None
(13)Om ervoor te zorgen dat de vooraf door de bevoegde grensautoriteiten uitgevoerde controles doeltreffend en efficiënt zijn, moeten de API-gegevens die aan die autoriteiten worden doorgegeven, gegevens bevatten van reizigers die daadwerkelijk de buitengrenzen zullen overschrijden, dat wil zeggen reizigers die daadwerkelijk aan boord van het luchtvaartuig zijn. Daarom moeten de luchtvaartmaatschappijen de API-gegevens onmiddellijk na beëindiging van het inchecken doorgeven. Bovendien helpen de API-gegevens de bevoegde grensautoriteiten om een onderscheid te maken tussen bonafide reizigers en reizigers die wellicht extra aandacht en extra verificatie vereisen en voor wie bij aankomst follow-upmaatregelen zouden moeten worden genomen waarvoor voorafgaande voorbereiding en coördinatie vereist is. Deze situatie kan zich bijvoorbeeld voordoen wanneer het aantal reizigers die extra aandacht vereisen, onverwacht groot is en het fysiek controleren van deze reizigers aan de grenzen negatieve gevolgen heeft voor de grenscontroles en de wachttijden van de bonafide reizigers aan de grenzen. Om de bevoegde grensautoriteiten in de gelegenheid te stellen passende en evenredige maatregelen aan de grens voor te bereiden, zoals het tijdelijk versterken of elders inzetten van personeel, met name wanneer zij tussen de beëindiging van het inchecken van een vlucht en de aankomst van de betrokken reizigers aan de buitengrenzen onvoldoende tijd hebben om de meest passende respons voor te bereiden, moet worden bepaald dat de API-gegevens ook moeten worden doorgegeven bij het inchecken, en dus vóór het aan boord gaan, van de reiziger.
 (14)Om duidelijkheid te verschaffen over de technische voorschriften die van toepassing zijn op de luchtvaartmaatschappijen en die ervoor moeten zorgen dat de API-gegevens die zij uit hoofde van deze verordening verzamelen, op een beveiligde, doeltreffende en snelle manier aan de router worden doorgegeven, moet de Commissie de bevoegdheid krijgen om specificaties vast te stellen voor de gemeenschappelijke protocollen en de ondersteunde gegevensformaten die voor die doorgiften moeten worden gebruikt. 


(15)Om elk risico op misbruik te voorkomen en de inachtneming van het beginsel van doelbinding te waarborgen, moet het de bevoegde grensautoriteiten uitdrukkelijk verboden worden de API-gegevens die zij uit hoofde van deze verordening ontvangen, voor andere doeleinden te verwerken dan het versterken en vergemakkelijken van de doeltreffendheid en efficiëntie van de grenscontroles aan de buitengrenzen en het bestrijden van illegale immigratie.
(16)Teneinde ervoor te zorgen dat de bevoegde grensautoriteiten voldoende tijd hebben om alle reizigers, ook op langeafstandsvluchten en op aansluitende vluchten, doeltreffend te controleren en om na te gaan of de door de luchtvaartmaatschappijen verzamelde en doorgegeven API-gegevens volledig, juist en actueel zijn, en om zo nodig de luchtvaartmaatschappijen om aanvullende verduidelijkingen, correcties of aanvullingen te verzoeken, moeten de bevoegde grensautoriteiten de API-gegevens die zij uit hoofde van deze verordening hebben ontvangen, opslaan gedurende een vaste periode die niet langer mag zijn dan wat strikt noodzakelijk is voor het bereiken van die specifieke doeleinden. Om op dergelijke verzoeken te kunnen reageren, moeten de luchtvaartmaatschappijen de API-gegevens die zij uit hoofde van deze verordening hebben doorgegeven, gedurende dezelfde vaste en strikt noodzakelijke periode opslaan.
 (17)Om te voorkomen dat de luchtvaartmaatschappijen voor de doorgifte van de uit hoofde van deze verordening verzamelde API-gegevens meerdere verbindingen met de bevoegde grensautoriteiten van de lidstaten moeten tot stand brengen en onderhouden en dat als gevolg daarvan inefficiënties en veiligheidsrisico’s ontstaan, moet worden voorzien in één enkele router die op het niveau van de Unie wordt opgezet en geëxploiteerd en die dient als verbindings- en distributiepunt voor die doorgifte. Met het oog op efficiëntie en kosteneffectiviteit moeten voor de router technische componenten van andere relevante systemen die in het kader van het Unierecht zijn opgezet, worden gebruikt, voor zover dat technisch mogelijk is en mits de regels van deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving] daarbij volledig in acht worden genomen.
(18)De router moet de API-gegevens op geautomatiseerde wijze doorgeven aan de betrokken bevoegde grensautoriteiten; welke autoriteiten dat zijn, wordt bepaald op basis van de in de betrokken API-gegevens vermelde grensdoorlaatpost van binnenkomst op het grondgebied van de lidstaat. Om de distributie te vergemakkelijken, moet elke lidstaat aangeven welke grensautoriteiten bevoegd zijn om de via de router doorgeven API-gegevens te ontvangen. Met het oog op de goede werking van deze verordening en in het belang van de transparantie moet die informatie openbaar worden gemaakt.
 (19)De router dient alleen om het voor de luchtvaartmaatschappijen gemakkelijker te maken API-gegevens overeenkomstig deze verordening aan de bevoegde grensautoriteiten en overeenkomstig Verordening (EU) [API-gegevens voor rechtshandhaving] aan de PIE’s door te zenden, en dient niet voor de opslag van API-gegevens. Om daarmee rekening te houden, alsook om het risico op ongeoorloofde toegang of ander misbruik tot een minimum te beperken en om het beginsel van minimale gegevensverwerking in acht te nemen, moet de opslag van API-gegevens op de router beperkt blijven tot wat strikt noodzakelijk is voor technische doeleinden in verband met de doorzending, en moeten de API-gegevens onmiddellijk, definitief en op een geautomatiseerde manier van de router worden gewist zodra de doorzending heeft plaatsgevonden of, in voorkomend geval op grond van Verordening (EU) [API-gegevens voor rechtshandhaving], wanneer de API-gegevens helemaal niet mogen worden doorgezonden.
(20)Om ervoor te zorgen dat de doorzending van API-gegevens via de router goed werkt, moet de Commissie de bevoegdheid krijgen om gedetailleerde technische en procedurele voorschriften over die doorzending vast te stellen. Deze regels moeten van dien aard zijn dat de doorzending op een beveiligde, doeltreffende en snelle manier verloopt en de impact ervan op de reis van de passagiers en op de luchtvaartmaatschappijen niet groter is dan noodzakelijk.
 (21)Om ervoor te zorgen dat de luchtvaartmaatschappijen zo snel mogelijk kunnen profiteren van de voordelen van het gebruik van de door eu-LISA overeenkomstig deze verordening ontwikkelde router en ervaring kunnen opdoen met het gebruik van de router, moeten zij de mogelijkheid krijgen, maar niet verplicht worden, om tijdens een overgangsperiode de router te gebruiken voor het doorzenden van de krachtens Richtlijn 2004/82/EG vereiste gegevens. Die overgangsperiode moet beginnen wanneer de router in gebruik wordt genomen, en moet aflopen wanneer de verplichtingen uit hoofde van die richtlijn vervallen. Om ervoor te zorgen dat dit vrijwillige gebruik van de router op een verantwoordelijke manier plaatsvindt, is de voorafgaande schriftelijke toestemming van de bevoegde autoriteit die de informatie moet ontvangen, vereist; zij moet daartoe door de luchtvaartmaatschappij worden verzocht en moet eerst de nodige verificaties verrichten en waarborgen krijgen. Om te voorkomen dat luchtvaartmaatschappijen herhaaldelijk beginnen en weer stoppen met het gebruik van de router, moeten luchtvaartmaatschappijen die de router vrijwillig in gebruik hebben genomen, worden verplicht deze te blijven gebruiken, tenzij er objectieve redenen zijn om het gebruik van de router voor het verstrekken van de informatie aan de betrokken bevoegde autoriteit stop te zetten, bijvoorbeeld omdat is gebleken dat de informatie niet op een rechtmatige, beveiligde, doeltreffende en snelle manier wordt verstrekt. Om ervoor te zorgen dat deze mogelijkheid om de router op vrijwillige basis te gebruiken, correct wordt toegepast, met inachtneming van de rechten en belangen van alle betrokken partijen, moeten de nodige regels inzake raadpleging en informatieverstrekking worden vastgesteld. Vrijwillig gebruik van de router in het kader van Richtlijn 2004/82/EG overeenkomstig deze verordening doet op geen enkele wijze afbreuk aan de verplichtingen waaraan de luchtvaartmaatschappijen en de lidstaten uit hoofde van die richtlijn moeten voldoen.
 (22)De technische verbindingen voor de doorgifte van de API-gegevens moeten door de router die op grond van deze verordening wordt opgezet en geëxploiteerd, worden verminderd in aantal, vereenvoudigd en beperkt tot één verbinding per luchtvaartmaatschappij en per bevoegde grensautoriteit. Daarom verplicht deze verordening de bevoegde grensautoriteiten en de luchtvaartmaatschappijen om elk zo een verbinding op te zetten die met de router kan worden geïntegreerd, zodat het bij deze verordening ingestelde systeem voor de doorgifte van API-gegevens naar behoren kan functioneren. Deze verplichtingen moeten, met het oog op het effect dat zij sorteren en met het oog op de goede werking van het bij deze verordening ingestelde systeem, worden aangevuld met gedetailleerde regels.
(23)Gezien de belangen van de Unie die op het spel staan, moeten de kosten voor de router die eu-LISA maakt met het oog op de uitvoering van zijn taken uit hoofde van deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving], ten laste komen van de begroting van de Unie. Met inachtneming van bepaalde uitzonderingen moet hetzelfde gelden voor passende kosten die de lidstaten maken voor de verbindingen en de integratie met de router op grond van deze verordening en overeenkomstig de toepasselijke wetgeving. De kosten die onder deze uitzonderingen vallen, moet de betrokken lidstaat zelf dragen.
 (24)Het kan niet worden uitgesloten dat in uitzonderlijke omstandigheden en ondanks alle redelijke maatregelen die overeenkomstig deze verordening zijn getroffen, de router of een systeem of de infrastructuur waarmee de bevoegde grensautoriteiten en de luchtvaartmaatschappijen onderling verbonden zijn, niet naar behoren functioneert, waardoor het technisch onmogelijk is de router te gebruiken om API-gegevens door te zenden. Als de router niet beschikbaar is en het normaal gezien voor de luchtvaartmaatschappijen redelijkerwijs niet mogelijk is de API-gegevens die hinder ondervinden van de storing, op een rechtmatige, veilige, doeltreffende en snelle wijze via alternatieve procedés door te geven, moet de verplichting voor de luchtvaartmaatschappijen om die API-gegevens aan de router door te geven, vervallen zolang die doorgifte technisch onmogelijk is. Om de duur en de negatieve gevolgen van dergelijke technische storingen tot een minimum te beperken, moeten de betrokken partijen elkaar onmiddellijk ervan op de hoogte brengen en onmiddellijk alle nodige maatregelen nemen om deze te verhelpen. Aangezien API-gegevens over reeds aangekomen vluchten niet nuttig zijn voor de grenscontroles, is er in een dergelijk geval geen reden om de luchtvaartmaatschappijen te verplichten de API-gegevens te verzamelen en op te slaan. Deze regeling mag geen afbreuk doen aan de uit deze verordening voortvloeiende verplichtingen op grond waarvan alle betrokken partijen ervoor moeten zorgen dat de router en hun respectieve systemen en infrastructuur naar behoren functioneren, noch aan het feit dat aan luchtvaartmaatschappijen sancties worden opgelegd wanneer zij deze verplichtingen niet nakomen, ook wanneer zij ten onrechte gebruik willen maken van deze regeling. Om dergelijk misbruik tegen te gaan en het toezicht en, waar nodig, het opleggen van sancties te vergemakkelijken, moeten luchtvaartmaatschappijen die vanwege een storing in hun eigen systeem en infrastructuur gebruik maken van deze regeling, hierover verslag uitbrengen aan de bevoegde toezichthoudende autoriteit.
 (25)Met het oog op de naleving van het grondrecht op bescherming van persoonsgegevens moet in deze verordening worden bepaald wie de verwerkingsverantwoordelijke en de verwerker zijn en welke regels gelden op het gebied van audits. Met het oog op doeltreffende monitoring, adequate bescherming van persoonsgegevens en optimale beperking van de beveiligingsrisico’s moeten ook regels worden vastgesteld over het aanleggen van logbestanden, de beveiliging van de verwerking en interne controle. Wanneer die bepalingen betrekking hebben op de verwerking van persoonsgegevens, moeten ze worden opgevat als een aanvulling op de algemeen toepasselijke handelingen van het Unierecht inzake de bescherming van persoonsgegevens, met name Verordening (EU) 2016/679 van het Europees Parlement en de Raad
34
 en Verordening (EU) 2018/1725 van het Europees Parlement en de Raad
35
. De onderhavige verordening mag geen afbreuk doen aan die handelingen, die ook van toepassing zijn op de verwerking van persoonsgegevens in het kader van deze verordening overeenkomstig de bepalingen ervan.
 (26)De verwerkingsactiviteiten in het kader van deze verordening, namelijk de doorzending van de door de luchtvaartmaatschappijen doorgeven API-gegevens via de router naar de bevoegde grensautoriteiten van de lidstaten, hebben tot doel die autoriteiten te helpen om hun verplichtingen op het gebied van grensbeheer na te komen en hun taken op het gebied van de bestrijding van illegale immigratie te vervullen. Daarom moeten de bevoegde grensautoriteiten die de API-gegevens ontvangen, verwerkingsverantwoordelijken zijn voor de doorzending, via de router, van API-gegevens die persoonsgegevens zijn, voor de opslag van die gegevens op de router, voor zover die opslag noodzakelijk is voor technische doeleinden, en voor elke verwerking van die gegevens waarbij die gegevens vervolgens worden gebruikt om de grenscontroles aan de buitengrenzen te versterken en te vergemakkelijken. De luchtvaartmaatschappijen moeten op hun beurt afzonderlijke verwerkingsverantwoordelijken zijn voor de van hen op grond van deze verordening vereiste verwerking van API-gegevens die persoonsgegevens zijn. De luchtvaartmaatschappijen en de bevoegde grensautoriteiten moeten dus afzonderlijke verwerkingsverantwoordelijken zijn voor hun eigen verwerking van API-gegevens in het kader van deze verordening.
(27)Om ervoor te zorgen dat de luchtvaartmaatschappijen de regels van deze verordening daadwerkelijk toepassen, moet worden voorzien in de aanwijzing en machtiging van nationale autoriteiten die belast zijn met het toezicht op die regels. De in deze verordening vastgestelde regels over dit toezicht, ook wat het opleggen van sancties waar nodig betreft, mogen geen afbreuk doen aan de taken en bevoegdheden van de overeenkomstig Verordening (EU) 2016/679 ingestelde toezichthoudende autoriteiten, onder meer op het gebied van de verwerking van persoonsgegevens in het kader van deze verordening.
(28)Ten aanzien van luchtvaartmaatschappijen die hun verplichtingen inzake de verzameling en de doorgifte van API-gegevens op grond van deze verordening niet nakomen, dienen de lidstaten te voorzien in doeltreffende, evenredige en afschrikkende sancties, met inbegrip van geldboetes.
 (29)Aangezien bij deze verordening nieuwe regels worden vastgesteld betreffende de verzameling en de doorgifte van API-gegevens door de bevoegde grensautoriteiten met het oog op het versterken en vergemakkelijken van de doeltreffendheid en efficiëntie van de grenscontroles aan de buitengrenzen, moet Richtlijn 2004/82/EG worden ingetrokken.
(30)Aangezien de router moet worden ontworpen, ontwikkeld, gehost en technisch beheerd door eu-LISA, het agentschap dat is opgericht bij Verordening (EU) 2018/1726 van het Europees Parlement en de Raad
36
, moet die verordening worden gewijzigd door die taak aan de taken van eu-LISA toe te voegen. Met het oog op de opslag van verslagen en statistieken met betrekking tot de router in het centrale register voor rapportage en statistieken moet Verordening (EU) 2019/817 van het Europees Parlement en de Raad
37
 worden gewijzigd.
 (31)Met het oog op de vaststelling van maatregelen inzake de technische voorschriften en operationele regels voor de geautomatiseerde procedés voor het verzamelen van machineleesbare API-gegevens, inzake de gemeenschappelijke protocollen en formaten voor de doorgifte van API-gegevens door de luchtvaartmaatschappijen, inzake de technische en procedurele regels voor de doorzending van de API-gegevens via de router naar de bevoegde grensautoriteiten en naar de PIE’s en inzake de verbindingen en de integratie van de PIE’s en de luchtvaartmaatschappijen met de router, moet aan de Commissie de bevoegdheid worden overgedragen om overeenkomstig artikel 290 van het Verdrag betreffende de werking van de Europese Unie handelingen vast te stellen met betrekking tot respectievelijk de artikelen 5, 6, 11, 20 en 21. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden tot passende raadplegingen overgaat, onder meer op deskundigenniveau, en dat die raadplegingen plaatsvinden in overeenstemming met de beginselen die zijn vastgelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven
38
. Met name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde handelingen ontvangen het Europees Parlement en de Raad alle documenten op hetzelfde tijdstip als de deskundigen van de lidstaten, en hebben hun deskundigen systematisch toegang tot de vergaderingen van de deskundigengroepen van de Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen.
(32)Om eenvormige voorwaarden te waarborgen voor de uitvoering van deze verordening, met name wat de ingebruikneming van de router betreft, moeten aan de Commissie uitvoeringsbevoegdheden worden toegekend. Die bevoegdheden moeten worden uitgeoefend in overeenstemming met Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad
39.
 (33)Alle belanghebbende partijen, en met name de luchtvaartmaatschappijen en de bevoegde grensautoriteiten, moeten voldoende tijd krijgen om de nodige voorbereidingen te treffen om aan hun respectieve verplichtingen uit hoofde van deze verordening te kunnen voldoen, temeer daar sommige van die voorbereidingen, zoals die betreffende de verplichtingen inzake de verbinding en integratie met de router, pas kunnen worden voltooid als de router ontworpen en ontwikkeld is en in gebruik is genomen. Daarom mag de toepassing van deze verordening pas ingaan op een passende datum na de door de Commissie overeenkomstig deze verordening gespecificeerde datum van ingebruikneming van de router.
(34)De ontwerp- en de ontwikkelingsfase van de router moeten zo snel mogelijk worden aangevat en voltooid, zodat de router zo snel mogelijk in gebruik kan worden genomen; hiertoe moeten de nodige, in deze verordening bedoelde uitvoerings- en gedelegeerde handelingen worden vastgesteld. De in deze verordening bedoelde verduidelijking over de toepassing van specificaties betreffende het gebruik van geautomatiseerde procedés overeenkomstig Richtlijn 2004/82/EG moet eveneens onverwijld worden verstrekt. Daarom moeten de desbetreffende artikelen van toepassing zijn met ingang van de datum van inwerkingtreding van deze verordening. Om ervoor te zorgen dat de router zo snel mogelijk op vrijwillige basis kan worden gebruikt, moeten het artikel over dat gebruik en bepaalde andere artikelen inzake verantwoordelijk vrijwillig gebruik zo snel mogelijk van toepassing worden, dat wil zeggen zodra de router in gebruik wordt genomen.
(35)Deze verordening mag de lidstaten niet beperken in hun mogelijkheid om krachtens hun nationale recht te voorzien in een systeem voor het verzamelen van API-gegevens van andere dan de in deze verordening genoemde vervoerders, mits dat nationale recht in overeenstemming is met het Unierecht.
 (36)Aangezien de doelstellingen van deze verordening, met name het versterken en vergemakkelijken van de doeltreffendheid en efficiëntie van de grenscontroles aan de buitengrenzen en het bestrijden van illegale immigratie, betrekking hebben op aangelegenheden die inherent grensoverschrijdend zijn, kunnen zij niet voldoende door de lidstaten afzonderlijk, maar beter door de Unie worden verwezenlijkt. Daarom kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel, gaat deze verordening niet verder dan nodig is om deze doelstelling te verwezenlijken.
(37)Overeenkomstig de artikelen 1 en 2 van Protocol nr. 22 betreffende de positie van Denemarken, dat aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie is gehecht, neemt Denemarken niet deel aan de vaststelling van deze verordening, die derhalve niet bindend is voor, noch van toepassing is op deze lidstaat. Aangezien deze verordening voortbouwt op het Schengenacquis, beslist Denemarken overeenkomstig artikel 4 van het bovengenoemde protocol binnen een termijn van zes maanden nadat de Raad heeft beslist over deze verordening of het deze in zijn interne recht zal omzetten.
(38)Ierland neemt aan deze verordening deel overeenkomstig artikel 5, lid 1, van Protocol nr. 19 betreffende het Schengenacquis dat is opgenomen in het kader van de Europese Unie, gehecht aan het Verdrag betreffende de Europese Unie en het Verdrag betreffende de werking van de Europese Unie, en overeenkomstig artikel 6, lid 2, van Besluit 2002/192/EG van de Raad
40.
(39) De deelname van Ierland aan deze verordening overeenkomstig artikel 6, lid 2, van Besluit 2002/192/EG heeft betrekking op de verantwoordelijkheid van de Unie voor het nemen van maatregelen ter ontwikkeling van de bepalingen van het Schengenacquis ter bestrijding van illegale immigratie, waaraan Ierland deelneemt.
 (40)Wat IJsland en Noorwegen betreft, vormt deze verordening een ontwikkeling van de bepalingen van het Schengenacquis in de zin van de Overeenkomst tussen de Raad van de Europese Unie en de Republiek IJsland en het Koninkrijk Noorwegen inzake de wijze waarop IJsland en Noorwegen worden betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis
41
 die vallen onder het gebied bedoeld in artikel 1, punt A, van Besluit 1999/437/EG van de Raad
42.
(41)Wat Zwitserland betreft, vormt deze verordening een ontwikkeling van de bepalingen van het Schengenacquis in de zin van de Overeenkomst tussen de Europese Unie, de Europese Gemeenschap en de Zwitserse Bondsstaat inzake de wijze waarop Zwitserland wordt betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis
43
 die vallen onder het gebied bedoeld in artikel 1, punt A, van Besluit 1999/437/EG van de Raad, in samenhang met artikel 3 van Besluit 2008/146/EG van de Raad
44.
(42)Wat Liechtenstein betreft, vormt deze verordening een ontwikkeling van de bepalingen van het Schengenacquis in de zin van het Protocol tussen de Europese Unie, de Europese Gemeenschap, de Zwitserse Bondsstaat en het Vorstendom Liechtenstein betreffende de toetreding van het Vorstendom Liechtenstein tot de Overeenkomst tussen de Europese Unie, de Europese Gemeenschap en de Zwitserse Bondsstaat inzake de wijze waarop Zwitserland wordt betrokken bij de uitvoering, de toepassing en de ontwikkeling van het Schengenacquis
45
 die vallen onder het gebied bedoeld in artikel 1, punt A, van Besluit 1999/437/EG van de Raad, in samenhang met artikel 3 van Besluit 2011/350/EU van de Raad
46.
 (43)Wat Cyprus, Bulgarije, Roemenië en Kroatië betreft, vormt deze verordening een handeling die op het Schengenacquis voortbouwt of anderszins daaraan is gerelateerd in de zin van respectievelijk artikel 3, lid 1, van de Toetredingsakte van 2003, artikel 4, lid 1, van de Toetredingsakte van 2005 en artikel 4, lid 1, van de Toetredingsakte van 2011.
(44)De Europese Toezichthouder voor gegevensbescherming is overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 geraadpleegd en heeft op [XX] een advies uitgebracht
47
,


HEBBEN DE VOLGENDE VERORDENING VASTGESTELD:


HOOFDSTUK 1


ALGEMENE BEPALINGEN


Artikel 1


Onderwerp


Om de doeltreffendheid en de efficiëntie van de grenscontroles aan de buitengrenzen te versterken en te vergemakkelijken en om illegale immigratie te bestrijden, worden in deze verordening de regels vastgesteld inzake:


a)de verzameling, door de luchtvaartmaatschappijen, van vooraf te verstrekken passagiersgegevens (“API-gegevens”) over vluchten naar de Unie;


b)de doorgifte, door de luchtvaartmaatschappijen, van de API-gegevens aan de router;


c)de doorzending van de API-gegevens via de router naar de bevoegde grensautoriteiten.
Artikel 2


Toepassingsgebied


Deze verordening is van toepassing op luchtvaartmaatschappijen die geregelde of niet-geregelde vluchten naar de Unie uitvoeren.
 Artikel 3


Definities


 Voor de toepassing van deze verordening wordt verstaan onder:


a)“luchtvaartmaatschappij”: een luchtvervoersonderneming zoals gedefinieerd in artikel 3, punt 1, van Richtlijn (EU) 2016/681;


b)“grenscontroles”: de controles zoals gedefinieerd in artikel 2, punt 11, van Verordening (EU) 2016/399;


c)“vluchten naar de Unie”: vluchten die vanaf het grondgebied van een derde land of van een lidstaat die niet aan deze verordening deelneemt, zullen vertrekken en volgens plan zullen aankomen op het grondgebied van een lidstaat die aan deze verordening deelneemt;




d)“grensdoorlaatpost”: een doorlaatpost zoals gedefinieerd in artikel 2, punt 8, van Verordening (EU) 2016/399;


e)“geregelde vlucht”: een vlucht die volgens een vaste dienstregeling wordt uitgevoerd en waarvoor het grote publiek tickets kan kopen;


f)“niet-geregelde vlucht”: een vlucht die niet volgens een vaste dienstregeling wordt uitgevoerd en die niet noodzakelijk deel uitmaakt van een regelmatige of geregelde route;


g)“bevoegde grensautoriteit”: de autoriteit die door een lidstaat is belast met het uitvoeren van grenscontroles en die door die lidstaat is aangewezen en aangemeld overeenkomstig artikel 11, lid 2;


h)“passagier”: een persoon, met uitsluiting van de bemanningsleden, die met toestemming van de luchtvaartmaatschappij in een luchtvaartuig wordt vervoerd of zal worden vervoerd, waarbij die toestemming blijkt uit de vermelding van die persoon op de passagierslijst;


i)“bemanning”: alle personen, met uitsluiting van de passagiers, die zich tijdens de vlucht aan boord van een luchtvaartuig bevinden en die in het luchtvaartuig werkzaamheden uitvoeren of het luchtvaartuig besturen, met inbegrip van cockpit- en cabinepersoneel;


j)“reiziger”: een passagier of een bemanningslid;


k)“vooraf te verstrekken passagiersgegevens” of “API-gegevens”: de in artikel 4, lid 2, bedoelde reizigersgegevens en de in artikel 4, lid 3, bedoelde vluchtinformatie;


l)“passagiersinformatie-eenheid” of “PIE”: de in artikel 3, punt i), van Verordening (EU) [API-gegevens voor rechtshandhaving] bedoelde bevoegde autoriteit;


m)“de router”: de in artikel 9 bedoelde router;


n)“persoonsgegevens”: gegevens zoals gedefinieerd in artikel 4, punt 1, van Verordening (EU) 2016/679.
 HOOFDSTUK 2


VERZAMELING EN DOORGIFTE VAN API-GEGEVENS


Artikel 4


Door de luchtvaartmaatschappijen te verzamelen API-gegevens


1.De luchtvaartmaatschappijen verzamelen met betrekking tot de in artikel 2 bedoelde vluchten API-gegevens van reizigers, bestaande uit de in de leden 2 en 3 van dit artikel gespecificeerde reizigersgegevens en vluchtinformatie, teneinde deze API-gegevens overeenkomstig artikel 6 door te geven aan de router.
2.De API-gegevens omvatten de volgende reizigersgegevens over elke reiziger op de vlucht:


a)achternaam (familienaam), voornaam of voornamen;


b)geboortedatum, geslacht en nationaliteit;


c)het type en het nummer van het reisdocument en de drielettercode van het land dat het reisdocument heeft afgegeven;




d)de datum waarop de geldigheidstermijn van het reisdocument verstrijkt;


e)de status van de reiziger (passagier of bemanningslid);


f)het identificatienummer van de PNR (“Passenger Name Record”) dat door de luchtvaartmaatschappij wordt gebruikt om de passagier in haar informatiesysteem te lokaliseren (PNR-bestandslocatie);


g)informatie over de zitplaats, zoals het nummer van de stoel in het luchtvaartuig die aan de passagier is toegewezen, indien de luchtvaartmaatschappij deze informatie verzamelt;


h)informatie over de bagage, zoals het aantal ingecheckte koffers, indien de luchtvaartmaatschappij deze informatie verzamelt.
3.De API-gegevens omvatten ook de volgende vluchtinformatie over de vlucht van elke reiziger:


a)het vluchtidentificatienummer of, indien een dergelijk nummer niet bestaat, een andere duidelijke en geschikte indicator om de vlucht te identificeren;


b)in voorkomend geval, de grensdoorlaatpost van binnenkomst op het grondgebied van de lidstaat;


c)de code van de luchthaven van binnenkomst op het grondgebied van de lidstaat;


d)het eerste instappunt;


e)lokale datum en geschat lokaal tijdstip van vertrek;


f)lokale datum en geschat lokaal tijdstip van aankomst. 


 Artikel 5


Procedés voor de verzameling van API-gegevens


1.De luchtvaartmaatschappijen verzamelen de API-gegevens overeenkomstig artikel 4 op zodanige wijze dat de API-gegevens die zij overeenkomstig lid 6 doorgeven, juist, volledig en actueel zijn.
 2.De luchtvaartmaatschappijen verzamelen de in artikel 4, lid 2, punten a) tot en met d), bedoelde API-gegevens met behulp van geautomatiseerde procedés voor de verzameling van de machineleesbare gegevens van het reisdocument van de betrokken reiziger. Zij doen dit overeenkomstig de in lid 4 bedoelde gedetailleerde technische voorschriften en operationele regels, indien dergelijke regels zijn vastgesteld en van toepassing zijn.
Als het reisdocument geen machineleesbare gegevens bevat en er daarom geen gebruik kan worden gemaakt van een dergelijk geautomatiseerd procedé, verzamelen de luchtvaartmaatschappijen die gegevens handmatig en op zulke wijze dat lid 1 in acht wordt genomen.
3.De geautomatiseerde procedés die de luchtvaartmaatschappijen voor de verzameling van API-gegevens op grond van deze verordening gebruiken, moeten betrouwbaar, beveiligd en actueel zijn.
4.De Commissie is bevoegd overeenkomstig artikel 37 gedelegeerde handelingen vast te stellen teneinde deze verordening aan te vullen met gedetailleerde technische voorschriften en operationele regels voor het verzamelen van de in artikel 4, lid 2, punten a) tot en met d), bedoelde API-gegevens met behulp van geautomatiseerde procedés overeenkomstig de leden 2 en 3 van het onderhavige artikel.
5.Luchtvaartmaatschappijen die geautomatiseerde procedés gebruiken om de in artikel 3, lid 1, van Richtlijn 2004/82/EG bedoelde informatie te verzamelen, hebben het recht om dat te doen aan de hand van de in lid 4 bedoelde technische voorschriften betreffende dat gebruik, overeenkomstig die richtlijn.
Artikel 6


Verplichtingen van de luchtvaartmaatschappijen betreffende de doorgifte van API-gegevens


1.De luchtvaartmaatschappijen geven de API-gegevens elektronisch door aan de router. Zij doen dit overeenkomstig de in lid 3 bedoelde gedetailleerde regels, indien dergelijke regels zijn vastgesteld en van toepassing zijn.
 2.De luchtvaartmaatschappijen geven de API-gegevens door zowel bij het inchecken als onmiddellijk na beëindiging van het inchecken, dat wil zeggen wanneer de passagiers aan boord zijn gegaan van het vliegtuig dat klaar staat voor vertrek en er geen passagiers meer aan of van boord kunnen gaan.
3.De Commissie is bevoegd overeenkomstig artikel 37 gedelegeerde handelingen vast te stellen teneinde deze verordening aan te vullen met de nodige gedetailleerde regels inzake de gemeenschappelijke protocollen en ondersteunde dataformaten voor de doorgifte van API-gegevens aan de router als bedoeld in lid 1.
4.Wanneer een luchtvaartmaatschappij, na de gegevens aan de router te hebben doorgegeven, merkt dat de API-gegevens onjuist, onvolledig of niet meer actueel zijn of onrechtmatig zijn verwerkt, of dat de gegevens geen API-gegevens zijn, stelt zij het Agentschap van de Europese Unie voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht (eu-LISA) daarvan onmiddellijk in kennis. Bij ontvangst van deze informatie stelt eu-LISA de bevoegde grensautoriteit die de via de router doorgezonden API-gegevens heeft ontvangen, onmiddellijk van die informatie in kennis.
Artikel 7


Verwerking van de ontvangen API-gegevens


De bevoegde grensautoriteiten verwerken de API-gegevens die overeenkomstig deze verordening aan hen zijn doorgegeven, uitsluitend voor de in artikel 1 genoemde doeleinden.
Artikel 8


Opslag en wissing van API-gegevens


1.De luchtvaartmaatschappijen slaan de passagiersgerelateerde API-gegevens die zij krachtens artikel 4 hebben verzameld, op gedurende een periode van 48 uur vanaf het tijdstip van vertrek van de vlucht. Zij wissen die API-gegevens onmiddellijk en definitief zodra deze termijn verstrijkt.
2.De bevoegde grensautoriteiten slaan de passagiersgerelateerde API-gegevens die zij krachtens artikel 11 via de router hebben ontvangen, op gedurende een periode van 48 uur vanaf het tijdstip van vertrek van de vlucht. Zij wissen die API-gegevens onmiddellijk en definitief zodra deze termijn verstrijkt.
 3.Wanneer een luchtvaartmaatschappij of bevoegde grensautoriteit merkt dat de gegevens die zij uit hoofde van deze verordening heeft verzameld, doorgegeven of ontvangen, onjuist, onvolledig of niet meer actueel zijn of onrechtmatig zijn verwerkt, of dat de gegevens geen API-gegevens zijn, zorgt zij ervoor dat die API-gegevens onmiddellijk worden gecorrigeerd, aangevuld of bijgewerkt of definitief worden gewist. Dit doet geen afbreuk aan de mogelijkheid die luchtvaartmaatschappijen hebben om de gegevens te bewaren en te gebruiken wanneer dat voor de normale bedrijfsvoering overeenkomstig de toepasselijke wetgeving nodig is.
HOOFDSTUK 3


BEPALINGEN BETREFFENDE DE ROUTER


Artikel 9


De router


1.Teneinde het voor de luchtvaartmaatschappijen gemakkelijker te maken API-gegevens aan de bevoegde grensautoriteiten en aan de PIE’s door te geven overeenkomstig deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving], wordt door eu-LISA overeenkomstig de artikelen 22 en 23 een router ontworpen, ontwikkeld, gehost en technisch beheerd.
2.De router bestaat uit:


a)een centrale infrastructuur, met inbegrip van een reeks technische componenten voor de doorzending van de API-gegevens;


b)een beveiligd communicatiekanaal tussen de centrale infrastructuur en de bevoegde grensautoriteiten en de PIE’s, en een beveiligd communicatiekanaal tussen de centrale infrastructuur en de luchtvaartmaatschappijen, bestemd voor de doorgifte van de API-gegevens en voor alle daarmee verband houdende communicatie.
3.Onverminderd artikel 10 van deze verordening worden voor de router, voor zover dat technisch mogelijk is, de technische componenten, met inbegrip van hardware- en softwarecomponenten, gebruikt en hergebruikt van de in artikel 13 van Verordening (EU) 2017/2226 van het Europees Parlement en de Raad
48
 bedoelde webdienst, het in artikel 6, lid 2, punt k), van Verordening (EU) 2018/1240 bedoelde toegangsportaal voor vervoerders en het in artikel 2 bis, punt h), van Verordening (EG) nr. 767/2008 van het Europees Parlement en de Raad
49
 bedoelde toegangsportaal voor vervoerders.
 Artikel 10


Exclusief gebruik van de router


De router wordt alleen gebruikt door luchtvaartmaatschappijen, voor het doorgeven van de API-gegevens, en door bevoegde grensautoriteiten en PIE’s, voor het ontvangen van de API-gegevens, overeenkomstig respectievelijk deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving]. 


Artikel 11


Doorzending van API-gegevens via de router naar de bevoegde grensautoriteiten


1.De router zendt de API-gegevens die krachtens artikel 6 aan de router zijn doorgegeven, onmiddellijk en op geautomatiseerde wijze door naar de bevoegde grensautoriteiten van de lidstaat als bedoeld in artikel 4, lid 3, punt c). De router doet dit overeenkomstig de in lid 4 van dit artikel bedoelde gedetailleerde regels, indien dergelijke regels zijn vastgesteld en van toepassing zijn.
Met het oog op deze doorzending wordt door eu-LISA een concordantietabel van de verschillende luchthavens van herkomst en bestemming en de landen waartoe deze luchthavens behoren, opgesteld en bijgehouden.
2.De lidstaten wijzen de bevoegde grensautoriteiten aan die gemachtigd zijn om de API-gegevens te ontvangen die overeenkomstig deze verordening via de router naar hen worden doorgezonden. Zij stellen eu-LISA en de Commissie uiterlijk op de in artikel 39, tweede alinea, bedoelde datum van toepassing van deze verordening in kennis van de naam en de contactgegevens van deze bevoegde grensautoriteiten en werken de meegedeelde informatie zo nodig bij.
De Commissie stelt op basis van die kennisgevingen en bijwerkingen een lijst van de aangemelde bevoegde grensautoriteiten, met inbegrip van hun contactgegevens, op en maakt deze lijst openbaar.
3.De lidstaten zorgen ervoor dat alleen de naar behoren gemachtigde personeelsleden van de bevoegde grensautoriteiten toegang hebben tot de API-gegevens die via de router naar hen worden doorgezonden. Zij stellen de daartoe vereiste regels vast. Die regels omvatten regels over het opstellen en regelmatig bijwerken van een lijst van deze personeelsleden en hun profielen.
 4.De Commissie is bevoegd overeenkomstig artikel 37 gedelegeerde handelingen vast te stellen teneinde deze verordening aan te vullen met de nodige gedetailleerde technische en procedurele regels inzake de doorzending van API-gegevens via de router als bedoeld in lid 1.
Artikel 12


Wissing van API-gegevens van de router


De API-gegevens die op grond van deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving] aan de router worden doorgegeven, worden alleen op de router opgeslagen voor zover dat nodig is om de doorzending naar de betrokken bevoegde grensautoriteiten of PIE’s, naargelang het geval, overeenkomstig die verordeningen te voltooien, en worden in de twee volgende situaties onmiddellijk, definitief en op geautomatiseerde wijze van de router gewist:


a)als de doorzending van de API-gegevens naar de betrokken bevoegde grensautoriteiten of PIE’s, naargelang het geval, is voltooid;


b)met betrekking tot Verordening (EU) [API-gegevens voor rechtshandhaving], als de API-gegevens betrekking hebben op andere vluchten binnen de EU dan die welke zijn opgenomen in de in artikel 5, lid 2, van die verordening bedoelde lijsten.
Artikel 13


Bijhouden van logbestanden


1.eu-LISA houdt logbestanden bij van alle verwerkingsactiviteiten die verband houden met de doorgifte van API-gegevens via de router uit hoofde van deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving]. In deze logbestanden wordt het volgende vermeld:


a)de luchtvaartmaatschappij die de API-gegevens aan de router heeft doorgegeven;


b)de bevoegde grensautoriteiten en PIE’s waarnaar de API-gegevens via de router zijn doorgezonden;


c)de datum, het tijdstip en de plaats van de in de punten a) en b) bedoelde doorgifte;


d)voor het onderhoud van de router vereiste toegang van eu-LISA-personeel, als bedoeld in artikel 23, lid 3;


e)alle andere gegevens met betrekking tot de verwerkingsactiviteiten die nodig zijn om de beveiliging en de integriteit van de API-gegevens en de rechtmatigheid van die verwerkingsactiviteiten te monitoren.
 Deze logbestanden bevatten geen andere persoonsgegevens dan de in de eerste alinea, punt d), bedoelde informatie ter identificatie van het betrokken personeelslid van eu-LISA.
2.De luchtvaartmaatschappijen leggen logbestanden aan van alle verwerkingsactiviteiten die in het kader van deze verordening met behulp van de in artikel 5, lid 2, bedoelde geautomatiseerde procedés worden uitgevoerd. Deze logbestanden bevatten de datum, het tijdstip en de plaats van doorgifte van de API-gegevens.
3.De in de leden 1 en 2 bedoelde logbestanden worden uitsluitend gebruikt om de beveiliging en de integriteit van de API-gegevens en de rechtmatigheid van de verwerking te waarborgen, met name wat betreft de naleving van de voorschriften van deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving], met inbegrip van sanctieprocedures voor inbreuken op die voorschriften overeenkomstig de artikelen 29 en 30 van deze verordening.
4.eu-LISA en de luchtvaartmaatschappijen nemen passende maatregelen om de logbestanden die zij op grond van de leden 1 en 2 hebben aangelegd, te beschermen tegen ongeoorloofde toegang en andere beveiligingsrisico’s.
5.eu-LISA en de luchtvaartmaatschappijen bewaren de logbestanden die zij op grond van de leden 1 en 2 hebben aangelegd, gedurende één jaar vanaf het moment waarop de bestanden zijn aangelegd. Zij wissen de logbestanden onmiddellijk en definitief zodra deze termijn verstrijkt.
Indien de logbestanden echter nodig zijn voor procedures met het oog op het monitoren of waarborgen van de beveiliging en de integriteit van de API-gegevens of de rechtmatigheid van de verwerkingsactiviteiten overeenkomstig lid 2, en die procedures reeds zijn gestart voor het verstrijken van de in de eerste alinea genoemde termijn, mogen eu-LISA en de luchtvaartmaatschappijen de logbestanden zo lang bewaren als nodig is voor die procedures. In dat geval wissen zij de logbestanden zodra deze niet langer nodig zijn voor die procedures.
 Artikel 14


Maatregelen ingeval het gebruik van de router technisch onmogelijk is


1.Wanneer het vanwege een storing van de router technisch onmogelijk is de router te gebruiken om API-gegevens door te zenden, stelt eu-LISA de luchtvaartmaatschappijen en de bevoegde grensautoriteiten daarvan onmiddellijk op geautomatiseerde wijze in kennis. In dat geval neemt eu-LISA onmiddellijk maatregelen om de technische storing die het gebruik van de router belet, te verhelpen en stelt het, wanneer de storing verholpen is, de betrokken partijen daarvan onmiddellijk in kennis.
Artikel 6, lid 1, is gedurende de tijd tussen deze kennisgevingen niet van toepassing, voor zover de technische storing de doorgifte van API-gegevens aan de router belet. Voor zover dat het geval is, zijn gedurende die tijd artikel 4, lid 1, en artikel 8, lid 1, evenmin van toepassing op de betrokken API-gegevens.
2.Wanneer het vanwege een storing van de in artikel 20 bedoelde systemen of infrastructuur van een lidstaat technisch onmogelijk is de router te gebruiken om API-gegevens door te zenden, stellen de bevoegde grensautoriteiten van die lidstaat de luchtvaartmaatschappijen, de bevoegde autoriteiten van de andere lidstaten, eu-LISA en de Commissie daarvan onmiddellijk op geautomatiseerde wijze in kennis. In dat geval neemt die lidstaat onmiddellijk maatregelen om de technische storing die het gebruik van de router belet, te verhelpen en stelt hij, wanneer de storing verholpen is, de betrokken partijen daarvan onmiddellijk in kennis.
Artikel 6, lid 1, is gedurende de tijd tussen deze kennisgevingen niet van toepassing, voor zover de technische storing de doorgifte van API-gegevens aan de router belet. Voor zover dat het geval is, zijn gedurende die tijd artikel 4, lid 1, en artikel 8, lid 1, evenmin van toepassing op de betrokken API-gegevens.
 3.Wanneer het vanwege een storing van de in artikel 21 bedoelde systemen of infrastructuur van een luchtvaartmaatschappij technisch onmogelijk is de router te gebruiken om API-gegevens door te zenden, stelt die luchtvaartmaatschappij de bevoegde grensautoriteiten, eu-LISA en de Commissie daarvan onmiddellijk op geautomatiseerde wijze in kennis. In dat geval neemt de luchtvaartmaatschappij onmiddellijk maatregelen om de technische storing die het gebruik van de router belet, te verhelpen en stelt zij, wanneer de storing verholpen is, de betrokken partijen daarvan onmiddellijk in kennis.
Artikel 6, lid 1, is gedurende de tijd tussen deze kennisgevingen niet van toepassing, voor zover de technische storing de doorgifte van API-gegevens aan de router belet. Voor zover dat het geval is, zijn gedurende die tijd artikel 4, lid 1, en artikel 8, lid 1, evenmin van toepassing op de betrokken API-gegevens.
Wanneer de technische storing die het gebruik van de router belet, is verholpen, dient de betrokken luchtvaartmaatschappij bij de in artikel 29 bedoelde bevoegde nationale toezichthoudende autoriteit onverwijld een verslag in met alle nodige details over de technische storing, met inbegrip van de redenen voor de storing, de omvang en de gevolgen van de storing en de maatregelen die zijn genomen om de storing te verhelpen.
HOOFDSTUK 4


SPECIFIEKE BEPALINGEN BETREFFENDE DE BESCHERMING VAN PERSOONSGEGEVENS


Artikel 15


Verwerkingsverantwoordelijken voor persoonsgegevens


De bevoegde grensautoriteiten zijn verwerkingsverantwoordelijken in de zin van artikel 4, punt 7, van Verordening (EU) 2016/679 voor de verwerking, via de router, van API-gegevens die persoonsgegevens zijn, ook wat de doorzending van die gegevens via de router en de opslag om technische redenen van die gegevens op de router betreft, alsook voor de door hen uitgevoerde verwerking van API-gegevens die persoonsgegevens zijn, als bedoeld in artikel 7 van deze verordening.
 De luchtvaartmaatschappijen zijn verwerkingsverantwoordelijken in de zin van artikel 4, punt 7, van Verordening (EU) 2016/679 voor de verwerking van API-gegevens die persoonsgegevens zijn, met betrekking tot de verzameling van die gegevens en de doorgifte ervan aan de router uit hoofde van deze verordening.
Artikel 16


Verwerker voor persoonsgegevens


eu-LISA is de verwerker in de zin van artikel 3, punt 12, van Verordening (EU) 2018/1725 voor de verwerking, via de router, van API-gegevens die persoonsgegevens zijn, overeenkomstig deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving].
Artikel 17


Beveiliging


1.eu-LISA zorgt voor de beveiliging van de API-gegevens die het op grond van deze verordening en Verordening (EU) [API-gegevens voorrechtshandhaving] verwerkt, in het bijzonder API-gegevens die persoonsgegevens zijn. De bevoegde grensautoriteiten en de luchtvaartmaatschappijen zorgen voor de beveiliging van de API-gegevens die ze op grond van deze verordening verwerken, in het bijzonder API-gegevens die persoonsgegevens zijn. eu-LISA, de bevoegde grensautoriteiten en de luchtvaartmaatschappijen werken, overeenkomstig hun respectieve verantwoordelijkheden en met inachtneming van het Unierecht, met elkaar samen om die beveiliging te waarborgen.
 2.eu-LISA neemt met name de nodige maatregelen om de beveiliging van de router en de via de router doorgezonden API-gegevens, met name API-gegevens die persoonsgegevens zijn, te waarborgen, onder meer door een beveiligingsplan, een bedrijfscontinuïteitsplan en een uitwijkplan op te stellen, uit te voeren en regelmatig te actualiseren, teneinde:


a)de router fysiek te beschermen, onder meer met noodplannen voor de bescherming van kritieke componenten van de router;


b)onrechtmatige verwerking van de API-gegevens, met inbegrip van ongeoorloofde toegang tot deze gegevens en het kopiëren, wijzigen of verwijderen ervan, met name door middel van passende versleutelingstechnieken te voorkomen, zowel tijdens de doorgifte van de API-gegevens aan en via de router als tijdens de eventuele opslag van de API-gegevens op de router, indien die opslag nodig is om de doorzending te voltooien;


c)ervoor te zorgen dat kan worden geverifieerd en vastgesteld naar welke bevoegde grensautoriteiten of PIE’s de API-gegevens via de router worden doorgezonden;


d)eventuele functionele storingen in de router correct te signaleren bij de raad van bestuur van eu-LISA;




e)de doeltreffendheid van de op grond van dit artikel en Verordening (EU) 2018/1725 vereiste beveiligingsmaatregelen te monitoren en deze beveiligingsmaatregelen te beoordelen en te actualiseren wanneer dat in het licht van technologische of operationele ontwikkelingen nodig is.
De in de eerste alinea van dit lid bedoelde maatregelen laten artikel 33 van Verordening (EU) 2018/1725 en artikel 32 van Verordening (EU) 2016/679 onverlet.
Artikel 18


Interne monitoring


De luchtvaartmaatschappijen en de bevoegde autoriteiten monitoren, onder meer door frequente verificatie van de in artikel 13 bedoelde logbestanden, of zij de op hen rustende verplichtingen van deze verordening nakomen, met name wat betreft de verwerking van API-gegevens die persoonsgegevens zijn.
 Artikel 19


Audits inzake de bescherming van persoonsgegevens


1.De in artikel 51 van Verordening (EU) 2016/679 bedoelde bevoegde nationale gegevensbeschermingsautoriteiten zorgen ervoor dat ten minste om de vier jaar overeenkomstig de desbetreffende internationale auditnormen een audit wordt uitgevoerd van de verwerkingsactiviteiten die de bevoegde grensautoriteiten met het oog op de toepassing van deze verordening verrichten met betrekking tot API-gegevens die persoonsgegevens zijn.
2.De Europese Toezichthouder voor gegevensbescherming zorgt ervoor dat ten minste eenmaal per jaar overeenkomstig de desbetreffende internationale auditnormen een audit wordt uitgevoerd van de verwerkingsactiviteiten die eu-LISA met het oog op de toepassing van deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving] verricht met betrekking tot API-gegevens die persoonsgegevens zijn. Een verslag over deze audit wordt toegezonden aan het Europees Parlement, de Raad, de Commissie, de lidstaten en eu-LISA. Voordat de verslagen worden aangenomen, wordt eu-LISA in de gelegenheid gesteld opmerkingen te maken.
3.Met betrekking tot de in lid 2 bedoelde verwerkingsactiviteiten krijgt de Europese Toezichthouder voor gegevensbescherming van eu-LISA, op verzoek, informatie, alsook toegang tot alle documenten waarom hij verzoekt, toegang tot de in artikel 13, lid 1, bedoelde logbestanden, en te allen tijde toegang tot alle gebouwen en terreinen van eu-LISA.
HOOFDSTUK 5


VERBINDINGEN EN AANVULLENDE BEPALINGEN BETREFFENDE DE ROUTER


Artikel 20


Verbindingen van de bevoegde grensautoriteiten met de router


1.De lidstaten zorgen ervoor dat hun bevoegde grensautoriteiten verbonden zijn met de router. Zij zorgen ervoor dat de systemen en infrastructuur van de bevoegde grensautoriteiten die bestemd zijn voor de ontvangst van de op grond van deze verordening doorgegeven API-gegevens, worden geïntegreerd met de router.
 De lidstaten zorgen ervoor dat de verbinding en de integratie met de router van dien aard zijn dat hun bevoegde grensautoriteiten de API-gegevens kunnen ontvangen en verder verwerken en alle daarmee verband houdende communicatie op een rechtmatige, beveiligde, doeltreffende en snelle wijze kunnen uitwisselen.
2.De Commissie is bevoegd overeenkomstig artikel 37 gedelegeerde handelingen vast te stellen teneinde deze verordening aan te vullen met de nodige gedetailleerde regels inzake de verbinding en integratie met de router als bedoeld in lid 1.
Artikel 21


Verbindingen van de luchtvaartmaatschappijen met de router




1.De luchtvaartmaatschappijen zorgen ervoor dat zij verbonden zijn met de router. Zij zorgen ervoor dat hun systemen en infrastructuur voor de doorgifte van API-gegevens aan de router op grond van deze verordening, worden geïntegreerd met de router.
De luchtvaartmaatschappijen zorgen ervoor dat de verbinding en de integratie met de router van dien aard zijn dat zij de API-gegevens kunnen doorgeven en alle daarmee verband houdende communicatie op een rechtmatige, beveiligde, doeltreffende en snelle wijze kunnen uitwisselen.
2.De Commissie is bevoegd overeenkomstig artikel 37 gedelegeerde handelingen vast te stellen teneinde deze verordening aan te vullen met de nodige gedetailleerde regels inzake de verbinding en integratie met de router als bedoeld in lid 1.
Artikel 22


Taken van eu-LISA met betrekking tot het ontwerp en de ontwikkeling van de router


1.eu-LISA is verantwoordelijk voor het ontwerp van de fysieke architectuur van de router, met inbegrip van het vaststellen van de technische specificaties.
2.eu-LISA is verantwoordelijk voor de ontwikkeling van de router , met inbegrip van alle technische aanpassingen die nodig zijn voor de werking van de router.
De ontwikkeling van de router omvat de uitwerking en implementatie van de technische specificaties, het testen, het algemeen projectbeheer en het coördineren van de ontwikkelingsfase.
 3.eu-LISA zorgt ervoor dat de router zodanig wordt ontworpen en ontwikkeld dat de router de in deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving] gespecificeerde functionaliteiten heeft en dat deze in gebruik wordt genomen zo spoedig mogelijk nadat de Commissie de in artikel 5, lid 4, artikel 6, lid 3, artikel 11, lid 4, artikel 20, lid 2, en artikel 21, lid 2, bedoelde gedelegeerde handelingen heeft vastgesteld.
4.Als eu-LISA van oordeel is dat de ontwikkelingsfase is voltooid, voert het, in samenwerking met de bevoegde grensautoriteiten, de PIE’s, de andere relevante autoriteiten van de lidstaten en de luchtvaartmaatschappijen, zonder onnodige vertraging een uitgebreide test van de router uit en stelt het de Commissie in kennis van het resultaat van die test.
Artikel 23


Taken van eu-LISA met betrekking tot het hosten en het technisch beheer van de router


1.eu-LISA host de router op zijn technische locaties.
2.eu-LISA is verantwoordelijk voor het technisch beheer van de router, met inbegrip van het onderhoud en de technische ontwikkeling ervan, en zorgt er daarbij voor dat de API-gegevens beveiligd, doeltreffend en snel via de router worden doorgezonden, in overeenstemming met deze verordening en Verordening (EU) [API-gegevens voor rechtshandhaving].
