KOMISJA EUROPEJSKA

Strasburg, dnia 13.12.2022

COM(2022) 729 final

2022/0424(COD)

Wniosek

ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY

w sprawie gromadzenia i przekazywania danych pasażera przekazywanych przed podróżą (API) w celu usprawnienia i ułatwienia kontroli na granicach zewnętrznych, zmieniające rozporządzenie (UE) 2019/817 i rozporządzenie (UE) 2018/1726 oraz uchylające dyrektywę Rady 2004/82/WE

{SEC(2022) 444 final} - {SWD(2022) 421 final} - {SWD(2022) 422 final} - {SWD(2022) 423 final}

UZASADNIENIE

1.KONTEKST WNIOSKU

•Przyczyny i cele wniosku

W ostatnich dziesięcioleciach wzrosła liczba osób podróżujących drogą powietrzną oraz innowacji opracowywanych z myślą o zwiększeniu efektywności – w rezultacie samoloty są większe i pojawiła się potrzeba usprawnienia przepływu pasażerów w portach lotniczych. W 2019 r. Organizacja Międzynarodowego Lotnictwa Cywilnego (ICAO) poinformowała, że z usług regularnego przewozu lotniczego na świecie korzysta 4,5 mld pasażerów 1 , przy czym każdego roku do UE wjeżdża – lub ją opuszcza – ponad pół miliarda pasażerów 2 , co stanowi obciążenie dla zewnętrznych granic powietrznych. 

Przetwarzanie danych pasażera przekazywanych przed podróżą (API) – zgodnie z obowiązującą dyrektywą w sprawie API 3 i niniejszym wnioskiem – stanowi narzędzie zarządzania granicami, które zwiększa skuteczność i wydajność odprawy granicznej poprzez ułatwianie i przyspieszanie odprawy celnej podróżnych, a także instrument przeciwdziałania nielegalnej imigracji. Dane API to zestaw informacji dotyczących tożsamości pasażerów zawartych w ich dokumentach podróży w połączeniu z informacjami o locie zebranymi podczas odprawy i przekazanymi służbom granicznym kraju docelowego. Dzięki temu, że wspomniane organy otrzymują dane API przed przylotem, mogą one – zgodnie z obowiązującymi przepisami – skontrolować wcześniej podróżnych pod kątem profili ryzyka, list ostrzegawczych i baz danych, przyspieszając w ten sposób odprawę graniczną osób podróżujących w dobrej wierze i przeznaczając więcej zasobów i czasu na identyfikację podróżnych, w przypadku których konieczne jest dalsze dochodzenie po przylocie.

Od 2017 r. ustanowienie systemów gromadzenia i przekazywania danych API jest normą międzynarodową określoną w Konwencji o międzynarodowym lotnictwie cywilnym (konwencja chicagowska 4 ). W UE kwestię tę uregulowano dyrektywą w sprawie API. W dyrektywie tej nałożono na przewoźników lotniczych obowiązek przekazywania służbom granicznym kraju docelowego, na ich wniosek, danych API przed odlotem. Nie nałożono w niej jednak na państwa członkowskie obowiązku występowania z wnioskiem do przewoźników lotniczych o przekazanie danych API, co powoduje luki i niespójności w sposobie gromadzenia i wykorzystywania danych, ponieważ niektóre państwa członkowskie systematycznie gromadzą dane API, podczas gdy inne tego nie robią 5 . Szacuje się, że średnio – uwzględniając wszystkie państwa członkowskie łącznie – dane API gromadzone są w przypadku 65 % lotów przychodzących 6 . Powoduje to sytuację, w której osobom chcącym uniknąć odprawy łatwo jest ominąć trasy, na których dane API są konsekwentnie gromadzone, i zamiast tego podróżować do celu trasami, na których dane API są wykorzystywane rzadziej lub nie są wykorzystywane wcale.

•Spójność z przepisami obowiązującymi w tej dziedzinie polityki

Proponowane rozporządzenie będzie kolejnym elementem dorobku prawnego UE. Właściwe służby graniczne państw członkowskich będą nadal otrzymywały i dalej przetwarzały dane API wyłącznie do celów zarządzania granicami i zwalczania nielegalnej imigracji, tj. do celów, do których dane API zostały zgromadzone na podstawie proponowanego rozporządzenia.

2.PODSTAWA PRAWNA, POMOCNICZOŚĆ I PROPORCJONALNOŚĆ

•Podstawa prawna

W przypadku niniejszego proponowanego rozporządzenia w sprawie gromadzenia i przekazywania danych API do celów zarządzania granicami i zwalczania nielegalnej imigracji – ze względu na cel i przewidziane środki – właściwą podstawą prawną jest art. 77 ust. 2 lit. b) i d) oraz art. 79 ust. 2 lit. c) Traktatu o funkcjonowaniu Unii Europejskiej (TFUE).

Zgodnie z art. 77 ust. 2 lit. b) TFUE Unia jest uprawniona do przyjmowania środków dotyczących kontroli, którym podlegają osoby przekraczające granice zewnętrzne, a zgodnie z lit. d) tego artykułu Unia jest uprawniona do przyjmowania wszelkich środków niezbędnych do stopniowego wprowadzania zintegrowanego systemu zarządzania granicami zewnętrznymi. Zgodnie z art. 79 ust. 2 lit. c) TFUE Unia jest uprawniona do przyjmowania środków dotyczących nielegalnej imigracji.

Pozwala to zapewnić spójność z obowiązującą dyrektywą w sprawie API, której podstawę stanowią te same przepisy.

•Pomocniczość

Zważywszy, że na mocy TFUE wyraźnie upoważnia się Unię do opracowania wspólnej polityki w zakresie kontroli, którym podlegają osoby przekraczające granice zewnętrzne, jest to wyraźny cel, który należy realizować na szczeblu UE. Jednocześnie jest to obszar kompetencji dzielonych między UE a państwami członkowskimi.

Potrzeba podjęcia działania na poziomie UE w odniesieniu do danych API na tym etapie wynika również z niedawnych zmian legislacyjnych dotyczących zarządzania zewnętrznymi granicami strefy Schengen, w szczególności:

–rozporządzenie w sprawie interoperacyjności 18 z 2019 r. umożliwi systematyczne odprawy osób przekraczających granice zewnętrzne z wykorzystaniem wszystkich dostępnych i istotnych informacji zawartych w scentralizowanych systemach informacyjnych UE w dziedzinie bezpieczeństwa oraz zarządzania granicami i migracjami. Ustanowienie scentralizowanego mechanizmu przekazywania danych API na poziomie UE jest logiczną kontynuacją tej koncepcji. Zgodnie z koncepcjami zawartymi w rozporządzeniach w sprawie interoperacyjności scentralizowane przekazywanie danych API mogłoby w przyszłości prowadzić do wykorzystywania tych danych do przeszukiwania różnych baz danych (SIS, dane Europolu) za pośrednictwem europejskiego portalu wyszukiwania; 

–na granicach zewnętrznych wykorzystanie danych API stanowiłoby skuteczne uzupełnienie zbliżającego się wdrożenia europejskiego systemu informacji o podróżach i autoryzacji (ETIAS) oraz systemu wjazdu/wyjazdu (EES). Wykorzystanie danych API byłoby nadal niezbędne w zarządzaniu granicami zewnętrznymi, ponieważ pozwalałoby z wyprzedzeniem informować funkcjonariuszy straży granicznej o tym, czy dany podróżny faktycznie wsiadł na pokład samolotu i zamierza wjechać do strefy Schengen, co ułatwi odprawę graniczną, która będzie miała miejsce po przybyciu podróżnego na granicę zewnętrzną.

•Proporcjonalność

Zgodnie z zasadą proporcjonalności określoną w art. 5 ust. 4 Traktatu UE konieczne jest dostosowanie charakteru i intensywności danego działania do zidentyfikowanego problemu. Wszystkie kwestie poruszone w niniejszej inicjatywie ustawodawczej wymagają, w taki czy inny sposób, podjęcia działań ustawodawczych na szczeblu UE, które umożliwiałyby państwom członkowskim skuteczne zajęcie się tymi problemami, nie wykraczając poza to, co jest konieczne do ich rozwiązania.

Niniejszy wniosek przyczyni się do wzmocnienia ram prawnych dotyczących gromadzenia i przekazywania danych API do celów zarządzania granicami zewnętrznymi i zwalczania nielegalnej imigracji. Dzięki niemu zwiększy się znaczenie danych API jako instrumentu usprawniającego wstępne kontrole podróżnych na granicach zewnętrznych, co przyczyni się nie tylko do poprawy skuteczności i wydajności samej odprawy, ale także do realizacji celu polegającego na zwalczaniu nielegalnej imigracji, szczególnie w związku z transgranicznymi podróżami lotniczymi i odpowiedzialnością przewoźników lotniczych w tym zakresie. Zgodnie z normami międzynarodowymi i zalecanymi praktykami niniejszy wniosek będzie zawierał wymóg, aby przewoźnicy lotniczy gromadzili i przekazywali dane API w odniesieniu do wszystkich lotów do Unii, jak określono we wniosku. Obowiązki określone w niniejszym wniosku są ograniczone do tego, co jest niezbędne do osiągnięcia tego celu. W niniejszym wniosku ustanawia się w szczególności jasne przepisy dotyczące m.in. tego, co stanowi dane API, na jakich trasach przewoźnicy lotniczy powinni gromadzić dane API i jak powinni je przekazywać. W drodze rozporządzenia w niniejszym wniosku określone zostanie spójne podejście do wykorzystania danych API w zarządzaniu granicami zewnętrznymi i zwalczaniu nielegalnej imigracji. Taka standaryzacja wymogów w zakresie API w państwach członkowskich przyczyni się do zwiększenia pewności prawa i przewidywalności, a co za tym idzie – także do lepszego przestrzegania przepisów przez przewoźników lotniczych.

Zgodność z zasadą proporcjonalności zapewnia się również dzięki kilku elementom proponowanego rozporządzenia, obejmującym m.in. ograniczenie wyłącznie do lotów przychodzących, ukierunkowanie wymogu automatyzacji wyłącznie na niektóre dane API oraz zabezpieczenia dotyczące sposobu i celu przetwarzania danych API.

W proponowanym rozporządzeniu przewiduje się utworzenie routera, który stanowiłby pojedynczy punkt łączności między państwami członkowskimi a przewoźnikami lotniczymi, zgodnie z zaleceniami międzynarodowymi, oraz ustanawia się unijne podejście do gromadzenia i przekazywania danych API. Przekazywanie danych API za pośrednictwem routera zmniejszy koszty ponoszone przez branżę lotniczą i zapewni straży granicznej szybki i bezproblemowy dostęp do danych API, których potrzebuje ona do przeprowadzania odpraw granicznych z wyprzedzeniem. Takie podejście pozwoli drastycznie zmniejszyć liczbę połączeń, które trzeba nawiązywać i utrzymywać z perspektywy państw członkowskich. Z drugiej strony przyczyni się do zmniejszenia złożoności procesu utrzymywania przez przewoźników lotniczych połączeń z właściwymi służbami granicznymi i wprowadzi korzyści skali. Agencja UE – eu-LISA – będzie odpowiedzialna za zaprojektowanie, opracowanie i obsługę routera oraz za zarządzanie techniczne tym routerem. Przekazywanie danych API za pośrednictwem routera ułatwi monitorowanie lotów, a tym samym zmniejszy prawdopodobieństwo, że przewoźnik nie dopełnił obowiązku przekazania danych API zgodnie z niniejszym wnioskiem.

•Wybór instrumentu

Proponowanym rodzajem aktu prawnego jest rozporządzenie. Zgodnie z oceną skutków towarzyszącą niniejszemu wnioskowi oraz ze względu na potrzebę bezpośredniego i jednolitego stosowania proponowanych środków we wszystkich państwach członkowskich odpowiednim aktem prawnym jest rozporządzenie.

3.WYNIKI OCEN EX POST, KONSULTACJI Z ZAINTERESOWANYMI STRONAMI I OCEN SKUTKÓW

•Oceny ex post obowiązującego prawodawstwa

•Konsultacje z zainteresowanymi stronami

Przygotowanie niniejszego wniosku obejmowało szeroko zakrojone konsultacje z zainteresowanymi stronami, w tym z organami państw członkowskich (właściwe służby graniczne, jednostka do spraw informacji o pasażerach), przedstawicielami branży transportowej i indywidualnymi przewoźnikami lotniczymi. Agencje UE – takie jak Europejska Agencja Straży Granicznej i Przybrzeżnej (Frontex), Agencja Unii Europejskiej ds. Współpracy Organów Ścigania (Europol), Agencja Unii Europejskiej ds. Zarządzania Operacyjnego Wielkoskalowymi Systemami Informatycznymi w Przestrzeni Wolności, Bezpieczeństwa i Sprawiedliwości (eu-LISA) oraz Agencja Praw Podstawowych Unii Europejskiej (FRA) – również wniosły swój wkład z uwzględnieniem ich uprawnień i wiedzy fachowej. W inicjatywie tej uwzględniono również poglądy i informacje zwrotne otrzymane podczas konsultacji publicznych przeprowadzonych pod koniec 2019 r. w ramach oceny dyrektywy w sprawie API 21 .

W ramach działań konsultacyjnych prowadzonych w kontekście przygotowania oceny skutków stanowiącej uzupełnienie niniejszego wniosku zebrano informacje zwrotne od zainteresowanych stron, korzystając z różnych metod. Działania te obejmowały w szczególności wstępną ocenę skutków, zewnętrzne badanie uzupełniające oraz cykl warsztatów technicznych.

Wstępną ocenę skutków opublikowano na potrzeby zbierania informacji zwrotnych w okresie od 5 czerwca 2020 r. do 14 sierpnia 2020 r.; otrzymano łącznie siedem odpowiedzi zawierających informacje zwrotne na temat rozszerzenia zakresu stosowania przyszłej dyrektywy w sprawie API, jakości danych, kar, związku danych API i PNR oraz ochrony danych osobowych 22 .

Zewnętrzne badanie uzupełniające przeprowadzono w oparciu o badanie źródeł wtórnych oraz rozmowy i ankiety z ekspertami w danej dziedzinie, w ramach których przeanalizowano różne możliwe środki przetwarzania danych API na jasnych zasadach, które ułatwiają legalne podróże, a także są zgodne z interoperacyjnością systemów informacyjnych UE, wymogami UE w zakresie ochrony danych osobowych oraz innymi istniejącymi instrumentami UE i normami międzynarodowymi.

Służby Komisji zorganizowały również cykl warsztatów technicznych z ekspertami z państw członkowskich i państw stowarzyszonych w ramach Schengen. Warsztaty te miały na celu zgromadzenie ekspertów w celu wymiany poglądów na temat możliwych wariantów, które przewidziano z myślą o wzmocnieniu przyszłych ram dotyczących API do celów zarządzania granicami i zwalczania nielegalnej imigracji, a także przeciwdziałania przestępczości i terroryzmowi.

Więcej szczegółowych informacji na temat konsultacji z zainteresowanymi stronami zamieszczono w ocenie skutków towarzyszącej niniejszemu wnioskowi (załącznik 2).

•Ocena skutków

•Prawa podstawowe i ochrona danych osobowych

4.WPŁYW NA BUDŻET

5.ELEMENTY FAKULTATYWNE

•Plany wdrożenia i monitorowanie, ocena i sprawozdania

Komisja zapewni wprowadzenie niezbędnych ustaleń dotyczących monitorowania funkcjonowania proponowanych środków i ich oceny w odniesieniu do głównych celów polityki. Cztery lata po rozpoczęciu stosowania proponowanego rozporządzenia, a następnie co cztery lata, Komisja przedłoży Parlamentowi Europejskiemu i Radzie sprawozdanie oceniające wdrożenie rozporządzenia i jego wartość dodaną. Sprawozdanie to będzie zawierać również informacje o wszelkich bezpośrednich lub pośrednich skutkach dla odpowiednich praw podstawowych. Będzie ono zawierać analizę osiągniętych rezultatów pod kątem przyjętych uprzednio celów i ocenę aktualności przesłanek dla wprowadzenia tych komponentów oraz wszelkich konsekwencji w kontekście przyszłych wariantów.

Obowiązkowy charakter zobowiązania do gromadzenia danych API oraz wprowadzenie routera pozwoli na uzyskanie bardziej przejrzystego obrazu zarówno w zakresie gromadzenia i przekazywania danych API przez przewoźników lotniczych, jak i w kontekście późniejszego wykorzystania tych danych przez państwa członkowskie zgodnie z obowiązującymi przepisami krajowymi i przepisami Unii. Ułatwi to Komisji Europejskiej wykonywanie jej zadań związanych z oceną i egzekwowaniem prawa poprzez dostarczenie jej wiarygodnych statystyk dotyczących ilości przekazywanych danych oraz lotów, w odniesieniu do których dane API będą wymagane.

•Zmienna geometria

Niniejszy wniosek stanowi rozwinięcie dorobku Schengen w dziedzinie granic zewnętrznych, ponieważ dotyczy przekraczania granic zewnętrznych. Należy zatem rozważyć następujące konsekwencje w odniesieniu do Protokołu (nr 19) w sprawie dorobku Schengen włączonego w ramy Unii Europejskiej, załączonego do TUE i TFUE, oraz Protokołu (nr 22) w sprawie stanowiska Danii, załączonego do TUE i TFUE.

Wniosek jest objęty środkami w ramach dorobku Schengen, w którym Irlandia uczestniczy zgodnie z art. 6 ust. 2 decyzji Rady 2002/192/WE z dnia 28 lutego 2002 r. dotyczącej wniosku Irlandii o zastosowanie wobec niej niektórych przepisów dorobku Schengen 28 . W szczególności uczestnictwo Irlandii w niniejszym wniosku związane jest z obowiązkami Unii w zakresie wprowadzenia środków rozwijających przepisy dorobku Schengen mające na celu zwalczanie nielegalnej imigracji, w których uczestniczy Irlandia. Irlandia uczestniczy w szczególności ze względu na włączenie do art. 1 ust. 1 wspomnianej decyzji Rady odniesienia do art. 26 konwencji z Schengen dotyczącego obowiązków przewoźników lotniczych w odniesieniu do cudzoziemców, którym odmówiono wjazdu, oraz posiadania przez cudzoziemców niezbędnych dokumentów podróży. Irlandia uczestniczy w całym proponowanym rozporządzeniu.

Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do Traktatu UE (TUE) i TFUE, Dania nie będzie uczestniczyć w przyjęciu niniejszego wniosku, nie jest nim związana ani go nie stosuje po jego przyjęciu. Ponieważ rozporządzenie, którego dotyczy wniosek, będzie stanowić rozwinięcie przepisów dorobku Schengen, zgodnie z art. 4 tego protokołu Dania – w terminie sześciu miesięcy po przyjęciu przez Radę niniejszego wniosku – podejmuje decyzję, czy dokona jego transpozycji do swego prawa krajowego.

W odniesieniu do Cypru, Bułgarii, Rumunii i Chorwacji proponowane rozporządzenie będzie aktem stanowiącym rozwinięcie dorobku Schengen lub w inny sposób z nim związanym w rozumieniu, odpowiednio, art. 3 ust. 1 Aktu przystąpienia z 2003 r., art. 4 ust. 1 Aktu przystąpienia z 2005 r. oraz art. 4 ust. 1 Aktu przystąpienia z 2011 r.

W przypadku Islandii, Norwegii, Szwajcarii i Liechtensteinu proponowane rozporządzenie będzie stanowiło rozwinięcie przepisów dorobku Schengen w rozumieniu umów o uczestnictwie tych krajów w dorobku prawnym.

•Szczegółowe objaśnienia poszczególnych przepisów wniosku

W rozdziale 1 określono przepisy ogólne niniejszego rozporządzenia, począwszy od przepisów dotyczących jego przedmiotu i zakresu stosowania. Zawarto w nim również wykaz definicji.

W rozdziale 2 określono przepisy dotyczące gromadzenia i przekazywania danych API, a mianowicie jasny zestaw zasad dotyczących gromadzenia danych API przez przewoźników lotniczych, zasad dotyczących przekazywania danych API do routera, przetwarzania danych API przez właściwe służby graniczne oraz przechowywania i usuwania danych API przez przewoźników lotniczych i te służby.

Rozdział 3 zawiera przepisy dotyczące przesyłania danych API przez router. W szczególności zawiera on przepisy opisujące główne cechy routera, a także zasady dotyczące korzystania z routera, procedury przekazywania danych API z routera do właściwych służb granicznych, usuwania danych API z routera, prowadzenia rejestrów oraz procedur w przypadku częściowego lub całkowitego braku technicznej możliwości korzystania z routera. 

Rozdział 4 zawiera zestaw przepisów szczegółowych dotyczących ochrony danych osobowych. W szczególności określono w nim, kim są administratorzy danych i podmiot przetwarzający dane do celów przetwarzania danych API stanowiących dane osobowe na podstawie niniejszego rozporządzeniem. Określono w nim również środki wymagane od eu-LISA w celu zapewnienia bezpieczeństwa przetwarzania danych zgodnie z przepisami rozporządzenia (UE) 2018/1725. W rozdziale tym określono środki wymagane od przewoźników lotniczych i właściwych służb granicznych w celu zapewnienia monitorowania przez nie własnej działalności w zakresie zgodności z odpowiednimi przepisami określonymi w niniejszym rozporządzeniu oraz zasady dotyczące kontroli.

W rozdziale 5 uregulowano niektóre szczególne kwestie dotyczące routera. Zawiera on wymogi dotyczące podłączenia właściwych służb granicznych i przewoźników lotniczych do routera. Określono w nim również zadania eu-LISA związane z projektowaniem, opracowaniem i obsługą routera oraz zarządzaniem technicznym tym routerem oraz innymi zadaniami pomocniczymi związanymi z routerem. Rozdział ten zawiera ponadto przepisy dotyczące kosztów ponoszonych przez eu-LISA i państwa członkowskie na podstawie niniejszego rozporządzenia, w szczególności w związku z podłączeniem państw członkowskich do routera i integracją z routerem. Określono w nim również przepisy dotyczące odpowiedzialności za uszkodzenie routera, rozpoczęcia funkcjonowania routera oraz możliwości dobrowolnego korzystania z routera przez przewoźników lotniczych pod pewnymi warunkami.

Rozdział 6 zawiera przepisy dotyczące nadzoru, ewentualnych kar mających zastosowanie do przewoźników lotniczych za niewywiązywanie się z obowiązków określonych w niniejszym rozporządzeniu, przepisy dotyczące sprawozdawczości statystycznej prowadzonej przez eu-LISA oraz opracowania przez Komisję praktycznego podręcznika.

W rozdziale 7 uregulowano wpływ na inne akty prawa UE. Rozdział ten zawiera w szczególności przepisy dotyczące uchylenia dyrektywy 2004/82/WE oraz niezbędnych zmian w innych obowiązujących aktach, mianowicie w rozporządzeniu (UE) 2018/1726 29 i rozporządzeniu (UE) 2019/817 30 .

Rozdział 8 zawiera przepisy końcowe niniejszego rozporządzenia, które dotyczą przyjęcia aktów delegowanych i wykonawczych, monitorowania i oceny niniejszego rozporządzenia oraz jego wejścia w życie i stosowania.

2022/0424 (COD)

Wniosek

ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY

w sprawie gromadzenia i przekazywania danych pasażera przekazywanych przed podróżą (API) w celu usprawnienia i ułatwienia kontroli na granicach zewnętrznych, zmieniające rozporządzenie (UE) 2019/817 i rozporządzenie (UE) 2018/1726 oraz uchylające dyrektywę Rady 2004/82/WE

PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 77 ust. 2 lit. b) i d) oraz art. 79 ust. 2 lit. c),

uwzględniając wniosek Komisji Europejskiej,

po przekazaniu projektu aktu ustawodawczego parlamentom narodowym,

uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego 31 ,

stanowiąc zgodnie ze zwykłą procedurą ustawodawczą,

a także mając na uwadze, co następuje:

(1)Przeprowadzanie odprawy osób na granicach zewnętrznych znacząco przyczynia się do zagwarantowania długoterminowego bezpieczeństwa Unii, państw członkowskich i jej obywateli i jako takie pozostaje ważnym zabezpieczeniem, w szczególności na obszarze bez kontroli na granicach wewnętrznych („strefa Schengen”). Wydajne i skuteczne kontrole na granicach zewnętrznych, przeprowadzane w szczególności i w stosownych przypadkach zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/399 32 , przyczyniają się do zwalczania nielegalnej imigracji i zapobiegania zagrożeniom dla bezpieczeństwa wewnętrznego, porządku publicznego, zdrowia publicznego i stosunków międzynarodowych państw członkowskich.

(2)Wykorzystywanie danych podróżnych i informacji o locie, przekazywanych przed przybyciem podróżnych, zwanych danymi pasażera przekazywanymi przed podróżą („API”), przyczynia się do przyspieszenia procesu wymaganej odprawy podczas przekraczania granic. Do celów niniejszego rozporządzenia proces ten dotyczy w szczególności przekraczania granic między państwem trzecim lub państwem członkowskim nieobjętym niniejszym rozporządzeniem, z jednej strony, a państwem członkowskim objętym niniejszym rozporządzeniem, z drugiej strony. Takie wykorzystywanie danych usprawnia kontrole na tych granicach zewnętrznych dzięki zapewnieniu wystarczającego czasu na przeprowadzenie szczegółowych i kompleksowych kontroli wszystkich podróżnych, nie powodując przy tym nieproporcjonalnych negatywnych skutków dla osób podróżujących w dobrej wierze. W związku z tym w celu zagwarantowania skuteczności i wydajności kontroli na granicach zewnętrznych należy ustanowić odpowiednie ramy prawne, aby zapewnić właściwym służbom granicznym państw członkowskich na takich przejściach granicznych na granicach zewnętrznych dostęp do danych API przed przybyciem podróżnych.

(3)Obowiązujące ramy prawne dotyczące danych API, na które składa się dyrektywa Rady 2004/82/WE 33 oraz przepisy krajowe transponujące tę dyrektywę, okazały się znaczące w kontekście usprawnienia kontroli granicznych, zwłaszcza dzięki zapewnieniu państwom członkowskim ram służących wprowadzeniu przepisów nakładających na przewoźników lotniczych obowiązki związane z przekazywaniem danych API dotyczących pasażerów przybywających na ich terytorium. Na poziomie krajowym nadal utrzymują się jednak rozbieżności. W szczególności od przewoźników lotniczych nie wymaga się systematycznego przekazywania danych API, natomiast muszą oni spełniać różne wymogi dotyczące rodzaju gromadzonych informacji oraz warunki, na jakich dane API muszą być przekazywane właściwym służbom granicznym. Rozbieżności te prowadzą nie tylko do niepotrzebnych kosztów i komplikacji dla przewoźników lotniczych, ale także mają negatywny wpływ na zapewnienie skutecznych i wydajnych kontroli wstępnych osób przybywających na granice zewnętrzne.

(4)Należy zatem zaktualizować i zastąpić istniejące ramy prawne, tak aby zapewnić jasne, zharmonizowane i skuteczne przepisy dotyczące gromadzenia i przekazywania danych API w celu usprawnienia i ułatwienia skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych oraz zwalczania nielegalnej imigracji.

(5)W celu zapewnienia w jak największym stopniu spójnego podejścia na poziomie międzynarodowym oraz w świetle obowiązujących na tym poziomie przepisów dotyczących gromadzenia danych API w zaktualizowanych ramach prawnych ustanowionych niniejszym rozporządzeniem należy uwzględnić odpowiednie praktyki uzgodnione na poziomie międzynarodowym z branżą lotniczą oraz w kontekście wytycznych Światowej Organizacji Celnej, Zrzeszenia Międzynarodowego Transportu Lotniczego i Organizacji Międzynarodowego Lotnictwa Cywilnego w sprawie danych pasażera przekazywanych przed podróżą. 

(6)Gromadzenie i przekazywanie danych API ma wpływ na prywatność osób i wiąże się z przetwarzaniem danych osobowych. Aby zapewnić pełne przestrzeganie praw podstawowych, w szczególności prawa do poszanowania życia prywatnego i prawa do ochrony danych osobowych, zgodnie z Kartą praw podstawowych Unii Europejskiej („Karta”), należy przewidzieć odpowiednie ograniczenia i zabezpieczenia. W szczególności wszelkie przetwarzanie danych API, w szczególności danych API stanowiących dane osobowe, powinno ograniczać się do tego, co jest konieczne i proporcjonalne do osiągnięcia celów niniejszego rozporządzenia. Ponadto należy zapewnić, aby API gromadzone i przekazywane na podstawie niniejszego rozporządzenia nie prowadziły do jakiejkolwiek formy dyskryminacji wymienionej w Karcie.

(7)Aby osiągnąć swoje cele, niniejsze rozporządzenie powinno mieć zastosowanie do wszystkich przewoźników wykonujących loty do Unii, zgodnie z definicją zawartą w niniejszym rozporządzeniu, obejmujące zarówno loty regularne, jak i nieregularne, niezależnie od siedziby przewoźników lotniczych wykonujących te loty. 

(8)W celu zagwarantowania efektywności i pewności prawa należy sporządzić jasny i wyczerpujący wykaz informacji stanowiących łącznie dane API – które mają być gromadzone, a następnie przekazywane na podstawie niniejszego rozporządzenia – obejmujący zarówno informacje dotyczące każdego podróżnego, jak i informacje o jego locie. Takie informacje o lotach powinny obejmować informacje na temat przejścia granicznego przylotu na terytorium danego państwa członkowskiego we wszystkich przypadkach objętych niniejszym rozporządzeniem, przy czym informacje te należy gromadzić wyłącznie w stosownych przypadkach na podstawie rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API], tj. nie w przypadku, gdy dane API dotyczą lotów wewnątrzunijnych. 

(9)Aby zapewnić elastyczność i innowacyjność, każdy przewoźnik lotniczy powinien zasadniczo mieć możliwość określenia, w jaki sposób będzie wypełniał swoje obowiązki dotyczące gromadzenia danych API przewidziane w niniejszym rozporządzeniu. Mając jednak na uwadze fakt, że istnieją odpowiednie rozwiązania technologiczne umożliwiające automatyczne gromadzenie niektórych danych API przy jednoczesnym zagwarantowaniu, że dane te są dokładne, kompletne i aktualne, a także uwzględniając korzyści wynikające z zastosowania takiej technologii pod względem skuteczności i wydajności, przewoźnicy lotniczy powinni być zobowiązani do gromadzenia tych danych API w sposób zautomatyzowany przez odczytywanie informacji z danych nadających się do odczytu maszynowego w dokumencie podróży.

(10)Dzięki automatyzacji podróżni mogą samodzielne podawać niektóre dane API podczas procesu odprawy przez internet. Takie rozwiązanie mogłoby na przykład obejmować bezpieczną aplikację na smartfonie, komputerze lub kamerze internetowej podróżnego, umożliwiającą odczytanie danych nadających się do odczytu maszynowego w dokumencie podróży. W przypadku gdy podróżni nie dokonali odprawy przez internet, przewoźnicy lotniczy powinni w praktyce zapewnić im możliwość podania danych API nadających się do odczytu maszynowego podczas odprawy w porcie lotniczym za pomocą punktu samoobsługi lub przy wsparciu personelu linii lotniczych przy stanowisku odprawy.

(11)Komisja powinna być uprawniona do przyjmowania wymogów technicznych i zasad proceduralnych, których przewoźnicy lotniczy muszą przestrzegać w związku z gromadzeniem w sposób zautomatyzowany danych API nadających się do odczytu maszynowego na podstawie niniejszego rozporządzenia, tak aby zwiększyć przejrzystość i pewność prawa oraz przyczynić się do zapewnienia wysokiej jakości danych i odpowiedzialnego wykorzystania automatyzacji.

(12)Mając na uwadze na korzyści płynące z gromadzenia w sposób zautomatyzowany danych API nadających się do odczytu maszynowego oraz przejrzystość wynikającą z wymogów technicznych w tym zakresie, które mają zostać przyjęte na podstawie niniejszego rozporządzenia, należy doprecyzować, że przewoźnicy lotniczy, którzy zdecydują się na gromadzenie w sposób zautomatyzowany informacji, które są zobowiązani przekazywać na podstawie dyrektywy 2004/82/WE, mają możliwość, ale nie obowiązek, stosowania tych wymogów, po ich przyjęciu, w związku z takim stosowaniem automatyzacji, w zakresie, w jakim jest to dozwolone na podstawie tej dyrektywy. Wszelkie takie dobrowolne stosowanie tych specyfikacji w ramach wykonywania dyrektywy 2004/82/WE nie powinno być rozumiane jako naruszanie w jakikolwiek sposób obowiązków przewoźników lotniczych i państw członkowskich na podstawie tej dyrektywy.

(13)W celu zapewnienia skutecznych i wydajnych wstępnych kontroli przeprowadzanych z wyprzedzeniem przez właściwe służby graniczne dane API przekazywane tym służbom powinny zawierać dane podróżnych, którzy faktycznie mają przekroczyć granice zewnętrzne, tj. dane podróżnych, którzy faktycznie znajdują się na pokładzie samolotu. W związku z tym przewoźnicy lotniczy powinni przekazywać dane API bezpośrednio po zakończeniu odprawy. Ponadto dane API umożliwiają właściwym służbom granicznym odróżnienie osób podróżujących legalnie od podróżnych, którzy mogą być przedmiotem zainteresowania i w związku z tym mogą wymagać dodatkowych weryfikacji, co wiązałoby się z koniecznością zapewnienia większej koordynacji i przygotowania środków następczych, które powinny zostać zastosowane po przylocie. Mogłoby się tak zdarzyć, na przykład, w przypadku niespodziewanej liczby podróżnych będących przedmiotem zainteresowania, których kontrole fizyczne na granicach mogłyby niekorzystnie wpłynąć na odprawę graniczną i czas oczekiwania na granicach innych osób podróżujących legalnie. Aby zapewnić właściwym służbom granicznym możliwość przygotowania odpowiednich i proporcjonalnych środków na granicy, takich jak tymczasowe zwiększenie liczby lub przesunięcie pracowników, zwłaszcza w odniesieniu do lotów, w przypadku których czas pomiędzy zakończeniem odprawy a przybyciem na granicę zewnętrzną jest niewystarczający, aby umożliwić właściwym służbom granicznym przygotowanie najbardziej odpowiedniej reakcji, dane API powinny być również przekazywane przed wejściem na pokład w momencie odprawy każdego podróżnego.

(14)W celu zapewnienia jasności co do wymogów technicznych, które mają zastosowanie do przewoźników lotniczych i które są potrzebne, aby zapewnić bezpieczne, skuteczne i sprawne przekazywane do routera danych API gromadzonych przez przewoźników lotniczych na podstawie niniejszego rozporządzenia, Komisja powinna być uprawniona do określenia specyfikacji wspólnych protokołów i obsługiwanych formatów danych, które mają być wykorzystywane do przekazywania tych danych. 

(15)Aby uniknąć ryzyka niewłaściwego wykorzystania oraz zgodnie z zasadą celowości, właściwym służbom granicznym należy wyraźnie zabronić przetwarzania danych API, które otrzymują na podstawie niniejszego rozporządzenia, do celów innych niż usprawnienie i ułatwienie skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych oraz zwalczanie nielegalnej imigracji.

(16)Aby zapewnić właściwym służbom granicznym wystarczający czas na skuteczne przeprowadzenie wstępnych kontroli wszystkich podróżnych, w tym osób podróżujących lotami długodystansowymi oraz osób podróżujących lotami łączącymi, jak również wystarczający czas na zapewnienie, aby dane API gromadzone i przekazywane przez przewoźników lotniczych były kompletne, dokładne i aktualne, a w razie potrzeby na zwrócenie się do przewoźników lotniczych z wnioskiem o przedstawienie dodatkowych wyjaśnień, wprowadzenie korekt lub uzupełnienie informacji, właściwe służby graniczne powinny przechowywać dane API, które otrzymały na podstawie niniejszego rozporządzenia, przez ustalony czas, ograniczony do okresu bezwzględnie koniecznego do tych celów. Podobnie, aby móc odpowiedzieć na takie wnioski, przewoźnicy lotniczy powinni przechowywać dane API, które przekazali na podstawie niniejszego rozporządzenia, przez taki sam ustalony i bezwzględnie niezbędny okres.

(17)Aby uniknąć konieczności nawiązywania i utrzymywania przez przewoźników lotniczych wielu połączeń z właściwymi służbami granicznymi państw członkowskich w celu przekazywania danych API gromadzonych na podstawie niniejszego rozporządzenia oraz związanego z tym braku efektywności i ryzyka dla bezpieczeństwa, należy ustanowić jeden router, opracowany i obsługiwany na poziomie Unii, który służy jako punkt podłączenia i dystrybucji do celów przekazywania danych API. W celu zagwarantowania wydajności i efektywności kosztowej router powinien, w zakresie, w jakim jest to technicznie możliwe i z pełnym poszanowaniem przepisów niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API], opierać się na elementach technicznych pochodzących z innych odpowiednich systemów utworzonych na mocy prawa Unii.

(18)Router powinien przekazywać dane API w sposób zautomatyzowany odpowiednim właściwym służbom granicznym, określonym na podstawie przejścia granicznego przylotu na terytorium państwa członkowskiego wskazanego w odpowiednich danych API. W celu ułatwienia procesu dystrybucji każde państwo członkowskie powinno wskazać, które służby graniczne są właściwe do otrzymywania danych API przekazywanych z routera. W celu zapewnienia właściwego funkcjonowania niniejszego rozporządzenia oraz zachowania przejrzystości informacje te należy podawać do wiadomości publicznej.

(19)Router powinien służyć wyłącznie ułatwieniu przekazywania danych API przez przewoźników lotniczych właściwym służbom granicznym zgodnie z niniejszym rozporządzeniem oraz JIP zgodnie z rozporządzeniem (UE) [w sprawie egzekwowania przepisów dotyczących API] i nie powinien pełnić funkcji repozytorium danych API. W związku z tym, a także w celu zminimalizowania ryzyka nieuprawnionego dostępu lub innego niewłaściwego wykorzystania oraz zgodnie z zasadą minimalizacji danych wszelkie przechowywanie danych API w routerze należy ograniczyć do tego, co jest absolutnie niezbędne do celów technicznych związanych z przekazywaniem, a dane API należy usuwać z routera natychmiast, trwale i w sposób zautomatyzowany z chwilą zakończenia przekazywania, bądź też w stosownych przypadkach na podstawie rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API] danych API nie należy przekazywać w ogóle.

(20)W celu zapewnienia właściwego funkcjonowania procesu przekazywania danych API z routera Komisja powinna być uprawniona do określania szczegółowych przepisów technicznych i proceduralnych dotyczących tego przekazywania. Przepisy te powinny zapewniać, aby przekazywanie było bezpieczne, skuteczne i sprawne oraz aby nie miało wpływu na podróże pasażerów i na przewoźników lotniczych w większym stopniu, niż to konieczne.

(21)Aby przewoźnicy lotniczy mogli jak najszybciej odnieść korzyści wynikające z zastosowania routera opracowanego przez eu-LISA zgodnie z niniejszym rozporządzeniem oraz zdobyć doświadczenie w zakresie jego użytkowania, należy im zapewnić możliwość, ale nie obowiązek, korzystania z routera w celu przekazywania informacji, które są zobowiązani przekazywać na podstawie dyrektywy 2004/82/WE w okresie przejściowym. Ten okres przejściowy powinien rozpocząć się z chwilą uruchomienia routera i zakończyć się z chwilą, gdy obowiązki wynikające z tej dyrektywy przestaną mieć zastosowanie. W celu zapewnienia, aby wszelkie takie dobrowolne korzystanie z routera odbywało się w sposób odpowiedzialny, należy wymagać uprzedniej pisemnej zgody odpowiedzialnego organu, który ma otrzymać informacje, na wniosek przewoźnika lotniczego oraz w razie potrzeby po przeprowadzeniu przez ten organ weryfikacji i uzyskaniu zapewnień. Podobnie w celu uniknięcia sytuacji, w której przewoźnicy lotniczy wielokrotnie rozpoczynają korzystanie z routera i zaprzestają takiego korzystania, w przypadku gdy przewoźnik lotniczy rozpoczyna takie dobrowolne korzystanie z routera, powinien być zobowiązany do kontynuowania takiego korzystania, chyba że istnieją obiektywne powody do zaprzestania korzystania z routera w celu przekazywania informacji danemu odpowiedzialnemu organowi, na przykład jeżeli okaże się, że informacje nie są przekazywane w sposób zgodny z prawem, bezpieczny, skuteczny i sprawny. W celu właściwego stosowania możliwości dobrowolnego korzystania z routera, z należytym uwzględnieniem praw i interesów wszystkich zainteresowanych stron, należy ustanowić niezbędne przepisy dotyczące konsultacji i przekazywania informacji. Wszelkie takie dobrowolne korzystanie z routera w ramach wykonywania dyrektywy 2004/82/WE zgodnie z niniejszym rozporządzeniem nie powinno być rozumiane jako naruszanie w jakikolwiek sposób obowiązków przewoźników lotniczych i państw członkowskich na podstawie tej dyrektywy.

(22)Router, który ma zostać opracowany i obsługiwany na podstawie niniejszego rozporządzenia, powinien ograniczyć i uprościć podłączenia techniczne potrzebne do przekazywania danych API i ograniczyć je do jednego podłączenia na przewoźnika lotniczego i jedną właściwą służbę graniczną. W związku z tym w niniejszym rozporządzeniu przewidziano obowiązek ustanowienia przez właściwe służby graniczne i przewoźników lotniczych takiego podłączenia do routera i osiągnięcia wymaganej integracji z nim, aby zapewnić prawidłowe funkcjonowanie systemu przekazywania danych API ustanowionego niniejszym rozporządzeniem. Aby zapewnić skuteczność tych obowiązków i prawidłowe funkcjonowanie systemu ustanowionego niniejszym rozporządzeniem, obowiązki te należy uzupełnić poprzez określenie szczegółowych zasad. 

(23)Mając na uwadze interesy Unii, koszty ponoszone przez eu-LISA w związku z realizacją zadań dotyczących routera powierzonych jej w ramach niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API] należy pokrywać z budżetu Unii. Ta sama zasada powinna dotyczyć odpowiednich kosztów poniesionych przez państwa członkowskie w związku z ich podłączeniem do routera i integracją z routerem, zgodnie z wymogami niniejszego rozporządzenia i odpowiednich przepisów, przy czym mają tu zastosowanie określone wyjątki. Koszty poniesione w związku z takimi wyjątkami powinny pokrywać poszczególne zainteresowane państwa członkowskie.

(24)Nie można wykluczyć, że ze względu na szczególne okoliczności i pomimo wszystkich uzasadnionych środków wprowadzonych zgodnie z niniejszym rozporządzeniem router, lub też systemy lub infrastruktura zapewniające połączenie właściwych służb granicznych i przewoźników lotniczych z routerem będą działały nieprawidłowo, co sprawi, że korzystanie z routera do przekazywania danych API będzie technicznie niemożliwe. Ze względu na niedostępność routera i fakt, że zasadniczo przewoźnicy lotniczy nie będą mogli w inny zgodny z prawem, bezpieczny, skuteczny i sprawny sposób przekazywać danych API, których nie można przekazać ze względu na awarię routera, obowiązek przewoźników lotniczych dotyczący przekazywania tych danych API do routera nie powinien mieć zastosowania przez cały okres, w którym takie przekazywanie danych jest technicznie niemożliwe. W celu zminimalizowania czasu trwania i negatywnych konsekwencji, zainteresowane strony powinny w takim przypadku niezwłocznie poinformować się wzajemnie i natychmiast wprowadzić wszelkie niezbędne środki w celu rozwiązania problemu braku technicznej możliwości przekazywania danych API. Ponieważ dane API dotyczące lotów, które zostały już wykonane, nie są użyteczne do celów odprawy granicznej, w takim przypadku wymaganie od przewoźników lotniczych gromadzenia i przechowywania takich danych API jest bezzasadne. Ustalenie to powinno pozostawać bez uszczerbku dla obowiązków wszystkich zainteresowanych stron wynikających z niniejszego rozporządzenia, dotyczących zapewnienia prawidłowego funkcjonowania routera oraz ich odpowiednich systemów i elementów infrastruktury, a także dla faktu, że przewoźnicy lotniczy podlegają karom w przypadku niewywiązania się z tych obowiązków, w tym w przypadku, gdy powołują się na to ustalenie w sytuacji, gdy nie jest to uzasadnione. Aby zniechęcić do takich nadużyć oraz ułatwić sprawowanie nadzoru i w stosownych przypadkach nakładanie kar, przewoźnicy lotniczy, którzy powołują się na to ustalenie w związku z awarią ich systemu i infrastruktury, powinni zgłaszać ten fakt właściwemu organowi nadzorczemu.

(25)W celu zapewnienia przestrzegania podstawowego prawa do ochrony danych osobowych w niniejszym rozporządzeniu należy określić administratora i podmiot przetwarzający oraz przepisy dotyczące kontroli. W celu zapewnienia skutecznego monitorowania, odpowiedniej ochrony danych osobowych i ograniczenia do minimum ryzyka dla bezpieczeństwa należy również ustanowić przepisy dotyczące rejestrowania, bezpieczeństwa przetwarzania i monitorowania własnej działalności. Przepisy te, w przypadku gdy dotyczą przetwarzania danych osobowych, należy traktować jako uzupełnienie ogólnie obowiązujących aktów prawnych UE dotyczących ochrony danych osobowych, w szczególności rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 34 i rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 35 . Niniejsze rozporządzenie powinno pozostać bez wpływu na te akty, które mają również zastosowanie do przetwarzania danych osobowych na podstawie niniejszego rozporządzenia zgodnie z jego przepisami.

(26)W szczególności celem operacji przetwarzania danych na podstawie niniejszego rozporządzenia, a mianowicie przekazywania danych API przez przewoźników lotniczych za pośrednictwem routera właściwym służbom granicznym państw członkowskich, jest wspieranie tych organów w wykonywaniu ich obowiązków w zakresie zarządzania granicami oraz zadań związanych ze zwalczaniem nielegalnej imigracji. W związku z tym właściwe służby graniczne otrzymujące dane API powinny pełnić rolę administratora na potrzeby przekazywania danych API stanowiących dane osobowe za pośrednictwem routera oraz przechowywania tych danych w routerze w zakresie, w jakim przechowywanie to jest niezbędne do celów technicznych, a także w przypadku wszelkiego późniejszego przetwarzania tych danych w celu usprawnienia i ułatwienia odprawy granicznej na granicach zewnętrznych. Z kolei przewoźnicy lotniczy powinni pełnić rolę odrębnego administratora w zakresie przetwarzania danych API stanowiących dane osobowe, do czego są zobowiązani na podstawie niniejszego rozporządzenia. W związku z tym zarówno przewoźnicy lotniczy, jak i właściwe służby graniczne powinni pełnić rolę odrębnego administratora w odniesieniu do przetwarzania przez nich danych API na podstawie niniejszego rozporządzenia. 

(27)W celu zapewnienia skutecznego stosowania przepisów niniejszego rozporządzenia przez przewoźników lotniczych należy przewidzieć możliwość wyznaczenia organów krajowych pełniących nadzór nad przestrzeganiem tych przepisów oraz nadania tym organom odpowiednich uprawnień. Przepisy niniejszego rozporządzenia dotyczące takiego nadzoru, w tym, w stosownych przypadkach, w zakresie nakładania kar, nie powinny mieć wpływu na zadania i uprawnienia organów nadzorczych ustanowionych na mocy rozporządzenia (UE) 2016/679, również w odniesieniu do przetwarzania danych osobowych na podstawie niniejszego rozporządzenia.

(28)Państwa członkowskie powinny przewidzieć skuteczne, proporcjonalne i odstraszające kary, w tym finansowe, wobec przewoźników lotniczych, którzy nie wypełniają swoich obowiązków dotyczących gromadzenia i przekazywania danych API wynikających z niniejszego rozporządzenia.

(29)Ponieważ niniejsze rozporządzenie przewiduje ustanowienie nowych zasad dotyczących gromadzenia i przekazywania danych API przez właściwe służby graniczne w celu usprawnienia i ułatwienia skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych, należy uchylić dyrektywę 2004/82/WE.

(30)Ponieważ router powinna zaprojektować, opracować i obsługiwać oraz zarządzać nim pod względem technicznym eu-LISA, ustanowiona rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1726 36 , konieczna jest zmiana tego rozporządzenia polegająca na dodaniu tego zadania do wykazu zadań eu-LISA. Aby umożliwić przechowywanie sprawozdań i statystyk dotyczących routera we wspólnym repozytorium sprawozdawczo-statystycznym, konieczna jest zmiana rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/817 37 .

(31)W celu przyjęcia środków dotyczących wymogów technicznych i zasad postępowania w zakresie gromadzenia w sposób zautomatyzowany danych API nadających się do odczytu maszynowego środków dotyczących wspólnych protokołów i formatów wykorzystywanych przez przewoźników lotniczych do przekazywania danych API, środków dotyczących przepisów technicznych i proceduralnych w zakresie przekazywania danych API z routera do właściwych służb granicznych oraz do JIP i w zakresie podłączenia JIP i przewoźników lotniczych do routera i ich integracji z routerem należy przekazać Komisji uprawnienia do przyjęcia aktów zgodnie z art. 290 Traktatu o funkcjonowaniu Unii Europejskiej odpowiednio w odniesieniu do art. 5, 6, 11, 20 i 21. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów, oraz aby konsultacje te prowadzone były zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa 38 . W szczególności, aby zapewnić Parlamentowi Europejskiemu i Radzie udział na równych zasadach w przygotowaniu aktów delegowanych, instytucje te otrzymują wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji mogą systematycznie brać udział w posiedzeniach grup eksperckich Komisji zajmujących się przygotowaniem aktów delegowanych.

(32)W celu zapewnienia jednolitych warunków wykonywania niniejszego rozporządzenia, tj. w kwestii rozpoczęcia funkcjonowania routera, należy powierzyć Komisji uprawnienia wykonawcze. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/2011 39 . 

(33)Wszystkim zainteresowanym stronom, a w szczególności przewoźnikom lotniczym i właściwym służbom granicznym, należy zapewnić wystarczający czas na podjęcie niezbędnych działań w celu przygotowania się do wypełniania obowiązków wynikających z niniejszego rozporządzenia, biorąc pod uwagę fakt, że niektóre z tych działań, np. w zakresie obowiązków związanych z podłączeniem do routera i integracją z routerem, mogą zostać sfinalizowane dopiero po zakończeniu fazy prac projektowych i rozwojowych nad routerem oraz po jego uruchomieniu. W związku z tym niniejsze rozporządzenie powinno mieć zastosowanie dopiero od odpowiedniej daty po dacie uruchomienia routera, określonej przez Komisję zgodnie z niniejszym rozporządzeniem.

(34)Fazę prac projektowych i rozwojowych nad routerem należy rozpocząć i zakończyć jak najszybciej, tak aby można było go jak najszybciej uruchomić, co wymaga również przyjęcia odpowiednich aktów wykonawczych i delegowanych przewidzianych w niniejszym rozporządzeniu. Należy również bezzwłocznie przedstawić przewidziane w niniejszym rozporządzeniu objaśnienie dotyczące stosowania specyfikacji w zakresie stosowania automatyzacji w ramach wykonywania dyrektywy 2004/82/WE. Artykuły dotyczące tych kwestii powinny zatem obowiązywać od dnia wejścia w życie niniejszego rozporządzenia. Ponadto, aby umożliwić jak najszybsze dobrowolne korzystanie z routera, artykuł dotyczący takiego korzystania, jak również niektóre inne artykuły mające na celu zagwarantowanie, że takie korzystanie odbywa się w sposób odpowiedzialny, powinny mieć zastosowanie jak najwcześniej, tj. od chwili uruchomienia routera.

(35)Niniejsze rozporządzenie nie powinno mieć wpływu na możliwość ustanowienia przez państwa członkowskie, na mocy ich prawa krajowego, systemu gromadzenia danych API od dostawców usług transportowych innych niż określone w niniejszym rozporządzeniu, pod warunkiem że takie prawo krajowe jest zgodne z prawem Unii.

(36)Ponieważ cele niniejszego rozporządzenia, a mianowicie usprawnienie i ułatwienie skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych i zwalczania nielegalnej imigracji, dotyczą kwestii, które z natury mają charakter transgraniczny, nie mogą zostać osiągnięte w sposób wystarczający przez państwa członkowskie działające indywidualnie, natomiast można je lepiej osiągnąć na poziomie Unii. Unia może zatem podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia tych celów.

(37)Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do TUE i do TFUE, Dania nie uczestniczy w przyjęciu niniejszego rozporządzenia i nie jest nim związana ani go nie stosuje. Ponieważ niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen, zgodnie z art. 4 tego protokołu Dania – w terminie sześciu miesięcy po przyjęciu przez Radę niniejszego rozporządzenia – podejmuje decyzję, czy dokona jego transpozycji do swego prawa krajowego.

(38)Niniejsze rozporządzenie ma zastosowanie do Irlandii zgodnie z art. 5 ust. 1 Protokołu nr 19 w sprawie dorobku Schengen włączonego w ramy Unii Europejskiej, który jest załączony do Traktatu o Unii Europejskiej i do Traktatu o funkcjonowaniu Unii Europejskiej, oraz art. 6 ust. 2 decyzji Rady 2002/192/WE 40 .

(39) Uczestnictwo Irlandii w niniejszym rozporządzeniu, zgodnie z art. 6 ust. 2 decyzji 2002/192/WE, związane jest z obowiązkami Unii w zakresie wprowadzenia środków rozwijających przepisy dorobku Schengen mające na celu przeciwdziałanie nielegalnej imigracji, w których uczestniczy Irlandia.

(40)W odniesieniu do Islandii i Norwegii niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy zawartej przez Radę Unii Europejskiej i Republikę Islandii oraz Królestwo Norwegii dotyczącej włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen 41 , które wchodzą w zakres obszaru, o którym mowa w art. 1 lit. A decyzji Rady 1999/437/WE 42 .

(41)W odniesieniu do Szwajcarii niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Umowy między Unią Europejską, Wspólnotą Europejską a Konfederacją Szwajcarską w sprawie włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen 43 , które wchodzą w zakres obszaru, o którym mowa w art. 1 lit. A decyzji 1999/437/WE w związku z art. 3 decyzji Rady 2008/146/WE 44 .

(42)W odniesieniu do Liechtensteinu niniejsze rozporządzenie stanowi rozwinięcie przepisów dorobku Schengen w rozumieniu Protokołu między Unią Europejską, Wspólnotą Europejską, Konfederacją Szwajcarską i Księstwem Liechtensteinu w sprawie przystąpienia Księstwa Liechtensteinu do Umowy między Unią Europejską, Wspólnotą Europejską i Konfederacją Szwajcarską dotyczącej włączenia Konfederacji Szwajcarskiej we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen 45 , które wchodzą w zakres obszaru, o którym mowa w art. 1 lit. A decyzji Rady 1999/437/WE w związku z art. 3 decyzji Rady 2011/350/UE 46 .

(43)W odniesieniu do Cypru, Bułgarii, Rumunii i Chorwacji niniejsze rozporządzenie jest aktem stanowiącym rozwinięcie dorobku Schengen lub w inny sposób z nim związanym w rozumieniu, odpowiednio, art. 3 ust. 1 Aktu przystąpienia z 2003 r., art. 4 ust. 1 Aktu przystąpienia z 2005 r. i art. 4 ust. 1 Aktu przystąpienia z 2011 r.

(44)Zgodnie z art. 42 ust. 1 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię dnia [XX] 47 ,

PRZYJMUJĄ NINIEJSZE ROZPORZĄDZENIE:

ROZDZIAŁ 1

PRZEPISY OGÓLNE

Artykuł 1

Przedmiot

W celu usprawnienia i ułatwienia skutecznej i wydajnej odprawy granicznej na granicach zewnętrznych oraz zwalczania nielegalnej imigracji w niniejszym rozporządzeniu ustanawia się przepisy dotyczące:

a)gromadzenia przez przewoźników lotniczych danych pasażera przekazywanych przed podróżą („dane API”) dotyczących lotów do Unii;

b)przekazywania przez przewoźników lotniczych danych API do routera;

c)przekazywania danych API z routera właściwym służbom granicznym.

Artykuł 2

Zakres

Niniejsze rozporządzenie ma zastosowanie do przewoźników lotniczych wykonujących regularne lub nieregularne loty do Unii.

Artykuł 3

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

a)„przewoźnik lotniczy” oznacza przedsiębiorstwo transportu lotniczego w rozumieniu art. 3 pkt 1 dyrektywy (UE) 2016/681;

b)„odprawa graniczna” oznacza czynności kontrolne w rozumieniu w art. 2 pkt 11 rozporządzenia (UE) 2016/399;

c)„loty do Unii” oznaczają loty z terytorium państwa trzeciego lub państwa członkowskiego nieobjętego niniejszym rozporządzeniem, w przypadku których to lotów planuje się lądowanie na terytorium państwa członkowskiego objętego niniejszym rozporządzeniem;

d)„przejście graniczne” oznacza przejście graniczne w rozumieniu art. 2 pkt 8 rozporządzenia (UE) 2016/399;

e)„lot regularny” oznacza lot wykonywany zgodnie z ustalonym rozkładem, na który bilety może nabyć ogół społeczeństwa;

f)„lot nieregularny” oznacza lot, który nie jest wykonywany zgodnie z ustalonym rozkładem i który musi być częścią regularnej lub planowanej trasy;

g)„właściwa służba graniczna” oznacza organ, któremu państwo członkowskie powierzyło zadanie polegające na przeprowadzaniu odprawy granicznej oraz który został wyznaczony i zgłoszony przez to państwo członkowskie zgodnie z art. 11 ust. 2;

h)„pasażer” oznacza każdą osobę, z wyjątkiem członków załogi, która jest przewożona lub ma być przewieziona na pokładzie samolotu za zgodą przewoźnika lotniczego wyrażoną w formie wpisu tej osoby na listę pasażerów;

i)„załoga” oznacza każdą osobę znajdującą się na pokładzie samolotu podczas lotu, inną niż pasażer, która pracuje w samolocie i obsługuje go, w tym załogę lotniczą i personel pokładowy;

j)„podróżny” oznacza pasażera lub członka załogi;

k)„dane pasażera przekazywane przed podróżą” lub „dane API” oznaczają dane podróżnych i informacje o locie, o których mowa odpowiednio w art. 4 ust. 2 i 3;

l)„jednostka do spraw informacji o pasażerach” lub „JIP” oznacza właściwy organ, o którym mowa w art. 3 lit. i) rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API];

m)„router” oznacza router, o którym mowa w art. 9;

n)„dane osobowe” oznaczają informacje w rozumieniu art. 4 pkt 1 rozporządzenia (UE) 2016/679.

ROZDZIAŁ 2

GROMADZENIE I PRZEKAZYWANIE DANYCH API

Artykuł 4

Dane API, które mają być gromadzone przez przewoźników lotniczych

1.Przewoźnicy lotniczy gromadzą dane API podróżnych, obejmujące dane podróżnych i informacje o lotach określone odpowiednio w ust. 2 i 3 niniejszego artykułu w odniesieniu do lotów, o których mowa w art. 2, w celu przekazania tych danych API do routera zgodnie z art. 6.

2.Dane API obejmują następujące dane podróżnych dotyczące każdej osoby podróżującej w ramach danego lotu:

a)nazwisko; imię lub imiona;

b)datę urodzenia, płeć i obywatelstwo;

c)rodzaj i numer dokumentu podróży i trzyliterowy kod państwa wydającego dokument podróży;

d)datę upływu ważności dokumentu podróży;

e)informację, czy dany podróżny jest pasażerem czy członkiem załogi (status podróżnego);

f)numer identyfikujący dane dotyczące przelotu pasażera wykorzystywany przez przewoźnika lotniczego do zlokalizowania pasażera w swoim systemie informacyjnym (kod identyfikacyjny danych PNR);

g)informacje na temat miejsca na pokładzie, takie jak numer miejsca w samolocie przydzielonego pasażerowi, jeżeli przewoźnik lotniczy gromadzi takie informacje;

h)informacje na temat bagażu, takie jak liczba sztuk bagażu rejestrowanego, jeżeli przewoźnik lotniczy gromadzi takie informacje.

3.Dane API obejmują również następujące informacje o locie dotyczące lotu każdego podróżnego:

a)numer identyfikacyjny lotu lub, w przypadku braku takiego numeru, inny wyraźny i odpowiedni sposób identyfikacji lotu;

b)w stosownych przypadkach – przejście graniczne przylotu na terytorium państwa członkowskiego;

c)kod portu lotniczego przylotu na terytorium państwa członkowskiego;

d)początkowy punkt wejścia na pokład;

e)lokalna data i szacowana godzina odlotu;

f)lokalna data i szacowana godzina przylotu. 

Artykuł 5

Metody gromadzenia danych API

1.Przewoźnicy lotniczy gromadzą dane API określone w art. 4 w taki sposób, aby dane API przekazywane przez nich zgodnie z art. 6 były dokładne, kompletne i aktualne.

2.Przewoźnicy lotniczy gromadzą dane API, o których mowa w art. 4 ust. 2 lit. a)–d), w sposób zautomatyzowany umożliwiający pobieranie danych nadających się do odczytu maszynowego z dokumentu podróży danego podróżnego. Odbywa się to zgodnie ze szczegółowymi wymogami technicznymi i zasadami postępowania, o których mowa w ust. 4, jeżeli takie zasady zostały przyjęte i mają zastosowanie.

Jeżeli jednak gromadzenie danych w sposób zautomatyzowany nie jest możliwe, ponieważ dokument podróży nie zawiera danych nadających się do odczytu maszynowego, przewoźnicy lotniczy gromadzą te dane ręcznie, w sposób zapewniający zgodność z ust. 1.

3.Wszelkie metody gromadzenia danych w sposób zautomatyzowany stosowane przez przewoźników lotniczych do gromadzenia danych API na podstawie niniejszego rozporządzenia muszą być niezawodne, bezpieczne i aktualne.

4.Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 37 w celu uzupełnienia niniejszego rozporządzenia przez określenie szczegółowych wymogów technicznych i zasad postępowania w zakresie gromadzenia danych API, o których mowa w art. 4 ust. 2 lit. a)–d), w sposób zautomatyzowany zgodnie z ust. 2 i 3 niniejszego artykułu.

5.Przewoźnicy lotniczy, którzy w sposób zautomatyzowany gromadzą informacje, o których mowa w art. 3 ust. 1 dyrektywy 2004/82/WE, są do tego uprawnieni przy zastosowaniu wymogów technicznych dotyczących takiego wykorzystania, o których mowa w ust. 4, zgodnie z tą dyrektywą.

Artykuł 6

Obowiązki przewoźników lotniczych dotyczące przekazywania danych API

1.Przewoźnicy lotniczy przekazują dane API do routera drogą elektroniczną. Odbywa się to zgodnie ze szczegółowymi zasadami postępowania, o których mowa w ust. 3, jeżeli takie zasady zostały przyjęte i mają zastosowanie.

2.Przewoźnicy lotniczy przekazują dane API zarówno w chwili odprawy, jak i natychmiast po zakończeniu odprawy, tj. po wejściu pasażerów na pokład samolotu przygotowującego się do odlotu i gdy nie ma już możliwości wejścia na pokład ani opuszczenia samolotu.

3.Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 37 w celu uzupełnienia niniejszego rozporządzenia przez określenie niezbędnych szczegółowych zasad dotyczących wspólnych protokołów i obsługiwanych formatów danych, które mają być wykorzystywane na potrzeby przekazywania danych API do routera, o którym mowa w ust. 1.

4.W przypadku gdy po przekazaniu danych do routera przewoźnik lotniczy stwierdzi, że dane API są niedokładne, niekompletne, nieaktualne lub zostały przetworzone niezgodnie z prawem albo że dane te nie stanowią danych API, niezwłocznie informuje o tym Agencję Unii Europejskiej ds. Zarządzania Operacyjnego Wielkoskalowymi Systemami Informatycznymi w Przestrzeni Wolności, Bezpieczeństwa i Sprawiedliwości (eu-LISA). Po otrzymaniu takiej informacji eu-LISA niezwłocznie informuje o tym fakcie właściwą służbę graniczną, która otrzymała dane API przekazane za pośrednictwem routera.

Artykuł 7

Przetwarzanie otrzymanych danych API

Właściwe służby graniczne przetwarzają dane API, przekazane im zgodnie z niniejszym rozporządzeniem, wyłącznie do celów określonych w art. 1.

Artykuł 8

Przechowywanie i usuwanie danych API

1.Przewoźnicy lotniczy przechowują, przez 48 godzin od chwili wylotu, dane API dotyczące danego pasażera, które zgromadzili na podstawie z art. 4. Po upływie tego okresu niezwłocznie i trwale usuwają te dane API. 

2.Właściwe służby graniczne przechowują dane API dotyczące danego pasażera, które otrzymały za pośrednictwem routera na podstawie art. 11, przez 48 godzin od chwili wylotu. Po upływie tego okresu niezwłocznie i trwale usuwają te dane API.

3.W przypadku gdy przewoźnik lotniczy lub właściwa służba graniczna stwierdzi, że dane, które zgromadził, przekazał lub otrzymał zgodnie z niniejszym rozporządzeniem są niedokładne, niekompletne, nieaktualne lub zostały przetworzone niezgodnie z prawem, albo że dane te nie stanowią danych API, niezwłocznie poprawia, uzupełnia lub aktualizuje albo trwale usuwa te dane API. Pozostaje to bez uszczerbku dla możliwości zachowania i wykorzystywania danych przez przewoźników lotniczych, jeżeli jest to niezbędne do prowadzenia normalnej działalności zgodnie z obowiązującym prawem.

ROZDZIAŁ 3

PRZEPISY DOTYCZĄCE ROUTERA

Artykuł 9

Router

1.eu-LISA projektuje, opracowuje i obsługuje router oraz zarządza nim pod względem technicznym zgodnie z art. 22 i 23, aby ułatwić przekazywanie danych API przez przewoźników lotniczych właściwym służbom granicznym oraz JIP zgodnie z – odpowiednio – niniejszym rozporządzeniem i rozporządzeniem (UE) [w sprawie egzekwowania przepisów dotyczących API].

2.Router składa się z:

a)infrastruktury centralnej obejmującej zestaw elementów technicznych umożliwiających przekazywanie danych API;

b)bezpiecznego kanału komunikacji między infrastrukturą centralną a właściwymi służbami granicznymi i JIP oraz bezpiecznego kanału komunikacji między infrastrukturą centralną a przewoźnikami lotniczymi, służącego do przekazywania danych API i wszelkich powiązanych komunikatów.

3.Nie naruszając przepisów art. 10 niniejszego rozporządzenia, router współdzieli i ponownie wykorzystuje w zakresie, w jakim jest to technicznie możliwe, elementy techniczne – w tym sprzęt i oprogramowanie – usługi sieciowej, o której mowa w art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/2226 48 , portalu dla przewoźników, o którym mowa w art. 6 ust. 2 lit. k) rozporządzenia (UE) 2018/1240, oraz portalu dla przewoźników, o którym mowa w art. 2a lit. h) rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 767/2008 49 .

Artykuł 10

Korzystanie z routera na zasadzie wyłączności

Z routera korzystają wyłącznie przewoźnicy lotniczy w celu przekazywania danych API oraz właściwe służby graniczne i JIP w celu otrzymywania danych API, zgodnie z – odpowiednio – niniejszym rozporządzeniem i rozporządzeniem (UE) [w sprawie egzekwowania przepisów dotyczących API]. 

Artykuł 11

Przekazywanie danych API z routera do właściwych służb granicznych

1.Router niezwłocznie i w sposób zautomatyzowany przekazuje dane API, przesłane do niego zgodnie z art. 6, właściwym służbom granicznym państwa członkowskiego, o których mowa w art. 4 ust. 3 lit. c). Odbywa się to zgodnie ze szczegółowymi zasadami, o których mowa w ust. 4 niniejszego artykułu, jeżeli takie zasady zostały przyjęte i mają zastosowanie.

Do celów takiego przekazywania danych eu-LISA tworzy i aktualizuje tabelę korespondencji między poszczególnymi portami lotniczymi pochodzenia i przeznaczenia oraz krajami, w których te porty się znajdują.

2.Państwo członkowskie wyznacza właściwe służby graniczne upoważnione do otrzymywania danych API przekazywanych im z routera zgodnie z niniejszym rozporządzeniem. Do daty rozpoczęcia stosowania niniejszego rozporządzenia, o której mowa w art. 39 akapit drugi, państwa członkowskie przekazują eu-LISA i Komisji nazwy i dane kontaktowe właściwych służb granicznych i w stosownych przypadkach aktualizują przekazane informacje.

Na podstawie tych zgłoszeń i aktualizacji Komisja sporządza i udostępnia publicznie wykaz zgłoszonych właściwych służb granicznych zawierający ich dane kontaktowe.

3.Państwa członkowskie zapewniają, aby tylko upoważnieni pracownicy właściwych służb granicznych mieli dostęp do danych API przekazywanych tym służbom za pośrednictwem routera. Ustanawiają w tym celu niezbędne zasady. Obejmują one zasady dotyczące sporządzania i regularnego aktualizowania wykazu tych pracowników i ich profili.

4.Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 37 w celu uzupełnienia niniejszego rozporządzenia przez określenie niezbędnych technicznych i proceduralnych zasad szczegółowych dotyczących przekazywania danych API z routera, o którym mowa w ust. 1.

Artykuł 12

Usuwanie danych API z routera

Dane API przekazane do routera zgodnie z niniejszym rozporządzeniem oraz rozporządzeniem (UE) [w sprawie egzekwowania przepisów dotyczących API] przechowuje się w routerze tylko w zakresie niezbędnym do zakończenia procesu przekazywania ich odpowiednim właściwym służbom granicznym lub JIP, zgodnie z tymi rozporządzeniami, i bezzwłocznie, trwale i w sposób zautomatyzowany usuwa się te dane z routera w obu poniższych sytuacjach:

a)gdy zakończono przekazywanie danych API do odpowiednich właściwych służb granicznych lub JIP;

b)w odniesieniu do rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API] – gdy dane API dotyczą innych lotów wewnątrzunijnych niż te zawarte w wykazach, o których mowa w art. 5 ust. 2 wspomnianego rozporządzenia.

Artykuł 13

Prowadzenie rejestrów

1.eu-LISA prowadzi rejestry dotyczące wszystkich operacji przetwarzania związanych z przekazywaniem danych API za pośrednictwem routera na podstawie niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API]. Rejestry te obejmują: 

a)informacje o przewoźniku lotniczym, który przekazał dane API do routera;

b)informacje o właściwych służbach granicznych i JIP, do których przekazano dane API za pośrednictwem routera;

c)datę i godzinę czynności przekazania, o których mowa w lit. a) i b), oraz miejsce przekazania;

d)wszelkie prawa dostępu pracowników eu-LISA niezbędne do utrzymywania routera, o którym mowa w art. 23 ust. 3;

e)wszelkie inne informacje dotyczące tych operacji przetwarzania, niezbędne do monitorowania bezpieczeństwa i integralności danych API oraz zgodności tych operacji przetwarzania z prawem.

Rejestry te nie zawierają żadnych danych osobowych poza informacjami niezbędnymi do identyfikacji odpowiednich pracowników eu-LISA, o których mowa w akapicie pierwszym lit. d).

2.Przewoźnicy lotniczy tworzą rejestry dotyczące wszystkich operacji przetwarzania danych prowadzonych w sposób zautomatyzowany na podstawie niniejszego rozporządzenia, o których mowa w art. 5 ust. 2. Rejestry te obejmują datę, czas i miejsce przekazania danych API. 

3.Rejestry, o których mowa w ust. 1 i 2, wykorzystuje się wyłącznie w celu zapewnienia bezpieczeństwa i integralności danych API oraz legalności przetwarzania, w szczególności w odniesieniu do zgodności z wymogami określonymi w niniejszym rozporządzeniu i rozporządzeniu (UE) [w sprawie egzekwowania przepisów dotyczących API], w tym w postępowaniach dotyczących kar za naruszenie tych wymogów zgodnie z art. 29 i 30 niniejszego rozporządzenia.

4.eu-LISA i przewoźnicy lotniczy wprowadzają odpowiednie środki w celu ochrony rejestrów, które utworzyli na podstawie odpowiednio ust. 1 i 2, przed nieuprawnionym dostępem i innym ryzykiem dla bezpieczeństwa.

5.eu-LISA i przewoźnicy lotniczy utrzymują rejestry, które utworzyli na podstawie odpowiednio ust. 1 i 2, przez okres jednego roku od momentu ich utworzenia. Po upływie tego okresu niezwłocznie i trwale usuwają te rejestry.

Jeżeli jednak rejestry te są wymagane na potrzeby procedur monitorowania lub zapewniania bezpieczeństwa i integralności danych API lub legalności operacji przetwarzania, o których mowa w ust. 2, a procedury te już się rozpoczęły w chwili upływu okresu, o którym mowa w akapicie pierwszym, eu-LISA i przewoźnicy lotniczy mogą utrzymywać te rejestry tak długo, jak jest to konieczne do przeprowadzenia tych procedur. W takim przypadku niezwłocznie usuwają te rejestry, gdy nie są one już wymagane na potrzeby tych procedur.

Artykuł 14

Działania w przypadku braku technicznej możliwości korzystania z routera

1.W przypadku gdy korzystanie z routera w celu przekazywania danych API nie jest technicznie możliwe z powodu awarii routera, eu-LISA niezwłocznie i w sposób zautomatyzowany powiadamia przewoźników lotniczych i właściwe służby graniczne o takim braku technicznej możliwości korzystania z routera. W takim przypadku eu-LISA niezwłocznie podejmuje działania mające na celu usunięcie braku technicznej możliwości korzystania z routera i niezwłocznie powiadamia wspomniane podmioty o skutecznym rozwiązaniu tego problemu.

W okresie pomiędzy tymi powiadomieniami art. 6 ust. 1 nie ma zastosowania w zakresie, w jakim brak technicznej możliwości korzystania z routera uniemożliwia przekazywanie danych API do routera. W takim przypadku art. 4 ust. 1 i art. 8 ust. 1 również nie mają zastosowania do odnośnych danych API w tym okresie.

2.W przypadku gdy korzystanie z routera w celu przekazywania danych API nie jest technicznie możliwe z powodu awarii systemów lub infrastruktury państwa członkowskiego, o których mowa w art. 20, właściwe służby graniczne niezwłocznie i w sposób zautomatyzowany powiadamiają przewoźników lotniczych, właściwe organy pozostałych państw członkowskich, eu-LISA i Komisję o takim braku technicznej możliwości korzystania z routera. W takim przypadku dane państwo członkowskie niezwłocznie podejmuje działania mające na celu usunięcie braku technicznej możliwości korzystania z routera i niezwłocznie powiadamia wspomniane podmioty o skutecznym rozwiązaniu tego problemu.

W okresie pomiędzy tymi powiadomieniami art. 6 ust. 1 nie ma zastosowania w zakresie, w jakim brak technicznej możliwości korzystania z routera uniemożliwia przekazywanie danych API do routera. W takim przypadku art. 4 ust. 1 i art. 8 ust. 1 również nie mają zastosowania do odnośnych danych API w tym okresie.

3.W przypadku gdy korzystanie z routera w celu przekazywania danych API nie jest technicznie możliwe z powodu awarii systemów lub infrastruktury przewoźnika lotniczego, o których mowa w art. 21, ten przewoźnik lotniczy niezwłocznie i w sposób zautomatyzowany powiadamia właściwe służby graniczne, eu-LISA i Komisję o takim braku technicznej możliwości korzystania z routera. W takim przypadku dany przewoźnik lotniczy niezwłocznie podejmuje działania mające na celu usunięcie braku technicznej możliwości korzystania z routera i niezwłocznie powiadamia wspomniane podmioty o skutecznym rozwiązaniu tego problemu.

W okresie pomiędzy tymi powiadomieniami art. 6 ust. 1 nie ma zastosowania w zakresie, w jakim brak technicznej możliwości korzystania z routera uniemożliwia przekazywanie danych API do routera. W takim przypadku art. 4 ust. 1 i art. 8 ust. 1 również nie mają zastosowania do odnośnych danych API w tym okresie.

Po skutecznym usunięciu braku technicznej możliwości korzystania z routera dany przewoźnik lotniczy niezwłocznie przedkłada właściwemu krajowemu organowi nadzorczemu, o którym mowa w art. 29, sprawozdanie zawierające wszystkie niezbędne informacje na temat tego braku technicznej możliwości, w tym jego przyczyny, zakres i konsekwencje, a także środki wprowadzone w celu rozwiązania tego problemu.

ROZDZIAŁ 4

PRZEPISY SZCZEGÓŁOWE DOTYCZĄCE OCHRONY DANYCH OSOBOWYCH

Artykuł 15

Administratorzy danych osobowych

Właściwe służby graniczne są administratorami w rozumieniu art. 4 pkt 7 rozporządzenia (UE) 2016/679 w odniesieniu do przetwarzania danych API stanowiących dane osobowe przekazanych za pośrednictwem routera, w tym przekazywania i przechowywania tych danych w routerze ze względów technicznych, a także w odniesieniu do przetwarzania przez nie danych API stanowiących dane osobowe, o których mowa w art. 7 niniejszego rozporządzenia.

Przewoźnicy lotniczy są administratorami w rozumieniu art. 4 pkt 7 rozporządzenia (UE) 2016/679 w odniesieniu do przetwarzania danych API stanowiących dane osobowe za pośrednictwem routera w odniesieniu do gromadzenia tych danych i przekazywania ich do routera na podstawie niniejszego rozporządzenia.

Artykuł 16

Podmiot przetwarzający dane osobowe

eu-LISA jest podmiotem przetwarzającym w rozumieniu art. 3 pkt 12 rozporządzenia (UE) 2018/1725 w odniesieniu do przetwarzania danych API stanowiących dane osobowe za pośrednictwem routera na podstawie niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API].

Artykuł 17

Bezpieczeństwo

1.eu-LISA zapewnia bezpieczeństwo danych API, w szczególności danych API stanowiących dane osobowe, które przetwarza na podstawie niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API]. Właściwe służby graniczne i przewoźnicy lotniczy zapewniają bezpieczeństwo danych API, w szczególności danych API stanowiących dane osobowe, które przetwarzają na podstawie niniejszego rozporządzenia. eu-LISA, właściwe służby graniczne i przewoźnicy lotniczy współpracują ze sobą, w ramach swoich obowiązków i zgodnie z prawem Unii, w celu zapewnienia tego bezpieczeństwa.

2.W szczególności eu-LISA wprowadza niezbędne środki w celu zapewnienia bezpieczeństwa routera i danych API, a w szczególności danych API stanowiących dane osobowe przekazywanych za pośrednictwem routera, w tym poprzez opracowanie, wdrożenie i regularne aktualizowanie planu bezpieczeństwa, planu ciągłości działania i planu przywrócenia gotowości do pracy po wystąpieniu sytuacji nadzwyczajnej, w celu:

a)zapewnienia fizycznej ochrony routera, w tym poprzez opracowywanie planów awaryjnych na potrzeby ochrony jego kluczowych elementów;

b)zapobiegania wszelkiemu nieuprawnionemu przetwarzaniu danych API – w tym nieuprawnionemu dostępowi do nich oraz ich kopiowaniu, modyfikowaniu lub usuwaniu, zarówno podczas przekazywania danych API do i z routera, jak i podczas przechowywania danych API w routerze, gdy jest to niezbędne do zakończenia procesu przekazywania – w szczególności za pomocą odpowiednich technik szyfrowania;

c)zapewnienia możliwości sprawdzenia i ustalenia, którym właściwym służbom granicznym lub JIP można przekazywać dane API za pośrednictwem routera;

d)właściwego zgłaszania zarządowi wszelkich błędów w funkcjonowaniu routera;

e)monitorowania skuteczności środków bezpieczeństwa wymaganych na podstawie niniejszego artykułu i na podstawie rozporządzenia (UE) 2018/1725 oraz – w stosownych przypadkach – oceny i aktualizacji tych środków bezpieczeństwa w świetle zmian technologicznych lub operacyjnych.

Środki, o których mowa w akapicie pierwszym niniejszego ustępu, nie mają wpływu na art. 33 rozporządzenia (UE) 2018/1725 ani na art. 32 rozporządzenia (UE) 2016/679.

Artykuł 18

Monitorowanie własnej działalności

Przewoźnicy lotniczy i właściwe organy monitorują wypełnianie swoich obowiązków wynikających z niniejszego rozporządzenia, w szczególności w zakresie przetwarzania przez nich danych API stanowiących dane osobowe, w tym poprzez częstą weryfikację rejestrów, o których mowa w art. 13.

Artykuł 19

Kontrole ochrony danych osobowych

1.Właściwe krajowe organy ochrony danych, o których mowa w art. 51 rozporządzenia (UE) 2016/679, zapewniają przeprowadzenie co najmniej raz na cztery lata kontroli operacji przetwarzania danych API stanowiących dane osobowe, przeprowadzanych przez właściwe służby graniczne na potrzeby niniejszego rozporządzenia, zgodnie z odpowiednimi międzynarodowymi standardami kontroli.

2.Europejski Inspektor Ochrony Danych zapewnia przeprowadzenie co najmniej raz na rok kontroli operacji przetwarzania danych API stanowiących dane osobowe, przeprowadzanych przez eu-LISA na potrzeby niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API], zgodnie z odpowiednimi międzynarodowymi standardami kontroli. Sprawozdanie z takiej kontroli przekazuje się Parlamentowi Europejskiemu, Radzie, Komisji, państwom członkowskim i eu-LISA. eu-LISA ma możliwość przedstawienia uwag dotyczących sprawozdań przed ich przyjęciem.

3.W odniesieniu do operacji przetwarzania, o których mowa w ust. 2, na wniosek Europejskiego Inspektora Ochrony Danych eu-LISA przekazuje żądane informacje, udziela mu dostępu do wszelkich żądanych przez niego dokumentów i do rejestrów, o których mowa w art. 13 ust. 1, oraz umożliwia mu uzyskanie dostępu do wszystkich pomieszczeń eu-LISA w dowolnym momencie.

ROZDZIAŁ 5

PODŁĄCZENIE I DODATKOWE PRZEPISY DOTYCZĄCE ROUTERA

Artykuł 20

Podłączenie właściwych służb granicznych do routera

1.Państwa członkowskie zapewniają podłączenie ich właściwych służb granicznych do routera. Zapewniają one, aby systemy i infrastruktura właściwych służb granicznych służące do odbioru danych API, przekazywanych na podstawie niniejszego rozporządzenia, były zintegrowane z routerem.

Państwa członkowskie zapewniają, aby podłączenie do routera i integracja z nim umożliwiały ich właściwym służbom granicznym otrzymywanie i dalsze przetwarzanie danych API, jak również wymianę wszelkich powiązanych komunikatów, w sposób zgodny z prawem, bezpieczny, skuteczny i sprawny.

2.Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 37 w celu uzupełnienia niniejszego rozporządzenia przez określenie niezbędnych zasad szczegółowych dotyczących podłączenia do routera, o którym mowa w ust. 1, i integracji z nim.

Artykuł 21

Podłączenie przewoźników lotniczych do routera

1.Przewoźnicy lotniczy zapewniają, aby byli podłączeni do routera. Zapewniają oni, aby ich systemy i infrastruktura służące do przekazywania danych API do routera na podstawie niniejszego rozporządzenia były zintegrowane z routerem.

Przewoźnicy lotniczy zapewniają, aby podłączenie do routera i integracja z nim umożliwiały im przekazywanie danych API, jak również wymianę wszelkich powiązanych komunikatów, w sposób zgodny z prawem, bezpieczny, skuteczny i sprawny.

2.Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 37 w celu uzupełnienia niniejszego rozporządzenia przez określenie niezbędnych zasad szczegółowych dotyczących podłączenia do routera, o którym mowa w ust. 1, i integracji z nim.

Artykuł 22

Zadania eu-LISA związane z projektowaniem i opracowaniem routera

1.eu-LISA jest odpowiedzialna za sporządzenie projektu architektury fizycznej routera, jak również za określenie specyfikacji technicznych.

2.eu-LISA odpowiada za opracowanie routera, w tym za wszelkie dostosowania techniczne niezbędne do jego funkcjonowania.

Opracowanie routera obejmuje przygotowanie i wdrożenie specyfikacji technicznych, przeprowadzenie testów oraz ogólną koordynację projektu i zarządzanie nim w fazie opracowania.

3.eu-LISA zapewnia, aby router został zaprojektowany i opracowany w taki sposób, aby umożliwiał korzystanie z funkcji określonych w niniejszym rozporządzeniu i rozporządzeniu (UE) [w sprawie egzekwowania przepisów dotyczących API], a także aby został uruchomiony jak najszybciej po przyjęciu przez Komisję aktów delegowanych przewidzianych w art. 5 ust. 4, art. 6 ust. 3, art. 11 ust. 4, art. 20 ust. 2 i art. 21 ust. 2.

4.W przypadku gdy eu-LISA stwierdzi, że faza opracowania została zakończona, bez zbędnej zwłoki przeprowadza kompleksowy test routera we współpracy z właściwymi służbami granicznymi, JIP i innymi właściwymi organami państw członkowskich oraz przewoźnikami lotniczymi, a także informuje Komisję o wynikach tego testu.

Artykuł 23

Zadania eu-LISA związane z obsługą routera oraz zarządzaniem technicznym routerem

1.eu-LISA obsługuje router w swoich centrach technicznych.

2.eu-LISA jest odpowiedzialna za zarządzanie techniczne routerem, w tym za jego utrzymanie i rozwój techniczny, w sposób zapewniający bezpieczne, skuteczne i sprawne przekazywanie danych API za pośrednictwem routera, zgodnie z niniejszym rozporządzeniem i rozporządzeniem (UE) [w sprawie egzekwowania przepisów dotyczących API].

Zarządzanie techniczne routerem polega na wykonywaniu wszystkich zadań i wprowadzaniu wszystkich rozwiązań technicznych niezbędnych do zapewnienia prawidłowego funkcjonowania routera zgodnie z niniejszym rozporządzeniem i rozporządzeniem (UE) [w sprawie egzekwowania przepisów dotyczących API], w sposób nieprzerwany, przez 24 godziny na dobę, 7 dni w tygodniu. Obejmuje ono w szczególności prace konserwacyjne i zmiany techniczne konieczne do zapewnienia zadowalającego poziomu jakości technicznej funkcjonowania routera, w szczególności w zakresie dostępności, dokładności i niezawodności przekazywania danych API, zgodnie ze specyfikacją techniczną i w jak największym stopniu zgodnie z potrzebami operacyjnymi właściwych służb granicznych, JIP i przewoźników lotniczych.

3.eu-LISA nie ma dostępu do żadnych danych API przekazywanych za pośrednictwem routera. Zakaz ten nie wyklucza jednak możliwości uzyskania przez eu-LISA takiego dostępu w zakresie bezwzględnie niezbędnym do utrzymywania routera.

4.Bez uszczerbku dla ust. 3 niniejszego artykułu oraz art. 17 rozporządzenia Rady (EWG, Euratom, EWWiS) nr 259/68 50 , eu-LISA stosuje właściwe przepisy dotyczące tajemnicy zawodowej lub nakłada inne równoważne obowiązki zachowania poufności na swoich pracowników zobowiązanych do pracy z danymi API przekazywanymi za pośrednictwem routera. Obowiązek ten stosuje się także po odejściu tych pracowników z urzędu lub z pracy lub po zakończeniu przez nich działalności.

Artykuł 24

Zadania pomocnicze eu-LISA związane z routerem

1.Na wniosek właściwych służb granicznych, JIP i innych odpowiednich organów państw członkowskich oraz przewoźników lotniczych eu-LISA zapewnia im szkolenie w zakresie technicznego korzystania z routera.

2.eu-LISA zapewnia wsparcie właściwym służbom granicznym i JIP w zakresie odbioru danych API za pośrednictwem routera zgodnie z – odpowiednio – niniejszym rozporządzeniem i rozporządzeniem (UE) [w sprawie egzekwowania przepisów dotyczących API], w szczególności w kwestii stosowania art. 11 i 20 niniejszego rozporządzenia oraz art. 5 i 10 rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API].

Artykuł 25

Koszty ponoszone przez eu-LISA i państwa członkowskie

1.Koszty ponoszone przez eu-LISA w związku z zaprojektowaniem, opracowaniem i obsługą routera oraz zarządzaniem technicznym tym routerem na podstawie niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API] są pokrywane z budżetu ogólnego Unii.

2.Koszty ponoszone przez państwa członkowskie w związku z podłączeniem ich do routera i integracją z nim, o których mowa w art. 20, są pokrywane z budżetu ogólnego Unii.

Wyłącza się jednak następujące koszty, które pokrywają państwa członkowskie:

a)koszty dotyczące funkcjonowania biura zarządzania projektami, w tym koszty posiedzeń, podróży służbowych, lokali biurowych;

b)koszty dotyczące obsługi krajowych systemów informatycznych, w tym pomieszczeń, wdrażania, energii elektrycznej i chłodzenia;

c)koszty dotyczące funkcjonowania krajowych systemów informatycznych, w tym umów z operatorami i umów w zakresie wsparcia;

d)koszty dotyczące projektowania, opracowania, wdrażania, funkcjonowania i utrzymania krajowych sieci łączności.

3.Państwa członkowskie ponoszą również koszty powstałe w wyniku administrowania, użytkowania i konserwacji krajowych podłączeń do routera i integracji z nim.

Artykuł 26

Odpowiedzialność związana z routerem

Jeżeli niewypełnienie przez państwo członkowskie lub przewoźnika lotniczego obowiązków spoczywających na nim zgodnie z niniejszym rozporządzeniem spowoduje szkodę w routerze, wówczas dane państwo członkowskie lub dany przewoźnik lotniczy ponoszą odpowiedzialność za tę szkodę, chyba że – i w zakresie, w jakim – eu-LISA nie wprowadziła uzasadnionych środków zapobiegających wystąpieniu takiej szkody lub ograniczających jej skutki.

Artykuł 27

Uruchomienie routera

Komisja określa bez zbędnej zwłoki, w drodze aktu wykonawczego, termin uruchomienia routera po otrzymaniu informacji od eu-LISA o pomyślnym zakończeniu kompleksowego testu routera, o którym mowa w art. 22 ust. 4. Ten akt wykonawczy przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 36 ust. 2.

Komisja wyznacza termin, o którym mowa w akapicie pierwszym, na datę nie późniejszą niż 30 dni od przyjęcia tego aktu wykonawczego.

Artykuł 28

Korzystanie z routera na zasadzie dobrowolności w zastosowaniu dyrektywy 2004/81/WE

1.Przewoźnicy lotniczy są uprawnieni do korzystania z routera w celu przekazywania informacji, o których mowa w art. 3 ust. 1 dyrektywy 2004/82/WE, co najmniej jednemu z odpowiedzialnych organów, o których mowa w tej dyrektywie, zgodnie z tą dyrektywą, pod warunkiem że dany odpowiedzialny organ wyraził zgodę na takie korzystanie, od odpowiedniej daty ustalonej przez ten organ. Organ ten wyraża zgodę dopiero po ustaleniu, że – w szczególności w odniesieniu do własnego podłączenia do routera oraz podłączenia do danego przewoźnika lotniczego – informacje mogą być przekazywane w sposób zgodny z prawem, bezpieczny, skuteczny i sprawny.

2.Gdy przewoźnik lotniczy rozpocznie korzystanie z routera zgodnie z ust. 1, wykorzystuje router do przekazywania takich informacji danemu właściwemu organowi do daty rozpoczęcia stosowania niniejszego rozporządzenia, o której mowa w art. 39 akapit drugi. Zaprzestaje się jednak tego korzystania od odpowiedniej daty ustalonej przez ten organ, jeżeli organ ten uzna, że istnieją obiektywne powody wymagające takiego zaprzestania, i poinformuje o tym przewoźnika lotniczego.

3.Dany właściwy organ:

a)zasięga opinii eu-LISA przed wyrażeniem zgody na dobrowolne korzystanie z routera zgodnie z ust. 1;

b)z wyjątkiem sytuacji należycie uzasadnionych pilną potrzebą, umożliwia zainteresowanemu przewoźnikowi lotniczemu zgłoszenie uwag na temat zamiaru zaprzestania takiego korzystania zgodnie z ust. 2 oraz, w stosownych przypadkach, zasięgnięcie opinii eu-LISA w tej sprawie;

c)niezwłocznie informuje eu-LISA i Komisję o każdym przypadku takiego korzystania, na które wyraził zgodę, oraz o każdym zaprzestaniu takiego korzystania i przekazuje wszelkie niezbędne informacje, w tym, w stosownych przypadkach, datę rozpoczęcia korzystania z routera, datę zaprzestania korzystania z routera oraz przyczyny zaprzestania korzystania z routera. 

ROZDZIAŁ 6

NADZÓR, KARY, STATYSTYKI I PODRĘCZNIK

Artykuł 29

Krajowy organ nadzorczy

1.Państwa członkowskie wyznaczają co najmniej jeden krajowy organ nadzorczy odpowiedzialny za monitorowanie stosowania przez przewoźników lotniczych przepisów niniejszego rozporządzenia na ich terytorium oraz za zapewnienie zgodności z tymi przepisami.

2.Państwa członkowskie zapewniają, aby krajowe organy nadzorcze dysponowały wszelkimi niezbędnymi środkami oraz wszelkimi niezbędnymi uprawnieniami w zakresie prowadzonych postępowań przygotowawczych i uprawnieniami w zakresie egzekwowania przepisów w celu wykonywania swoich zadań na podstawie niniejszego rozporządzenia, które to zadania obejmują nakładanie w stosownych przypadkach kar, o których mowa w art. 30. Ponadto państwa członkowskie określają szczegółowe zasady wykonywania tych zadań i korzystania z tych uprawnień, zapewniając, aby wykonywanie tych zadań i korzystanie z tych uprawnień było skuteczne, proporcjonalne i odstraszające oraz podlegało zabezpieczeniom zgodnym z prawami podstawowymi gwarantowanymi przez prawo Unii.

3.Do daty rozpoczęcia stosowania niniejszego rozporządzenia, o której mowa w art. 21 akapit drugi, państwa członkowskie przekazują Komisji nazwy i dane kontaktowe organów, które wyznaczyły na podstawie ust. 1, oraz szczegółowe zasady, które ustanowiły na podstawie ust. 2. Państwa członkowskie niezwłocznie powiadamiają Komisję o wszelkich późniejszych zmianach lub modyfikacjach tych zasad.

4.Niniejszy artykuł nie narusza uprawnień organów nadzorczych, o których mowa w art. 51 rozporządzenia (UE) 2016/679.

Artykuł 30

Kary

Państwa członkowskie ustanawiają przepisy dotyczące kar mających zastosowanie w przypadku naruszeń przepisów niniejszego rozporządzenia i podejmują wszelkie niezbędne środki w celu zapewnienia ich wykonywania. Przewidziane kary muszą być skuteczne, proporcjonalne i odstraszające.

Do daty rozpoczęcia stosowania niniejszego rozporządzenia, o której mowa w art. 39 akapit drugi, państwa członkowskie powiadamiają Komisję o tych przepisach i środkach i niezwłocznie przekazują informacje o wszelkich późniejszych zmianach, które ich dotyczą.

Artykuł 31

Statystyki

1.Co kwartał eu-LISA publikuje statystyki dotyczące funkcjonowania routera, obejmujące w szczególności liczbę, obywatelstwo i kraj wyjazdu podróżnych, zwłaszcza tych podróżnych, którzy weszli na pokład samolotu, a posiadali niedokładne, niekompletne lub nieaktualne dane API, nieuznawany dokument podróży lub nie posiadali ważnej wizy bądź ważnego zezwolenia na wjazd, lub byli zgłoszeni jako osoby nadmiernie przedłużające pobyt, a także liczbę i obywatelstwo podróżnych.

2.eu-LISA przechowuje statystyki dzienne w centralnym repozytorium sprawozdawczo-statystycznym ustanowionym w art. 39 rozporządzenia (UE) 2019/817.

3.Na koniec każdego roku eu-LISA zestawia dane statystyczne w sprawozdaniu rocznym za dany rok. Publikuje ona to sprawozdanie roczne i przekazuje je Parlamentowi Europejskiemu, Radzie, Komisji, Europejskiemu Inspektorowi Ochrony Danych, Europejskiej Agencji Straży Granicznej i Przybrzeżnej oraz krajowym organom nadzorczym, o których mowa w art. 29.

4.Na wniosek Komisji eu-LISA dostarcza jej statystyki dotyczące określonych aspektów związanych z wdrożeniem niniejszego rozporządzenia i rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API], jak również statystyki zestawiane na podstawie ust. 3.

5.eu-LISA ma prawo dostępu – wyłącznie do celów sprawozdawczości, o której mowa w art. 38, i tworzenia statystyk zgodnie z niniejszym artykułem – do następujących danych API przekazywanych za pośrednictwem routera, który to dostęp nie umożliwia jednak identyfikacji danych podróżnych:

a)informacji, czy podróżny jest pasażerem czy członkiem załogi;

b)informacji o obywatelstwie, płci i roku urodzenia podróżnego;

c)daty i początkowego punktu wejścia na pokład oraz daty i portu lotniczego przylotu na terytorium docelowego państwa członkowskiego;

d)rodzaju dokumentu podróży, trzyliterowego kodu państwa wydającego dokument podróży oraz daty upływu ważności tego dokumentu;

e)informacji o liczbie podróżnych odprawionych na ten sam lot;

f)informacji, czy lot jest lotem regularnym czy nieregularnym;

g)informacji, czy dane osobowe podróżnego są dokładne, kompletne i aktualne.

6.Do celów sprawozdawczości, o której mowa w art. 38, i tworzenia statystyk zgodnie z niniejszym artykułem eu-LISA przechowuje dane, o których mowa w ust. 5 niniejszego artykułu, w centralnym repozytorium sprawozdawczo-statystycznym ustanowionym na mocy art. 39 rozporządzenia (UE) 2019/817. Wymienione w art. 39 ust. 1 tego rozporządzenia międzysystemowe dane statystyczne i sprawozdania analityczne umożliwiają właściwym służbom granicznym i innym odpowiednim organom państw członkowskich uzyskanie sprofilowanych do potrzeb sprawozdań i statystyk do celów, o których mowa w art. 1 niniejszego rozporządzenia.

7.Procedury wdrożone przez eu-LISA w celu monitorowaniu opracowania i funkcjonowania routera, o których mowa w art. 39 ust. 1 rozporządzenia (UE) 2019/817, obejmują możliwość regularnego generowania statystyk na potrzeby tego monitorowania.

Artykuł 32

Praktyczny podręcznik

Komisja, w ścisłej współpracy z właściwymi służbami granicznymi, innymi odpowiednimi organami państw członkowskich, przewoźnikami lotniczymi i właściwymi agencjami Unii, przygotowuje i udostępnia praktyczny podręcznik zawierający wytyczne, zalecenia i najlepsze praktyki dotyczące wdrażania niniejszego rozporządzenia.

Praktyczny podręcznik uwzględnia odpowiednie, istniejące już podręczniki.

Komisja przyjmuje praktyczny podręcznik w formie zalecenia.

ROZDZIAŁ 7

STOSUNEK DO INNYCH OBOWIĄZUJĄCYCH AKTÓW

Artykuł 33

Uchylenie dyrektywy 2004/82/WE

Dyrektywa 2004/82/WE traci moc z dniem rozpoczęcia stosowania niniejszego rozporządzenia, o czym mowa w art. 39 akapit drugi.

Artykuł 34

Zmiany w rozporządzeniu (UE) 2018/1726

W rozporządzeniu (UE) 2018/1726 wprowadza się następujące zmiany:

(1)dodaje się art. 13b w brzmieniu:

„Artykuł 13b

Zadania związane z routerem 

W odniesieniu do rozporządzenia Parlamentu Europejskiego i Rady (UE) …/…* [niniejsze rozporządzenie] oraz rozporządzenia (UE) [w sprawie egzekwowania przepisów dotyczących API] Agencja wykonuje zadania związane z routerem powierzone jej na mocy tych rozporządzeń.

___________

*    Rozporządzenie Parlamentu Europejskiego i Rady (UE) [numer] z dnia xy r. w sprawie [oficjalnie przyjęty tytuł] (Dz.U. L … z …, s. …).”;

(1)art. 17 ust. 3 otrzymuje brzmienie:

„3. Siedzibą Agencji jest Tallin (Estonia).

Zadania związane z rozwojem i zarządzaniem operacyjnym, o których mowa w art. 1 ust. 4 i 5, art. 3–9 oraz art. 11, [13a] i 13b są wykonywane w centrum technicznym w Strasburgu, we Francji.

Obiekt zapasowy, który umożliwia zapewnienie działania wielkoskalowego systemu informatycznego w przypadku awarii takiego systemu, jest zlokalizowany w Sankt Johann im Pongau, w Austrii.”;

(2)w art. 19 ust. 1 wprowadza się następujące zmiany:

a)dodaje się lit. eeb) w brzmieniu:

„eeb) przyjmuje sprawozdania ze stanu prac nad opracowaniem routera zgodnie z art. 38 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) .../... * [niniejsze rozporządzenie];

___________

*    Rozporządzenie Parlamentu Europejskiego i Rady (UE) [numer] z dnia xy r. w sprawie [oficjalnie przyjęty tytuł] (Dz.U. L … z …, s. …).”;

b)lit. ff) otrzymuje brzmienie:

„ff) przyjmuje sprawozdania dotyczące technicznego funkcjonowania:

(1)systemu SIS – na podstawie art. 60 ust. 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1861* oraz art. 74 ust. 8 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1862**;

(2)systemu VIS – na podstawie art. 50 ust. 3 rozporządzenia (WE) nr 767/2008 i art. 17 ust. 3 decyzji 2008/633/WSiSW;

(3)systemu EES – na podstawie art. 72 ust. 4 rozporządzenia (UE) 2017/2226;

(4)systemu ETIAS – na podstawie art. 92 ust. 4 rozporządzenia (UE) 2018/1240;

(5)systemu ECRIS-TCN i oprogramowania wzorcowego ECRIS – na podstawie art. 36 ust. 8 rozporządzenia (UE) 2019/816;

(6)elementów interoperacyjności – na podstawie art. 78 ust. 3 rozporządzenia (UE) 2019/817 i art. 74 ust. 3 rozporządzenia (UE) 2019/818 – oraz routera – na podstawie art. 79 ust. 5 rozporządzenia Parlamentu Europejskiego i Rady (UE) .../...* [rozporządzenie Prüm II] i art. 38 ust. 5 rozporządzenia Parlamentu Europejskiego i Rady (UE) .../...* [niniejsze rozporządzenie];

(3)systemu e-CODEX – na podstawie art. 16 ust. 1 rozporządzenia (UE) 2022/850;

___________

*Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1861 z dnia 28 listopada 2018 r. w sprawie utworzenia, funkcjonowania i użytkowania Systemu Informacyjnego Schengen (SIS) w dziedzinie odpraw granicznych, zmiany konwencji wykonawczej do układu z Schengen oraz zmiany i uchylenia rozporządzenia (WE) nr 1987/2006 (Dz.U. L 312 z 7.12.2018, s. 14).

**Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1862 z dnia 28 listopada 2018 r. w sprawie utworzenia, funkcjonowania i użytkowania Systemu Informacyjnego Schengen (SIS) w dziedzinie współpracy policyjnej i współpracy wymiarów sprawiedliwości w sprawach karnych, zmiany i uchylenia decyzji Rady 2007/533/WSiSW oraz uchylenia rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 1986/2006 i decyzji Komisji 2010/261/UE ( Dz.U. L 312 z 7.12.2018, s. 56 ).”;

c) lit. hh) otrzymuje brzmienie:

„hh) przyjmuje oficjalne uwagi do sprawozdań Europejskiego Inspektora Ochrony Danych z audytów, na podstawie art. 56 ust. 2 rozporządzenia (UE) 2018/1861, art. 42 ust. 2 rozporządzenia (WE) nr 767/2008 i art. 31 ust. 2 rozporządzenia (UE) nr 603/2013, art. 56 ust. 2 rozporządzenia (UE) 2017/2226, art. 67 rozporządzenia (UE) 2018/1240, art. 29 ust. 2 rozporządzenia (UE) 2019/816, art. 52 rozporządzeń (UE) 2019/817 i (UE) 2019/818, art. 60 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) .../...* [Prüm II] i art. 19 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) .../...* [niniejsze rozporządzenie], a także zapewnia odpowiednie działania następcze w sprawie tych audytów;

___________

(4)* Rozporządzenie Parlamentu Europejskiego i Rady (UE) [numer] z dnia xy r. w sprawie [oficjalnie przyjęty tytuł] (Dz.U. L … z …, s. …).”.

Artykuł 35

Zmiany w rozporządzeniu (UE) 2019/817

___________

(1)W art. 39 ust. 1 i 2 otrzymują brzmienie:

„1. Centralne repozytorium sprawozdawczo-statystyczne ustanawia się, aby wspierać realizację celów systemów EES, VIS, ETIAS i SIS zgodnie z odpowiednimi aktami prawnymi regulującymi te systemy oraz zapewniać międzysystemowe dane statystyczne i sprawozdania analityczne służące strategiom politycznym, celom operacyjnym i celom związanym z jakością danych. Centralne repozytorium sprawozdawczo-statystyczne wspiera również cele rozporządzenia Parlamentu Europejskiego i Rady (UE) …/…* [niniejsze rozporządzenia].

*    Rozporządzenie Parlamentu Europejskiego i Rady (UE) [numer] z dnia xy r. w sprawie [oficjalnie przyjęty tytuł] (Dz.U. L … z …, s. …).

 2. eu-LISA ustanawia, wdraża i obsługuje w swoich centrach technicznych centralne repozytorium sprawozdawczo-statystyczne zawierające dane i statystyki, o których mowa w art. 63 rozporządzenia (UE) 2017/2226, art. 17 rozporządzenia (WE) nr 767/2008, art. 84 rozporządzenia (UE) 2018/1240, art. 60 rozporządzenia (UE) 2018/1861 oraz art. 16 rozporządzenia (UE) 2018/1860, logicznie oddzielone według systemu informacyjnego UE. eu-LISA gromadzi również dane i statystyki z routera, o których mowa w art. 31 ust. 1 rozporządzenia (UE) .../... * [niniejsze rozporządzenie]. Dostęp do centralnego repozytorium sprawozdawczo-statystycznego w postaci kontrolowanego, bezpiecznego dostępu i określonych profili użytkowników przyznaje się – wyłącznie w celach sprawozdawczo-statystycznych – organom, o których mowa w art. 63 rozporządzenia (UE) 2017/2226, art. 17 rozporządzenia (WE) nr 767/2008, art. 84 rozporządzenia (UE) 2018/1240, art. 60 rozporządzenia (UE) 2018/1861 i art. 38 ust. 2 rozporządzenia (UE) .../... [niniejsze rozporządzenie].”.

ROZDZIAŁ 8

PRZEPISY KOŃCOWE

Artykuł 36

Procedura komitetowa

1.Komisję wspomaga komitet. Komitet ten jest komitetem w rozumieniu rozporządzenia (UE) nr 182/2011.

2.W przypadku odesłania do niniejszego ustępu stosuje się art. 5 rozporządzenia (UE) nr 182/2011. W przypadku gdy komitet nie wyda żadnej opinii, Komisja nie przyjmuje projektu aktu wykonawczego i stosuje się art. 5 ust. 4 akapit trzeci rozporządzenia (UE) nr 182/2011.

Artykuł 37

Wykonywanie przekazanych uprawnień

1.Powierzenie Komisji uprawnień do przyjmowania aktów delegowanych podlega warunkom określonym w niniejszym artykule.

2.Uprawnienia do przyjmowania aktów delegowanych, o których mowa w art. 5 ust. 4, art. 6 ust. 3, art. 11 ust. 4, art. 20 ust. 2 i art. 21 ust. 2, powierza się Komisji na okres pięciu lat od dnia [data przyjęcia rozporządzenia]. Komisja sporządza sprawozdanie dotyczące przekazania uprawnień nie później niż dziewięć miesięcy przed końcem okresu pięciu lat. Przekazanie uprawnień zostaje automatycznie przedłużone na takie same okresy, chyba że Parlament Europejski lub Rada sprzeciwią się takiemu przedłużeniu nie później niż trzy miesiące przed końcem każdego okresu.

3.Przekazanie uprawnień, o którym mowa w art. 5 ust. 4, art. 6 ust. 3, art. 11 ust. 4, art. 20 ust. 2 i art. 21 ust. 2, może zostać w dowolnym momencie odwołane przez Parlament Europejski lub przez Radę. Decyzja o odwołaniu kończy przekazanie określonych w niej uprawnień. Decyzja o odwołaniu staje się skuteczna następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej lub w późniejszym terminie określonym w tej decyzji. Nie wpływa ona na ważność już obowiązujących aktów delegowanych.

4.Przed przyjęciem aktu delegowanego Komisja konsultuje się z ekspertami wyznaczonymi przez każde państwo członkowskie zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa.

5.Niezwłocznie po przyjęciu aktu delegowanego Komisja przekazuje go równocześnie Parlamentowi Europejskiemu i Radzie.

Artykuł 38

Monitorowanie i ocena

1.eu-LISA zapewnia wdrożenie procedur w zakresie monitorowania opracowania routera pod kątem celów dotyczących planowania i kosztów oraz procedur w zakresie monitorowania funkcjonowania routera pod kątem celów w zakresie rezultatów technicznych, efektywności kosztowej, bezpieczeństwa i jakości działania.

2.Do dnia [rok po dacie wejścia w życie niniejszego rozporządzenia], a następnie co roku w trakcie fazy opracowania routera, eu-LISA sporządza i przedstawia Parlamentowi Europejskiemu i Radzie sprawozdanie z aktualnej sytuacji w zakresie opracowania routera. Sprawozdanie to zawiera szczegółowe informacje na temat poniesionych kosztów oraz wszelkich rodzajów ryzyka, które mogą mieć wpływ na ogólne koszty pokrywane z budżetu ogólnego Unii zgodnie z art. 25.

3.Po uruchomieniu routera eu-LISA sporządza i przekazuje Parlamentowi Europejskiemu i Radzie sprawozdanie zawierające szczegółowe wyjaśnienia dotyczące sposobu osiągnięcia celów, w szczególności w zakresie planowania i kosztów, a także zawierające uzasadnienie wszelkich rozbieżności.

4.Do dnia [cztery lata od daty wejścia w życie niniejszego rozporządzenia], a następnie co cztery lata Komisja sporządza sprawozdanie zawierające ogólną ocenę niniejszego rozporządzenia, w tym ocenę:

a)stosowania niniejszego rozporządzenia;

b)zakresu, w jakim niniejsze rozporządzenie osiągnęło swoje cele;

c)wpływu niniejszego rozporządzenia na odpowiednie prawa podstawowe chronione prawem Unii.

5.Komisja przekazuje powyższe sprawozdanie oceniające Parlamentowi Europejskiemu, Radzie, Europejskiemu Inspektorowi Ochrony Danych i Agencji Praw Podstawowych Unii Europejskiej. W stosownych przypadkach, w świetle przeprowadzonej oceny, Komisja przedstawia Parlamentowi Europejskiemu i Radzie wniosek ustawodawczy w celu zmiany niniejszego rozporządzenia.

6.Państwa członkowskie i przewoźnicy lotniczy przekazują eu-LISA i Komisji, na ich wniosek, informacje niezbędne do sporządzania sprawozdań, o których mowa w ust. 2, 3 i 4, w tym informacje niestanowiące danych osobowych związane z wynikami wstępnych kontroli unijnych systemów informacyjnych i krajowych baz danych przeprowadzonych na granicach zewnętrznych z wykorzystaniem danych API. Państwa członkowskie mogą jednak powstrzymać się od przekazania takich informacji, jeżeli jest to niezbędne – i w stopniu, w jakim jest to niezbędne – aby nie ujawniać poufnych metod pracy ani nie zagrażać trwającym postępowaniom przygotowawczym prowadzonym przez właściwe służby graniczne. Komisja zapewnia odpowiednią ochronę wszelkich przekazanych informacji poufnych.

Artykuł 39

Wejście w życie i rozpoczęcie stosowania

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie stosuje się po upływie dwóch lat od daty uruchomienia routera, którą to datę określa Komisja zgodnie z art. 27.

Jednakże:

a)art. 5 ust. 4 i 5, art. 6 ust. 3, art. 11 ust. 4, art. 20 ust. 2, art. 21 ust. 2, art. 22, art. 25 ust. 1, art. 27, 36 i 37 stosuje się od [data wejścia w życie niniejszego rozporządzenia];

b)art. 10, art. 13 ust. 1, 3 i 4, art. 15, 16, 17, 23, 24, 26 i 28 stosuje się od daty uruchomienia routera, którą to datę określa Komisja zgodnie z art. 27.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane w państwach członkowskich zgodnie z Traktatami.

Sporządzono w Strasburgu dnia r.

OCENA SKUTKÓW FINANSOWYCH REGULACJI

1.STRUKTURA WNIOSKU/INICJATYWY

1.1.Tytuł wniosku/inicjatywy

1.2.Obszary polityki, których dotyczy wniosek/inicjatywa

1.3.Wniosek/inicjatywa dotyczy:

1.4.Cel(e)

1.4.1.Cel(e) ogólny(e)

1.4.2.Cel(e) szczegółowy(e)

1.4.3.Oczekiwane wyniki i wpływ

1.4.4.Wskaźniki dotyczące realizacji celów

1.5.Uzasadnienie wniosku/inicjatywy

1.5.1.Potrzeby, które należy zaspokoić w perspektywie krótko- lub długoterminowej, w tym szczegółowy terminarz przebiegu realizacji inicjatywy

1.5.2.Wartość dodana z tytułu zaangażowania Unii Europejskiej (może wynikać z różnych czynników, na przykład korzyści koordynacyjnych, pewności prawa, większej efektywności lub komplementarności). Na potrzeby tego punktu „wartość dodaną z tytułu zaangażowania Unii” należy rozumieć jako wartość wynikającą z unijnej interwencji, wykraczającą poza wartość, która zostałaby wytworzona przez same państwa członkowskie.

1.5.3.Główne wnioski wyciągnięte z podobnych działań

1.5.4.Spójność z wieloletnimi ramami finansowymi oraz możliwa synergia z innymi właściwymi instrumentami

1.5.5.Ocena różnych dostępnych możliwości finansowania, w tym zakresu przegrupowania środków

1.6.Czas trwania i wpływ finansowy wniosku/inicjatywy

1.7.Planowane tryby zarządzania

2.ŚRODKI ZARZĄDZANIA

2.1.Zasady nadzoru i sprawozdawczości

2.2.System zarządzania i kontroli

2.2.1.Uzasadnienie dla systemu zarządzania, mechanizmów finansowania wykonania, warunków płatności i proponowanej strategii kontroli

2.2.2.Informacje dotyczące zidentyfikowanego ryzyka i systemów kontroli wewnętrznej ustanowionych w celu jego ograniczenia

2.2.3.Oszacowanie i uzasadnienie efektywności kosztowej kontroli (relacja kosztów kontroli do wartości zarządzanych funduszy powiązanych) oraz ocena prawdopodobnego ryzyka błędu (przy płatności i przy zamykaniu)

2.3.Środki zapobiegania nadużyciom finansowym i nieprawidłowościom

3.SZACUNKOWY WPŁYW FINANSOWY WNIOSKU/INICJATYWY

3.1.Działy wieloletnich ram finansowych i linie budżetowe po stronie wydatków, na które wniosek/inicjatywa ma wpływ

3.2.Szacunkowy wpływ finansowy wniosku na środki

3.2.1.Podsumowanie szacunkowego wpływu na środki operacyjne

3.2.2.Przewidywany produkt finansowany ze środków operacyjnych

3.2.3.Podsumowanie szacunkowego wpływu na środki administracyjne

3.2.4.Zgodność z obowiązującymi wieloletnimi ramami finansowymi

3.2.5.Udział osób trzecich w finansowaniu

3.3.Szacunkowy wpływ na dochody

1.STRUKTURA WNIOSKÓW

1.1.Tytuł wniosków

1.2.Obszary polityki, których dotyczy wniosek/inicjatywa 

1.3.Wniosek/inicjatywa dotyczy: 

◻ nowego działania 

◻ nowego działania, będącego następstwem projektu pilotażowego/działania przygotowawczego 51  

⌧ przedłużenia bieżącego działania 

◻ połączenia lub przekształcenia co najmniej jednego działania pod kątem innego/nowego działania 

1.4.Cel(e)

1.4.1.Cel(e) ogólny(e)

1.4.2.Cel(e) szczegółowy(e)

1.4.3.Oczekiwane wyniki i wpływ

Należy wskazać, jakie efekty przyniesie wniosek/inicjatywa beneficjentom/grupie docelowej.

1.4.4.Wskaźniki dotyczące realizacji celów

Należy wskazać wskaźniki stosowane do monitorowania postępów i osiągnięć.

–termin uruchomienia (przewidywany i regularnie zgłaszany przez zarząd eu-LISA) (docelowo T0+5 lat)

–Odsetek linii lotniczych podłączonych do centralnego routera, obsługujących trasy poza strefą Schengen (docelowo 100 %)

–Liczba krajowych organów zarządzania granicami otrzymujących informacje z routera centralnego

–Liczba bezpośrednich połączeń między liniami lotniczymi a krajowymi organami zarządzania granicami do celów API (docelowo 0)

–Wskaźnik: Liczba zbiorów danych API przekazanych bezpośrednio krajowym organom zarządzania granicami/liczba zbiorów danych API przekazanych do routera (docelowo 0 %)

–Odsetek lotów, w przypadku których krajowe organy zarządzania granicami otrzymały zbiory danych API (docelowo 100 %)

–Odsetek lotów, w przypadku których krajowe organy zarządzania granicami otrzymały zbiory danych API w czasie krótszym niż 30 minut od startu (docelowo 100 %)

–Liczba i wysokość kar nałożonych na linie lotnicze za przyjęcie na pokład podróżnego na podstawie dokumentu podróży zawierającego dane przeznaczone do odczytu maszynowego, które są nieprawdziwe (docelowo 0)

–Liczba i wysokość kar nałożonych na linie lotnicze w związku z przekazywaniem niedokładnych lub niekompletnych zbiorów danych (docelowo 0)

–Liczba i wysokość kar nałożonych na linie lotnicze w związku z brakiem zbiorów danych (docelowo 0)

–Odsetek zbiorów danych API zawierających pełny zestaw danych dotyczących tożsamości (100 %)

–Odsetek zbiorów danych API poprawnych pod względem syntaktycznym (100 %)

–Liczba podróżnych objętych wstępną kontrolą w przypadku lotów przychodzących objętych kontrolą: (taka sama liczba, jak liczba przybywających podróżnych)

–Odsetek trafień stwierdzonych na granicy, które zostały już wykryte podczas wstępnych kontroli dotyczących lotów przychodzących objętych kontrolą: docelowo 100 %

–Odsetek linii lotniczych podłączonych do interfejsu przewoźnika/routera centralnego, obsługujących trasy wewnątrzunijne (docelowo 100 %)

–Liczba JIP podłączonych do routera centralnego (docelowo 26)

–Liczba bezpośrednich połączeń między liniami lotniczymi a JIP do celów API (docelowo 0)

–Wskaźnik: Liczba zbiorów danych API przekazanych bezpośrednio JIP/liczba zbiorów danych API przekazanych do routera (docelowo 0 %)

–Odsetek otrzymanych danych PNR z odpowiadającymi im danymi API (docelowo 100 %)

–Liczba automatycznych dopasowań i trafień (tylko z danymi PNR, tylko z danymi API, z danymi PNR i API)

1.5.Uzasadnienie wniosku/inicjatywy 

1.5.1.Potrzeby, które należy zaspokoić w perspektywie krótko- lub długoterminowej, w tym szczegółowy terminarz przebiegu realizacji inicjatywy

–w przypadku przewoźników lotniczych: w zakresie gromadzenia i przekazywania danych API do interfejsu przewoźnika oraz systematycznego gromadzenia danych w sposób zautomatyzowany;

–w przypadku państw członkowskich: w zakresie gromadzenia danych API za pośrednictwem routera.

1.5.2.Wartość dodana z tytułu zaangażowania Unii Europejskiej (może wynikać z różnych czynników, na przykład korzyści koordynacyjnych, pewności prawa, większej efektywności lub komplementarności). Na potrzeby tego punktu „wartość dodaną z tytułu zaangażowania Unii” należy rozumieć jako wartość wynikającą z unijnej interwencji, wykraczającą poza wartość, która zostałaby wytworzona przez same państwa członkowskie.

1.5.3.Główne wnioski wyciągnięte z podobnych działań

1.5.4.Spójność z wieloletnimi ramami finansowymi oraz możliwa synergia z innymi właściwymi instrumentami

1.5.5.Ocena różnych dostępnych możliwości finansowania, w tym zakresu przegrupowania środków

1.6.Czas trwania i wpływ finansowy wniosku/inicjatywy

◻ Ograniczony czas trwania

–◻    Okres trwania wniosku/inicjatywy: od [DD/MM]RRRR r. do [DD/MM]RRRR r.

–◻    Okres trwania wpływu finansowego: od RRRR r. do RRRR r. w odniesieniu do środków na zobowiązania oraz od RRRR r. do RRRR r. w odniesieniu do środków na płatności.

⌧ Nieograniczony czas trwania

–Wprowadzenie w życie z okresem rozruchu od 2024 r. do 2028 r.,

–po którym następuje faza operacyjna od 2029 r.

1.7.Planowane tryby zarządzania 54  

◻ Bezpośrednie zarządzanie przez Komisję

–◻ w ramach jej służb, w tym za pośrednictwem jej pracowników w delegaturach Unii;

–◻    przez agencje wykonawcze;

⌧ Zarządzanie dzielone z państwami członkowskimi

⌧ Zarządzanie pośrednie poprzez przekazanie zadań związanych z wykonaniem budżetu:

–◻ państwom trzecim lub organom przez nie wyznaczonym;

–◻ organizacjom międzynarodowym i ich agencjom (należy wyszczególnić);

–◻ EBI oraz Europejskiemu Funduszowi Inwestycyjnemu;

–⌧ organom, o których mowa w art. 70 i 71 rozporządzenia finansowego;

–◻ organom prawa publicznego;

–◻ podmiotom podlegającym prawu prywatnemu, które świadczą usługi użyteczności publicznej, o ile zapewniają one odpowiednie gwarancje finansowe;

–◻ podmiotom podlegającym prawu prywatnemu państwa członkowskiego, którym powierzono realizację partnerstwa publiczno-prywatnego oraz które zapewniają odpowiednie gwarancje finansowe;

–◻ osobom odpowiedzialnym za wykonanie określonych działań w dziedzinie wspólnej polityki zagranicznej i bezpieczeństwa na mocy tytułu V Traktatu o Unii Europejskiej oraz określonym we właściwym podstawowym akcie prawnym.

–W przypadku wskazania więcej niż jednego trybu należy podać dodatkowe informacje w części „Uwagi”.

Uwagi

2.ŚRODKI ZARZĄDZANIA 

2.1.Zasady nadzoru i sprawozdawczości 

Określić częstotliwość i warunki

2.2.System zarządzania i kontroli 

2.2.1.Uzasadnienie dla systemu zarządzania, mechanizmów finansowania wykonania, warunków płatności i proponowanej strategii kontroli

2.2.2.Informacje dotyczące zidentyfikowanego ryzyka i systemów kontroli wewnętrznej ustanowionych w celu jego ograniczenia

2.2.3.Oszacowanie i uzasadnienie efektywności kosztowej kontroli (relacja kosztów kontroli do wartości zarządzanych funduszy powiązanych) oraz ocena prawdopodobnego ryzyka błędu (przy płatności i przy zamykaniu) 

2.3.Środki zapobiegania nadużyciom finansowym i nieprawidłowościom 

Określić istniejące lub przewidywane środki zapobiegania i ochrony, np. ze strategii zwalczania nadużyć finansowych.

3.SZACUNKOWY WPŁYW FINANSOWY WNIOSKU/INICJATYWY 

3.1.Działy wieloletnich ram finansowych i linie budżetowe po stronie wydatków, na które wniosek/inicjatywa ma wpływ 

·Istniejące linie budżetowe

Według działów wieloletnich ram finansowych i linii budżetowych

·Proponowane nowe linie budżetowe

Według działów wieloletnich ram finansowych i linii budżetowych

3.2.Szacunkowy wpływ finansowy wniosku na środki 

3.2.1.Podsumowanie szacunkowego wpływu na środki operacyjne 

–◻    Wniosek/inicjatywa nie wiąże się z koniecznością wykorzystania środków operacyjnych

–⌧    Wniosek/inicjatywa wiąże się z koniecznością wykorzystania środków operacyjnych, jak określono poniżej:

w mln EUR (do trzech miejsc po przecinku)

Niniejszą część uzupełnia się przy użyciu „danych budżetowych o charakterze administracyjnym”, które należy najpierw wprowadzić do załącznika do oceny skutków finansowych regulacji (załącznika V do zasad wewnętrznych), przesyłanego do DECIDE w celu konsultacji między służbami.

w mln EUR (do trzech miejsc po przecinku)

w mln EUR (do trzech miejsc po przecinku)

3.2.2.Przewidywany produkt finansowany ze środków operacyjnych 

Środki na zobowiązania w mln EUR (do trzech miejsc po przecinku)