Règlement (UE) 2025/13 du Parlement européen et du Conseil du 19 décembre 2024 relatif à la collecte et au transfert des informations préalables sur les passagers pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière, et modifiant le règlement (UE) 2019/818

Aux fins de la prévention et de la détection des infractions terroristes et des formes graves de criminalité, ainsi que des enquêtes et des poursuites en la matière, le présent règlement établit les règles concernant: a) la collecte d’informations préalables sur les passagers (API) sur les vols extra-UE et intra-UE par les transporteurs aériens; b) le transfert des données API et d’autres données PNR au routeur par les transporteurs aériens; c) la transmission des données API et d’autres données PNR sur les vols extra-UE et les vols intra-UE sélectionnés aux unités d’informations passagers (UIP) par le routeur. Le présent règlement s’entend sans préjudice du règlement (UE) 2016/679, du règlement (UE) 2018/1725 et de la directive (UE) 2016/680.

Le présent règlement s’applique aux transporteurs aériens assurant: a) des vols extra-UE; b) des vols intra-UE qui effectuent leur départ, leur arrivée ou une escale sur le territoire d’au moins un État membre qui a notifié à la Commission sa décision d’appliquer la directive (UE) 2016/681 aux vols intra-UE conformément à l’article 2, paragraphe 1, de ladite directive.

Aux fins du présent règlement, on entend par: 1) «transporteur aérien»: un transporteur aérien tel qu’il est défini à l’article 3, point 1), de la directive (UE) 2016/681; 2) «vol extra-UE»: tout vol extra-UE tel qu’il est défini à l’article 3, point 2), de la directive (UE) 2016/681; 3) «vol intra-UE»: tout vol intra-UE tel qu’il est défini à l’article 3, point 3), de la directive (UE) 2016/681; 4) «vol régulier»: un vol régulier tel qu’il est défini à l’article 3, point 5), du règlement (UE) 2025/12; 5) «vol non régulier»: un vol non régulier tel qu’il est défini à l’article 3, point 6), du règlement (UE) 2025/12; 6) «passager»: un passager tel qu’il est défini à l’article 3, point 4), de la directive (UE) 2016/681; 7) «équipage»: toute personne se trouvant à bord d’un aéronef pendant le vol, autre qu’un passager, qui travaille sur l’aéronef ou l’exploite, y compris l’équipage de conduite et l’équipage de cabine; 8) «informations préalables sur les passagers» ou «données API»: les données et les informations de vol visées, respectivement, à l’article 4, paragraphes 2 et 3; 9) «autres données du ou des dossiers passagers» ou «autres données PNR»: le dossier passager tel qu’il est défini à l’article 3, point 5), de la directive (UE) 2016/681, et tel qu’il figure à l’annexe I de ladite directive, à l’exception du point 18) de ladite annexe; 10) «unité d’informations passagers» ou «UIP»: l’unité d’informations passagers telle qu’elle indiquée dans les notifications des États membres à la Commission et dans les modifications y afférentes publiées par la Commission en vertu de l’article 4, paragraphe 5, de la directive (UE) 2016/681; 11) «infractions terroristes»: les infractions terroristes visées aux articles 3 à 12 de la directive (UE) 2017/541 du Parlement européen et du Conseil ; 12) «formes graves de criminalité»: les formes graves de criminalité telles qu’elles sont définies à l’article 3, point 9), de la directive (UE) 2016/681; 13) «routeur»: le routeur visé à l’article 9 du présent règlement et à l’article 11 du règlement (UE) 2025/12; 14) «données à caractère personnel»: les données à caractère personnel telles qu’elles sont définies à l’article 3, point 1), de la directive (UE) 2016/680 et à l’article 4, point 1), du règlement (UE) 2016/679; 15) «données de trafic aérien en temps réel»: les informations sur le trafic aérien entrant et sortant d’un aéroport couvert par le présent règlement.

1 Les transporteurs aériens recueillent les données API de chaque passager et membre d’équipage sur les vols visés à l’article 2 qui doivent être transférées au routeur conformément à l’article 5. Lorsqu’il s’agit d’un vol en partage de code entre transporteurs aériens, l’obligation de transférer les données API incombe au transporteur aérien qui assure le vol.

2 Les données API se composent uniquement des données suivantes concernant chaque passager et membre d’équipage du vol: a) le nom (nom de famille), le ou les prénoms; b) la date de naissance, le sexe et la nationalité; c) le type de document de voyage, le numéro du document de voyage et le code à trois lettres du pays de délivrance du document de voyage; d) la date d’expiration de la validité du document de voyage; e) le numéro d’identification d’un dossier passager utilisé par un transporteur aérien pour repérer un passager dans son système d’information (code repère du dossier passager); f) les informations relatives aux sièges correspondant au siège de l’aéronef attribué à un passager, lorsque ces informations sont disponibles; g) le ou les numéros de l’étiquette ou des étiquettes des bagages ainsi que le nombre de bagages enregistrés et leur poids, lorsque ces informations sont disponibles; h) un code indiquant la méthode utilisée pour obtenir et valider les données visées aux points a) à d).

3 Les données API se composent également uniquement des informations de vol suivantes concernant le vol de chaque passager et membre d’équipage: a) le numéro d’identification du vol ou, lorsqu’il s’agit d’un vol en partage de code entre transporteurs aériens, les numéros d’identification du vol ou, à défaut, un autre moyen clair et approprié d’identification du vol; b) le cas échéant, le point de passage frontalier d’entrée sur le territoire de l’État membre; c) le code de l’aéroport d’arrivée ou, lorsqu’il est prévu que le vol atterrisse dans un ou plusieurs aéroports sur le territoire d’un ou de plusieurs États membres auxquels le présent règlement s’applique, les codes des aéroports d’escale sur le territoire des États membres concernés; d) le code de l’aéroport de départ du vol; e) le code de l’aéroport du point d’embarquement initial, le cas échéant; f) la date et l’heure locales de départ; g) la date et l’heure locales d’arrivée; h) les coordonnées du transporteur aérien; i) le format utilisé pour le transfert des données API.

4 Les transporteurs aériens recueillent les données API en vertu de l’article 4 de manière à garantir que les données API qu’ils transfèrent conformément à l’article 5 sont exactes, complètes et à jour. Le respect de cette obligation n’exige pas des transporteurs aériens qu’ils vérifient le document de voyage au moment de l’embarquement, sans préjudice du droit national qui est conforme au droit de l’Union.

5 Le présent règlement n’impose pas aux passagers l’obligation d’être munis d’un document de voyage lorsqu’ils voyagent, sans préjudice d’autres actes juridiques de l’Union ou du droit national qui est conforme au droit de l’Union.

6 Un État membre peut imposer aux transporteurs aériens l’obligation de prévoir la possibilité pour les passagers de téléverser volontairement les données visées à l’article 4, paragraphe 2, points a) à d), du règlement (UE) 2025/12 par des moyens automatisés et que ces données soient conservées par le transporteur aérien en vue d’être transférées pour des vols futurs conformément à l’article 5 du présent règlement et d’une manière conforme aux exigences énoncées aux paragraphes 4, 7 et 8 du présent article. Un État membre qui impose une telle obligation établit les règles et garanties en matière de protection des données, conformément au règlement (UE) 2016/679, y compris les règles relatives à la période de conservation. Toutefois, les données sont supprimées lorsque le passager ne consent plus à la conservation des données, ou au plus tard à la date d’expiration de la validité du document de voyage.

7 Les transporteurs aériens recueillent les données API visées au paragraphe 2, points a) à d), à l’aide de moyens automatisés permettant la collecte des données lisibles par machine du document de voyage du passager concerné. Ils recueillent ces données dans le respect des exigences techniques et des règles opérationnelles détaillées visées au paragraphe 12, dès que de telles règles ont été adoptées et sont applicables. Lorsque les transporteurs aériens proposent une procédure d’enregistrement en ligne, ils permettent aux passagers de fournir les données API visées au paragraphe 2, points a) à d), par des moyens automatisés lors de cette procédure d’enregistrement en ligne. Pour les passagers qui ne s’enregistrent pas en ligne, les transporteurs aériens permettent à ces passagers de fournir ces données API par des moyens automatisés lors de l’enregistrement à l’aéroport en se rendant à une borne en libre-service ou avec l’aide du personnel des transporteurs aériens au comptoir. Lorsque l’utilisation de moyens automatisés n’est pas techniquement possible, les transporteurs aériens recueillent les données API visées au paragraphe 2, points a) à d), manuellement, à titre exceptionnel, soit dans le cadre de l’enregistrement en ligne, soit dans le cadre de l’enregistrement à l’aéroport, de manière à garantir le respect du paragraphe 4.

8 Tout moyen automatisé utilisé par les transporteurs aériens pour recueillir des données API au titre du présent règlement doit être fiable, sécurisé et à jour. Les transporteurs aériens veillent à ce que les données API soient chiffrées lors du transfert de ces données du passager au transporteurs aérien.

9 Pendant une période transitoire, et en plus des moyens automatisés visés au paragraphe 7, les transporteurs aériens donnent aux passagers la possibilité de fournir manuellement les données API dans le cadre de l’enregistrement en ligne. Dans de tels cas, les transporteurs aériens ont recours à des techniques de vérification des données de manière à garantir le respect du paragraphe 4.

10 La période transitoire visée au paragraphe 9 ne porte pas atteinte au droit des transporteurs aériens de vérifier les données API recueillies dans le cadre de l’enregistrement en ligne à l’aéroport avant l’embarquement, de manière à garantir le respect du paragraphe 4, conformément au droit de l’Union applicable.

11 Quatre ans après la mise en service du routeur en ce qui concerne les données API visées à l’article 34, et sur la base d’une évaluation de la disponibilité et de l’accessibilité de moyens automatisés pour recueillir les données API, la Commission est habilitée à adopter un acte délégué conformément à l’article 43 afin de mettre un terme à la période transitoire visée au paragraphe 9 du présent article.

12 La Commission est habilitée à adopter des actes délégués conformément à l’article 43 afin de compléter le présent règlement en fixant des exigences techniques et des règles opérationnelles détaillées pour la collecte des données API visées au paragraphe 2, points a) à d), du présent article à l’aide de moyens automatisés conformément aux paragraphes 7 et 8 du présent article, ainsi que pour la collecte manuelle des données API dans des circonstances exceptionnelles conformément au paragraphe 7 du présent article et pendant la période transitoire visée au paragraphe 9 du présent article. Ces exigences techniques et ces règles opérationnelles comprennent des exigences en matière de sécurité des données et en matière d’utilisation des moyens automatisés les plus fiables disponibles pour recueillir les données lisibles par machine d’un document de voyage.

1 Les transporteurs aériens transfèrent les données API chiffrées au routeur par voie électronique aux fins de leur transmission aux UIP conformément à l’article 12. Les transporteurs aériens transfèrent les données API conformément aux règles détaillées visées au paragraphe 4 du présent article, dès que de telles règles ont été adoptées et sont applicables.

2 Lorsqu’ils adoptent des mesures conformément à l’article 8, paragraphe 1, de la directive (UE) 2016/681, les États membres exigent des transporteurs aériens qu’ils transfèrent exclusivement au routeur toutes autres données PNR qu’ils collectent dans le cours normal de leurs activités, conformément aux protocoles communs et formats de données établis en vertu de l’article 16 de ladite directive.

3 Les transporteurs aériens transfèrent les données API: a) pour les passagers: i) de chaque passager, au moment de l’enregistrement, mais au plus tôt 48 heures avant l’heure de départ du vol prévue; et ii) de tous les passagers qui ont embarqué, immédiatement après la clôture du vol, à savoir dès que les passagers ont embarqué à bord de l’aéronef prêt à partir et qu’il n’est plus possible pour des passagers ni d’embarquer à bord de l’aéronef ni d’en débarquer; b) pour tous les membres d’équipage, immédiatement après la clôture du vol, à savoir dès que les membres d’équipage ont embarqué à bord de l’aéronef prêt à partir et qu’il n’est plus possible pour eux de débarquer de l’aéronef.

4 La Commission est habilitée à adopter des actes délégués conformément à l’article 43 afin de compléter le présent règlement en fixant les règles détaillées nécessaires concernant les protocoles communs et les formats de données reconnus à appliquer aux transferts chiffrés de données API au routeur visés au paragraphe 1 du présent article, y compris le transfert de données API au moment de l’enregistrement et les exigences en matière de sécurité des données. Ces règles détaillées prévoient que les transporteurs aériens transfèrent les données API en utilisant la même structure et le même contenu.

Les transporteurs aériens conservent, pendant un délai de 48 heures à compter du moment de la réception par le routeur des données API qui lui ont été transférées conformément à l’article 5, paragraphe 3, point a), ii), et point b), les données API relatives à tous les passagers et membres d’équipage qu’ils ont recueillies en vertu de l’article 4. Ils suppriment immédiatement et de manière définitive ces données API après l’expiration de ce délai, sans préjudice de la possibilité pour les transporteurs aériens de conserver et d’utiliser ces données lorsque cela est nécessaire dans le cours normal de leurs activités, dans le respect du droit applicable, et sans préjudice de l’article 16, paragraphes 1 et 3.

1 Lorsque les transporteurs aériens constatent que les données qu’ils conservent au titre du présent règlement ont fait l’objet d’un traitement illicite, ou qu’elles ne constituent pas des données API, ils les suppriment immédiatement et de manière définitive. Si ces données ont été transférées au routeur, les transporteurs aériens informent immédiatement l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (eu-LISA). Dès réception de ces informations, l’eu-LISA informe immédiatement les UIP qui ont reçu les données transmises par l’intermédiaire du routeur.

2 Lorsque les transporteurs aériens constatent que les données qu’ils conservent au titre du présent règlement sont inexactes, incomplètes ou ne sont plus à jour, ils les rectifient, les complètent ou les mettent à jour immédiatement. Cela est sans préjudice de la possibilité pour les transporteurs aériens de conserver et d’utiliser ces données lorsque cela est nécessaire dans le cours normal de leurs activités, dans le respect du droit applicable.

3 Lorsque, après le transfert des données API conformément à l’article 5, paragraphe 3, point a), i), mais avant le transfert conformément à l’article 5, paragraphe 3, point a), ii), les transporteurs aériens constatent que les données qu’ils ont transférées sont inexactes, ils transfèrent immédiatement les données API rectifiées au routeur.

4 Lorsque, après le transfert des données API conformément à l’article 5, paragraphe 3, point a), ii), ou point b), les transporteurs aériens constatent que les données qu’ils ont transférées sont inexactes, incomplètes ou ne sont plus à jour, ils transfèrent immédiatement les données API rectifiées, complétées ou mises à jour au routeur.

5 La Commission est habilitée à adopter des actes délégués conformément à l’article 43 afin de compléter le présent règlement en fixant les règles détaillées qui sont nécessaires pour rectifier, compléter et mettre à jour les données API au sens du présent article.

1 La collecte et le traitement de données à caractère personnel effectués conformément au présent règlement et au règlement (UE) 2025/12 par les transporteurs aériens et par les autorités compétentes ne peuvent entraîner aucune discrimination à l’encontre de personnes fondée sur les motifs énumérés à l’article 21 de la Charte des droits fondamentaux de l’Union européenne (ci-après dénommée «Charte»).

2 Le présent règlement respecte pleinement la dignité humaine ainsi que les droits fondamentaux et les principes consacrés dans la Charte, dont le droit au respect de la vie privée, à l’asile, à la protection des données à caractère personnel, à la liberté de circulation et à un recours juridictionnel effectif.

3 Une attention particulière est accordée aux enfants, aux personnes âgées, aux personnes handicapées et aux personnes vulnérables. L’intérêt supérieur de l’enfant est une considération primordiale lors de la mise en œuvre du présent règlement.

1 L’eu-LISA conçoit, développe, héberge et gère sur le plan technique, conformément aux articles 25 et 26, un routeur aux fins de faciliter le transfert des données API et d’autres données PNR chiffrées par les transporteurs aériens aux UIP conformément au présent règlement.

2 Le routeur se compose des éléments suivants: a) une infrastructure centrale, comprenant un ensemble de composants techniques permettant la réception et la transmission des données API et d’autres données PNR chiffrées; b) un canal de communication sécurisé entre l’infrastructure centrale et les UIP, ainsi qu’un canal de communication sécurisé entre l’infrastructure centrale et les transporteurs aériens, pour le transfert et la transmission des données API et d’autres données PNR et pour toute communication y afférente, ainsi que pour l’introduction dans le routeur des vols sélectionnés visés à l’article 12, paragraphe 4, par les États membres et toute mise à jour y afférente; c) un canal sécurisé pour recevoir les données de trafic aérien en temps réel.

3 Sans préjudice de l’article 10 du présent règlement, le routeur partage et réutilise, s’il y a lieu et dans la mesure où cela est techniquement possible, les composants techniques, y compris les composants matériels et logiciels, du service internet visé à l’article 13 du règlement (UE) 2017/2226, du portail pour les transporteurs visé à l’article 6, paragraphe 2, point k), du règlement (UE) 2018/1240, et du portail pour les transporteurs visé à l’article 45 quater du règlement (CE) no 767/2008. L’eu-LISA conçoit le routeur, dans la mesure où cela est possible sur les plans technique et opérationnel, d’une manière qui soit cohérente et compatible avec les obligations à charge des transporteurs aériens énoncées dans les règlements (CE) no 767/2008, (UE) 2017/2226 et (UE) 2018/1240.

4 Le routeur extrait automatiquement les données et les met automatiquement à la disposition du répertoire central des rapports et statistiques (CRRS), créé par l’article 39 du règlement (UE) 2019/818, conformément à l’article 39 du présent règlement.

5 L’eu-LISA conçoit et développe le routeur de manière que, pour tout transfert de données API et d’autres données PNR des transporteurs aériens au routeur, conformément à l’article 5, et pour toute transmission de données API et d’autres données PNR du routeur aux UIP, conformément à l’article 12, et au CRRS, conformément à l’article 39, paragraphe 2, les données API et les autres données PNR soient chiffrées de bout en bout lors du transit.

Aux fins du présent règlement, le routeur est utilisé uniquement: a) par les transporteurs aériens pour transférer des données API et d’autres données PNR chiffrées, conformément au présent règlement; b) par les UIP pour recevoir des données API et d’autres données PNR chiffrées, conformément au présent règlement; c) sur la base d’accords internationaux permettant le transfert de données PNR par l’intermédiaire du routeur, conclus par l’Union avec les pays tiers qui ont conclu un accord prévoyant leur association à la mise en œuvre, à l’application et au développement de l’acquis de Schengen. Le présent article s’entend sans préjudice de l’article 12 du règlement (UE) 2025/12.

1 Le routeur vérifie, de manière automatisée et sur la base des données du trafic aérien en temps réel, si le transporteur aérien a transféré les données API conformément à l’article 5, paragraphe 1, ou d’autres données PNR conformément à l’article 5, paragraphe 2.

2 Le routeur vérifie, immédiatement et de manière automatisée, si les données API qui lui ont été transférées conformément à l’article 5, paragraphe 1, sont conformes aux règles détaillées concernant les formats de données reconnus, visées à l’article 5, paragraphe 4.

3 Le routeur vérifie, immédiatement et de manière automatisée, si les autres données PNR qui lui ont été transférées conformément à l’article 5, paragraphe 2, sont conformes aux règles concernant les formats de données reconnus, visées à l’article 16 de la directive (UE) 2016/681.

4 Lorsque la vérification visée au paragraphe 1 établit que les données n’ont pas été transférées par le transporteur aérien ou lorsque la vérification visée au paragraphe 2 ou 3 établit que les données ne sont pas conformes aux règles détaillées concernant les formats de données reconnus, le routeur en informe immédiatement et de manière automatisée le transporteur aérien concerné et les UIP des États membres auxquelles les données devaient être transmises en vertu de l’article 12, paragraphe 1. Dans de tels cas, le transporteur aérien transfère immédiatement les données API et les autres données PNR conformément à l’article 5.

5 La Commission adopte des actes d’exécution précisant les règles techniques et procédurales détaillées qui sont nécessaires pour les vérifications et les notifications visées aux paragraphes 1 à 4 du présent article. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 42, paragraphe 2.

1 Une fois que les vérifications du format des données et du transfert des données visées à l’article 11 ont été effectuées, le routeur transmet les données API et les autres données PNR chiffrées qui lui ont été transférées par les transporteurs aériens conformément à l’article 5, paragraphes 1 et 2, et, le cas échéant, à l’article 7, paragraphes 3 et 4, aux UIP de l’État membre sur le territoire duquel le vol doit atterrir ou du territoire duquel il doit partir, ou de ces deux États membres dans le cas de vols intra-UE. Il transmet ces données immédiatement et de manière automatisée, sans en modifier le contenu de quelque manière que ce soit. Lorsqu’un vol comporte une ou plusieurs escales sur le territoire d’autres États membres que celui d’où il est parti, le routeur transmet les données API et toutes autres données PNR aux UIP de tous les États membres concernés. Aux fins de cette transmission, l’eu-LISA établit et tient à jour un tableau de correspondance entre les différents aéroports d’origine et de destination et les pays auxquels ils appartiennent. Toutefois, pour les vols intra-UE, le routeur ne transmet que les données API et les autres données PNR des vols figurant sur la liste visée au paragraphe 4 aux UIP concernées.

2 Le routeur transfère les données API et les autres données PNR conformément aux règles détaillées visées au paragraphe 6, dès que de telles règles ont été adoptées et sont applicables.

3 Les États membres veillent à ce que, lorsqu’elles reçoivent des données API et d’autres données PNR conformément au paragraphe 1, leurs UIP confirment au routeur, immédiatement et de manière automatisée, la réception de ces données.

4 Les États membres qui décident d’appliquer la directive (UE) 2016/681 aux vols intra-UE conformément à l’article 2 de ladite directive établissent chacun une liste des vols ou liaisons intra-UE sélectionnés. Les États membres peuvent utiliser le code de l’aéroport de départ et de l’aéroport d’arrivée pour indiquer les vols ou liaisons sélectionnés. Conformément à l’article 2 de ladite directive et à l’article 13 du présent règlement, ces États membres réexaminent régulièrement ces listes et, si nécessaire, les actualisent. Un État membre peut sélectionner tous les vols ou toutes les liaisons intra-UE lorsque cela est dûment justifié, conformément à la directive (UE) 2016/681 et à l’article 13 du présent règlement. Les États membres introduisent, au plus tard à la date d’application pertinente du présent règlement visée à l’article 45, deuxième alinéa, les vols ou liaisons sélectionnés dans le routeur, par des moyens automatisés via le canal de communication sécurisé visé à l’article 9, paragraphe 2, point b), et communiquent ensuite au routeur toute mise à jour de ces vols ou liaisons.

5 Les informations introduites par les États membres dans le routeur sont traitées de manière confidentielle et l’accès du personnel de l’eu-LISA à ces informations est limité à ce qui est strictement nécessaire pour résoudre les problèmes techniques. L’eu-LISA veille, dès réception par le routeur de telles informations ou de toute mise à jour de telles informations en provenance d’un État membre, à ce que le routeur transmette immédiatement les données API et les autres données PNR à l’UIP de cet État membre en ce qui concerne les vols ou liaisons sélectionnés, conformément au paragraphe 1.

6 La Commission adopte des actes d’exécution précisant les règles techniques et procédurales détaillées qui sont nécessaires pour la transmission de données API et d’autres données PNR par le routeur visée au paragraphe 1 du présent article, et pour l’introduction d’informations dans le routeur prévue au paragraphe 4 du présent article, y compris sur les exigences en matière de sécurité des données. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 42, paragraphe 2.

1 Les États membres qui décident, conformément à l’article 2 de la directive (UE) 2016/681, d’appliquer ladite directive et, par conséquent, le présent règlement aux vols intra-UE sélectionnent ces vols intra-UE conformément au présent article.

2 Les États membres peuvent appliquer la directive (UE) 2016/681 et, par conséquent, le présent règlement à tous les vols intra-UE à destination ou au départ de leur territoire uniquement dans des situations de menace terroriste réelle et actuelle ou prévisible, sur la base d’une décision fondée sur une évaluation de la menace, limitée dans le temps à ce qui est strictement nécessaire et susceptible de faire l’objet d’un recours effectif soit devant une juridiction, soit devant un organe administratif indépendant dont la décision est contraignante.

3 En l’absence de menace terroriste réelle et actuelle ou prévisible, les États membres qui appliquent la directive (UE) 2016/681 et, par conséquent, le présent règlement aux vols intra-UE sélectionnent ces vols intra-UE en fonction des résultats d’une évaluation effectuée sur la base des exigences énoncées aux paragraphes 4 à 7 du présent article.

4 L’évaluation visée au paragraphe 3: a) est réalisée de manière objective, dûment motivée et non discriminatoire, conformément à l’article 2 de la directive (UE) 2016/681; b) tient compte uniquement de critères qui sont pertinents pour la prévention et la détection des infractions terroristes et des formes graves de criminalité présentant un lien objectif, y compris un lien indirect, avec le transport aérien de passagers, ainsi que pour les enquêtes et les poursuites en la matière, et qui ne se fondent pas exclusivement sur les motifs énumérés à l’article 21 de la Charte, pour un passager ou un groupe de passagers; c) utilise uniquement des informations susceptibles d’étayer une évaluation objective, dûment motivée et non discriminatoire.

5 Sur la base de l’évaluation visée au paragraphe 3, les États membres ne sélectionnent que des vols intra-UE concernant, entre autres, des liaisons, de schémas de voyage ou des aéroports spécifiques pour lesquels il existe des indices d’infractions terroristes et de formes graves de criminalité et qui justifient le traitement de données API et d’autres données PNR. La sélection des vols intra-UE est limitée à ce qui est strictement nécessaire pour atteindre les objectifs de la directive (UE) 2016/681 et du présent règlement.

6 Les États membres conservent tous les documents relatifs à l’évaluation visée au paragraphe 3, y compris, le cas échéant, tout réexamen de celle-ci, et les mettent, sur demande, à la disposition de leurs autorités de contrôle indépendantes et de leurs autorités de contrôle nationales conformément à la directive (UE) 2016/680.

7 Conformément à l’article 2 de la directive (UE) 2016/681, les États membres réexaminent régulièrement et au moins tous les douze mois leur évaluation visée au paragraphe 3, afin de tenir compte des changements de circonstances qui ont justifié la sélection des vols intra-UE et afin de veiller à ce que la sélection des vols intra-UE continue d’être limitée au strict nécessaire.

8 La Commission facilite un échange de vues régulier sur les critères de sélection destinés à l’évaluation visée au paragraphe 3, y compris le partage des bonnes pratiques, ainsi que, sur une base volontaire, l’échange d’informations sur les vols sélectionnés.

Les données API et autres données PNR, transférées au routeur conformément au présent règlement, ne sont conservées sur le routeur que dans la mesure où cela est nécessaire pour achever la transmission aux UIP concernées conformément au présent règlement, et sont supprimées du routeur immédiatement, de manière définitive et automatisée, dans les deux situations suivantes: a) lorsqu’il est confirmé, conformément à l’article 12, paragraphe 3, que la transmission des données API et d’autres données PNR aux UIP concernées est achevée; b) lorsque les données API ou d’autres données PNR se rapportent à des vols intra-UE autres que ceux figurant sur les listes visées à l’article 12, paragraphe 4. Le routeur informe automatiquement l’eu-LISA et les UIP de la suppression immédiate des vols intra-UE visés au point b).

Les données API et les autres données PNR transmises aux UIP conformément au présent règlement sont traitées ultérieurement par les UIP conformément à la directive (UE) 2016/681, notamment en ce qui concerne les règles relatives au traitement des données API et d’autres données PNR par les UIP, y compris celles énoncées aux articles 6, 10, 12 et 13 de ladite directive, et uniquement aux fins de la prévention et de la détection des infractions terroristes et des formes graves de criminalité, ainsi que des enquêtes et des poursuites en la matière. Les UIP ou les autres autorités compétentes ne traitent en aucun cas les données API et d’autres données PNR à des fins de profilage, comme prévu à l’article 11, paragraphe 3, de la directive (UE) 2016/680.

1 Lorsqu’il est techniquement impossible d’utiliser le routeur pour transmettre des données API ou d’autres données PNR en raison d’une défaillance de celui-ci, l’eu-LISA notifie, immédiatement et de manière automatisée, cette impossibilité technique aux transporteurs aériens et aux UIP. Dans ce cas, l’eu-LISA prend immédiatement des mesures pour remédier à l’impossibilité technique d’utiliser le routeur et adresse immédiatement une notification aux transporteurs aériens et aux UIP lorsqu’il y a été remédié. Durant la période comprise entre ces notifications, l’article 5, paragraphe 1, ne s’applique pas, dans la mesure où l’impossibilité technique empêche le transfert de données API ou d’autres données PNR au routeur. Les transporteurs aériens conservent les données API ou d’autres données PNR jusqu’à ce qu’il ait été remédié à l’impossibilité technique. Dès qu’il a été remédié à l’impossibilité technique, les transporteurs aériens transfèrent les données au routeur conformément à l’article 5, paragraphe 1. Lorsqu’il est techniquement impossible d’utiliser le routeur et dans des cas exceptionnels liés aux objectifs du présent règlement conformément auxquels les UIP doivent recevoir immédiatement les données API et les autres données PNR au cours de la période pendant laquelle il est techniquement impossible d’utiliser le routeur, les UIP peuvent demander aux transporteurs aériens d’utiliser tout autre moyen approprié, garantissant le niveau nécessaire de sécurité, de qualité et de protection des données, pour leur transférer directement les données API et les autres données PNR. Les UIP traitent les données API et les autres données PNR qu’elles ont reçues par l’intermédiaire de tout autre moyen approprié conformément aux règles et aux garanties énoncées dans la directive (UE) 2016/681. À la suite de la notification de l’eu-LISA indiquant qu’il a été remédié à l’impossibilité technique, et lorsqu’il est confirmé, conformément à l’article 12, paragraphe 3, que la transmission des données API ou d’autres données PNR par l’intermédiaire du routeur à l’UIP concernée est achevée, cette dernière supprime immédiatement les données API ou les autres données PNR qu’elle a reçues par l’intermédiaire de tout autre moyen approprié.

2 Lorsqu’il est techniquement impossible d’utiliser le routeur pour transmettre des données API ou d’autres données PNR en raison d’une défaillance des systèmes ou de l’infrastructure d’un État membre, visés à l’article 23, l’UIP dudit État membre notifie, immédiatement et de manière automatisée, cette impossibilité technique aux autres UIP, à l’eu-LISA et à la Commission. Dans ce cas, l’État membre prend immédiatement des mesures pour remédier à l’impossibilité technique d’utiliser le routeur et adresse immédiatement une notification aux autres UIP, à l’eu-LISA et à la Commission lorsqu’il y a été remédié. Le routeur conserve les données API ou les autres données PNR jusqu’à ce qu’il ait été remédié à l’impossibilité technique. Dès qu’il a été remédié à l’impossibilité technique, le routeur transmet les données conformément à l’article 12, paragraphe 1. Lorsqu’il est techniquement impossible d’utiliser le routeur et dans des cas exceptionnels liés aux objectifs du présent règlement dans lesquels il est nécessaire pour les UIP de recevoir immédiatement les données API ou d’autres données PNR au cours de la période pendant laquelle il est techniquement impossible d’utiliser le routeur, les UIP peuvent demander aux transporteurs aériens d’utiliser tout autre moyen approprié, garantissant le niveau nécessaire de sécurité, de qualité et de protection des données, pour leur transférer directement les données API et les autres données PNR. Les UIP traitent les données API et les autres données PNR qu’elles ont reçues par l’intermédiaire de tout autre moyen approprié conformément aux règles et aux garanties énoncées dans la directive (UE) 2016/681. À la suite de la notification de l’eu-LISA indiquant qu’il a été remédié à l’impossibilité technique, et lorsqu’il est confirmé, conformément à l’article 12, paragraphe 3, que la transmission des données API ou d’autres données PNR par l’intermédiaire du routeur à l’UIP concernée est achevée, cette dernière supprime immédiatement les données API ou les autres données PNR qu’elle a reçues par l’intermédiaire de tout autre moyen approprié.

3 Lorsqu’il est techniquement impossible d’utiliser le routeur pour transférer des données API ou d’autres données PNR en raison d’une défaillance des systèmes ou de l’infrastructure d’un transporteur aérien, visés à l’article 24, ledit transporteur aérien notifie, immédiatement et de manière automatisée, cette impossibilité technique aux UIP, à l’eu-LISA et à la Commission. Dans ce cas, ledit transporteur aérien prend immédiatement des mesures pour remédier à l’impossibilité technique d’utiliser le routeur et adresse immédiatement une notification aux UIP, à l’eu-LISA et à la Commission lorsqu’il y a été remédié. Durant la période comprise entre ces notifications, l’article 5, paragraphe 1, ne s’applique pas, dans la mesure où l’impossibilité technique empêche le transfert de données API et d’autres données PNR au routeur. Les transporteurs aériens conservent les données API ou les autres données PNR jusqu’à ce qu’il ait été remédié à l’impossibilité technique. Dès qu’il a été remédié à l’impossibilité technique, les transporteurs aériens transfèrent les données au routeur conformément à l’article 5, paragraphe 1. Lorsqu’il est techniquement impossible d’utiliser le routeur et dans des cas exceptionnels liés aux objectifs du présent règlement dans lesquels il est nécessaire pour les UIP de recevoir immédiatement les données API et les autres données PNR au cours de la période pendant laquelle il est techniquement impossible d’utiliser le routeur, les UIP peuvent demander aux transporteurs aériens d’utiliser tout autre moyen approprié, garantissant le niveau nécessaire de sécurité, de qualité et de protection des données pour leur transférer directement les données API et les autres données PNR. Les UIP traitent les données API et les autres données PNR qu’elles ont reçues par l’intermédiaire de tout autre moyen approprié conformément aux règles et aux garanties énoncées dans la directive (UE) 2016/681. À la suite de la notification de l’eu-LISA indiquant qu’il a été remédié à l’impossibilité technique, et lorsqu’il est confirmé, conformément à l’article 12, paragraphe 3, que la transmission des données API ou d’autres données PNR par l’intermédiaire du routeur à l’UIP concernée est achevée, cette dernière supprime immédiatement les données API ou les autres données PNR qu’elle a reçues par l’intermédiaire de tout autre moyen approprié. Lorsqu’il a été remédié à l’impossibilité technique, le transporteur aérien concerné soumet, sans tarder, à l’autorité nationale de contrôle des API visée à l’article 37 un rapport contenant toutes les précisions nécessaires sur l’impossibilité technique, notamment les raisons de cette impossibilité technique, son ampleur et ses conséquences, ainsi que les mesures prises pour y remédier.

1 Les transporteurs aériens établissent des registres de toutes les opérations de traitement liées aux données API et effectuées au titre du présent règlement, en utilisant les moyens automatisés visés à l’article 4, paragraphe 7. Ces registres indiquent la date, l’heure et le lieu de transfert des données API. Ces registres ne contiennent aucune donnée à caractère personnel autre que les informations nécessaires pour identifier le membre du personnel concerné du transporteur aérien.

2 L’eu-LISA tient des registres de toutes les opérations de traitement liées au transfert et à la transmission de données API et d’autres données PNR par l’intermédiaire du routeur au titre du présent règlement. Ces registres indiquent les informations suivantes: a) le transporteur aérien qui a transféré les données API et d’autres données PNR au routeur; b) le transporteur aérien qui a transféré d’autres données PNR au routeur; c) les UIP auxquelles les données API ont été transmises par l’intermédiaire du routeur; d) les UIP auxquelles d’autres données PNR ont été transmises par l’intermédiaire du routeur; e) la date et l’heure du transfert ou de la transmission visés aux points a) à d), ainsi que le lieu de ce transfert ou de cette transmission; f) tout accès du personnel de l’eu-LISA nécessaire à la maintenance du routeur, comme visé à l’article 26, paragraphe 3; g) toute autre information relative à ces opérations de traitement qui est nécessaire pour contrôler la sécurité et l’intégrité des données API et des autres données PNR ainsi que la licéité de ces opérations de traitement. Ces registres ne contiennent aucune donnée à caractère personnel autre que les informations nécessaires pour identifier le membre du personnel concerné de l’eu-LISA visé au premier alinéa, point f).

3 Les registres visés aux paragraphes 1 et 2 du présent article ne peuvent servir qu’à garantir la sécurité et l’intégrité des données API et des autres données PNR ainsi que la licéité du traitement, en particulier en ce qui concerne le respect des exigences énoncées dans le présent règlement, y compris les procédures de sanction en cas de violation de ces exigences conformément aux articles 37 et 38.

4 Les transporteurs aériens et l’eu-LISA prennent des mesures appropriées pour protéger les registres qu’ils ont créés conformément aux paragraphes 1 et 2, respectivement, contre un accès non autorisé et d’autres risques pour la sécurité.

5 L’autorité nationale de contrôle des API visée à l’article 37 et les UIP ont accès aux registres pertinents visés au paragraphe 1 du présent article lorsque cela est nécessaire aux fins visées au paragraphe 3 du présent article.

6 Les transporteurs aériens et l’eu-LISA conservent les registres qu’ils ont créés conformément aux paragraphes 1 et 2, respectivement, pendant un délai d’un an à compter de la date de leur création. Ils suppriment lesdits registres, immédiatement et de manière définitive, à l’expiration de ce délai. Toutefois, si ces registres sont nécessaires aux procédures destinées à contrôler ou à garantir la sécurité et l’intégrité des données API ou la licéité des opérations de traitement, ainsi qu’il est mentionné au paragraphe 3, et si ces procédures ont déjà commencé à la date d’expiration du délai visé au premier alinéa du présent paragraphe, les transporteurs aériens et l’eu-LISA conservent ces registres aussi longtemps que nécessaire aux fins de ces procédures. Dans ce cas, ils suppriment immédiatement lesdits registres lorsqu’ils ne sont plus nécessaires aux fins de ces procédures.

1 Les transporteurs aériens sont les responsables du traitement, au sens de l’article 4, point 7), du règlement (UE) 2016/679, pour le traitement des données API et des autres données PNR constituant des données à caractère personnel lorsqu’ils recueillent ces données et les transfèrent au routeur en vertu du présent règlement.

2 Les États membres désignent chacun une autorité compétente en tant que responsable du traitement conformément au présent article. Les États membres notifient le nom de ces autorités à la Commission, à l’eu-LISA et aux autres États membres. Toutes les autorités compétentes désignées par les États membres sont les responsables conjoints du traitement, conformément à l’article 21 de la directive (UE) 2016/680, aux fins du traitement des données à caractère personnel dans le routeur.

3 L’eu-LISA est un sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725 aux fins du traitement, par l’intermédiaire du routeur, des données API et des autres données PNR constituant des données à caractère personnel au titre du présent règlement, y compris la transmission des données du routeur aux UIP et la conservation, pour des raisons techniques, de ces données sur le routeur. L’eu-LISA veille à ce que le routeur soit utilisé conformément au présent règlement.

4 La Commission adopte des actes d’exécution établissant les responsabilités respectives des responsables conjoints du traitement et les obligations respectives des responsables conjoints du traitement et du sous-traitant. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 42, paragraphe 2.

Conformément à l’article 13 du règlement (UE) 2016/679, les transporteurs aériens fournissent aux passagers, sur les vols couverts par le présent règlement, des informations sur la finalité de la collecte de leurs données à caractère personnel, le type de données à caractère personnel recueillies, les destinataires des données à caractère personnel et les moyens d’exercer leurs droits en tant que personnes concernées. Ces informations sont communiquées aux passagers par écrit et dans un format facilement accessible au moment de la réservation et au moment de l’enregistrement, quel que soit le moyen utilisé pour recueillir les données à caractère personnel au moment de l’enregistrement, conformément à l’article 4.

1 L’eu-LISA veille à la sécurité et au chiffrement des données API et d’autres données PNR, en particulier celles constituant des données à caractère personnel, qu’elle traite en vertu du présent règlement. Les UIP et les transporteurs aériens veillent à la sécurité des données API, en particulier celles constituant des données à caractère personnel, qu’ils traitent en vertu du présent règlement. L’eu-LISA, les UIP et les transporteurs aériens coopèrent entre eux, en fonction de leurs responsabilités respectives et dans le respect du droit de l’Union, afin d’assurer cette sécurité.

2 L’eu-LISA assure la sécurité et la confidentialité des données relatives aux vols et aux liaisons sélectionnés par les États membres conformément à l’article 12, paragraphe 4. Les UIP et les transporteurs aériens veillent à la sécurité des données API, en particulier celles constituant des données à caractère personnel, qu’ils traitent en vertu du présent règlement. L’eu-LISA, les UIP et les transporteurs aériens coopèrent, en fonction de leurs responsabilités respectives et dans le respect du droit de l’Union, afin d’assurer cette sécurité.

3 L’eu-LISA prend les mesures nécessaires pour assurer la sécurité du routeur et des données API et d’autres données PNR, en particulier celles constituant des données à caractère personnel, transmises par l’intermédiaire du routeur, notamment en établissant, en mettant en œuvre et en mettant régulièrement à jour un plan de sécurité, un plan de continuité des activités et un plan de rétablissement après sinistre, afin: a) de garantir la protection physique du routeur, notamment en élaborant des plans d’urgence pour la protection de ses composants critiques; b) d’empêcher tout traitement non autorisé des données API et d’autres données PNR, y compris tout accès non autorisé à celles-ci et leur copie, modification ou suppression, tant pendant le transfert des données API et d’autres données PNR vers le routeur et depuis le routeur que pendant toute conservation des données API et d’autres données PNR sur le routeur lorsque cela est nécessaire pour achever la transmission, notamment au moyen de techniques de chiffrement appropriées; c) de garantir que les personnes autorisées à accéder au routeur n’ont accès qu’aux données couvertes par leur autorisation d’accès; d) de garantir qu’il est possible de vérifier et d’établir à quelles UIP les données API ou d’autres données PNR sont transmises par l’intermédiaire du routeur; e) d’informer dûment son conseil d’administration de toute anomalie dans le fonctionnement du routeur; f) de contrôler l’efficacité des mesures de sécurité requises en vertu du présent article et du règlement (UE) 2018/1725, et d’évaluer et de mettre à jour ces mesures de sécurité si nécessaire au regard de l’évolution technologique ou opérationnelle. Les mesures visées au premier alinéa du présent paragraphe sont sans préjudice de l’article 32 du règlement (UE) 2016/679, de l’article 33 du règlement (UE) 2018/1725 ou de l’article 29 de la directive (UE) 2016/680.

Les transporteurs aériens et les UIP contrôlent le respect de leurs obligations respectives au titre du présent règlement, en particulier en ce qui concerne leur traitement des données API constituant des données à caractère personnel. Pour les transporteurs aériens, le contrôle comprend une vérification régulière des registres visés à l’article 17.

1 Les autorités de contrôle indépendantes visées à l’article 41 de la directive (UE) 2016/680 procèdent, au moins une fois tous les quatre ans, à un audit des opérations de traitement des données API constituant des données à caractère personnel qui sont effectuées par les UIP aux fins du présent règlement. Les États membres veillent à ce que leurs autorités de contrôle indépendantes disposent des ressources et de l’expertise suffisantes pour s’acquitter des tâches qui leur sont confiées en vertu du présent règlement.

2 Le Contrôleur européen de la protection des données procède, au moins une fois par an, à un audit des opérations de traitement des données API et autres données PNR constituant des données à caractère personnel qui sont effectuées par l’eu-LISA aux fins du présent règlement, conformément aux normes internationales d’audit applicables. Un rapport de cet audit est communiqué au Parlement européen, au Conseil, à la Commission, aux États membres et à l’eu-LISA. L’eu-LISA a la possibilité de formuler des observations avant l’adoption des rapports.

3 En ce qui concerne les opérations de traitement visées au paragraphe 2, l’eu-LISA, sur demande, communique au Contrôleur européen de la protection des données les renseignements qu’il demande, lui octroie l’accès à tous les documents qu’il demande et aux registres visés à l’article 17, paragraphe 2, et lui permet d’accéder, à tout moment, à l’ensemble de ses locaux.

1 Les États membres veillent à ce que leurs UIP soient connectées au routeur. Ils veillent à ce que leurs systèmes et infrastructures nationaux pour la réception et le traitement ultérieur des données API et d’autres données PNR transférées en vertu du présent règlement soient intégrés au routeur. Les États membres veillent à ce que la connexion au routeur et l’intégration à celui-ci permettent à leurs UIP de recevoir et de traiter ultérieurement ces données API et autres données PNR, ainsi que d’échanger toute communication y afférente, de manière licite, sécurisée, efficace et rapide.

2 La Commission adopte des actes d’exécution précisant les règles détaillées nécessaires concernant les connexions au routeur et l’intégration à celui-ci visées au paragraphe 1 du présent article, y compris concernant les exigences en matière de sécurité des données. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 42, paragraphe 2.

1 Les transporteurs aériens veillent à être connectés au routeur. Ils veillent à ce que leurs systèmes et infrastructures pour le transfert des données API et d’autres données PNR au routeur en vertu du présent règlement soient intégrés au routeur. Les transporteurs aériens veillent à ce que la connexion au routeur et l’intégration à celui-ci leur permettent de transférer ces données API et autres données PNR, ainsi que d’échanger toute communication y afférente, de manière licite, sécurisée, efficace et rapide. À cette fin, les transporteurs aériens effectuent des essais de transfert des données API et d’autres données PNR vers le routeur en coopération avec l’eu-LISA, conformément à l’article 27, paragraphe 3.

2 La Commission adopte des actes d’exécution précisant les règles détaillées nécessaires concernant les connexions au routeur et l’intégration à celui-ci visées au paragraphe 1 du présent article, y compris concernant les exigences en matière de sécurité des données. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 42, paragraphe 2.

1 L’eu-LISA est chargée de concevoir l’architecture physique du routeur, y compris de définir ses spécifications techniques.

2 L’eu-LISA est chargée de développer le routeur, y compris de procéder à toute adaptation technique nécessaire au fonctionnement de celui-ci. Le développement du routeur consiste en l’élaboration et la mise en œuvre des spécifications techniques, en la réalisation d’essais et en la gestion globale du projet et la coordination de la phase de développement.

3 L’eu-LISA veille à concevoir et à développer le routeur de manière à ce qu’il fournisse les fonctionnalités précisées dans le présent règlement, et à ce qu’il entre en service dès que possible après l’adoption par la Commission des actes délégués prévus à l’article 4, paragraphe 12, à l’article 5, paragraphe 3, et à l’article 7, paragraphe 2, et des actes d’exécution prévus à l’article 11, paragraphe 5, à l’article 12, paragraphe 4, à l’article 23, paragraphe 2, et à l’article 24, paragraphe 2, du présent règlement, et des actes d’exécution prévus à l’article 16, paragraphe 3, de la directive (UE) 2016/681, et après la réalisation d’une analyse d’impact relative à la protection des données conformément à l’article 35 du règlement (UE) 2016/679.

4 L’eu-LISA fournit aux UIP, à d’autres autorités des États membres concernées et aux transporteurs aériens un ensemble d’essais de conformité. Cet ensemble d’essais de conformité comprend un environnement d’essai, un simulateur, des ensembles de données d’essai et un plan d’essai. L’ensemble d’essais de conformité permet des essais complets du routeur comme visé aux paragraphes 5 et 6 et reste disponible après l’achèvement de ces essais.

5 Lorsque l’eu-LISA considère que la phase de développement est achevée en ce qui concerne les données API, elle procède, dans les meilleurs délais, à un essai complet du routeur, en coopération avec les UIP et d’autres autorités des États membres concernées et les transporteurs aériens, et informe la Commission des résultats de cet essai.

6 Lorsque l’eu-LISA considère que la phase de développement est achevée en ce qui concerne d’autres données PNR, elle procède, dans les meilleurs délais, à des essais complets du routeur afin de garantir la fiabilité des connexions du routeur avec les transporteurs aériens et les UIP, la nécessaire transmission normalisée d’autres données PNR par les transporteurs aériens et le transfert et la transmission d’autres données PNR conformément à l’article 16 de la directive (UE) 2016/681, y compris l’utilisation des protocoles communs et des formats de données normalisés reconnus visés à l’article 16, paragraphes 2 et 3, de ladite directive, afin de garantir la lisibilité des autres données PNR. Ces essais sont menés en coopération avec les UIP et d’autres autorités des États membres concernées et les transporteurs aériens. L’eu-LISA informe la Commission des résultats de ces essais.

1 L’eu-LISA héberge le routeur sur ses sites techniques.

2 L’eu-LISA est responsable de la gestion technique du routeur, y compris de sa maintenance et de ses évolutions technologiques, de manière à garantir une transmission sécurisée, efficace et rapide des données API et d’autres données PNR par l’intermédiaire du routeur, en conformité avec le présent règlement. La gestion technique du routeur consiste à effectuer toutes les tâches et à mettre en œuvre toutes les solutions techniques nécessaires au bon fonctionnement du routeur conformément au présent règlement, de manière ininterrompue, 24 heures sur 24, 7 jours sur 7. Elle comprend les travaux de maintenance et les perfectionnements techniques indispensables pour que le routeur fonctionne à un niveau satisfaisant de qualité technique, notamment quant à la disponibilité, l’exactitude et la fiabilité de la transmission des données API et d’autres données PNR, conformément aux spécifications techniques et, dans la mesure du possible, en fonction des besoins opérationnels des UIP et des transporteurs aériens.

3 Le personnel de l’eu-LISA n’a accès à aucune des données API et des autres données PNR qui sont transmises par l’intermédiaire du routeur. Toutefois, cette interdiction n’empêche pas le personnel de l’eu-LISA d’avoir accès à ces données dans la mesure strictement nécessaire à la maintenance et à la gestion technique du routeur.

4 Sans préjudice du paragraphe 3 du présent article et de l’article 17 du statut des fonctionnaires de l’Union européenne fixé par le règlement (CEE, Euratom, CECA) no 259/68 du Conseil , l’eu-LISA applique des règles appropriées en matière de secret professionnel ou impose des obligations de confidentialité équivalentes à tous les membres de son personnel appelés à travailler avec des données API et d’autres données PNR transmises par l’intermédiaire du routeur. Cette obligation continue de s’appliquer après que ces personnes ont cessé leurs fonctions ou quitté leur emploi ou après la cessation de leur activité.

1 L’eu-LISA dispense aux UIP, à d’autres autorités des États membres concernées ou aux transporteurs aériens, à leur demande, une formation sur l’utilisation technique du routeur et sur leur connexion et intégration à celui-ci.

2 L’eu-LISA fournit un appui aux UIP pour la réception des données API et d’autres données PNR par l’intermédiaire du routeur conformément au présent règlement, notamment en ce qui concerne l’application des articles 12 et 23.

3 Conformément à l’article 24, paragraphe 1, et en utilisant l’ensemble d’essais de conformité visé à l’article 25, paragraphe 4, l’eu-LISA effectue des essais du transfert de données API et d’autres données PNR au routeur, en coopération avec les transporteurs aériens.

1 Au plus tard le 28 janvier 2025, le conseil d’administration de l’eu-LISA établit un conseil de gestion du programme. Il se compose de dix membres et comprend: a) sept membres nommés par le conseil d’administration de l’eu-LISA parmi ses membres ou ses suppléants; b) le président du groupe consultatif sur les API-PNR visé à l’article 29; c) un membre du personnel de l’eu-LISA désigné par son directeur exécutif; et d) un membre nommé par la Commission. En ce qui concerne le point a), les membres nommés par le conseil d’administration de l’eu-LISA sont élus uniquement parmi ses membres ou ses suppléants issus des États membres auxquels s’applique le présent règlement.

2 Le conseil de gestion du programme élabore son règlement intérieur, qui est adopté par le conseil d’administration de l’eu-LISA. La présidence est assurée par un État membre qui est membre du conseil de gestion du programme.

3 Le conseil de gestion du programme contrôle la bonne exécution des tâches de l’eu-LISA relatives à la conception et au développement du routeur conformément à l’article 25. Sur demande du conseil de gestion du programme, l’eu-LISA fournit des informations détaillées et actualisées sur la conception et le développement du routeur, y compris sur les ressources allouées par l’eu-LISA.

4 Le conseil de gestion du programme soumet régulièrement, et au moins trois fois par trimestre, des rapports écrits sur l’état d’avancement de la conception et du développement du routeur au conseil d’administration de l’eu-LISA.

5 Le conseil de gestion du programme n’a aucun pouvoir décisionnel ni aucun mandat lui permettant de représenter le conseil d’administration de l’eu-LISA ou les membres de celui-ci.

6 Le conseil de gestion du programme cesse d’exister à la date d’application du présent règlement, visée à l’article 45, deuxième alinéa.

1 À compter du 28 janvier 2025, le groupe consultatif sur les API-PNR, institué en vertu de l’article 27, paragraphe 1, point d sexies), du règlement (UE) 2018/1726, apporte au conseil d’administration de l’eu-LISA l’expertise nécessaire liée aux API-PNR, en particulier dans le cadre de la préparation de son programme de travail annuel et de son rapport d’activité annuel.

2 L’eu-LISA fournit au groupe consultatif sur les API-PNR des versions, même provisoires, des spécifications techniques et des ensembles d’essais de conformité visés à l’article 25, paragraphes 1, 2 et 4, lorsqu’elles sont disponibles.

3 Le groupe consultatif sur les API-PNR exerce les fonctions suivantes: a) il apporte une expertise à l’eu-LISA et au conseil de gestion du programme sur la conception et le développement du routeur conformément à l’article 25; b) il apporte une expertise à l’eu-LISA sur l’hébergement et la gestion technique du routeur conformément à l’article 26; c) il donne son avis au conseil de gestion du programme, à sa demande, sur l’état d’avancement de la conception et du développement du routeur, y compris sur l’état d’avancement des spécifications techniques et des ensembles d’essais de conformité visés au paragraphe 2.

4 Le groupe consultatif sur les API-PNR n’a aucun pouvoir décisionnel ni aucun mandat lui permettant de représenter le conseil d’administration de l’eu-LISA ou les membres de celui-ci.

1 Au plus tard à la date d’application pertinente du présent règlement visée à l’article 45, deuxième alinéa, le conseil d’administration de l’eu-LISA établit un groupe de contact API-PNR.

2 Le groupe de contact API-PNR facilite la communication entre les autorités compétentes des États membres et les transporteurs aériens sur des questions techniques liées à leurs tâches et obligations respectives en vertu du présent règlement.

3 Le groupe de contact API-PNR se compose de représentants des autorités compétentes des États membres et des transporteurs aériens, du président du groupe consultatif sur les API-PNR et d’experts de l’eu-LISA.

4 Le conseil d’administration de l’eu-LISA établit le règlement intérieur du groupe de contact API-PNR, après avoir consulté le groupe consultatif sur l’API-PNR.

5 Lorsqu’il l’estime nécessaire, le conseil d’administration de l’eu-LISA peut également créer des sous-groupes du groupe de contact API-PNR pour discuter de questions techniques spécifiques liées aux tâches et obligations respectives des autorités compétentes des États membres et des transporteurs aériens en vertu du présent règlement.

6 Le groupe de contact API-PNR, y compris ses sous-groupes, n’a aucun pouvoir décisionnel ni aucun mandat lui permettant de représenter le conseil d’administration de l’eu-LISA ou les membres de celui-ci.

1 Au plus tard à la date d’application du présent règlement visée à l’article 45, deuxième alinéa, point a), la Commission établit un groupe d’experts sur les API conformément aux règles horizontales sur la création et le fonctionnement des groupes d’experts de la Commission.

2 Le groupe d’experts sur les API permet la communication entre les autorités compétentes des États membres, et entre les autorités compétentes des États membres et les transporteurs aériens, sur des questions politiques liées à leurs tâches et obligations respectives en vertu du présent règlement, y compris en ce qui concerne les sanctions visées à l’article 38.

3 Le groupe d’experts sur les API est présidé par la Commission et constitué selon les règles horizontales sur la création et le fonctionnement des groupes d’experts de la Commission. Il se compose de représentants des autorités compétentes des États membres, de représentants des transporteurs aériens et d’experts de l’eu-LISA. Lorsque cela est nécessaire à l’exécution de ses tâches, le groupe d’experts sur les API peut inviter des parties prenantes concernées, en particulier des représentants du Parlement européen, du Contrôleur européen de la protection des données et des autorités de contrôle nationales indépendantes, à participer à ses travaux.

4 Le groupe d’experts sur les API s’acquitte de ses tâches dans le respect du principe de transparence. La Commission publie les procès-verbaux des réunions du groupe d’experts sur les API et d’autres documents pertinents sur son site internet.

1 Les coûts exposés par l’eu-LISA en ce qui concerne la mise en place et le fonctionnement du routeur au titre du présent règlement sont à la charge du budget général de l’Union.

2 Les coûts exposés par les États membres pour la mise en œuvre du présent règlement, en particulier pour leur connexion au routeur et l’intégration à celui-ci visées à l’article 23, sont à la charge du budget général de l’Union, conformément aux règles d’éligibilité et aux taux de cofinancement fixés dans les actes juridiques applicables de l’Union.

3 Les coûts exposés par le Contrôleur européen de la protection des données pour les tâches qui lui sont confiées par le présent règlement sont à la charge du budget général de l’Union.

4 Les coûts exposés par les autorités de contrôle nationales indépendantes pour les tâches qui leur sont confiées par le présent règlement sont à la charge des États membres.

Si le non-respect, par un État membre ou un transporteur aérien, des obligations qui lui incombent au titre du présent règlement cause un dommage au routeur, cet État membre ou ce transporteur est responsable de ce dommage, comme prévu par le droit de l’Union ou le droit national applicable, sauf si, et dans la mesure où, il est démontré que l’eu-LISA, un autre État membre ou un autre transporteur aérien n’a pas pris de mesures raisonnables pour empêcher le dommage de se produire ou pour en réduire au minimum les effets.

La Commission fixe dans les meilleurs délais, par la voie d’un acte d’exécution, la date à compter de laquelle le routeur est mis en service en ce qui concerne les données API une fois que l’eu-LISA l’a informée que l’essai complet du routeur visé à l’article 25, paragraphe 5, était concluant. Cet acte d’exécution est adopté en conformité avec la procédure d’examen visée à l’article 42, paragraphe 2. La Commission fixe la date visée au premier alinéa à trente jours au plus tard à compter de la date de l’adoption de cet acte d’exécution.

La Commission fixe dans les meilleurs délais, par la voie d’un acte d’exécution, la date à compter de laquelle le routeur est mis en service en ce qui concerne les autres données PNR une fois que l’eu-LISA l’a informée que les essais complets du routeur visés à l’article 25, paragraphe 6, étaient concluants, y compris en ce qui concerne la fiabilité des connexions du routeur avec les transporteurs aériens et les UIP et en ce qui concerne la lisibilité des autres données PNR transférées par les transporteurs aériens et transmises par le routeur dans le format normalisé nécessaire, conformément à l’article 16 de la directive (UE) 2016/681. Cet acte d’exécution est adopté en conformité avec la procédure d’examen visée à l’article 42, paragraphe 2. La Commission fixe la date visée au premier alinéa à trente jours au plus tard à compter de la date de l’adoption de cet acte d’exécution.

1 Les transporteurs aériens sont autorisés à utiliser le routeur pour transmettre les informations visées à l’article 3, paragraphes 1 et 2, de la directive 2004/82/CE ou d’autres données PNR recueillies conformément à l’article 8 de la directive (UE) 2016/681 à une ou plusieurs des UIP responsables, conformément auxdites directives, à condition que l’État membre concerné ait accepté cette utilisation, à partir d’une date appropriée fixée par cet État membre. Cet État membre n’accepte qu’après avoir établi que, en particulier en ce qui concerne la connexion de sa propre UIP au routeur et celle du transporteur aérien concerné, les informations peuvent être transmises de manière licite, sécurisée, efficace et rapide.

2 Lorsqu’un transporteur aérien commence à utiliser le routeur conformément au paragraphe 1 du présent article, il continue d’utiliser le routeur pour transmettre ces informations à l’UIP de l’État membre concerné jusqu’à la date d’application pertinente du présent règlement visée à l’article 45, deuxième alinéa. Toutefois, cette utilisation est interrompue, à partir d’une date appropriée fixée par cet État membre, lorsque cet État membre considère qu’il existe des raisons objectives qui exigent une telle interruption et a informé le transporteur aérien en conséquence.

3 L’État membre concerné: a) consulte l’eu-LISA avant d’accepter l’utilisation volontaire du routeur conformément au paragraphe 1; b) sauf dans des situations d’urgence dûment justifiées, donne au transporteur aérien concerné la possibilité de formuler des observations sur son intention d’interrompre cette utilisation conformément au paragraphe 2 et, le cas échéant, consulte également l’eu-LISA à cet égard; c) informe immédiatement l’eu-LISA et la Commission de toute utilisation de ce type qu’il a acceptée et de toute interruption de cette utilisation, en fournissant toutes les informations nécessaires, y compris la date de début de l’utilisation, la date de l’interruption et les raisons de cette interruption, selon le cas.

1 Les États membres désignent une ou plusieurs autorités nationales de contrôle des API chargées de contrôler l’application, sur leur territoire, des dispositions du présent règlement par les transporteurs aériens et de veiller au respect de ces dispositions.

2 Les États membres veillent à ce que les autorités nationales de contrôle des API disposent de tous les moyens et de tous les pouvoirs d’enquête et d’exécution nécessaires pour s’acquitter de leurs missions prévues par le présent règlement, y compris en imposant les sanctions visées à l’article 38, s’il y a lieu. Les États membres veillent à ce que l’exercice des pouvoirs conférés à l’autorité nationale de contrôle des API fasse l’objet de garanties appropriées dans le respect des droits fondamentaux garantis par le droit de l’Union.

3 Les États membres notifient à la Commission, au plus tard à la date d’application pertinente du présent règlement visée à l’article 45, deuxième alinéa, le nom et les coordonnées des autorités qu’ils ont désignées en vertu du paragraphe 1 du présent article. Ils notifient à la Commission sans tarder tout changement ou toute modification ultérieurs à cet égard.

4 Le présent article s’entend sans préjudice des pouvoirs des autorités de contrôle visées à l’article 51 du règlement (UE) 2016/679, à l’article 41 de la directive (UE) 2016/680 et à l’article 15 de la directive (UE) 2016/681.

1 Les États membres déterminent le régime des sanctions applicables aux violations du présent règlement et prennent toutes les mesures nécessaires pour assurer la mise en œuvre de ces sanctions. Ces sanctions doivent être effectives, proportionnées et dissuasives.

2 Les États membres informent la Commission, au plus tard à la date d’application pertinente du présent règlement, visée à l’article 45, deuxième alinéa, du régime ainsi déterminé et des mesures ainsi prises, de même que, sans retard, de toute modification apportée ultérieurement à ce régime ou à ces mesures.

3 Les États membres veillent à ce que les autorités nationales de contrôle des API, lorsqu’elles décident s’il y a lieu d’imposer une sanction et lorsqu’elles déterminent le type et le niveau de sanction, tiennent compte des circonstances pertinentes, qui peuvent comprendre: a) la nature, la gravité et la durée de l’infraction; b) la gravité de la faute du transporteur aérien; c) les infractions antérieures commises par le transporteur aérien; d) le niveau global de coopération du transporteur aérien avec les autorités compétentes; e) la taille du transporteur aérien, par exemple le nombre de passagers transportés sur une année; f) l’existence ou non de précédentes sanctions qui ont déjà été appliquées par d’autres autorités nationales de contrôle des API au même transporteur aérien pour la même infraction.

4 Les États membres veillent à ce qu’un manquement récurrent à l’obligation de transférer des données API conformément à l’article 5, paragraphe 1, fasse l’objet de sanctions financières proportionnées pouvant atteindre jusqu’à 2 % du chiffre d’affaires mondial du transporteur aérien pour l’exercice précédent. Les États membres veillent à ce que le non-respect des autres obligations énoncées dans le présent règlement fasse l’objet de sanctions proportionnées, y compris des sanctions financières.

1 Pour faciliter la mise en œuvre et le contrôle de l’application du présent règlement, et sur la base des informations statistiques visées aux paragraphes 5 et 6, l’eu-LISA publie chaque trimestre des statistiques sur le fonctionnement du routeur et sur le respect par les transporteurs aériens des obligations énoncées au présent règlement. Ces statistiques ne permettent pas l’identification de personnes.

2 Aux fins énoncées au paragraphe 1, le routeur transmet automatiquement les données énumérées aux paragraphes 5 et 6 au CRRS.

3 Pour faciliter la mise en œuvre et le contrôle de l’application du présent règlement, chaque année, l’eu-LISA établit des données statistiques dans un rapport annuel pour l’année précédente. L’eu-LISA publie ce rapport annuel et le transmet au Parlement européen, au Conseil, à la Commission, au Contrôleur européen de la protection des données, à l’Agence européenne de garde-frontières et de garde-côtes et aux autorités nationales de contrôle des API visées à l’article 37. Le rapport annuel ne divulgue pas les méthodes de travail confidentielles et ne compromet pas les enquêtes en cours des autorités compétentes des États membres.

4 À la demande de la Commission, l’eu-LISA lui fournit des statistiques sur des aspects spécifiques ayant trait à la mise en œuvre du présent règlement, ainsi que les statistiques visées au paragraphe 3.

5 Le CRRS fournit à l’eu-LISA les informations statistiques nécessaires suivantes à l’établissement des rapports visés à l’article 44 et à la production de statistiques conformément au présent article, sans que ces statistiques sur les données API permettent l’identification des passagers concernés: a) si les données concernent un passager ou un membre d’équipage; b) la nationalité, le sexe et l’année de naissance du passager ou du membre d’équipage; c) la date et le point d’embarquement initial, la date et l’aéroport de départ, ainsi que la date et l’aéroport d’arrivée; d) le type de document de voyage et le code à trois lettres du pays de délivrance ainsi que la date d’expiration de la validité du document de voyage; e) le nombre de passagers enregistrés sur le même vol; f) le code du transporteur aérien assurant le vol; g) s’il s’agit d’un vol régulier ou d’un vol non régulier; h) si les données API ont été transférées immédiatement après la clôture du vol; i) si les données à caractère personnel du passager sont exactes, complètes et à jour; j) les moyens techniques utilisés pour obtenir les données API.

6 Le CRRS fournit à l’eu-LISA les informations statistiques nécessaires suivantes aux fins de l’établissement des rapports visés à l’article 44 et de la production de statistiques conformément au présent article, sans que ces statistiques sur d’autres données PNR permettent l’identification des passagers concernés: a) la date et l’heure de réception du message PNR par le routeur; b) les informations de vol contenues dans l’itinéraire de voyage dans le message PNR spécifique; c) les informations sur le partage de code contenues dans le message PNR spécifique.

7 Aux fins de l’établissement des rapports visés à l’article 44 et en vue de la production de statistiques conformément au présent article, l’eu-LISA conserve les données visées aux paragraphes 5 et 6 du présent article dans le CRRS. Elle conserve ces données pour une durée de cinq ans conformément au paragraphe 2, tout en veillant à ce que les données ne permettent pas d’identifier les passagers concernés. Le CRRS fournit au personnel dûment autorisé des UIP et à d’autres autorités des États membres concernées des rapports et des statistiques personnalisables sur les données API visées au paragraphe 5 du présent article et sur les autres données PNR visées au paragraphe 6 du présent article, aux fins de la mise en œuvre et du contrôle de l’application du présent règlement.

8 L’utilisation des données visées aux paragraphes 5 et 6 du présent article ne peut aboutir au profilage des personnes, comme visé à l’article 11, paragraphe 3, de la directive (UE) 2016/680, ni entraîner de discriminations à l’encontre des personnes fondées sur les motifs énumérés à l’article 21 de la Charte. Les données visées aux paragraphes 5 et 6 du présent article ne sont pas utilisées pour les comparer avec des données à caractère personnel ou les rapprocher de données à caractère personnel ou pour les combiner avec des données à caractère personnel.

9 Les procédures mises en place par l’eu-LISA pour suivre le développement et le fonctionnement du routeur, mentionnées à l’article 39, paragraphe 2, du règlement (UE) 2019/818, incluent la possibilité de produire régulièrement des statistiques aux fins de ce suivi.

La Commission, en étroite coopération avec les UIP, d’autres autorités des États membres concernées, les transporteurs aériens et les organes et agences de l’Union concernés, élabore et met à la disposition du public un manuel pratique contenant des lignes directrices, des recommandations et des bonnes pratiques pour la mise en œuvre du présent règlement, y compris en ce qui concerne le respect des droits fondamentaux ainsi que les sanctions visées à l’article 38. Le manuel pratique tient également compte d’autres manuels pertinents. La Commission adopte le manuel pratique sous la forme d’une recommandation.

«1 Un répertoire central des rapports et statistiques (CRRS) est créé pour soutenir les objectifs du SIS, d’Eurodac et de l’ECRIS-TCN, conformément aux différents instruments juridiques régissant ces systèmes, et pour fournir des statistiques intersystèmes et des rapports analytiques à des fins stratégiques, opérationnelles et de qualité des données. Le CRRS soutient également les objectifs du règlement (UE) 2025/13 du Parlement européen et du Conseil .

2 L’eu-LISA établit, met en œuvre et héberge sur ses sites techniques le CRRS, contenant les données et les statistiques visées à l’article 74 du règlement (UE) 2018/1862 et à l’article 32 du règlement (UE) 2019/816, séparées logiquement par système d’information de l’UE. L’eu-LISA recueille également les données et les statistiques provenant du routeur visé à l’article 39, paragraphe 1, du règlement (UE) 2025/13. L’accès au CRRS est accordé, moyennant un accès contrôlé et sécurisé et des profils d’utilisateur spécifiques, aux seules fins de l’élaboration de rapports et de statistiques, aux autorités visées à l’article 74 du règlement (UE) 2018/1862, à l’article 32 du règlement (UE) 2019/816 et à l’article 13, paragraphe 1, du règlement (UE) 2025/13.

1 La Commission est assistée par un comité. Ledit comité est un comité au sens du règlement (UE) no 182/2011.

2 Lorsqu’il est fait référence au présent paragraphe, l’article 5 du règlement (UE) no 182/2011 s’applique. Lorsque le comité n’émet aucun avis, la Commission n’adopte pas le projet d’acte d’exécution, et l’article 5, paragraphe 4, troisième alinéa, du règlement (UE) no 182/2011 s’applique.

1 Le pouvoir d’adopter des actes délégués conféré à la Commission est soumis aux conditions fixées au présent article.

2 Le pouvoir d’adopter des actes délégués visé à l’article 4, paragraphes 11 et 12, à l’article 5, paragraphe 4, et à l’article 7, paragraphe 5, est conféré à la Commission pour une période de cinq ans à compter du 28 janvier 2025. La Commission élabore un rapport relatif à la délégation de pouvoir au plus tard neuf mois avant la fin de la période de cinq ans. La délégation de pouvoir est tacitement prorogée pour des périodes d’une durée identique, sauf si le Parlement européen ou le Conseil s’oppose à cette prorogation au plus tard trois mois avant la fin de chaque période. En ce qui concerne un acte délégué adopté en vertu de l’article 4, paragraphe 11, si une objection a été exprimée par le Parlement européen ou le Conseil comme prévu au paragraphe 6 du présent article, le Parlement européen ou le Conseil ne s’oppose pas à la prorogation tacite visée au premier alinéa du présent paragraphe.

3 La délégation de pouvoir visée à l’article 4, paragraphe 12, à l’article 5, paragraphe 4, et à l’article 7, paragraphe 5, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l’Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur.

4 Avant l’adoption d’un acte délégué, la Commission consulte les experts désignés par chaque État membre, conformément aux principes définis dans l’accord interinstitutionnel du 13 avril 2016 «Mieux légiférer».

5 Dès qu’elle adopte un acte délégué, la Commission le notifie au Parlement européen et au Conseil simultanément.

6 Un acte délégué adopté en vertu de l’article 4, paragraphe 11 ou 12, de l’article 5, paragraphe 4, ou de l’article 7, paragraphe 5, n’entre en vigueur que si le Parlement européen ou le Conseil n’a pas exprimé d’objections dans un délai de deux mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l’expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d’objections. Ce délai est prolongé de deux mois à l’initiative du Parlement européen ou du Conseil.

1 L’eu-LISA veille à ce que des procédures soient mises en place pour suivre le développement du routeur par rapport aux objectifs fixés en matière de planification et de coûts et pour suivre le fonctionnement du routeur par rapport aux objectifs fixés en matière de résultats techniques, de rapport coût-efficacité, de sécurité et de qualité du service.

2 Au plus tard le 29 janvier 2026, puis tous les ans pendant la phase de développement du routeur, l’eu-LISA établit un rapport sur l’état d’avancement du développement du routeur et présente ce rapport au Parlement européen et au Conseil. Ce rapport contient des informations détaillées sur les coûts exposés et sur tout risque susceptible d’avoir une incidence sur les coûts globaux qui sont à la charge du budget général de l’Union conformément à l’article 32.

3 Une fois le routeur mis en service, l’eu-LISA élabore et soumet au Parlement européen et au Conseil un rapport expliquant en détail la manière dont les objectifs, en particulier ceux ayant trait à la planification et aux coûts, ont été atteints, et indiquant les raisons d’éventuels écarts.

4 Au plus tard le 29 janvier 2029, puis tous les quatre ans, la Commission établit un rapport présentant une évaluation globale du présent règlement, y compris sur la nécessité et la valeur ajoutée de la collecte des données API, dont une évaluation de: a) l’application du présent règlement; b) la mesure dans laquelle le présent règlement a atteint ses objectifs; c) l’incidence du présent règlement sur les droits fondamentaux protégés par le droit de l’Union; d) l’incidence du présent règlement sur l’expérience de voyage vécue par les passagers en règle; e) l’incidence du présent règlement sur la compétitivité du secteur de l’aviation et la charge supportée par les entreprises; f) la qualité des données transmises par le routeur aux UIP; g) la performance du routeur à l’égard des UIP. Aux fins du premier alinéa, point e), le rapport de la Commission traite également de l’interaction entre le présent règlement et d’autres actes législatifs de l’Union pertinents, notamment les règlements (CE) no 767/2008, (UE) 2017/2226 et (UE) 2018/1240, en vue d’évaluer les répercussions globales des obligations connexes de déclaration imposées aux transporteurs aériens, recense les dispositions qui pourraient être mises à jour et simplifiées, le cas échéant, afin d’alléger la charge pesant sur les transporteurs aériens, et envisage des actions et des mesures qui pourraient être entreprises pour réduire le coût total de la mise en œuvre pour les transporteurs aériens.

5 L’évaluation visée au paragraphe 4 comprend également une évaluation de la nécessité, de la proportionnalité et de l’efficacité de l’inclusion de la collecte et du transfert obligatoires de données API relatives aux vols intra-UE dans le champ d’application du présent règlement.

6 La Commission soumet le rapport d’évaluation au Parlement européen, au Conseil, au Contrôleur européen de la protection des données et à l’Agence des droits fondamentaux de l’Union européenne. S’il y a lieu, au vu de l’évaluation effectuée, la Commission soumet une proposition législative au Parlement européen et au Conseil en vue de modifier le présent règlement.

7 Les États membres et les transporteurs aériens communiquent à l’eu-LISA et à la Commission, à leur demande, les informations nécessaires à l’établissement des rapports visés aux paragraphes 2, 3 et 4. En particulier, les États membres fournissent des informations quantitatives et qualitatives sur la collecte des données API d’un point de vue opérationnel. Les informations fournies ne comprennent pas de données à caractère personnel. Les États membres peuvent s’abstenir de communiquer ces informations si, et dans la mesure où, cela est nécessaire pour ne pas divulguer des méthodes de travail confidentielles ou ne pas compromettre des enquêtes en cours de leurs UIP ou d’autres autorités compétentes. La Commission veille à ce que toute information confidentielle communiquée soit correctement protégée.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Il s’applique: a) en ce qui concerne les données API, à compter de la date correspondant à deux ans à compter de la date de mise en service du routeur, telle qu’elle est déterminée par la Commission conformément à l’article 34; et b) en ce qui concerne les autres données PNR, à compter de la date correspondant à quatre ans à compter de la date de mise en service du routeur, telle qu’elle est déterminée par la Commission conformément à l’article 35. Toutefois: a) l’article 4, paragraphe 12, l’article 5, paragraphe 3, l’article 7, paragraphe 5, l’article 11, paragraphe 5, l’article 12, paragraphe 6, l’article 18, paragraphe 4, l’article 23, paragraphe 2, l’article 24, paragraphe 2, les articles 25, 28 et 29, l’article 32, paragraphe 1, les articles 34, 35, 42 et 43 sont applicables à partir du 28 janvier 2025; b) l’article 6, l’article 17, paragraphes 1, 2 et 3, l’article 18, paragraphes 1, 2 et 3, et les articles 19, 20, 26, 27, 33 et 36 s’appliquent à partir de la date de mise en service du routeur, telle qu’elle est déterminée par la Commission conformément aux articles 34 et 35.