Insamling och överföring av förhandsinformation om passagerare

VIKTIGA PUNKTER

Omfattning och tillämplighet

Båda förordningarna gäller lufttrafikföretag som utför passagerarflygningar, inklusive de som transporterar passagerare som ansluter till andra destinationer (transitpassagerare) och icke-tjänstgörande besättningsmedlemmar. Förordning (EU) 2025/13 är också tillämplig på tjänstgörande besättningsmedlemmar.

• Förordning (EU) 2025/12 är tillämplig på flygningar från länder utanför EU till de EU:s medlemsstater som tillämpar denna förordning och till de Schengenassocierade länderna (Island, Liechtenstein, Norge och Schweiz).
• Förordning (EU) 2025/13 är tillämplig på:
  • flygningar mellan medlemsstater som tillämpar denna förordning och länder utanför EU (flygningar utanför EU),
  • utvalda flygningar inom EU (flygningar inom EU), men endast om medlemsstaten tillämpar bestämmelserna om användning av PNR-uppgifter på dessa flygningar.

Dessa förordningar gäller inte för militära flygningar, nödflygningar, medicinska flygningar eller skolflygningar.

Lufttrafikföretagens skyldigheter

Lufttrafikföretagen ska:

• samla in API-uppgifter för varje passagerare och besättningsmedlem, inklusive:
  • Fullständigt namn, födelsedatum, kön, nationalitet.
  • Uppgifter om resehandlingen (typ, nummer, sista giltighetsdag, utfärdande land).
  • Flygnummer, sätesnummer, bagageinformation (om sådan finns).
  • Lokalisering av PNR-uppgifter (i förekommande fall).
  • Insamlingsmetod (automatisk/manuell).
• använda automatiserade metoder (t.ex. skanning av maskinläsbara zoner i resehandlingar) för att säkerställa riktighet och fullständighet – manuell inmatning är endast tillåten under en övergångsperiod eller under exceptionella omständigheter där automatiserad insamling är tekniskt omöjlig,
• överföra data elektroniskt och säkert till EU:s API/PNR-router:
  • en gång vid incheckningen (per passagerare) och
  • igen efter att flygningen stängts (för alla passagerare och besättning ombord).

Gemensam router för dataöverföring

Den gemensamma API/PNR-routern för EU, som drivs av eu-Lisa, är det exklusiva gränssnittet för överföring av API- och PNR-uppgifter. Den tar emot API- och PNR-uppgifter från lufttrafikföretag, validerar det tekniska formatet och integriteten, överför automatiskt API-uppgifter till nationella gränsmyndigheter (för förordning (EU) 2025/12) eller API- och PNR-uppgifter till nationella enheter för passagerarinformation (för förordning (EU) 2025/13). Routern är raderar data omedelbart efter överföring, och behåller den endast tillfälligt för att planera rutter.

Alla sändningar måste använda end-to-end-kryptering. Routern säkerställer kompatibilitet med relevanta it-system i EU, t.ex. systemet för in- och utresa (in- och utresesystemet), det europeiska system för reseinformation och resetillstånd (Etias) och informationssystemet för viseringar (VIS). Den eliminerar också behovet av flera direktförbindelser mellan flygbolag och nationella myndigheter.

Användning av förhandsinformation om passagerare

Enligt förordning (EU) 2025/12 ska API-uppgifter användas uteslutande för att förbättra och underlätta kontrollerna vid de yttre gränserna och för att upptäcka olaglig invandring. Användning av uppgifter för profilering eller diskriminerande ändamål är förbjuden. Gränsmyndigheterna får lagra uppgifterna i upp till 48 timmar, med en eventuell förlängning på ytterligare 48 timmar i enskilda fall där en passagerare inte infinner sig vid gränsen.

Enligt förordning (EU) 2025/13 ska API-uppgifter behandlas tillsammans med PNR-uppgifter för att identifiera högriskpersoner, förebygga och upptäcka grov brottslighet och terrorism och stödja gränsöverskridande polissamarbete och rättsligt samarbete. För flygningar inom EU får API-uppgifter överföras till enheter för passagerarinformation endast om medlemsstaten tillämpar PNR-reglerna på sådana flygningar och väljer ut dem med hjälp av objektiva, riskbaserade kriterier. Detta urval måste ses över minst en gång per år. Uppgifter från icke utvalda flygningar måste raderas omedelbart från routern, och lufttrafikföretagen får inte informeras om vilka flygningar som väljs ut.

Passagerares rättigheter och dataskydd

Föreskrifterna kompletterar dataskyddsregler som fastställs i direktiv (EU) 2016/681 och kräver att all behandling av API- och PNR-uppgifter är förenlig med EU:s tillämpliga dataskyddsregler. Bland dessa ingår

• Europeiska unionens stadga om de grundläggande rättigheterna,
• förordning (EU) 2016/679 (den allmänna dataskyddsförordningen – se sammanfattning), som fastställer reglerna för hur lufttrafikföretag hanterar personuppgifter och är tillämpliga på nationella myndigheter som behandlar API-uppgifter för gränsförvaltningsändamål,
• direktiv (EU) 2016/680 (se sammanfattning), som fastställer de EU-regler om dataskydd för polismyndigheter och straffrättsliga myndigheter som är tillämpliga på nationella myndigheter som behandlar API-uppgifter för brottsbekämpande ändamål,
• förordning (EU) 2018/1725 (se sammanfattning), som fastställer de EU-regler om dataskydd för EU:s institutioner och byråer som är tillämpliga på eu-Lisa (som driver routern).

I förordningarna fastställs viktiga skyddsåtgärder, bland annat följande:

• Strikt ändamålsbegränsning – uppgifterna får endast användas för de ändamål som anges i förordningarna.
• Ett förbud mot insamling eller användning av biometriska uppgifter som en del av API-uppgifter.
• Ett förbud mot diskriminering och profilering.
• Rätt till information – passagerare måste informeras vid bokning och incheckning om insamlingen av deras uppgifter och deras rättigheter.
• Strikta regler för hur länge uppgifterna får lagras.

Nationella myndigheter

Varje medlemsstat ska utse

• en behörig gränsmyndighet som ska ta emot API-uppgifter för in- och utresekontroller,
• den enheter för passagerarinformation som ska ta emot API-uppgifter för brottsbekämpande ändamål och PNR-uppgifter, i enlighet med direktiv (EU) 2016/681,
• en nationell API-tillsynsmyndighet som ska övervaka efterlevnaden och se till att reglerna efterlevs.

Styrning och tillsyn

eu-Lisa ansvarar för att

• utforma, utveckla, hysa och driva routern,
• tillhandahålla tekniskt stöd och utbildning till berörda parter,
• säkerställa systemsäkerhet och driftskompatibilitet med andra system.

eu-LISA:s styrningsstrukturer omfattar följande:

• en programstyrelse som ansvarar för att övervaka genomförandet,
• en rådgivande grupp för API-PNR som tillhandahåller teknisk och operativ rådgivning,
• ett kontaktgrupp för API som ska underlätta berörda parters engagemang.

Dessutom måste Europeiska kommissionen upprätta en expertgrupp för API som ska möjliggöra kommunikation mellan medlemsstaterna och mellan medlemsstaterna och lufttrafikföretagen i politiska frågor som rör API och PNR.

Tillsyn och påföljder

Medlemsstaterna måste

• övervaka och se till att lufttrafikföretag och myndigheter följer bestämmelserna,
• påföra sanktioner vid bristande efterlevnad, inbegripet:
  • böter på upp till 2 % av lufttrafikföretagets totala omsättning vid återkommande underlåtenhet att överföra API-uppgifter,
  • andra administrativa eller korrigerande åtgärder, beroende på vad som är lämpligt.

API-tillsynsmyndigheter måste ta hänsyn till överträdelsens art, allvar och varaktighet, om den var avsiktlig eller försumlig, vilka kategorier av uppgifter som påverkades, eventuella tidigare överträdelser och graden av samarbete.

Övergångsåtgärder

Under en övergångsperiod får lufttrafikföretagen fortsätta att använda manuella metoder för att samla in API-uppgifter. De kan också välja att ansluta till EU-routern på frivillig basis, förutsatt att de har tillstånd att göra det av den berörda medlemsstaten. Kommissionen kommer att fastställa det datum från och med vilket EU:s API/PNR-router tas i drift, när eu-Lisa har informerat kommissionen om att det övergripande testet av routern har slutförts på ett framgångsrikt sätt.

Kommissionens befogenheter

Kommissionen ska ges befogenhet att anta

• delegerade akter för att:
  • avsluta övergångsperioden för manuell insamling av API-uppgifter,
  • fastställa regler för automatiserade metoder för insamling av maskinläsbara API-uppgifter och för manuell insamling under exceptionella omständigheter och under övergångsperioden,
  • fastställa regler om gemensamma protokoll och dataformat som stöds för överföring av API-uppgifter till routern,
  • fastställa regler för att korrigera ifyllande och uppdatering av API-uppgifter.
• genomförandeakter för att:
  • fastställa datum för när routern ska tas i drift,
  • fastställa regler för kontroll av uppgifter och anmälningar och för överföring av API- och PNR-uppgifter från routern till medlemsstaternas behöriga myndigheter,
  • specificera regler för lufttrafikföretagens och medlemsstaternas anslutningar och integrering i routern,
  • fastställa medlemsstaternas och de gemensamt personuppgiftsansvarigas ansvar och förhållandet mellan de gemensamt personuppgiftsansvariga och eu-Lisa i egenskap av personuppgiftsbiträde.

Övervakning och utvärdering

Kommissionen kommer att bedöma förordningarnas effekter, inbegripet deras effekter på

• passagerares rättigheter,
• lufttrafikföretags verksamhet och konkurrenskraft,
• ändamålsenligheten och effektiviteten hos EU:s API/PNR-router.

För att stödja genomförandet och övervakningen av tillämpningen av förordningarna har eu-Lisa i uppdrag att offentliggöra statistik om routerns funktion och om lufttrafikföretagens efterlevnad av de skyldigheter som anges i förordningarna. Denna statistik baseras på anonymiserade passagerar- och flygdata som automatiskt överförs till och hanteras av den centrala databasen för rapporter och statistik (CRRS). Denna statistik måste vara anonymiserad och kan inte användas för att identifiera enskilda personer.