyksiköille.

Tietojen toimittamista varten eu-LISA laatii vastaavuustaulukon eri lähtö- ja määrälentoasemista sekä niiden sijaintimaista ja pitää sen ajan tasalla.

EU:n sisäisten lentojen osalta reititin kuitenkin toimittaa asianomaisille matkustajatietoyksiköille API-tiedot ja muut PNR-tiedot vain 4 kohdassa tarkoitettuun luetteloon sisältyvistä lennoista.

2. Reititin toimittaa API-tiedot ja muut PNR-tiedot 6 kohdassa tarkoitettujen yksityiskohtaisten sääntöjen mukaisesti, kun tällaisia sääntöjä on hyväksytty ja niitä sovelletaan.

3. Jäsenvaltioiden on varmistettava, että kun niiden matkustajatietoyksiköt vastaanottavat API-tietoja ja muita PNR-tietoja 1 kohdan mukaisesti, ne antavat reitittimelle välittömästi ja automaattisesti vahvistuksen tällaisten tietojen vastaanottamisesta.

4. Jäsenvaltioiden, jotka päättävät soveltaa direktiiviä (EU) 2016/681 EU:n sisäisiin lentoihin mainitun direktiivin 2 artiklan mukaisesti, on laadittava luettelo valikoiduista EU:n sisäisistä lennoista tai reiteistä. Jäsenvaltiot voivat käyttää lähtölentoaseman ja saapumislentoaseman koodia ilmoittaessaan valikoidut lennot tai reitit. Näiden jäsenvaltioiden on säännöllisesti tarkasteltava kyseisiä luetteloita uudelleen ja tarvittaessa päivitettävä niitä kyseisen direktiivin 2 artiklan ja tämän asetuksen 13 artiklan mukaisesti. Jäsenvaltio voi asianmukaisesti perustelluissa tapauksissa valita kaikki EU:n sisäiset lennot tai reitit direktiivin (EU) 2016/681 ja tämän asetuksen 13 artiklan mukaisesti.

Jäsenvaltioiden on 45 artiklan toisessa kohdassa tarkoitettuun tämän asetuksen asiaankuuluvaan soveltamispäivään mennessä syötettävä valikoidut lennot tai reitit reitittimelle automatisoiduin keinoin 9 artiklan 2 kohdan b alakohdassa tarkoitetun suojatun viestintäkanavan kautta ja sen jälkeen toimitettava reitittimelle niiden päivitykset.

5. Jäsenvaltioiden reitittimelle syöttämiä tietoja on käsiteltävä luottamuksellisesti, ja eu-LISAn henkilöstön pääsy kyseisiin tietoihin on rajoitettava siihen, mikä on ehdottoman tarpeen teknisten ongelmien ratkaisemiseksi. eu-LISA varmistaa, että kun reititin on vastaanottanut jäsenvaltiolta kyseiset tiedot tai niiden päivitykset, reititin toimittaa API-tiedot ja muut PNR-tiedot valikoiduista lennoista tai reiteistä välittömästi kyseisen jäsenvaltion matkustajatietoyksikölle 1 kohdan mukaisesti.

6. Komissio hyväksyy täytäntöönpanosäädöksiä, joissa täsmennetään tarvittavat yksityiskohtaiset tekniset säännöt ja menettelysäännöt, jotka koskevat tämän artiklan 1 kohdassa tarkoitettua API-tietojen ja muiden PNR-tietojen toimittamista reitittimeltä ja tämän artiklan 4 kohdassa tarkoitettua tietojen syöttämistä reitittimelle, mukaan lukien tietoturvavaatimukset. Nämä täytäntöönpanosäädökset hyväksytään 42 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

13 artikla

EU:n sisäisten lentojen valinta

1. Jäsenvaltioiden, jotka päättävät direktiivin (EU) 2016/681 2 artiklan mukaisesti soveltaa kyseistä direktiiviä ja näin ollen tätä asetusta EU:n sisäisiin lentoihin, on valittava tällaiset EU:n sisäiset lennot tämän artiklan mukaisesti.

2. Jäsenvaltiot voivat soveltaa direktiiviä (EU) 2016/681 ja näin ollen tätä asetusta kaikkiin alueelleen saapuviin tai alueeltaan lähteviin EU:n sisäisiin lentoihin ainoastaan tilanteissa, joissa on todellinen ja välitön tai ennakoitavissa oleva terroriuhka, sellaisen päätöksen perusteella, joka perustuu uhka-arvioon ja on ajallisesti rajoitettu täysin välttämättömään ja johon joko tuomioistuin tai riippumaton hallinnollinen elin, jonka ratkaisu on sitova, voi kohdistaa tehokasta valvontaa.

3. Jos todellista ja olemassa olevaa tai ennakoitavissa olevaa terroriuhkaa ei ole, jäsenvaltioiden, jotka soveltavat direktiiviä (EU) 2016/681 ja näin ollen tätä asetusta EU:n sisäisiin lentoihin, on valittava tällaiset EU:n sisäiset lennot tämän artiklan 4–7 kohdassa vahvistettujen vaatimusten perusteella tehdyn arvioinnin tulosten mukaisesti.

4. Edellä 3 kohdassa tarkoitetun arvioinnin on täytettävä seuraavat vaatimukset:

a)	se on toteutettava objektiivisella, asianmukaisesti perustellulla ja syrjimättömällä tavalla direktiivin (EU) 2016/681 2 artiklan mukaisesti;

siinä on otettava huomioon ainoastaan kriteerejä, joilla on merkitystä sellaisten terrorismirikosten ja sellaisen vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten, joilla on objektiivinen yhteys, mukaan lukien välillinen yhteys, matkustajalentoliikenteeseen, eikä se saa perustua pelkästään perusoikeuskirjan 21 artiklassa lueteltuihin matkustajia tai matkustajaryhmiä koskeviin perusteisiin;

c)	siinä on käytettävä ainoastaan tietoja, joilla voidaan tukea objektiivista, asianmukaisesti perusteltua ja syrjimätöntä arviointia.

5. Jäsenvaltiot saavat 3 kohdassa tarkoitetun arvioinnin perusteella valita ainoastaan sellaisia EU:n sisäisiä lentoja, jotka liittyvät muun muassa tiettyihin reitteihin, matkustusmalleihin tai lentoasemiin, joiden osalta on viitteitä terrorismirikoksista ja vakavasta rikollisuudesta ja joiden vuoksi API-tietojen ja muiden PNR-tietojen käsittely on perusteltua. EU:n sisäisten lentojen valinta on rajoitettava siihen, mikä on täysin välttämätöntä direktiivin (EU) 2016/681 ja tämän asetuksen tavoitteiden saavuttamiseksi.

6. Jäsenvaltioiden on säilytettävä kaikki asiakirja-aineisto 3 kohdassa tarkoitetusta arvioinnista, mukaan lukien tarvittaessa sen uudelleentarkastelu, ja asetettava se direktiivin (EU) 2016/680 mukaisesti pyynnöstä riippumattomien valvontaviranomaistensa ja kansallisten valvontaviranomaistensa saataville.

7. Jäsenvaltioiden on direktiivin (EU) 2016/681 2 artiklan mukaisesti tarkasteltava 3 kohdassa tarkoitettua arviointiaan uudelleen säännöllisesti ja vähintään 12 kuukauden välein, jotta voidaan ottaa huomioon muutokset olosuhteissa, joiden vuoksi EU:n sisäisten lentojen valinta oli perusteltu, ja varmistaa, että EU:n sisäisten lentojen valinta rajoittuu edelleen siihen, mikä on täysin välttämätöntä.

8. Komissio helpottaa säännöllistä näkemystenvaihtoa 3 kohdassa tarkoitetun arvioinnin valintakriteereistä, mukaan lukien parhaiden käytäntöjen jakaminen, ja vapaaehtoisesti myös tietojenvaihtoa valikoiduista lennoista.

14 artikla

API-tietojen ja muiden PNR-tietojen poistaminen reitittimeltä

API-tietoja ja muita PNR-tietoja, jotka on siirretty reitittimelle tämän asetuksen nojalla, saa säilyttää reitittimellä vain siltä osin kuin on tarpeen, jotta tietojen toimittaminen asianomaisille matkustajatietoyksiköille tämän asetuksen mukaisesti saadaan päätökseen, ja ne on poistettava reitittimeltä välittömästi, pysyvästi ja automaattisesti seuraavissa tilanteissa:

a)	jos on 12 artiklan 3 kohdan mukaisesti vahvistettu, että API-tietojen ja muiden PNR-tietojen toimittaminen asianomaisille matkustajatietoyksiköille on saatu päätökseen;

b)	jos API-tiedot tai muut PNR-tiedot koskevat muita kuin 12 artiklan 4 kohdassa tarkoitettuihin luetteloihin sisältyviä EU:n sisäisiä lentoja.

Reititin ilmoittaa automaattisesti eu-LISAlle ja matkustajatietoyksiköille b alakohdassa tarkoitettujen EU:n sisäisten lentojen välittömästä poistamisesta.

15 artikla

Matkustajatietoyksiköiden suorittama API-tietojen ja muiden PNR-tietojen käsittely

Matkustajatietoyksiköiden on käsiteltävä niille tämän asetuksen mukaisesti siirrettyjä API-tietoja ja muita PNR-tietoja direktiivin (EU) 2016/681 mukaisesti erityisesti niiden sääntöjen osalta, jotka koskevat matkustajatietoyksiköiden suorittamaa API-tietojen ja muiden PNR-tietojen käsittelyä, mukaan lukien säännöt, jotka vahvistetaan mainitun direktiivin 6, 10, 12 ja 13 artiklassa, ja yksinomaan terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten.

Matkustajatietoyksiköt tai muut toimivaltaiset viranomaiset eivät saa missään olosuhteissa käsitellä API-tietoja eivätkä muita PNR-tietoja direktiivin (EU) 2016/680 11 artiklan 3 kohdassa tarkoitettua profilointia varten.

16 artikla

Toimet, joita sovelletaan, jos reitittimen käyttö on teknisistä syistä mahdotonta

1. Jos reitittimen käyttö API-tietojen tai muiden PNR-tietojen toimittamiseen on teknisistä syistä mahdotonta reitittimen toimintahäiriön vuoksi, eu-LISA ilmoittaa välittömästi tästä teknisestä toimintahäiriöstä lentoliikenteen harjoittajille ja matkustajatietoyksiköille automaattisesti. Tällaisessa tapauksessa eu-LISA toteuttaa välittömästi toimenpiteitä reitittimen käytön estävän teknisen toimintahäiriön korjaamiseksi ja ilmoittaa välittömästi lentoliikenteen harjoittajille ja matkustajatietoyksiköille, kun häiriö on korjattu onnistuneesti.

Näiden ilmoitusten välisenä aikana 5 artiklan 1 kohtaa ei sovelleta siltä osin kuin tekninen toimintahäiriö estää API-tietojen tai muiden PNR-tietojen siirtämisen reitittimelle. Lentoliikenteen harjoittajien on säilytettävä API-tiedot tai muut PNR-tiedot, kunnes tekninen toimintahäiriö on korjattu onnistuneesti. Heti kun tekninen toimintahäiriö on korjattu onnistuneesti, lentoliikenteen harjoittajien on siirrettävä tiedot reitittimelle 5 artiklan 1 kohdan mukaisesti.

Jos reitittimen käyttö on teknisistä syistä mahdotonta, ja poikkeuksellisissa tapauksissa, jotka liittyvät tämän asetuksen tavoitteisiin ja joiden vuoksi matkustajatietoyksiköiden on tarpeen saada API-tiedot tai muut PNR-tiedot välittömästi reitittimen käytön estävän teknisen toimintahäiriön aikana, matkustajatietoyksiköt voivat pyytää lentoliikenteen harjoittajia käyttämään mitä tahansa muita asianmukaisia keinoja, joilla varmistetaan tarvittava tietoturvan, tietojen laadun ja tietosuojan taso API-tietojen tai muiden PNR-tietojen siirtämiseksi suoraan matkustajatietoyksiköille. Matkustajatietoyksiköiden on käsiteltävä millä tahansa muilla asianmukaisilla keinoilla vastaanotetut API-tiedot tai muut PNR-tiedot direktiivissä (EU) 2016/681 vahvistettujen sääntöjen ja suojatoimien mukaisesti.

Kun eu-LISA on antanut ilmoituksen, että tekninen toimintahäiriö on korjattu onnistuneesti, ja jos on 12 artiklan 3 kohdan mukaisesti vahvistettu, että API-tietojen tai muiden PNR-tietojen toimittaminen reitittimen kautta asianomaiselle matkustajatietoyksikölle on saatu päätökseen, matkustajatietoyksikön on välittömästi poistettava millä tahansa muilla asianmukaisilla keinoilla vastaanotetut API-tiedot tai muut PNR-tiedot.

2. Jos reitittimen käyttö API-tietojen tai muiden PNR-tietojen toimittamiseen on teknisistä syistä mahdotonta 23 artiklassa tarkoitettujen jäsenvaltion järjestelmien tai infrastruktuurin toimintahäiriön vuoksi, kyseisen jäsenvaltion matkustajatietoyksikön on välittömästi ilmoitettava tästä teknisestä toimintahäiriöstä muille matkustajatietoyksiköille, eu-LISAlle ja komissiolle automaattisesti. Tällaisessa tapauksessa kyseisen jäsenvaltion on välittömästi toteutettava toimenpiteitä reitittimen käytön estävän teknisen toimintahäiriön korjaamiseksi ja välittömästi ilmoitettava muille matkustajatietoyksiköille, eu-LISAlle ja komissiolle, kun häiriö on korjattu onnistuneesti. Reititin säilyttää API-tiedot tai muut PNR-tiedot, kunnes tekninen toimintahäiriö on korjattu onnistuneesti. Heti kun tekninen toimintahäiriö on korjattu onnistuneesti, reititin toimittaa tiedot 12 artiklan 1 kohdan mukaisesti.

3. Jos reitittimen käyttö API-tietojen tai muiden PNR-tietojen siirtämiseen on teknisistä syistä mahdotonta 24 artiklassa tarkoitettujen lentoliikenteen harjoittajan järjestelmien tai infrastruktuurin toimintahäiriön vuoksi, kyseisen lentoliikenteen harjoittajan on välittömästi ilmoitettava tästä teknisestä toimintahäiriöstä matkustajatietoyksiköille, eu-LISAlle ja komissiolle automaattisesti. Tällaisessa tapauksessa kyseisen lentoliikenteen harjoittajan on välittömästi toteutettava toimenpiteitä reitittimen käytön estävän teknisen toimintahäiriön korjaamiseksi ja välittömästi ilmoitettava matkustajatietoyksiköille, eu-LISAlle ja komissiolle, kun häiriö on korjattu onnistuneesti.

Kun eu-LISA on antanut ilmoituksen, että tekninen toimintahäiriö on korjattu onnistuneesti, ja jos on 12 artiklan 3 kohdan mukaisesti vahvistettu, että API-tietojen tai muiden PNR-tietojen toimittaminen reitittimen kautta asiaankuuluvalle matkustajatietoyksikölle on saatu päätökseen, matkustajatietoyksikön on välittömästi poistettava millä tahansa muilla asianmukaisilla keinoilla vastaanotetut API-tiedot tai muut PNR-tiedot.

Kun tekninen toimintahäiriö on korjattu onnistuneesti, asianomaisen lentoliikenteen harjoittajan on viipymättä toimitettava 37 artiklassa tarkoitetulle kansalliselle API-valvontaviranomaiselle raportti, joka sisältää kaikki tarvittavat tiedot teknisestä toimintahäiriöstä, mukaan lukien teknisen toimintahäiriön syyt, häiriön laajuus ja seuraukset sekä häiriön korjaamiseksi toteutetut toimenpiteet.

4 LUKU

HENKILÖTIETOJEN SUOJAA JA TURVALLISUUTTA KOSKEVAT ERITYISSÄÄNNÖKSET

17 artikla

Lokitietojen säilyttäminen

1. Lentoliikenteen harjoittajien on luotava lokitiedot kaikista tämän asetuksen mukaisista API-tietoihin liittyvistä käsittelytoimista, jotka on suoritettu 4 artiklan 7 kohdassa tarkoitettuja automatisoituja keinoja käyttäen. Näiden lokitietojen on sisällettävä tiedot API-tietojen siirtämisen päivämäärästä, kellonajasta ja paikasta. Nämä lokitiedot eivät saa sisältää muita henkilötietoja kuin ne tiedot, jotka ovat tarpeen lentoliikenteen harjoittajan asiaankuuluvan henkilöstön jäsenen tunnistamiseksi.

2. eu-LISA säilyttää lokitiedot kaikista tämän asetuksen mukaisista käsittelytoimista, jotka liittyvät API-tietojen ja muiden PNR-tietojen siirtämiseen ja toimittamiseen reitittimen kautta. Näiden lokitietojen on sisällettävä tiedot seuraavista:

a)	lentoliikenteen harjoittaja, joka on siirtänyt API-tiedot ja muut PNR-tiedot reitittimelle;

b)	lentoliikenteen harjoittaja, joka on siirtänyt muut PNR-tiedot reitittimelle;

c)	matkustajatietoyksiköt, joille API-tiedot on toimitettu reitittimen kautta;

d)	matkustajatietoyksiköt, joille muut PNR-tiedot on toimitettu reitittimen kautta;

e)	a–d alakohdassa tarkoitetun siirtämisen tai toimittamisen päivämäärä ja kellonaika sekä siirto- tai toimituspaikka;

f)	26 artiklan 3 kohdassa tarkoitettu eu-LISAn henkilöstön pääsy, joka on tarpeen reitittimen ylläpitoa varten;

g)	muut näihin käsittelytoimiin liittyvät tiedot, jotka ovat tarpeen API-tietojen ja muiden PNR-tietojen turvallisuuden ja eheyden sekä käsittelytoimien lainmukaisuuden valvomiseksi.

Nämä lokitiedot eivät saa sisältää muita henkilötietoja kuin ne tiedot, jotka ovat tarpeen ensimmäisen alakohdan f alakohdassa tarkoitetun eu-LISAn asiaankuuluvan henkilöstön jäsenen tunnistamiseksi.

3. Tämän artiklan 1 ja 2 kohdassa tarkoitettuja lokitietoja saa käyttää ainoastaan API-tietojen ja muiden PNR-tietojen turvallisuuden ja eheyden sekä käsittelyn lainmukaisuuden varmistamiseen, erityisesti kun kyseessä on tässä asetuksessa säädettyjen vaatimusten noudattaminen, mukaan lukien 37 ja 38 artiklan mukaiset näiden vaatimusten rikkomisesta määrättäviä seuraamuksia koskevat menettelyt.

4. Lentoliikenteen harjoittajat ja eu-LISA toteuttavat asianmukaiset toimenpiteet suojatakseen 1 ja 2 kohdan nojalla luomansa lokitiedot luvattomalta pääsyltä ja muilta turvallisuusriskeiltä.

5. Jäljempänä 37 artiklassa tarkoitetulla kansallisella API-valvontaviranomaisella ja matkustajatietoyksiköillä on oltava pääsy tämän artiklan 1 kohdassa tarkoitettuihin asiaankuuluviin lokitietoihin, kun se on tarpeen tämän artiklan 3 kohdassa tarkoitettuja tarkoituksia varten.

6. Lentoliikenteen harjoittajat ja eu-LISA säilyttävät 1 ja 2 kohdan nojalla luomansa lokitiedot yhden vuoden ajan niiden luomisesta. Ne poistavat nämä lokitiedot välittömästi ja pysyvästi kyseisen ajanjakson päätyttyä.

Jos näitä lokitietoja kuitenkin tarvitaan 3 kohdassa tarkoitettua API-tietojen turvallisuuden ja eheyden tai käsittelytoimien lainmukaisuuden valvontaa tai varmistamista varten ja jos nämä menettelyt on jo aloitettu tämän kohdan ensimmäisessä alakohdassa tarkoitetun määräajan päättyessä, lentoliikenteen harjoittajat ja eu-LISA säilyttävät kyseiset lokitiedot niin kauan kuin on tarpeen näitä menettelyjä varten. Tällaisessa tapauksessa ne poistavat kyseiset lokitiedot välittömästi, kun ne eivät ole enää tarpeen näitä menettelyjä varten.

18 artikla

Tietosuojavastuut

1. Lentoliikenteen harjoittajat ovat asetuksen (EU) 2016/679 4 artiklan 7 alakohdassa tarkoitettuja rekisterinpitäjiä, kun kyseessä on henkilötietoja sisältävien API-tietojen ja muiden PNR-tietojen käsittely kyseisten tietojen keräämiseksi ja niiden siirtämiseksi reitittimelle tämän asetuksen nojalla.

2. Kunkin jäsenvaltion on nimettävä toimivaltainen viranomainen tämän artiklan mukaiseksi rekisterinpitäjäksi. Jäsenvaltioiden on ilmoitettava kyseiset viranomaiset komissiolle, eu-LISAlle ja muille jäsenvaltioille.

Kaikki jäsenvaltioiden nimeämät toimivaltaiset viranomaiset ovat direktiivin (EU) 2016/680 21 artiklan mukaisia yhteisrekisterinpitäjiä, kun kyseessä on reitittimellä olevien henkilötietojen käsittely.

3. eu-LISA on asetuksen (EU) 2018/1725 3 artiklan 12 alakohdassa tarkoitettu henkilötietojen käsittelijä, kun kyseessä on henkilötietoja sisältävien API-tietojen ja muiden PNR-tietojen käsittely tämän asetuksen nojalla reitittimen kautta, mukaan lukien tietojen toimittaminen reitittimeltä matkustajatietoyksiköille ja kyseisten tietojen säilyttäminen teknisistä syistä reitittimellä. eu-LISA varmistaa, että reititintä käytetään tämän asetuksen mukaisesti.

4. Komissio hyväksyy täytäntöönpanosäädöksiä, joissa vahvistetaan eri yhteisrekisterinpitäjien vastuut sekä tähän liittyvät velvoitteet yhteisrekisterinpitäjien ja henkilötietojen käsittelijän välillä. Nämä täytäntöönpanosäädökset hyväksytään 42 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

19 artikla

Tiedottaminen matkustajille

Asetuksen (EU) 2016/679 13 artiklan mukaisesti lentoliikenteen harjoittajien on annettava tämän asetuksen soveltamisalaan kuuluvien lentojen matkustajille tietoa heidän henkilötietojensa keräämisen tarkoituksesta, kerättyjen henkilötietojen tyypistä, henkilötietojen vastaanottajista ja keinoista heillä rekisteröityinä olevien oikeuksien käyttämiseksi.

Nämä tiedot on ilmoitettava matkustajille kirjallisesti ja helposti saavutettavissa olevassa muodossa varauksen ja lähtöselvityksen hetkellä riippumatta siitä, mitä keinoja on käytetty henkilötietojen keräämiseen lähtöselvityksen hetkellä, 4 artiklan mukaisesti.

20 artikla

Turvallisuus

1. eu-LISA varmistaa tämän asetuksen nojalla käsittelemiensä API-tietojen ja muiden PNR-tietojen, erityisesti henkilötietoja sisältävien tietojen, turvallisuuden ja salauksen. Matkustajatietoyksiköiden ja lentoliikenteen harjoittajien on varmistettava tämän asetuksen nojalla käsittelemiensä API-tietojen, erityisesti henkilötietoja sisältävien API-tietojen, turvallisuus. eu-LISA, matkustajatietoyksiköt ja lentoliikenteen harjoittajat tekevät yhteistyötä keskenään vastuualueidensa mukaisesti ja unionin oikeutta noudattaen tällaisen turvallisuuden varmistamiseksi.

2. eu-LISA varmistaa jäsenvaltioiden 12 artiklan 4 kohdan mukaisesti valikoimiin lentoihin ja reitteihin liittyvien tietojen turvallisuuden ja luottamuksellisuuden. Matkustajatietoyksiköiden ja lentoliikenteen harjoittajien on varmistettava tämän asetuksen nojalla käsittelemiensä API-tietojen, erityisesti henkilötietoja sisältävien API-tietojen, turvallisuus. eu-LISA, matkustajatietoyksiköt ja lentoliikenteen harjoittajat tekevät yhteistyötä keskenään vastuualueidensa mukaisesti ja unionin oikeutta noudattaen tällaisen turvallisuuden varmistamiseksi.

3. eu-LISA toteuttaa tarvittavat toimenpiteet, joilla varmistetaan reitittimen ja reitittimen kautta toimitettavien API-tietojen ja muiden PNR-tietojen, erityisesti henkilötietoja sisältävien tietojen, turvallisuus, mukaan lukien turvallisuussuunnitelman, toiminnan jatkuvuussuunnitelman ja palautumissuunnitelman laatiminen, toteuttaminen ja säännöllinen päivittäminen, jotta voidaan

a)	suojata reititin fyysisesti, muun muassa laatimalla varautumissuunnitelmia reitittimen kriittisten komponenttien suojaamiseksi;

estää erityisesti asianmukaisilla salaustekniikoilla API-tietojen tai muiden PNR-tietojen luvaton käsittely, mukaan lukien luvaton pääsy tietoihin ja niiden jäljentäminen, muuttaminen tai poistaminen, sekä siirrettäessä API-tietoja tai muita PNR-tietoja reitittimelle tai reitittimeltä että säilytettäessä API-tietoja tai muita PNR-tietoja reitittimellä, kun se on tarpeen, jotta tietojen toimittaminen saadaan päätökseen;

c)	varmistaa, että henkilöt, joilla on pääsy reitittimeen, pääsevät ainoastaan valtuutuksensa piiriin kuuluviin tietoihin;

d)	varmistaa, että on mahdollista tarkistaa ja määrittää, mille matkustajatietoyksiköille API-tiedot tai muut PNR-tiedot toimitetaan reitittimen kautta;

e)	ilmoittaa asianmukaisesti sen hallintoneuvostolle kaikista reitittimen toiminnassa ilmenneistä vioista;

f)	valvoa tässä artiklassa ja asetuksessa (EU) 2018/1725 edellytettyjen turvatoimien vaikuttavuutta ja arvioida ja päivittää kyseisiä turvatoimia tarvittaessa teknisen tai operatiivisen kehityksen valossa.

Tämän kohdan ensimmäisessä alakohdassa tarkoitetut toimenpiteet eivät vaikuta asetuksen (EU) 2016/679 32 artiklaan, asetuksen (EU) 2018/1725 33 artiklaan tai direktiivin (EU) 2016/680 29 artiklaan.

21 artikla

Omavalvonta

Lentoliikenteen harjoittajien ja matkustajatietoyksiköiden on valvottava, että ne noudattavat tämän asetuksen mukaisia velvoitteitaan, erityisesti henkilötietoja sisältävien API-tietojen käsittelyn osalta. Lentoliikenteen harjoittajien osalta valvonnan on käsitettävä 17 artiklassa tarkoitettujen lokitietojen säännöllinen tarkastaminen.

22 artikla

Henkilötietojen suojaa koskevat tarkastukset

1. Direktiivin (EU) 2016/680 41 artiklassa tarkoitettujen riippumattomien valvontaviranomaisten on tarkastettava matkustajatietoyksiköiden tätä asetusta sovellettaessa suorittamat henkilötietoja sisältävien API-tietojen käsittelytoimet vähintään joka neljäs vuosi. Jäsenvaltioiden on varmistettava, että niiden riippumattomilla valvontaviranomaisilla on riittävät resurssit ja asiantuntemus niille tämän asetuksen nojalla annettujen tehtävien hoitamiseksi.

2. Euroopan tietosuojavaltuutettu tarkastaa eu-LISAn tätä asetusta sovellettaessa suorittamat henkilötietoja sisältävien API-tietojen ja muiden PNR-tietojen käsittelytoimet asiaankuuluvien kansainvälisten tarkastusstandardien mukaisesti vähintään kerran vuodessa. Tarkastuksesta laaditaan kertomus, joka toimitetaan Euroopan parlamentille, neuvostolle, komissiolle, jäsenvaltioille ja eu-LISAlle. eu-LISAlle annetaan tilaisuus esittää huomautuksia ennen kertomusten hyväksymistä.

3. Edellä 2 kohdassa tarkoitettujen käsittelytoimien osalta eu-LISA toimittaa pyynnöstä Euroopan tietosuojavaltuutetun pyytämät tiedot ja antaa Euroopan tietosuojavaltuutetulle pääsyn kaikkiin tämän pyytämiin asiakirjoihin ja 17 artiklan 2 kohdassa tarkoitettuihin lokitietoihin sekä antaa Euroopan tietosuojavaltuutetulle milloin tahansa pääsyn kaikkiin eu-LISAn toimitiloihin.

5 LUKU

REITITTIMEEN LIITTYVÄT SEIKAT

23 artikla

Matkustajatietoyksiköiden yhteydet reitittimeen

1. Jäsenvaltioiden on varmistettava, että niiden matkustajatietoyksiköt liitetään reitittimeen. Niiden on varmistettava, että niiden kansalliset järjestelmät ja infrastruktuuri tämän asetuksen nojalla siirrettävien API-tietojen ja muiden PNR-tietojen vastaanottamista ja jatkokäsittelyä varten integroidaan reitittimeen.

Jäsenvaltioiden on varmistettava, että reitittimeen liittämisen ja integroinnin ansiosta niiden matkustajatietoyksiköt voivat vastaanottaa ja jatkokäsitellä kyseisiä API-tietoja ja muita PNR-tietoja sekä vaihtaa niihin liittyviä viestejä lainmukaisesti, turvallisesti, tehokkaasti ja nopeasti.

2. Komissio hyväksyy täytäntöönpanosäädöksiä, joissa täsmennetään tarvittavat yksityiskohtaiset säännöt, jotka koskevat tämän artiklan 1 kohdassa tarkoitettua liittämistä ja integrointia reitittimeen, mukaan lukien tietoturvavaatimukset. Nämä täytäntöönpanosäädökset hyväksytään 42 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

24 artikla

Lentoliikenteen harjoittajien yhteydet reitittimeen

1. Lentoliikenteen harjoittajien on varmistettava, että ne liitetään reitittimeen. Niiden on varmistettava, että niiden järjestelmät ja infrastruktuuri tämän asetuksen mukaista API-tietojen ja muiden PNR-tietojen reitittimelle siirtämistä varten integroidaan reitittimeen.

Lentoliikenteen harjoittajien on varmistettava, että reitittimeen liittämisen ja integroinnin ansiosta ne voivat siirtää kyseisiä API-tietoja ja muita PNR-tietoja sekä vaihtaa niihin liittyviä viestejä lainmukaisesti, turvallisesti, tehokkaasti ja nopeasti. Tätä varten lentoliikenteen harjoittajien on testattava API-tietojen ja muiden PNR-tietojen siirtämistä reitittimelle yhteistyössä eu-LISAn kanssa 27 artiklan 3 kohdan mukaisesti.

25 artikla

Reitittimen suunnitteluun ja kehittämiseen liittyvät eu-LISAn tehtävät

1. eu-LISA vastaa reitittimen fyysisen arkkitehtuurin suunnittelusta, myös sen teknisten eritelmien määrittelystä.

2. eu-LISA vastaa reitittimen kehittämisestä, myös mahdollisista teknisistä mukautuksista, jotka ovat tarpeen reitittimen toimintaa varten.

Reitittimen kehittäminen koostuu teknisten eritelmien laatimisesta ja täytäntöönpanosta, testauksesta ja kehittämisvaiheen yleisestä projektinhallinnasta ja koordinoinnista.

3. eu-LISA varmistaa, että reititin suunnitellaan ja kehitetään siten, että se tarjoaa tässä asetuksessa täsmennetyt toiminnot, ja että reititin otetaan käyttöön mahdollisimman pian sen jälkeen, kun komissio on hyväksynyt tämän asetuksen 4 artiklan 12 kohdassa, 5 artiklan 3 kohdassa ja 7 artiklan 2 kohdassa säädetyt delegoidut säädökset ja 11 artiklan 5 kohdassa, 12 artiklan 4 kohdassa, 23 artiklan 2 kohdassa ja 24 artiklan 2 kohdassa säädetyt täytäntöönpanosäädökset sekä direktiivin (EU) 2016/681 16 artiklan 3 kohdassa säädetyt täytäntöönpanosäädökset ja on suoritettu asetuksen (EU) 2016/679 35 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi.

4. eu-LISA toimittaa matkustajatietoyksiköille, muille asiaankuuluville jäsenvaltioiden viranomaisille ja lentoliikenteen harjoittajille vaatimustenmukaisuuden testausvälineistön. Vaatimustenmukaisuuden testausvälineistön on käsitettävä testiympäristö, simulaattori, testitietojoukot ja testisuunnitelma. Vaatimustenmukaisuuden testausvälineistön on mahdollistettava 5 ja 6 kohdassa tarkoitettu reitittimen kattava testaus, ja sen on pysyttävä saatavilla sen jälkeen, kun testaus on saatu päätökseen.

5. Kun eu-LISA katsoo, että kehittämisvaihe on saatu päätökseen API-tietojen osalta, se suorittaa ilman aiheetonta viivytystä reitittimen kattavan testauksen yhteistyössä matkustajatietoyksiköiden ja muiden asiaankuuluvien jäsenvaltioiden viranomaisten ja lentoliikenteen harjoittajien kanssa ja ilmoittaa komissiolle testauksen tuloksista.

6. Kun eu-LISA katsoo, että kehittämisvaihe on saatu päätökseen muiden PNR-tietojen osalta, se suorittaa ilman aiheetonta viivytystä reitittimen kattavan testauksen varmistaakseen reitittimen sekä lentoliikenteen harjoittajien ja matkustajatietoyksiköiden välisten yhteyksien luotettavuuden, lentoliikenteen harjoittajien suorittaman muiden PNR-tietojen tarvittavan standardoidun toimittamisen sekä muiden PNR-tietojen siirtämisen ja toimittamisen direktiivin (EU) 2016/681 16 artiklan mukaisesti, mukaan lukien mainitun direktiivin 16 artiklan 2 ja 3 kohdassa tarkoitettujen yhteisten yhteyskäytäntöjen ja tuettujen standardoitujen tietomuotojen käyttö muiden PNR-tietojen luettavuuden varmistamiseksi. Tällainen testaus on suoritettava yhteistyössä matkustajatietoyksiköiden ja muiden asiaankuuluvien jäsenvaltioiden viranomaisten ja lentoliikenteen harjoittajien kanssa. eu-LISA ilmoittaa komissiolle testauksen tuloksista.

26 artikla

Reitittimen ylläpitoon ja tekniseen hallinnointiin liittyvät eu-LISAn tehtävät

1. eu-LISA ylläpitää reititintä teknisissä toimipaikoissaan.

2. eu-LISA vastaa reitittimen teknisestä hallinnoinnista, mukaan lukien sen ylläpito ja tekninen kehittäminen, tätä asetusta noudattaen siten, että varmistetaan, että API-tiedot ja muut PNR-tiedot toimitetaan turvallisesti, tehokkaasti ja nopeasti reitittimen kautta.

Reitittimen tekniseen hallinnointiin kuuluvat kaikkien niiden tehtävien suorittaminen ja kaikkien niiden teknisten ratkaisujen toteuttaminen, jotka ovat tarpeen reitittimen asianmukaisen toiminnan varmistamiseksi keskeytymättä ympäri vuorokauden seitsemänä päivänä viikossa tämän asetuksen mukaisesti. Siihen kuuluvat ylläpito ja tekninen kehittäminen, jotka ovat tarpeen sen varmistamiseksi, että reitittimen toiminnan tekninen laatu on tyydyttävällä tasolla, erityisesti API-tietojen ja muiden PNR-tietojen toimittamisen saatavuuden, tarkkuuden ja luotettavuuden osalta, teknisten eritelmien mukaisesti ja mahdollisimman suuressa määrin matkustajatietoyksiköiden ja lentoliikenteen harjoittajien operatiivisten tarpeiden mukaisesti.

3. eu-LISAn henkilöstöllä ei ole pääsyä mihinkään reitittimen kautta toimitettaviin API-tietoihin tai muihin PNR-tietoihin. Tämä kielto ei kuitenkaan estä eu-LISAn henkilöstöä saamasta tällaista pääsyä siltä osin kuin on ehdottoman tarpeen reitittimen ylläpitoa ja teknistä hallinnointia varten.

4. eu-LISA soveltaa asianmukaisia vaitiolovelvollisuutta tai muita vastaavia salassapitovelvollisuutta koskevia sääntöjä reitittimen kautta toimitettuja API-tietoja ja muita PNR-tietoja käsitteleviin henkilöstönsä jäseniin, sanotun kuitenkaan rajoittamatta tämän artiklan 3 kohdan ja neuvoston asetuksella (ETY, Euratom, EHTY) N:o 259/68 (22) vahvistettujen Euroopan unionin virkamiehiin sovellettavien henkilöstösääntöjen 17 artiklan soveltamista. Kyseinen velvoite jatkuu senkin jälkeen, kun nämä henkilöstön jäsenet jättävät virkansa tai toimensa tai heidän tehtäviensä hoito on päättynyt.

27 artikla

Reitittimeen liittyvät eu-LISAn tukitehtävät

1. eu-LISA tarjoaa matkustajatietoyksiköiden, muiden asiaankuuluvien jäsenvaltioiden viranomaisten tai lentoliikenteen harjoittajien pyynnöstä näille koulutusta reitittimen teknisestä käytöstä sekä niiden liittämisestä ja integroinnista reitittimeen.

2. eu-LISA tarjoaa matkustajatietoyksiköille tukea API-tietojen ja muiden PNR-tietojen vastaanottamiseen reitittimen kautta tämän asetuksen nojalla, erityisesti 12 ja 23 artiklan soveltamisen osalta.

3. eu-LISA testaa yhteistyössä lentoliikenteen harjoittajien kanssa API-tietojen ja muiden PNR-tietojen siirtämistä reitittimelle 24 artiklan 1 kohdan mukaisesti käyttäen 25 artiklan 4 kohdassa tarkoitettua vaatimustenmukaisuuden testausvälineistöä.

6 LUKU

HALLINTO

28 artikla

Ohjelman hallintoneuvosto

1. eu-LISAn hallintoneuvosto perustaa 28 päivään tammikuuta 2025 mennessä ohjelman hallintoneuvoston. Se koostuu kymmenestä jäsenestä seuraavasti:

a)	seitsemän jäsentä, jotka eu-LISAn hallintoneuvosto nimittää jäsentensä tai varajäsentensä keskuudesta;

b)	29 artiklassa tarkoitetun API- ja PNR-tietojen neuvoa-antavan ryhmän puheenjohtaja;

c)	yksi eu-LISAn pääjohtajan nimittämä eu-LISAn henkilöstön jäsen; ja

d)	yksi komission nimittämä jäsen.

Edellä olevan a alakohdan osalta eu-LISAn hallintoneuvoston nimittämät jäsenet valitaan ainoastaan niistä jäsenvaltioista tulevista jäsenistä tai varajäsenistä, joihin tätä asetusta sovelletaan.

2. Ohjelman hallintoneuvosto laatii työjärjestyksensä, ja eu-LISAn hallintoneuvosto hyväksyy sen.

Puheenjohtajana toimii jokin jäsenvaltio, joka on ohjelman hallintoneuvoston jäsen.

3. Ohjelman hallintoneuvosto valvoo 25 artiklan mukaisten reitittimen suunnitteluun ja kehittämiseen liittyvien eu-LISAn tehtävien tuloksellista suorittamista.

eu-LISA toimittaa ohjelman hallintoneuvoston pyynnöstä yksityiskohtaiset ja ajantasaiset tiedot reitittimen suunnittelusta ja kehittämisestä, mukaan lukien eu-LISAn tähän kohdentamat resurssit.

4. Ohjelman hallintoneuvosto toimittaa eu-LISAn hallintoneuvostolle säännöllisesti ja vähintään kolme kertaa neljännesvuodessa kirjallisia raportteja reitittimen suunnittelun ja kehittämisen edistymisestä.

5. Ohjelman hallintoneuvostolla ei ole päätösvaltaa eikä valtuuksia edustaa eu-LISAn hallintoneuvostoa tai sen jäseniä.

6. Ohjelman hallintoneuvosto lakkautetaan viimeistään 45 artiklan toisessa kohdassa tarkoitettuna tämän asetuksen soveltamispäivänä.

29 artikla

API- ja PNR-tietojen neuvoa-antava ryhmä

1. Asetuksen (EU) 2018/1726 27 artiklan 1 kohdan de alakohdan nojalla perustettu API- ja PNR-tietojen neuvoa-antava ryhmä tarjoaa 28 päivästä tammikuuta 2025 alkaen eu-LISAn hallintoneuvostolle API- ja PNR-tietoihin liittyvää tarvittavaa asiantuntemusta erityisesti hallintoneuvoston vuotuisen työohjelman ja vuotuisen toimintakertomuksen laatimisen yhteydessä.

2. eu-LISA toimittaa API- ja PNR-tietojen neuvoa-antavalle ryhmälle versioita, myös keskeneräisiä versioita, 25 artiklan 1, 2 ja 4 kohdassa tarkoitetuista teknisistä eritelmistä ja vaatimustenmukaisuuden testausvälineistöistä aina, kun niitä on saatavilla.

3. API- ja PNR-tietojen neuvoa-antava ryhmä hoitaa seuraavia tehtäviä:

a)	asiantuntemuksen tarjoaminen eu-LISAlle ja ohjelman hallintoneuvostolle reitittimen suunnittelusta ja kehittämisestä 25 artiklan mukaisesti;

b)	asiantuntemuksen tarjoaminen eu-LISAlle reitittimen ylläpidosta ja teknisestä hallinnoinnista 26 artiklan mukaisesti;

c)	lausunnon antaminen ohjelman hallintoneuvostolle sen pyynnöstä reitittimen suunnittelun ja kehittämisen edistymisestä, myös 2 kohdassa tarkoitettujen teknisten eritelmien ja vaatimustenmukaisuuden testausvälineistöjen edistymisestä.

4. API- ja PNR-tietojen neuvoa-antavalla ryhmällä ei ole päätösvaltaa eikä valtuuksia edustaa eu-LISAn hallintoneuvostoa tai sen jäseniä.

30 artikla

API- ja PNR-tietojen yhteysryhmä

1. eu-LISAn hallintoneuvosto perustaa 45 artiklan toisessa kohdassa tarkoitettuun tämän asetuksen asiaankuuluvaan soveltamispäivään mennessä API- ja PNR-tietojen yhteysryhmän.

2. API- ja PNR-tietojen yhteysryhmä mahdollistaa viestinnän jäsenvaltioiden asiaankuuluvien viranomaisten ja lentoliikenteen harjoittajien välillä teknisistä kysymyksistä, jotka liittyvät niiden tämän asetuksen mukaisiin tehtäviin ja velvoitteisiin.

3. API- ja PNR-tietojen yhteysryhmä koostuu jäsenvaltioiden asiaankuuluvien viranomaisten ja lentoliikenteen harjoittajien edustajista, API- ja PNR-tietojen neuvoa-antavan ryhmän puheenjohtajasta ja eu-LISAn asiantuntijoista.

4. eu-LISAn hallintoneuvosto vahvistaa API- ja PNR-tietojen yhteysryhmän työjärjestyksen saatuaan API- ja PNR-tietojen neuvoa-antavan ryhmän lausunnon.

5. Kun se katsotaan tarpeelliseksi, eu-LISAn hallintoneuvosto voi myös perustaa API- ja PNR-tietojen yhteysryhmän alaryhmiä keskustelemaan erityisistä teknisistä kysymyksistä, jotka liittyvät jäsenvaltioiden asiaankuuluvien viranomaisten ja lentoliikenteen harjoittajien tämän asetuksen mukaisiin tehtäviin ja velvoitteisiin.

6. API- ja PNR-tietojen yhteysryhmällä, sen alaryhmät mukaan lukien, ei ole päätösvaltaa eikä valtuuksia edustaa eu-LISAn hallintoneuvostoa tai sen jäseniä.

31 artikla

API-tietojen asiantuntijaryhmä

1. Komissio perustaa 45 artiklan toisen kohdan a alakohdassa tarkoitettuun tämän asetuksen soveltamispäivään mennessä API-tietojen asiantuntijaryhmän komission asiantuntijaryhmien perustamista ja toimintaa koskevien horisontaalisten sääntöjen mukaisesti.

2. API-tietojen asiantuntijaryhmä mahdollistaa viestinnän jäsenvaltioiden asiaankuuluvien viranomaisten kesken sekä jäsenvaltioiden asiaankuuluvien viranomaisten ja lentoliikenteen harjoittajien välillä toimintapoliittisista kysymyksistä, jotka liittyvät niiden tämän asetuksen mukaisiin tehtäviin ja velvoitteisiin, myös 38 artiklassa tarkoitettujen seuraamusten osalta.

3. API-tietojen asiantuntijaryhmän puheenjohtajana toimii komissio, ja se muodostetaan komission asiantuntijaryhmien perustamista ja toimintaa koskevien horisontaalisten sääntöjen mukaisesti. Se koostuu jäsenvaltioiden asiaankuuluvien viranomaisten edustajista, lentoliikenteen harjoittajien edustajista ja eu-LISAn asiantuntijoista. API-tietojen asiantuntijaryhmä voi kutsua asiaankuuluvia sidosryhmiä, erityisesti Euroopan parlamentin, Euroopan tietosuojavaltuutetun ja riippumattomien kansallisten valvontaviranomaisten edustajia, osallistumaan työhönsä, jos se on tarpeen sen tehtävien suorittamisen kannalta.

4. API-tietojen asiantuntijaryhmä suorittaa tehtävänsä avoimuusperiaatteen mukaisesti. Komissio julkaisee API-tietojen asiantuntijaryhmän kokousten pöytäkirjat ja muita asiaankuuluvia asiakirjoja komission verkkosivustolla.

32 artikla

eu-LISAlle, Euroopan tietosuojavaltuutetulle, kansallisille valvontaviranomaisille ja jäsenvaltioille aiheutuvat kustannukset

1. Kustannukset, joita eu-LISAlle aiheutuu tämän asetuksen mukaisesta reitittimen perustamisesta ja toiminnasta, katetaan unionin yleisestä talousarviosta.

2. Kustannuksia, joita jäsenvaltioille aiheutuu tämän asetuksen täytäntöönpanosta, erityisesti niiden 23 artiklassa tarkoitetusta liittämisestä ja integroinnista reitittimeen, tuetaan unionin yleisestä talousarviosta sovellettavissa unionin säädöksissä vahvistettujen tukikelpoisuussääntöjen ja yhteisrahoitusosuuksien mukaisesti.

3. Kustannukset, joita Euroopan tietosuojavaltuutetulle aiheutuu sille tämän asetuksen nojalla annetuista tehtävistä, katetaan unionin yleisestä talousarviosta.

4. Jäsenvaltiot vastaavat kustannuksista, joita riippumattomille kansallisille valvontaviranomaisille aiheutuu niille tämän asetuksen nojalla annetuista tehtävistä.

33 artikla

Reititintä koskeva vastuu

Jos reitittimelle aiheutuu vahinkoa siitä, ettei jokin jäsenvaltio tai lentoliikenteen harjoittaja ole noudattanut tämän asetuksen mukaisia velvoitteitaan, kyseinen jäsenvaltio tai lentoliikenteen harjoittaja on vastuussa vahingosta siten kuin sovellettavassa unionin oikeudessa tai kansallisessa lainsäädännössä säädetään, paitsi jos ja siltä osin kuin osoitetaan, että eu-LISA, toinen jäsenvaltio tai toinen lentoliikenteen harjoittaja on jättänyt toteuttamatta kohtuulliset toimenpiteet vahingon syntymisen ehkäisemiseksi tai sen vaikutusten rajoittamiseksi mahdollisimman vähiin.

34 artikla

Reitittimen käyttöönotto API-tietojen osalta

Komissio määrittää ilman aiheetonta viivytystä täytäntöönpanosäädöksellä reitittimen käyttöönottopäivän API-tietojen osalta sen jälkeen, kun eu-LISA on ilmoittanut komissiolle, että 25 artiklan 5 kohdassa tarkoitettu reitittimen kattava testaus on saatu onnistuneesti päätökseen. Tämä täytäntöönpanosäädös hyväksytään 42 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

Komissio vahvistaa ensimmäisessä kohdassa tarkoitetun päivän niin, että se on viimeistään 30 päivän kuluttua kyseisen täytäntöönpanosäädöksen antamispäivästä.

35 artikla

Reitittimen käyttöönotto muiden PNR-tietojen osalta

Komissio määrittää ilman aiheetonta viivytystä täytäntöönpanosäädöksellä reitittimen käyttöönottopäivän muiden PNR-tietojen osalta sen jälkeen, kun eu-LISA on ilmoittanut komissiolle, että 25 artiklan 6 kohdassa tarkoitettu reitittimen kattava testaus on saatu onnistuneesti päätökseen, myös kun on kyse reitittimen sekä lentoliikenteen harjoittajien ja matkustajatietoyksiköiden välisten yhteyksien luotettavuudesta sekä lentoliikenteen harjoittajien siirtämien ja reitittimen tarvittavassa standardoidussa muodossa toimittamien muiden PNR-tietojen luettavuudesta, direktiivin (EU) 2016/681 16 artiklan mukaisesti. Tämä täytäntöönpanosäädös hyväksytään 42 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

Komissio vahvistaa ensimmäisessä kohdassa tarkoitetun päivän niin, että se on viimeistään 30 päivän kuluttua kyseisen täytäntöönpanosäädöksen antamispäivästä.

36 artikla

Reitittimen vapaaehtoinen käyttö

1. Lentoliikenteen harjoittajilla on oikeus käyttää reititintä direktiivin 2004/82/EY 3 artiklan 1 ja 2 kohdassa tarkoitettujen tietojen tai direktiivin (EU) 2016/681 8 artiklan nojalla kerättyjen muiden PNR-tietojen toimittamiseen yhdelle tai useammalle vastuussa olevalle matkustajatietoyksikölle mainittujen direktiivien mukaisesti edellyttäen, että asianomainen jäsenvaltio on antanut suostumuksensa tällaiseen käyttöön, kyseisen jäsenvaltion asettamasta asianmukaisesta päivästä alkaen. Kyseinen jäsenvaltio voi antaa suostumuksensa vasta todettuaan, että tiedot voidaan toimittaa lainmukaisesti, turvallisesti, tehokkaasti ja nopeasti, etenkin siltä osin kuin on kyse sekä sen oman matkustajatietoyksikön yhteydestä että asianomaisen lentoliikenteen harjoittajan yhteydestä reitittimeen.

2. Jos lentoliikenteen harjoittaja aloittaa reitittimen käytön tämän artiklan 1 kohdan mukaisesti, sen on jatkettava reitittimen käyttöä kyseisten tietojen toimittamiseksi asianomaisen jäsenvaltion matkustajatietoyksikölle 45 artiklan toisessa kohdassa tarkoitettuun tämän asetuksen asiaankuuluvaan soveltamispäivään saakka. Tällainen käyttö on kuitenkin lopetettava kyseisen jäsenvaltion asettamasta asianmukaisesta päivästä alkaen, jos tämä jäsenvaltio katsoo, että objektiiviset syyt edellyttävät tällaisen käytön lopettamista, ja on ilmoittanut asiasta lentoliikenteen harjoittajalle.

3. Asianomaisen jäsenvaltion on

a)	kuultava eu-LISAa ennen kuin se antaa suostumuksensa reitittimen vapaaehtoiseen käyttöön 1 kohdan mukaisesti;

b)	asianmukaisesti perusteltuja kiireellisiä tapauksia lukuun ottamatta annettava asianomaiselle lentoliikenteen harjoittajalle mahdollisuus esittää huomautuksia, kun jäsenvaltio aikoo lopettaa tällaisen käytön 2 kohdan mukaisesti, ja tarvittaessa kuultava asiasta myös eu-LISAa;

c)	ilmoitettava välittömästi eu-LISAlle ja komissiolle tällaisesta käytöstä, johon se on antanut suostumuksensa, ja tällaisen käytön lopettamisesta sekä toimitettava kaikki tarvittavat tiedot, mukaan lukien tapauksen mukaan käytön aloittamispäivä, lopettamispäivä ja lopettamisen syyt.

7 LUKU

VALVONTA, SEURAAMUKSET, TILASTOT JA KÄSIKIRJA

37 artikla

Kansallinen API-valvontaviranomainen

1. Jäsenvaltioiden on nimettävä yksi tai useampi kansallinen API-valvontaviranomainen, jonka vastuulla on seurata, miten lentoliikenteen harjoittajat soveltavat tämän asetuksen säännöksiä niiden alueella, ja varmistaa näiden säännösten noudattaminen.

2. Jäsenvaltioiden on varmistettava, että kansallisilla API-valvontaviranomaisilla on kaikki tarvittavat keinot ja kaikki tarvittavat tutkinta- ja täytäntöönpanovaltuudet tämän asetuksen mukaisten tehtäviensä hoitamiseksi, tarvittaessa myös määräämällä 38 artiklassa tarkoitettuja seuraamuksia. Jäsenvaltioiden on varmistettava, että kansalliselle API-valvontaviranomaiselle annettujen valtuuksien käyttöön sovelletaan asianmukaisia suojatoimia unionin oikeudessa taattuja perusoikeuksia noudattaen.

3. Jäsenvaltioiden on ilmoitettava komissiolle 45 artiklan toisessa kohdassa tarkoitettuun tämän asetuksen asiaankuuluvaan soveltamispäivään mennessä tämän artiklan 1 kohdan mukaisesti nimeämiensä viranomaisten nimet ja yhteystiedot. Jäsenvaltioiden on ilmoitettava komissiolle viipymättä kaikista näihin tietoihin tehdyistä myöhemmistä muutoksista tai tarkistuksista.

4. Tämä artikla ei rajoita asetuksen (EU) 2016/679 51 artiklassa, direktiivin (EU) 2016/680 41 artiklassa eikä direktiivin (EU) 2016/681 15 artiklassa tarkoitettujen valvontaviranomaisten valtuuksia.

38 artikla

Seuraamukset

1. Jäsenvaltioiden on säädettävä tämän asetuksen säännösten rikkomiseen sovellettavista seuraamuksista ja toteutettava kaikki tarvittavat toimenpiteet niiden täytäntöönpanon varmistamiseksi. Seuraamusten on oltava tehokkaita, oikeasuhteisia ja varoittavia.

2. Jäsenvaltioiden on ilmoitettava nämä säännökset ja toimenpiteet komissiolle viimeistään 45 artiklan toisessa kohdassa tarkoitettuna tämän asetuksen asiaankuuluvana soveltamispäivänä, ja jäsenvaltioiden on ilmoitettava komissiolle kaikki niitä koskevat myöhemmät muutokset viipymättä.

3. Jäsenvaltioiden on varmistettava, että kun kansalliset API-valvontaviranomaiset päättävät seuraamuksen määräämisestä ja määrittävät seuraamuksen tyypin ja tason, ne ottavat huomioon merkitykselliset olosuhteet, joita voivat olla esimerkiksi seuraavat:

a)	rikkomisen luonne, vakavuus ja kesto;

b)	lentoliikenteen harjoittajan syyllisyyden aste;

c)	lentoliikenteen harjoittajan aiemmat rikkomiset;

d)	lentoliikenteen harjoittajan yleinen halukkuus tehdä yhteistyötä toimivaltaisten viranomaisten kanssa;

e)	lentoliikenteen harjoittajan koko, kuten kuljetettujen matkustajien vuotuinen lukumäärä;

f)	se, ovatko muut kansalliset API-valvontaviranomaiset jo aiemmin määränneet seuraamuksia samalle lentoliikenteen harjoittajalle samasta rikkomisesta.

4. Jäsenvaltioiden on varmistettava, että API-tietojen 5 artiklan 1 kohdan mukaisen siirtämisen toistuvasta laiminlyönnistä määrätään oikeasuhteisia taloudellisia seuraamuksia, jotka ovat enintään kaksi prosenttia lentoliikenteen harjoittajan edellisen tilikauden maailmanlaajuisesta liikevaihdosta. Jäsenvaltioiden on varmistettava, että muiden tässä asetuksessa vahvistettujen velvoitteiden noudattamatta jättämisestä määrätään oikeasuhteisia seuraamuksia, myös taloudellisia seuraamuksia.

39 artikla

Tilastot

1. eu-LISA julkaisee tämän asetuksen täytäntöönpanoa ja soveltamisen valvontaa tukeakseen ja 5 ja 6 kohdassa tarkoitettujen tilastotietojen perusteella neljännesvuosittain tilastoja, jotka koskevat reitittimen toimintaa ja lentoliikenteen harjoittajien tässä asetuksessa vahvistettujen velvoitteiden noudattamista. Näistä tilastoista ei saa olla mahdollista tunnistaa henkilöitä.

2. Reititin toimittaa 5 ja 6 kohdassa luetellut tiedot automaattisesti CRRS:ään 1 kohdassa vahvistettuja tarkoituksia varten.

3. Vuosittain eu-LISA kokoaa tilastotiedot edellistä vuotta koskevaan vuosikertomukseen tukeakseen tämän asetuksen täytäntöönpanoa ja soveltamisen valvontaa. Se julkaisee vuosikertomuksen ja toimittaa sen Euroopan parlamentille, neuvostolle, komissiolle, Euroopan tietosuojavaltuutetulle, Euroopan raja- ja merivartiovirastolle sekä 37 artiklassa tarkoitetuille kansallisille API-valvontaviranomaisille. Vuosikertomuksessa ei saa paljastaa luottamuksellisia työmenetelmiä eikä vaarantaa jäsenvaltioiden toimivaltaisten viranomaisten meneillään olevia tutkimuksia.

4. eu-LISA antaa komission pyynnöstä sille tilastot tietyistä tämän asetuksen täytäntöönpanoon liittyvistä näkökohdista sekä 3 kohdan nojalla kootut tilastot.

5. CRRS toimittaa eu-LISAlle seuraavat tilastotiedot, jotka ovat tarpeen 44 artiklassa tarkoitettua raportointia ja tämän artiklan mukaisten tilastojen tuottamista varten, kuitenkin ilman, että tällaiset API-tietoja koskevat tilastot mahdollistavat asianomaisten matkustajien tunnistamisen:

a)	koskevatko tiedot matkustajaa vai miehistön jäsentä;

b)	matkustajan tai miehistön jäsenen kansalaisuus, sukupuoli ja syntymävuosi;

c)	alkuperäinen koneeseen nousupäivämäärä ja -paikka, lähtöpäivämäärä ja -lentoasema sekä saapumispäivämäärä ja -lentoasema;

d)	matkustusasiakirjan tyyppi ja matkustusasiakirjan myöntäneen maan kolmikirjaiminen koodi sekä matkustusasiakirjan viimeinen voimassaolopäivä;

e)	samalle lennolle lähtöselvitettyjen matkustajien lukumäärä;

f)	lennon liikennöivän lentoliikenteen harjoittajan koodi;

g)	onko kyseessä reittilento vai tilauslento;

h)	siirrettiinkö API-tiedot välittömästi lähtöportin sulkeuduttua;

i)	ovatko matkustajaa koskevat henkilötiedot tarkat, täydelliset ja ajantasaiset;

j)	API-tietojen talteenottoon käytetyt tekniset keinot.

6. CRRS toimittaa eu-LISAlle seuraavat tilastotiedot, jotka ovat tarpeen 44 artiklassa tarkoitettua raportointia ja tämän artiklan mukaisten tilastojen tuottamista varten, kuitenkin ilman, että tällaiset muita PNR-tietoja koskevat tilastot mahdollistavat asianomaisten matkustajien tunnistamisen:

a)	päivämäärä ja kellonaika, jolloin reititin vastaanotti PNR-viestin;

b)	matkareittiin sisältyvät lentotiedot, jotka sisältyvät tiettyyn PNR-viestiin;

c)	yhteistunnusten käyttöä koskevat tiedot, jotka sisältyvät tiettyyn PNR-viestiin.

7. Jäljempänä 44 artiklassa tarkoitettua raportointia ja tämän artiklan mukaisten tilastojen tuottamista varten eu-LISA tallentaa tämän artiklan 5 ja 6 kohdassa tarkoitetut tiedot CRRS:ään. Se säilyttää kyseiset tiedot viiden vuoden ajan 2 kohdan mukaisesti varmistaen, että tiedoista ei ole mahdollista tunnistaa asianomaisia matkustajia. CRRS toimittaa matkustajatietoyksiköiden ja jäsenvaltioiden muiden asiaankuuluvien viranomaisten asianmukaisesti valtuutetulle henkilöstölle tämän artiklan 5 kohdassa tarkoitettuja API-tietoja ja tämän artiklan 6 kohdassa tarkoitettuja muita PNR-tietoja koskevia räätälöityjä raportteja ja tilastoja tämän asetuksen täytäntöönpanoa ja soveltamisen valvontaa varten.

8. Tämän artiklan 5 ja 6 kohdassa tarkoitettujen tietojen käyttö ei saa johtaa direktiivin (EU) 2016/680 11 artiklan 3 kohdassa tarkoitettuun henkilöiden profilointiin tai henkilöiden syrjintään perusoikeuskirjan 21 artiklassa luetelluin perustein. Tämän artiklan 5 ja 6 kohdassa tarkoitettuja tietoja ei saa käyttää siihen, että niitä vertaillaan tai täsmäytetään henkilötietojen kanssa tai että niitä yhdistetään henkilötietoihin.

9. eu-LISAn käyttöön ottamiin, asetuksen (EU) 2019/818 39 artiklan 2 kohdassa tarkoitettuihin menettelyihin, joilla seurataan reitittimen kehittämistä ja toimintaa, on sisällyttävä mahdollisuus tuottaa säännöllisesti tilastoja kyseisen seurannan varmistamiseksi.

40 artikla

Käytännön käsikirja

Komissio laatii ja asettaa julkisesti saataville tiiviissä yhteistyössä matkustajatietoyksiköiden, muiden asiaankuuluvien jäsenvaltioiden viranomaisten, lentoliikenteen harjoittajien ja asiaankuuluvien unionin elinten ja virastojen kanssa käytännön käsikirjan, joka sisältää tämän asetuksen täytäntöönpanoa koskevia ohjeita, suosituksia ja parhaita käytäntöjä, myös perusoikeuksien noudattamisesta sekä 38 artiklan mukaisista seuraamuksista.

Käytännön käsikirjassa otetaan huomioon muut asiaan liittyvät käsikirjat.

Komissio hyväksyy käytännön käsikirjan suosituksen muodossa.

8 LUKU

SUHDE MUIHIN VOIMASSA OLEVIIN SÄÄDÖKSIIN

41 artikla

Asetuksen (EU) 2019/818 muuttaminen

Korvataan asetuksen (EU) 2019/818 39 artiklan 1 ja 2 kohta seuraavasti:

”1. Perustetaan raportoinnin ja tilastoinnin keskustietoarkisto (CRRS), jotta voidaan tukea SIS-, Eurodac- ja ECRIS-TCN-järjestelmien tavoitteita järjestelmiä koskevien säädösten mukaisesti ja tarjota järjestelmiä koskevia tilastotietoja ja analyyttisia raportteja toimintapoliittisiin, operatiivisiin ja tietojen laatua koskeviin tarkoituksiin. CRRS:llä tuetaan myös Euroopan parlamentin ja neuvoston asetuksen (EU) 2025/13 (*1) tavoitteita.

2. eu-LISA perustaa ja toteuttaa CRRS:n, joka sisältää asetuksen (EU) 2018/1862 74 artiklassa ja asetuksen (EU) 2019/816 32 artiklassa tarkoitetut tiedot ja tilastot loogisesti erotettuina EU:n tietojärjestelmän mukaan, ja ylläpitää sitä teknisissä toimipaikoissaan. eu-LISA kerää myös asetuksen (EU) 2025/13 39 artiklan 1 kohdassa tarkoitetut tiedot ja tilastot reitittimestä. CRRS:ään annetaan valvottu ja suojattu pääsy yksittäisten käyttäjäprofiilien kautta yksinomaan raportointia ja tilastointia varten asetuksen (EU) 2018/1862 74 artiklassa, asetuksen (EU) 2019/816 32 artiklassa ja asetuksen (EU) 2025/13 13 artiklan 1 kohdassa tarkoitetuille viranomaisille.

9 LUKU

LOPPUSÄÄNNÖKSET

42 artikla

Komiteamenettely

1. Komissiota avustaa komitea. Tämä komitea on asetuksessa (EU) N:o 182/2011 tarkoitettu komitea.

2. Kun viitataan tähän kohtaan, sovelletaan asetuksen (EU) N:o 182/2011 5 artiklaa. Jos komitea ei anna lausuntoa, komissio ei hyväksy ehdotusta täytäntöönpanosäädökseksi, ja tuolloin sovelletaan asetuksen (EU) N:o 182/2011 5 artiklan 4 kohdan kolmatta alakohtaa.

43 artikla

Siirretyn säädösvallan käyttäminen

1. Komissiolle siirrettyä valtaa antaa delegoituja säädöksiä koskevat tässä artiklassa säädetyt edellytykset.

2. Siirretään komissiolle 28 päivästä tammikuuta 2025 viiden vuoden ajaksi 4 artiklan 11 ja 12 kohdassa, 5 artiklan 4 kohdassa ja 7 artiklan 5 kohdassa tarkoitettu valta antaa delegoituja säädöksiä. Komissio laatii siirrettyä säädösvaltaa koskevan kertomuksen viimeistään yhdeksän kuukautta ennen tämän viiden vuoden kauden päättymistä. Säädösvallan siirtoa jatketaan ilman eri toimenpiteitä samanpituisiksi kausiksi, jollei Euroopan parlamentti tai neuvosto vastusta tällaista jatkamista viimeistään kolme kuukautta ennen kunkin kauden päättymistä.

Jos 4 artiklan 11 kohdan nojalla annetun delegoidun säädöksen osalta joko Euroopan parlamentti tai neuvosto on tämän artiklan 6 kohdan nojalla ilmaissut vastustavansa säädöstä, Euroopan parlamentti tai neuvosto ei voi vastustaa tämän kohdan ensimmäisessä alakohdassa tarkoitettua ilman eri toimenpiteitä tapahtuvaa säädösvallan siirron jatkamista.

3. Euroopan parlamentti tai neuvosto voi milloin tahansa peruuttaa 4 artiklan 12 kohdassa, 5 artiklan 4 kohdassa ja 7 artiklan 5 kohdassa tarkoitetun säädösvallan siirron. Peruuttamispäätöksellä lopetetaan tuossa päätöksessä mainittu säädösvallan siirto. Peruuttaminen tulee voimaan sitä päivää seuraavana päivänä, jona sitä koskeva päätös julkaistaan Euroopan unionin virallisessa lehdessä, tai jonakin myöhempänä, kyseisessä päätöksessä mainittuna päivänä. Peruuttamispäätös ei vaikuta jo voimassa olevien delegoitujen säädösten pätevyyteen.

4. Ennen kuin komissio hyväksyy delegoidun säädöksen, se kuulee kunkin jäsenvaltion nimeämiä asiantuntijoita paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa vahvistettujen periaatteiden mukaisesti.

5. Heti kun komissio on antanut delegoidun säädöksen, komissio antaa sen tiedoksi yhtäaikaisesti Euroopan parlamentille ja neuvostolle.

6. Edellä olevien 4 artiklan 11 tai 12 kohdan, 5 artiklan 4 kohdan tai 7 artiklan 5 kohdan nojalla annettu delegoitu säädös tulee voimaan ainoastaan, jos Euroopan parlamentti tai neuvosto ei ole kahden kuukauden kuluessa siitä, kun asianomainen säädös on annettu tiedoksi Euroopan parlamentille ja neuvostolle, ilmaissut vastustavansa sitä tai jos sekä Euroopan parlamentti että neuvosto ovat ennen mainitun määräajan päättymistä ilmoittaneet komissiolle, että ne eivät vastusta säädöstä. Euroopan parlamentin tai neuvoston aloitteesta tätä määräaikaa jatketaan kahdella kuukaudella.

44 artikla

Seuranta ja arviointi

1. eu-LISA varmistaa, että käytettävissä on menettelyjä, joiden avulla voidaan seurata reitittimen kehittämistä suunnittelua ja kustannuksia koskevien tavoitteiden valossa sekä reitittimen toimintaa teknisiä tuotoksia, kustannustehokkuutta, turvallisuutta ja palvelun laatua koskevien tavoitteiden valossa.

2. eu-LISA laatii 29 päivään tammikuuta 2026 mennessä ja sen jälkeen joka vuosi reitittimen kehittämisvaiheen ajan kertomuksen reitittimen kehittämisen etenemisestä ja toimittaa sen Euroopan parlamentille ja neuvostolle. Kertomuksessa esitetään yksityiskohtaiset tiedot aiheutuneista kustannuksista ja mahdollisista riskeistä, jotka voivat vaikuttaa kokonaiskustannuksiin, jotka katetaan unionin yleisestä talousarviosta 32 artiklan mukaisesti.

3. Kun reititin on otettu käyttöön, eu-LISA laatii kertomuksen, jossa selitetään yksityiskohtaisesti, miten erityisesti suunnitteluun ja kustannuksiin liittyvät tavoitteet on saavutettu, ja perustellaan mahdolliset poikkeamat tavoitteista, ja toimittaa sen Euroopan parlamentille ja neuvostolle.

4. Komissio laatii 29 päivään tammikuuta 2029 mennessä ja sen jälkeen joka neljäs vuosi kertomuksen, joka sisältää tämän asetuksen yleisarvioinnin, jossa käsitellään esimerkiksi API-tietojen keräämisen tarpeellisuutta ja sen tuomaa lisäarvoa, ja jossa arvioidaan muun muassa

a)	tämän asetuksen soveltamista;

b)	sitä, missä määrin tämän asetuksen tavoitteet on saavutettu;

c)	tämän asetuksen vaikutusta unionin oikeudessa suojattuihin perusoikeuksiin;

d)	tämän asetuksen vaikutusta laillisten matkustajien matkustuskokemukseen;

e)	tämän asetuksen vaikutusta ilmailualan kilpailukykyyn ja yrityksille aiheutuvaan rasitteeseen;

f)	reitittimen matkustajatietoyksiköille toimittamien tietojen laatua;

g)	reitittimen suorituskykyä matkustajatietoyksiköiden suhteen.

Sovellettaessa ensimmäisen alakohdan e alakohtaa komission kertomuksessa käsitellään myös tämän asetuksen vuorovaikutusta muiden asiaankuuluvien unionin säädösten, erityisesti asetusten (EY) N:o 767/2008, (EU) 2017/2226 ja (EU) 2018/1240, kanssa, jotta voidaan arvioida asiaan liittyvien raportointivelvoitteiden kokonaisvaikutusta lentoliikenteen harjoittajiin, määrittää säännökset, joita voitaisiin tarvittaessa päivittää ja yksinkertaistaa lentoliikenteen harjoittajille aiheutuvan rasitteen vähentämiseksi, ja harkita toimia ja toimenpiteitä, joihin voitaisiin ryhtyä lentoliikenteen harjoittajiin kohdistuvan kokonaiskustannuspaineen keventämiseksi.

5. Edellä 4 kohdassa tarkoitettuun arviointiin on sisällyttävä myös arviointi, joka koskee EU:n sisäisiin lentoihin liittyvien API-tietojen pakollisen keräämisen ja siirtämisen tämän asetuksen soveltamisalaan sisällyttämisen tarpeellisuutta, oikeasuhteisuutta ja tehokkuutta.

6. Komissio toimittaa arviointikertomuksen Euroopan parlamentille, neuvostolle, Euroopan tietosuojavaltuutetulle ja Euroopan perusoikeusvirastolle. Toteutetun arvioinnin perusteella komissio tekee tarvittaessa säädösehdotuksen Euroopan parlamentille ja neuvostolle tämän asetuksen muuttamiseksi.

7. Jäsenvaltioiden ja lentoliikenteen harjoittajien on pyynnöstä toimitettava eu-LISAlle ja komissiolle 2, 3 ja 4 kohdassa tarkoitettujen kertomusten laatimiseen tarvittavat tiedot. Jäsenvaltioiden on toimitettava erityisesti määrällisiä ja laadullisia tietoja API-tietojen keräämisestä operatiivisesta näkökulmasta. Toimitetut tiedot eivät saa sisältää henkilötietoja. Jäsenvaltiot voivat olla toimittamatta tällaisia tietoja, jos ja siinä määrin kuin se on tarpeen, jotta ei paljasteta luottamuksellisia työmenetelmiä tai vaaranneta niiden matkustajatietoyksiköiden tai muiden toimivaltaisten viranomaisten meneillään olevia tutkimuksia. Komissio varmistaa, että toimitetut luottamukselliset tiedot suojataan asianmukaisesti.

45 artikla

Voimaantulo ja soveltaminen

Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Sitä sovelletaan

a)	API-tietojen osalta päivästä, joka on kahden vuoden kuluttua komission 34 artiklan mukaisesti määrittämästä reitittimen käyttöönottopäivästä; ja

b)	muiden PNR-tietojen osalta päivästä, joka on neljän vuoden kuluttua komission 35 artiklan mukaisesti määrittämästä reitittimen käyttöönottopäivästä.

Kuitenkin

4 artiklan 12 kohtaa, 5 artiklan 3 kohtaa, 7 artiklan 5 kohtaa, 11 artiklan 5 kohtaa, 12 artiklan 6 kohtaa, 18 artiklan 4 kohtaa, 23 artiklan 2 kohtaa, 24 artiklan 2 kohtaa, 25 artiklaa, 28 artiklaa, 29 artiklaa, 32 artiklan 1 kohtaa, 34 artiklaa, 35 artiklaa, 42 artiklaa ja 43 artiklaa sovelletaan 28 päivästä tammikuuta 2025;

b)	6 artiklaa, 17 artiklan 1, 2 ja 3 kohtaa, 18 artiklan 1, 2 ja 3 kohtaa, 19 artiklaa, 20 artiklaa, 26 artiklaa, 27 artiklaa, 33 artiklaa ja 36 artiklaa sovelletaan komission 34 ja 35 artiklan mukaisesti määrittämästä reitittimen käyttöönottopäivästä.

Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan jäsenvaltioissa perussopimusten mukaisesti.

Tehty Brysselissä 19 päivänä joulukuuta 2024.

Euroopan parlamentin puolesta

Puheenjohtaja

R. METSOLA

Neuvoston puolesta

Puheenjohtaja

BÓKA J.

(1) EUVL C 228, 29.6.2023, s 97.

(2) Euroopan parlamentin kanta, vahvistettu 25. huhtikuuta 2024 (ei vielä julkaistu virallisessa lehdessä), ja neuvoston päätös, tehty 12. joulukuuta 2024.

(3) Neuvoston direktiivi 2004/82/EY, annettu 29 päivänä huhtikuuta 2004, liikenteenharjoittajien velvollisuudesta toimittaa tietoja matkustajista (EUVL L 261, 6.8.2004, s. 24).

(4) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/681, annettu 27 päivänä huhtikuuta 2016, matkustajarekisteritietojen (PNR) käytöstä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten (EUVL L 119, 4.5.2016, s. 132).

(5) Euroopan parlamentin ja neuvoston asetus (EU) 2025/12, annettu 19 päivänä joulukuuta 2024, matkustajien ennakkotietojen keräämisestä ja siirtämisestä ulkorajatarkastusten tehostamiseksi ja helpottamiseksi, asetusten (EU) 2018/1726 ja (EU) 2019/817 muuttamisesta sekä neuvoston direktiivin 2004/82/EY kumoamisesta (EUVL L, 2025/12, 8.1.2025, ELI: http://data.europa.eu/eli/reg/2025/12/oj).

(6) Euroopan parlamentin ja neuvoston asetus (EU) 2019/1157, annettu 20 päivänä kesäkuuta 2019, unionin kansalaisten henkilökorttien sekä oikeuttaan vapaaseen liikkuvuuteen käyttäville unionin kansalaisille ja heidän perheenjäsenilleen myönnettävien oleskeluasiakirjojen turvallisuuden lisäämisestä (EUVL L 188, 12.7.2019, s. 67).

(7) Neuvoston asetus (EY) N:o 2252/2004, annettu 13 päivänä joulukuuta 2004, jäsenvaltioiden myöntämien passien ja matkustusasiakirjojen turvatekijöitä ja biometriikkaa koskevista vaatimuksista (EUVL L 385, 29.12.2004, s. 1).

(8) Neuvoston direktiivi (EU) 2019/997, annettu 18 päivänä kesäkuuta 2019, EU:n tilapäisen matkustusasiakirjan laatimisesta ja päätöksen 96/409/YUTP kumoamisesta (EUVL L 163, 20.6.2019, s. 1).

(9) Euroopan parlamentin ja neuvoston asetus (EU) 2017/2226, annettu 30 päivänä marraskuuta 2017, rajanylitystietojärjestelmän (EES) perustamisesta jäsenvaltioiden ulkorajat ylittävien kolmansien maiden kansalaisten maahantuloa, maastalähtöä ja pääsyn epäämistä koskevien tietojen rekisteröimiseksi ja edellytysten määrittämisestä pääsylle EES:n tietoihin lainvalvontatarkoituksissa sekä Schengenin sopimuksen soveltamisesta tehdyn yleissopimuksen ja asetusten (EY) N:o 767/2008 ja (EU) N:o 1077/2011 muuttamisesta (EUVL L 327, 9.12.2017, s. 20).

(10) Euroopan parlamentin ja neuvoston asetus (EU) 2018/1240, annettu 12 päivänä syyskuuta 2018, Euroopan matkustustieto- ja -lupajärjestelmän (ETIAS) perustamisesta ja asetusten (EU) N:o 1077/2011, (EU) N:o 515/2014, (EU) 2016/399, (EU) 2016/1624 ja (EU) 2017/2226 muuttamisesta (EUVL L 236, 19.9.2018, s. 1).

(11) Euroopan parlamentin ja neuvoston asetus (EY) N:o 767/2008, annettu 9 päivänä heinäkuuta 2008, viisumitietojärjestelmästä (VIS) ja lyhytaikaista oleskelua varten myönnettäviä viisumeja koskevasta jäsenvaltioiden välisestä tietojenvaihdosta (VIS-asetus) (EUVL L 218, 13.8.2008, s. 60).

(12) Euroopan parlamentin ja neuvoston asetus (EU) 2018/1726, annettu 14 päivänä marraskuuta 2018, vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaavasta Euroopan unionin virastosta (eu-LISA) sekä asetuksen (EY) N:o 1987/2006 ja neuvoston päätöksen 2007/533/YOS muuttamisesta ja asetuksen (EU) N:o 1077/2011 kumoamisesta (EUVL L 295, 21.11.2018, s. 99).

(13) Euroopan parlamentin ja neuvoston asetus (EY) N:o 1107/2006, annettu 5 päivänä heinäkuuta 2006, vammaisten ja liikuntarajoitteisten henkilöiden oikeuksista lentoliikenteessä (EUVL L 204, 26.7.2006, s. 1).

(14) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

(15) Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725, annettu 23 päivänä lokakuuta 2018, luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta (EUVL L 295, 21.11.2018, s. 39).

(16) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).

(17) Euroopan parlamentin ja neuvoston asetus (EU) 2019/818, annettu 20 päivänä toukokuuta 2019, kehyksen vahvistamisesta poliisiyhteistyötä ja oikeudellista yhteistyötä sekä turvapaikka- ja muuttoliikeasioita koskevien EU:n tietojärjestelmien yhteentoimivuudelle ja asetusten (EU) 2018/1726, (EU) 2018/1862 ja (EU) 2019/816 muuttamisesta (EUVL L 135, 22.5.2019, s. 85).

(18) EUVL L 123, 12.5.2016, s. 1.

(19) Euroopan parlamentin ja neuvoston asetus (EU) N:o 182/2011, annettu 16 päivänä helmikuuta 2011, yleisistä säännöistä ja periaatteista, joiden mukaisesti jäsenvaltiot valvovat komission täytäntöönpanovallan käyttöä (EUVL L 55, 28.2.2011, s. 13, ELI: http://data.europa.eu/eli/reg/2011/182/oj).

(20) EUVL C 84, 7.3.2023, s. 2.

(21) Euroopan parlamentin ja neuvoston direktiivi (EU) 2017/541, annettu 15 päivänä maaliskuuta 2017, terrorismin torjumisesta sekä neuvoston puitepäätöksen 2002/475/YOS korvaamisesta sekä neuvoston päätöksen 2005/671/YOS muuttamisesta (EUVL L 88, 31.3.2017, s. 6).

(22) EYVL L 56, 4.3.1968, s. 1.