Reglamento (UE) 2025/13 del Parlamento Europeo y del Consejo, de 19 de diciembre de 2024, relativo a la recogida y la transferencia de información anticipada sobre los pasajeros para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de los delitos graves, y por el que se modifica el Reglamento (UE) 2019/818

• Expandir / Contraer índice sistemático
• INTRODUCCION
• CAPÍTULO 1. DISPOSICIONES GENERALES
  • Artículo 1 Objeto
  • Artículo 2 Ámbito de aplicación
  • Artículo 3 Definiciones
• CAPÍTULO 2. RECOGIDA, TRANSFERENCIA, CONSERVACIÓN Y SUPRESIÓN DE LOS DATOS API
  • Artículo 4 Recogida de datos API por las compañías aéreas
  • Artículo 5 Obligaciones de las compañías aéreas en relación con las transferencias de datos API y otros datos PNR
  • Artículo 6 Plazo de conservación y supresión de los datos API
  • Artículo 7 Corrección, compleción y actualización de los datos API
  • Artículo 8 Derechos fundamentales
• CAPÍTULO 3. DISPOSICIONES RELATIVAS AL ENRUTADOR
  • Artículo 9 El enrutador
  • Artículo 10 Uso exclusivo del enrutador
  • Artículo 11 Verificación del formato de los datos y de la transferencia
  • Artículo 12 Transmisión de datos API y otros datos PNR del enrutador a las UIP
  • Artículo 13 Selección de vuelos interiores de la UE
  • Artículo 14 Supresión de datos API y otros datos PNR del enrutador
  • Artículo 15 Tratamiento de datos API y otros datos PNR por parte de las UIP
  • Artículo 16 Acciones en caso de imposibilidad técnica de utilizar el enrutador
• CAPÍTULO 4. DISPOSICIONES ESPECÍFICAS SOBRE LA PROTECCIÓN DE LOS DATOS PERSONALES Y SEGURIDAD
  • Artículo 17 Conservación de registros
  • Artículo 18 Responsabilidades en materia de protección de datos
  • Artículo 19 Información a los pasajeros
  • Artículo 20 Seguridad
  • Artículo 21 Autocontrol
  • Artículo 22 Auditorías sobre la protección de datos personales
• CAPÍTULO 5. ASUNTOS RELACIONADOS CON EL ENRUTADOR
  • Artículo 23 Conexiones de las UIP con el enrutador
  • Artículo 24 Conexiones de las compañías aéreas con el enrutador
  • Artículo 25 Funciones de eu-LISA relacionadas con el diseño y el desarrollo del enrutador
  • Artículo 26 Funciones de eu-LISA relacionadas con el alojamiento y la gestión técnica del enrutador
  • Artículo 27 Funciones de apoyo de eu-LISA relacionadas con el enrutador
• CAPÍTULO 6. GOBERNANZA
  • Artículo 28 Consejo de Administración del Programa
  • Artículo 29 Grupo consultivo API-PNR
  • Artículo 30 Grupo de contacto API-PNR
  • Artículo 31 Grupo de expertos API
  • Artículo 32 Costes incurridos por eu-LISA, el Supervisor Europeo de Protección de Datos, las autoridades nacionales de supervisión y los Estados miembros
  • Artículo 33 Responsabilidad relativa al enrutador
  • Artículo 34 Entrada en funcionamiento del enrutador con respecto a los datos API
  • Artículo 35 Entrada en funcionamiento del enrutador con respecto a otros datos PNR
  • Artículo 36 Uso voluntario del enrutador
• CAPÍTULO 7. SUPERVISIÓN, SANCIONES, ESTADÍSTICAS Y MANUAL
  • Artículo 37 Autoridad nacional de supervisión de API
  • Artículo 38 Sanciones
  • Artículo 39 Estadísticas
  • Artículo 40 Manual práctico
• CAPÍTULO 8. RELACIÓN CON OTROS INSTRUMENTOS EN VIGOR
  • Artículo 41 Modificaciones del Reglamento (UE) 2019/818
• CAPÍTULO 9. DISPOSICIONES FINALES
  • Artículo 42 Procedimiento de comité
  • Artículo 43 Ejercicio de la delegación
  • Artículo 44 Supervisión y evaluación
  • Artículo 45 Entrada en vigor y aplicación

Artículo 1 Objeto

Con el fin de prevenir, detectar, investigar y enjuiciar los delitos de terrorismo y los delitos graves, el presente Reglamento establece las normas relativas a lo siguiente:

• a) la recogida por parte de las compañías aéreas de información anticipada sobre los pasajeros (API, por sus siglas en inglés) de los vuelos exteriores de la UE y de vuelos interiores de la UE;
• b) la transferencia de los datos API y otros datos PNR por parte de las compañías aéreas al enrutador;
• c) la transmisión desde el enrutador a las Unidades de Información sobre los Pasajeros (UIP) de los datos API y otros datos PNR de los vuelos exteriores de la UE y de vuelos interiores de la UE seleccionados.

El presente Reglamento se entiende sin perjuicio de los Reglamentos (UE) 2016/679 y (UE) 2018/1725 y de la Directiva (UE) 2016/680.

Artículo 2 Ámbito de aplicación

El presente Reglamento se aplica a las compañías aéreas que realizan:

• a) vuelos exteriores de la UE;
• b) vuelos interiores de la UE con origen, llegada o escala en el territorio de al menos un Estado miembro que haya notificado a la Comisión su decisión de aplicar la Directiva (UE) 2016/681 a los vuelos interiores de la UE de conformidad con el artículo 2, apartado 1, de dicha Directiva.

Artículo 3 Definiciones

A los efectos del presente Reglamento, se entenderá por:

• 1) «compañía aérea», una compañía aérea tal como se define en el artículo 3, punto 1, de la Directiva (UE) 2016/681;
• 2) «vuelo exterior de la UE», cualquier vuelo exterior de la UE tal como se define en el artículo 3, punto 2, de la Directiva (UE) 2016/681;
• 3) «vuelo interior de la UE», cualquier vuelo interior de la UE tal como se define en el artículo 3, punto 3, de la Directiva (UE) 2016/681;
• 4) «vuelo programado», un vuelo programado tal como se define en el artículo 3, punto 5, del Reglamento (UE) 2025/12;
• 5) «vuelo no programado», un vuelo no programado tal como se define en el artículo 3, punto 6, del Reglamento (UE) 2025/12;
• 6) «pasajero», un pasajero tal como se define en el artículo 3, punto 4, de la Directiva (UE) 2016/681;
• 7) «tripulación», cualquier persona a bordo de una aeronave durante el vuelo, a excepción de los pasajeros, que trabaje en la aeronave o la haga funcionar, incluida la tripulación de vuelo y la tripulación de cabina de pasajeros;
• 8) «información anticipada sobre los pasajeros» o «datos API», los datos y la información de vuelo a que se refiere el artículo 4, apartados 2 y 3, respectivamente;
• 9) «otros datos de registro de nombres de los pasajeros» u «otros datos PNR», el registro de nombres de los pasajeros, tal como se definen en el artículo 3, punto 5, de la Directiva (UE) 2016/681, y tal como recoge el anexo I de dicha Directiva, a excepción del punto 18 de dicho anexo;
• 10) «Unidad de Información sobre los Pasajeros» o «UIP», la Unidad de Información sobre los Pasajeros, tal como figure en las notificaciones de los Estados miembros a la Comisión y las modificaciones de estas publicadas por la Comisión con arreglo al artículo 4, apartado 5, de la Directiva (UE) 2016/681;
• 11) «delitos de terrorismo», los delitos de terrorismo a que se refieren los artículos 3 a12 de la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo (21) ;
• 12) «delitos graves», los delitos graves tal como se definen en el artículo 3, punto 9, de la Directiva (UE) 2016/681;
• 13) «enrutador», el enrutador a que se refieren el artículo 9 del presente Reglamento y el artículo 11 del Reglamento (UE) 2025/12;
• 14) «datos personales», los datos personales tal como se definen en el artículo 3, punto 1, de la Directiva (UE) 2016/680, y en el artículo 4, punto 1, del Reglamento (UE) 2016/679;
• 15) «datos de tráfico de vuelo en tiempo real», la información sobre el tráfico de entrada y de salida de un aeropuerto al que se aplique el presente Reglamento.

Artículo 4 Recogida de datos API por las compañías aéreas

1. Las compañías aéreas recogerán los datos API de cada pasajero y miembro de la tripulación en los vuelos a que se refiere el artículo 2 que han de transferirse al enrutador de conformidad con el artículo 5. En caso de compañías aéreas que compartan el código del vuelo, la obligación de transferir los datos API recaerá en la compañía aérea que explote el vuelo.

2. Los datos API consistirán únicamente en los siguientes datos relativos a cada pasajero y miembro de la tripulación en el vuelo:

• a) los apellidos y los nombres de pila;
• b) la fecha de nacimiento, el sexo y la nacionalidad;
• c) el tipo y el número del documento de viaje y el código de tres letras del país de expedición del documento de viaje;
• d) la fecha de caducidad del documento de viaje;
• e) el número de identificación del registro de nombres de los pasajeros utilizado por las compañías aéreas para localizar a un pasajero en su sistema de información (localizador del registro PNR);
• f) la información sobre el asiento asignado a un pasajero en la aeronave, cuando se disponga de dicha información;
• g) el número o los números de la etiqueta del equipaje y el número y el peso del equipaje facturado, cuando se disponga de dicha información;
• h) un código que indique el método utilizado para recoger y validar los datos a que se refieren las letras a) a d).

3. Asimismo, los datos API consistirán únicamente en la siguiente información sobre el vuelo relativa al vuelo de cada pasajero y miembro de la tripulación:

• a) el número de identificación del vuelo o, en caso de compañías aéreas que compartan el código de vuelo, los números de identificación de los vuelos, o, en su defecto, otros medios claros y adecuados para identificar el vuelo;
• b) cuando proceda, el paso fronterizo de entrada en el territorio del Estado miembro;
• c) el código del aeropuerto de llegada o, cuando el vuelo tenga previsto aterrizar en uno o varios aeropuertos situados en el territorio de uno o varios Estados miembros a los que se aplica el presente Reglamento, los códigos de los aeropuertos de escala en los territorios de los Estados miembros de que se trate;
• d) el código del aeropuerto de salida del vuelo;
• e) el código del aeropuerto del punto de embarque inicial, cuando se disponga de él;
• f) la fecha y hora locales de salida;
• g) la fecha y hora locales de llegada;
• h) los datos de contacto de la compañía aérea;
• i) el formato utilizado para la transferencia de los datos API.

4. Las compañías aéreas recogerán los datos API de tal manera que los datos API que transfieran con arreglo al artículo 5 sean exactos y completos y estén actualizados. El cumplimiento de la presente obligación no exige que las compañías aéreas comprueben el documento de viaje en el momento del embarque en la aeronave, sin perjuicio del Derecho nacional que sea compatible con el Derecho de la Unión.

5. El presente Reglamento no impondrá a los pasajeros la obligación de llevar un documento de viaje cuando viajen, sin perjuicio de otros actos jurídicos de la Unión o del Derecho nacional que sea compatible con el Derecho de la Unión.

6. Un Estado miembro podrá imponer a las compañías aéreas la obligación de ofrecer a los pasajeros la posibilidad de introducir voluntariamente los datos a que se refiere el artículo 4, apartado 2, letras a) a d), del Reglamento (UE) 2025/12 utilizando medios automatizados y de que las compañías aéreas conserven tales datos con vistas a transferirlos para vuelos futuros de conformidad con el artículo 5 del presente Reglamento y de manera conforme con los requisitos establecidos en los apartados 4, 7 y 8 del presente artículo. Los Estados miembros que impongan dicha obligación establecerán las normas y garantías en materia de protección de datos, de conformidad con el Reglamento (UE) 2016/679, incluidas normas sobre el plazo de conservación. No obstante, los datos se suprimirán cuando el pasajero deje de autorizar la conservación de los datos o, a más tardar, en la fecha de caducidad del documento de viaje.

7. Las compañías aéreas recogerán los datos API a que se refiere el apartado 2, letras a) a d), utilizando medios automatizados para recoger los datos de lectura mecánica del documento de viaje del pasajero de que se trate. Lo harán de conformidad con los requisitos técnicos detallados y las normas operativas a que se refiere el apartado 12, una vez que dichas normas se hayan adoptado y sean aplicables.

Cuando las compañías aéreas ofrezcan un proceso de facturación en línea, permitirán que los pasajeros proporcionen los datos API a que se refiere el apartado 2, letras a) a d), utilizando medios automatizados durante este proceso de facturación en línea. En el caso de los pasajeros que no facturen en línea, las compañías aéreas deben permitirles proporcionar los datos API utilizando medios automatizados durante la facturación en el aeropuerto con la asistencia de un quiosco de autoservicio o del personal de la compañía aérea en el mostrador.

Cuando no sea técnicamente posible utilizar medios automatizados, las compañías aéreas recogerán manualmente de manera excepcional los datos API a que se refiere el apartado 2, letras a) a d), ya sea como parte de la facturación en línea o de la facturación en el aeropuerto, de manera que se garantice el cumplimiento de lo dispuesto en el apartado 4.

8. Los medios automatizados utilizados por las compañías aéreas para recoger los datos API en virtud del presente Reglamento serán fiables y seguros y estarán actualizados. Las compañías aéreas garantizarán que los datos API estén cifrados durante su transferencia del pasajero a la compañía aérea.

9. Durante un período transitorio, y además de los medios automatizados a que se refiere el apartado 7, las compañías aéreas ofrecerán a los pasajeros la posibilidad de proporcionar los datos API manualmente como parte de la facturación en línea. En esos casos, las compañías aéreas utilizarán técnicas de verificación de datos para garantizar el cumplimiento del apartado 4.

10. El período transitorio a que se refiere el apartado 9 no afectará al derecho de las compañías aéreas a verificar en el aeropuerto antes del embarque en la aeronave los datos API recogidos como parte de la facturación en línea, para garantizar el cumplimiento del apartado 4, de conformidad con el Derecho de la Unión aplicable.

11. La Comisión estará facultada para adoptar, una vez transcurridos cuatro años de la entrada en funcionamiento del enrutador en relación con los datos API a que se refiere el artículo 34, y sobre la base de una evaluación de la disponibilidad y accesibilidad de los medios automatizados para recopilar datos API, un acto delegado de conformidad con el artículo 43 para poner fin al período transitorio a que se refiere el apartado 9 del presente artículo.

12. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 43 a fin de completar el presente Reglamento por los que se establezcan requisitos técnicos detallados y normas operativas para la recogida de los datos API a que se refiere el apartado 2, letras a) a d), del presente artículo, utilizando medios automatizados de conformidad con los apartados 7 y 8 del presente artículo, y para la recogida manual de datos API en circunstancias excepcionales de conformidad con el apartado 7 del presente artículo y durante el período transitorio a que se refiere el apartado 9 del presente artículo. Dichos requisitos técnicos y normas operativas incluirán requisitos relativos a la seguridad de los datos y al uso de los medios automatizados más fiables disponibles para recoger los datos de lectura mecánica que figuran en un documento de viaje.

Artículo 5 Obligaciones de las compañías aéreas en relación con las transferencias de datos API y otros datos PNR

1. Las compañías aéreas transferirán por medios electrónicos al enrutador los datos API cifrados, a los efectos de su transmisión a las UIP de conformidad con el artículo 12. Las compañías aéreas transferirán los datos API de conformidad con las normas detalladas a que se refiere el apartado 4 del presente artículo, una vez que dichas normas se hayan adoptado y sean aplicables.

2. Al adoptar medidas de conformidad con el artículo 8, apartado 1, de la Directiva (UE) 2016/681, los Estados miembros exigirán a las compañías aéreas que transfieran exclusivamente al enrutador cualquier otro dato PNR que recojan en el desarrollo normal de su actividad, de conformidad con los protocolos y formatos de datos comunes establecidos de conformidad con el artículo 16 de dicha Directiva.

3. Las compañías aéreas transferirán los datos API:

• a) de los pasajeros:
  • i) de cada pasajero, en el momento de la facturación, pero no antes de las cuarenta y ocho horas anteriores a la hora prevista de salida del vuelo, y
  • ii) de todos los pasajeros que hayan embarcado inmediatamente después del cierre del vuelo, es decir, una vez que los pasajeros hayan embarcado en el avión en preparación de la salida y no sea posible embarcar o desembarcar pasajeros;
• b) de todos los miembros de la tripulación inmediatamente después del cierre del vuelo, es decir, una vez que la tripulación haya embarcado en la aeronave en preparación de la salida y ya no pueda abandonar la aeronave.

4. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 43 a fin de completar el presente Reglamento por los que se establezcan las normas detalladas necesarias sobre los protocolos comunes y los formatos de datos admitidos que deben utilizarse para las transferencias cifradas de datos API al enrutador a que se refiere el apartado 1 del presente artículo, incluidos la transferencia de datos API en el momento de la facturación y los requisitos de seguridad de los datos. Dichas normas detalladas garantizarán que las compañías aéreas transfieran los datos API con una estructura y un contenido idénticos.

Artículo 6 Plazo de conservación y supresión de los datos API

Las compañías aéreas conservarán, durante un plazo de cuarenta y ocho horas a partir del momento en que el enrutador reciba los datos API que se le transfieran de conformidad con el artículo 5, apartado 3, letra a), inciso ii) y el artículo 5, apartado 3, letra b), los datos API relativos a todos los pasajeros y miembros de la tripulación que hayan recogido con arreglo al artículo 4. Suprimirán inmediata y permanentemente dichos datos API una vez expirado dicho plazo, sin perjuicio de la posibilidad de que las compañías aéreas conserven y utilicen los datos cuando sea necesario para el desarrollo normal de su actividad comercial de conformidad con el Derecho aplicable y con el artículo 16, apartados 1 y 3.

Artículo 7 Corrección, compleción y actualización de los datos API

1. Cuando una compañía aérea tenga conocimiento de que los datos que conserva en virtud del presente Reglamento han sido tratados ilícitamente, o de que no constituyen datos API, los suprimirá de forma inmediata y permanente. Si dichos datos se han transferido al enrutador, la compañía aérea informará inmediatamente a la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA). Una vez recibida dicha información, eu-LISA informará inmediatamente a las UIP que hayan recibido los datos transmitidos a través del enrutador.

2. Cuando una compañía aérea tenga conocimiento de que los datos que conserva en virtud del presente Reglamento son inexactos o incompletos o han dejado de estar actualizados, los corregirá, completará o actualizará inmediatamente. Lo anterior se entiende sin perjuicio de la posibilidad de que las compañías aéreas conserven y utilicen los datos cuando sea necesario para el desarrollo normal de su actividad comercial de conformidad con el Derecho aplicable.

3. Cuando una compañía aérea tenga conocimiento, después de la transferencia de datos API con arreglo al artículo 5, apartado 3, letra a), inciso i), pero antes de la transferencia con arreglo al artículo 5, apartado 3, letra a), inciso ii), de que los datos que ha transferido son inexactos, la compañía aérea transferirá inmediatamente los datos API corregidos al enrutador.

4. Cuando una compañía aérea tenga conocimiento, después de la transferencia de datos API con arreglo al artículo 5, apartado 3, letra a), inciso ii), o al artículo 5, apartado 3, letra b), de que los datos que ha transferido son inexactos o incompletos o han dejado de estar actualizados, la compañía aérea transferirá inmediatamente los datos API corregidos, completados o actualizados al enrutador.

5. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 43 a fin de completar el presente Reglamento por los que se establezcan las normas detalladas necesarias sobre la corrección, compleción y actualización de los datos API en el sentido del presente artículo.

Artículo 8 Derechos fundamentales

1. La recogida y el tratamiento de datos personales de conformidad con el presente Reglamento y el Reglamento (UE) 2025/12 por parte de las compañías aéreas y las autoridades competentes no dará lugar a discriminación alguna de las personas por los motivos enumerados en el artículo 21 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).

2. El presente Reglamento deberá respetar plenamente la dignidad humana y los derechos fundamentales y los principios reconocidos en la Carta, incluidos los derechos a la intimidad, al asilo, a la protección de los datos personales, a la libre circulación y a vías de recurso efectivas.

3. Se prestará especial atención a los menores, las personas mayores, las personas con discapacidad y las personas vulnerables. El interés superior del niño constituirá una consideración primordial al aplicar el presente Reglamento.

Artículo 9 El enrutador

1. eu-LISA diseñará, desarrollará, alojará y gestionará técnicamente, con arreglo a los artículos 25 y 26, un enrutador con el fin de facilitar la transferencia de datos API y otros datos PNR cifrados por parte de las compañías aéreas a las UIP, de conformidad con el presente Reglamento.

2. El enrutador estará compuesto por:

• a) una infraestructura central, que incluye un conjunto de componentes técnicos que permiten la recepción y la transmisión de datos API y otros datos PNR cifrados;
• b) un canal de comunicación seguro entre la infraestructura central y las UIP, y un canal de comunicación seguro entre la infraestructura central y las compañías aéreas, para la transferencia y la transmisión de datos API y otros datos PNR y para cualquier comunicación relacionada con ellos, y para la inserción en el enrutador, por parte de los Estados miembros, de determinados vuelos a que se refiere el artículo 12, apartado 4, y todas las actualizaciones conexas;
• c) un canal seguro para recibir datos de tráfico de vuelo en tiempo real.

3. Sin perjuicio de lo dispuesto en el artículo 10 del presente Reglamento, el enrutador compartirá y reutilizará, cuando proceda y en la medida en que sea técnicamente posible, los componentes técnicos, incluidos los componentes de soporte físico (hardware) y soporte lógico (software), del servicio web a que se refiere el artículo 13 del Reglamento (UE) 2017/2226, la pasarela para los transportistas a que se refiere el artículo 6, apartado 2, letra k), del Reglamento (UE) 2018/1240 y la pasarela para los transportistas a que se refiere el artículo 45 quater del Reglamento (CE) n.º 767/2008.

eu-LISA diseñará el enrutador, en la medida en que sea técnica y operativamente posible, de manera coherente y compatible con las obligaciones de las compañías aéreas establecidas en los Reglamentos (CE) n.º 767/2008, (UE) 2017/2226 y (UE) 2018/1240.

4. El enrutador extraerá automáticamente los datos, de conformidad con el artículo 39 del presente Reglamento, y los pondrá a disposición del repositorio central para la presentación de informes y estadísticas (RCIE) creado por el artículo 39 del Reglamento (UE) 2019/818.

5. eu-LISA diseñará y desarrollará el enrutador de manera que, para cualquier transferencia de datos API y otros datos PNR desde las compañías aéreas al enrutador, de conformidad con el artículo 5, y para cualquier transmisión de datos API y otros datos PNR desde el enrutador a las UIP, de conformidad con el artículo 12, y al RCIE, de conformidad con el artículo 39, apartado 2, los datos API y otros datos PNR estén cifrados de extremo a extremo durante el tránsito.

Artículo 10 Uso exclusivo del enrutador

A efectos del presente Reglamento, el enrutador solo será utilizado por las entidades siguientes:

• a) por las compañías aéreas para transferir datos API y otros datos PNR cifrados de conformidad con el presente Reglamento;
• b) por las UIP para recibir datos API y otros datos PNR cifrados de conformidad con el presente Reglamento;
• c) sobre la base de acuerdos internacionales que permitan la transferencia de datos PNR a través del enrutador, celebrados por la Unión con terceros países que hayan celebrado un acuerdo que establezca su asociación a la ejecución, aplicación y desarrollo del acervo de Schengen.

El presente artículo se entiende sin perjuicio de lo dispuesto en el artículo 12 del Reglamento (UE) 2025/12.

Artículo 11 Verificación del formato de los datos y de la transferencia

1. El enrutador verificará, de manera automatizada y sobre la base de los datos de tráfico de vuelo en tiempo real, si la compañía aérea transfirió los datos API de conformidad con el artículo 5, apartado 1, u otros datos PNR de conformidad con el artículo 5, apartado 2.

2. El enrutador verificará, de forma inmediata y automatizada, si los datos API que se le transfieran de conformidad con el artículo 5, apartado 1, cumplen las normas detalladas sobre los formatos de datos admitidos a que se refiere el artículo 5, apartado 4.

3. El enrutador comprobará, de forma inmediata y automatizada, si los otros datos PNR que se le transfieran de conformidad con el artículo 5, apartado 2, cumplen las normas sobre los formatos de datos admitidos a que se refiere el artículo 16 de la Directiva (UE) 2016/681.

4. Cuando la verificación a que se refiere el apartado 1 determine que los datos no han sido transferidos por la compañía aérea o cuando la verificación a que se refieren los apartados 2 o 3 determine que los datos no cumplen las normas detalladas sobre los formatos de datos admitidos, el enrutador lo notificará inmediatamente y de manera automatizada a la compañía aérea de que se trate y a las UIP de los Estados miembros a los que deban transmitirse los datos con arreglo al artículo 12, apartado 1. En tales casos, la compañía aérea transferirá inmediatamente los datos API y otros datos PNR de conformidad con el artículo 5.

5. La Comisión adoptará actos de ejecución que especifiquen las normas técnicas y de procedimiento detalladas necesarias para las comprobaciones y notificaciones a que se refieren los apartados 1 a 4 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 42, apartado 2.

Artículo 12 Transmisión de datos API y otros datos PNR del enrutador a las UIP

1. Tras las verificaciones del formato de datos y de la transferencia a que se refiere el artículo 11, el enrutador transmitirá los datos API y otros datos PNR cifrados que le hayan sido transferidos por las compañías aéreas con arreglo al artículo 5, apartados 1 y 2, y, cuando proceda, el artículo 7, apartados 3 y 4, a las UIP del Estado miembro en cuyo territorio vaya a aterrizar o desde cuyo territorio vaya a salir el vuelo, o a ambos en el caso de los vuelos interiores de la UE. Transmitirá dichos datos inmediatamente y de forma automatizada, sin modificar en modo alguno su contenido. Cuando un vuelo tenga una o más escalas en el territorio de otros Estados miembros distintos de aquel de donde salió, el enrutador transmitirá los datos API y cualquier otro dato PNR a las UIP de todos los Estados miembros afectados.

A efectos de dicha transmisión, eu-LISA establecerá y mantendrá actualizado un cuadro de correspondencias entre los distintos aeropuertos de origen y de destino y los países a los que pertenecen.

No obstante, en el caso de los vuelos interiores de la UE, el enrutador solo transmitirá datos API y otros datos PNR de los vuelos incluidos en la lista a que se refiere el apartado 4 a las UIP pertinentes.

2. El enrutador transmitirá los datos API y otros datos PNR de conformidad con las normas detalladas a que se refiere el apartado 6, una vez que dichas normas se hayan adoptado y sean aplicables.

3. Los Estados miembros se asegurarán de que sus UIP, una vez reciban datos API y otros datos PNR de conformidad con el apartado 1, confirmen de forma inmediata y automatizada la recepción de tales datos al enrutador.

4. Los Estados miembros que decidan aplicar la Directiva (UE) 2016/681 a los vuelos interiores de la UE de conformidad con el artículo 2 de dicha Directiva establecerán una lista de los vuelos interiores de la UE o las rutas seleccionados. Los Estados miembros podrán utilizar el código del aeropuerto de salida y del aeropuerto de llegada para indicar los vuelos o rutas seleccionados. Esos Estados miembros, de conformidad con el artículo 2 de dicha Directiva y el artículo 13 del presente Reglamento, revisarán periódicamente y, en caso necesario, actualizarán dichas listas. Los Estados miembros podrán seleccionar todos los vuelos o rutas interiores de la UE cuando esté debidamente justificado, de conformidad con la Directiva (UE) 2016/681 y el artículo 13 del presente Reglamento.

A más tardar en la fecha pertinente de aplicación del presente Reglamento a que se refiere el artículo 45, párrafo segundo, los Estados miembros introducirán los vuelos o rutas seleccionados en el enrutador, por medios automatizados a través del canal de comunicación seguro a que se refiere el artículo 9, apartado 2, letra b), y, posteriormente, proporcionarán al enrutador cualquier actualización de los mismos.

5. La información introducida por los Estados miembros el enrutador será tratada confidencialmente y el acceso a esa información por parte del personal de eu-LISA se limitará a lo estrictamente necesario para la resolución de problemas técnicos. Tras la recepción por parte del enrutador de esa información o de cualquier actualización de la misma desde un Estado miembro, eu-LISA garantizará que el enrutador transmita inmediatamente a la UIP de ese Estado miembro los datos API y otros datos PNR relativos a los vuelos o rutas seleccionados, de conformidad con el apartado 1.

6. La Comisión adoptará actos de ejecución por los que se especifiquen las normas técnicas y de procedimiento detalladas necesarias para la transmisión de datos API y otros datos PNR del enrutador a que se refiere el apartado 1 del presente artículo y para la introducción de información en el enrutador a que se refiere el apartado 4 del presente artículo, también en lo relativo a los requisitos de seguridad de los datos. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 42, apartado 2.

Artículo 13 Selección de vuelos interiores de la UE

1. Los Estados miembros que decidan, de conformidad con el artículo 2 de la Directiva (UE) 2016/681, aplicar dicha Directiva y, en consecuencia, el presente Reglamento a los vuelos interiores de la UE seleccionarán tales vuelos de conformidad con el presente artículo.

2. Los Estados miembros podrán aplicar la Directiva (UE) 2016/681 y, en consecuencia, el presente Reglamento a todos los vuelos interiores de la UE que lleguen a su territorio o salgan de él únicamente en situaciones de amenaza terrorista real, actual o previsible, sobre la base de una decisión basada en una evaluación de la amenaza, limitada en el tiempo a lo estrictamente necesario y que pueda ser objeto de un recurso efectivo por un órgano jurisdiccional o por un órgano administrativo independiente cuya decisión sea vinculante.

3. En ausencia de una amenaza terrorista real, actual o previsible, los Estados miembros que apliquen la Directiva (UE) 2016/681 y, en consecuencia, el presente Reglamento a los vuelos interiores de la UE seleccionarán tales vuelos en función del resultado de una evaluación realizada sobre la base de los requisitos establecidos en los apartados 4 a 7 del presente artículo.

4. La evaluación a que se refiere el apartado 3:

• a) se realizará de una manera objetiva, debidamente motivada y no discriminatoria de conformidad con el artículo 2 de la Directiva (UE) 2016/681;
• b) tendrá en cuenta únicamente los criterios que sean pertinentes para la prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y de los delitos graves que tengan una vinculación objetiva, aunque sea indirecta, con el transporte aéreo de pasajeros, y no se basen únicamente en las razones enumeradas en el artículo 21 de la Carta de los Derechos Fundamentales de la Unión Europea en relación con cualquier pasajero o grupo de pasajeros;
• c) utilizará únicamente información que puedan servir de base para una evaluación objetiva, debidamente motivada y no discriminatoria.

5. Sobre la base de la evaluación a que se refiere el apartado 3, los Estados miembros solo seleccionarán vuelos interiores de la UE relativos, entre otras cosas, a rutas, patrones de viaje o aeropuertos específicos para los que existan indicios de delitos terroristas y de delitos graves y que justifiquen el tratamiento de los datos API y otros datos PNR. La selección de vuelos interiores de la UE se limitará a lo estrictamente necesario para alcanzar los objetivos de la Directiva (UE) 2016/681 y del presente Reglamento.

6. Los Estados miembros conservarán toda la documentación de la evaluación a que se refiere el apartado 3, incluidas, cuando procedan, sus revisiones, y la pondrán a disposición de sus autoridades de control independientes y de las autoridades nacionales de supervisión, previa solicitud, de conformidad con la Directiva (UE) 2016/680.

7. De conformidad con el artículo 2 de la Directiva (UE) 2016/681, los Estados miembros revisarán periódicamente y al menos cada doce meses la evaluación a que se refiere el apartado 3, a fin de tener en cuenta los cambios en las circunstancias que justificaron la selección de vuelos interiores de la UE y con el fin de garantizar que la selección de los vuelos interiores de la UE siga limitándose a lo estrictamente necesario.

8. La Comisión facilitará un intercambio periódico de puntos de vista sobre los criterios de selección para la evaluación a que se refiere el apartado 3, que incluya el intercambio de mejores prácticas, así como, de forma voluntaria, el intercambio de información sobre los vuelos seleccionados.

Artículo 14 Supresión de datos API y otros datos PNR del enrutador

Los datos API y otros datos PNR, transferidos al enrutador con arreglo al presente Reglamento, se conservarán en el enrutador únicamente en la medida en que sea necesario para completar la transmisión a las UIP pertinentes de conformidad con el presente Reglamento y se suprimirán del enrutador de inmediata y permanentemente de forma automatizada en las dos situaciones siguientes:

• a) cuando se confirme, de conformidad con el artículo 12, apartado 3, que se ha completado la transmisión de los datos API y otros datos PNR a las UIP pertinentes;
• b) cuando los datos API y otros datos PNR correspondan a vuelos interiores de la UE distintos de los incluidos en las listas a que se refiere el artículo 12, apartado 4.

El enrutador informará automáticamente a eu-LISA y a las UIP de la supresión inmediata de los vuelos interiores de la UE a que se refiere la letra b).

Artículo 15 Tratamiento de datos API y otros datos PNR por parte de las UIP

Los datos API y otros datos PNR transmitidos a las UIP de conformidad con el presente Reglamento serán tratados posteriormente por las UIP de conformidad con la Directiva (UE) 2016/681, en particular en lo que respecta a las normas sobre el tratamiento de los datos API y otros datos PNR por parte de las UIP, incluidas las establecidas en los artículos 6, 10, 12 y 13 de dicha Directiva, y únicamente con fines de prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y de delitos graves.

Las UIP u otras autoridades competentes no tratarán en ningún caso los datos API y otros datos PNR con fines de elaboración de perfiles, en el sentido del artículo 11, apartado 3, de la Directiva (UE) 2016/680.

Artículo 16 Acciones en caso de imposibilidad técnica de utilizar el enrutador

1. Cuando sea técnicamente imposible utilizar el enrutador para transmitir datos API u otros datos PNR debido a un fallo del enrutador, eu-LISA notificará inmediatamente de manera automatizada dicha imposibilidad técnica a las compañías aéreas y a las UIP. En tal caso, eu-LISA tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el enrutador y lo notificará inmediatamente a las compañías aéreas y a las UIP cuando esta se haya resuelto satisfactoriamente.

Durante el período comprendido entre dichas notificaciones, no se aplicará el artículo 5, apartado 1, en la medida en que la imposibilidad técnica impida la transferencia de datos API u otros datos PNR al enrutador. Las compañías aéreas conservarán los datos API u otros datos PNR hasta que se haya resuelto satisfactoriamente la imposibilidad técnica. Tan pronto se haya resuelto satisfactoriamente la imposibilidad técnica, las compañías aéreas transferirán los datos al enrutador de conformidad con el artículo 5, apartado 1.

Cuando sea técnicamente imposible utilizar el enrutador y en casos excepcionales relacionados con los objetivos del presente Reglamento que hagan necesario que las UIP reciban inmediatamente datos API u otros datos PNR durante la imposibilidad técnica de utilizar el enrutador, las UIP podrán solicitar a las compañías aéreas que utilicen cualquier otro medio adecuado que garantice el nivel necesario de seguridad, calidad y protección de los datos para transferir los datos API u otros datos PNR directamente a las UIP. Las UIP tratarán los datos API u otros datos PNR recibidos por cualquier otro medio adecuado de conformidad con las normas y garantías establecidas en la Directiva (UE) 2016/681.

Tras la notificación de eu-LISA de que la imposibilidad técnica se ha resuelto satisfactoriamente, y cuando se confirme, de acuerdo con el artículo 12, apartado 3, que se ha completado la transmisión de los datos API u otros datos PNR a través del enrutador a la UIP pertinente, la UIP suprimirá inmediatamente los datos API u otros datos PNR que haya recibido por cualquier otro medio adecuado.

2. Cuando sea técnicamente imposible utilizar el enrutador para transmitir los datos API u otros datos PNR debido a un fallo de los sistemas o las infraestructuras a que se refiere el artículo 23 de un Estado miembro, la UIP de dicho Estado miembro notificará inmediatamente esta imposibilidad técnica de manera automatizada a las demás UIP, a eu-LISA y a la Comisión. En tal caso, dicho Estado miembro tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el enrutador y lo notificará inmediatamente a las demás UIP, a eu-LISA y a la Comisión cuando esta se haya resuelto satisfactoriamente. El enrutador conservará los datos API u otros datos PNR hasta que se haya resuelto satisfactoriamente la imposibilidad técnica. Tan pronto se haya resuelto satisfactoriamente la imposibilidad técnica, el enrutador transmitirá los datos de conformidad con el artículo 12, apartado 1.

Cuando sea técnicamente imposible utilizar el enrutador y en casos excepcionales relacionados con los objetivos del presente Reglamento que hagan necesario que las UIP reciban inmediatamente datos API u otros datos PNR durante la imposibilidad técnica de utilizar el enrutador, las UIP podrán solicitar a las compañías aéreas que utilicen cualquier otro medio adecuado que garantice el nivel necesario de seguridad, de calidad y de protección de los datos para transferir los datos API u otros datos PNR directamente a las UIP. Las UIP tratarán los datos API u otros datos PNR recibidos por cualquier otro medio adecuado de conformidad con las normas y garantías establecidas en la Directiva (UE) 2016/681.

Tras la notificación de eu-LISA de que la imposibilidad técnica se ha resuelto satisfactoriamente, y cuando se confirme, de conformidad con el artículo 12, apartado 3, que se ha completado la transmisión de los datos API u otros datos PNR a través del enrutador a la UIP pertinente, la UIP suprimirá inmediatamente los datos API u otros datos PNR que haya recibido por cualquier otro medio adecuado.

3. Cuando sea técnicamente imposible utilizar el enrutador para transferir los datos API u otros datos PNR debido a un fallo de los sistemas o las infraestructuras a que se refiere el artículo 24 de una compañía aérea, dicha compañía aérea notificará inmediatamente esta imposibilidad técnica de manera automatizada a las UIP, a eu-LISA y a la Comisión. En tal caso, dicha compañía aérea tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el enrutador y lo notificará inmediatamente a las UIP, a eu-LISA y a la Comisión cuando esta se haya resuelto satisfactoriamente.

Durante el período comprendido entre dichas notificaciones, no se aplicará el artículo 5, apartado 1, en la medida en que la imposibilidad técnica impida la transferencia de datos API u otros datos PNR al enrutador. Las compañías aéreas conservarán los datos API u otros datos PNR hasta que se haya resuelto satisfactoriamente la imposibilidad técnica. Tan pronto se haya resuelto satisfactoriamente la imposibilidad técnica, las compañías aéreas transferirán los datos al enrutador de conformidad con el artículo 5, apartado 1.

Cuando sea técnicamente imposible utilizar el enrutador y en casos excepcionales relacionados con los objetivos del presente Reglamento que hagan necesario que las UIP reciban inmediatamente datos API u otros datos PNR durante la imposibilidad técnica de utilizar el enrutador, las UIP podrán solicitar a las compañías aéreas que utilicen cualquier otro medio adecuado que garantice el nivel necesario de seguridad, calidad y protección de los datos para transferir los datos API u otros datos PNR directamente a las UIP. Las UIP tratarán los datos API u otros datos PNR recibidos por cualquier otro medio adecuado de conformidad con las normas y garantías establecidas en la Directiva (UE) 2016/681.

Tras la notificación de eu-LISA de que la imposibilidad técnica se ha resuelto satisfactoriamente, y cuando se confirme, de conformidad con el artículo 12, apartado 3, que se ha completado la transmisión de los datos API u otros datos PNR a través del enrutador a la UIP pertinente, la UIP suprimirá inmediatamente los datos API u otros datos PNR que haya recibido por cualquier otro medio adecuado.

Cuando se haya resuelto satisfactoriamente la imposibilidad técnica, la compañía aérea afectada presentará sin demora a la autoridad nacional de supervisión de API a que se refiere el artículo 37 un informe que contenga todos los pormenores necesarios de la imposibilidad técnica, incluidas las razones de la imposibilidad técnica, su alcance y consecuencias, así como las medidas tomadas para resolverla.

Artículo 17 Conservación de registros

1. Las compañías aéreas crearán registros de todas las operaciones de tratamiento relativas a datos API realizadas en virtud del presente Reglamento utilizando los medios automatizados a que se refiere el artículo 4, apartado 7. Dichos registros incluirán la fecha, la hora y el lugar de transferencia de los datos API. Dichos registros no contendrán datos personales, excepto la información necesaria para identificar al miembro pertinente del personal de la compañía aérea.

2. eu-LISA conservará registros de todas las operaciones de tratamiento relacionadas con la transferencia y la transmisión de datos API y otros datos PNR a través del enrutador en virtud del presente Reglamento. Dichos registros incluirán lo siguiente:

• a) la compañía aérea que transfirió los datos API y otros datos PNR al enrutador;
• b) la compañía aérea que transfirió otros datos PNR al enrutador;
• c) las UIP a las que se transmitieron los datos API a través del enrutador;
• d) las UIP a las que se transmitieron otros datos PNR a través del enrutador;
• e) la fecha y hora de la transferencia o transmisión a que se refieren las letras a) a d), y el lugar de dicha transferencia o transmisión;
• f) todo acceso del personal de eu-LISA necesario para el mantenimiento del enrutador, tal como se contempla en el artículo 26, apartado 3;
• g) cualquier otra información relativa a esas operaciones de tratamiento necesaria para supervisar la seguridad e integridad de los datos API y otros datos PNR y la licitud de esas operaciones de tratamiento.

Dichos registros no incluirán datos personales distintos de la información necesaria para identificar al miembro pertinente del personal de eu-LISA a que se refiere el párrafo primero, letra f).

3. Los registros a que se refieren los apartados 1 y 2 del presente artículo se utilizarán únicamente para garantizar la seguridad e integridad de los datos API y otros datos PNR y la licitud del tratamiento, en particular en lo que se refiere al cumplimiento de los requisitos establecidos en el presente Reglamento, incluidos los procedimientos y sanciones por el incumplimiento de dichos requisitos de conformidad con los artículos 37 y 38.

4. Las compañías aéreas y eu-LISA tomarán las medidas adecuadas para proteger los registros que hayan creado de conformidad con los apartados 1 y 2, respectivamente, contra el acceso no autorizado y otros riesgos para la seguridad.

5. Las autoridades nacionales de supervisión de API a que se refiere el artículo 37 y las UIP tendrán acceso a los registros pertinentes a que se refiere el apartado 1 del presente artículo cuando sea necesario para los fines a que se refiere el apartado 3 del presente artículo.

6. Las compañías aéreas y eu-LISA conservarán los registros que hayan creado de conformidad con los apartados 1 y 2, respectivamente, durante un período de un año a partir del momento de la creación de esos registros. Suprimirán inmediata y permanentemente dichos registros una vez expirado dicho plazo.

No obstante, si dichos registros son necesarios para procedimientos destinados a supervisar o garantizar la seguridad e integridad de los datos API o la licitud de las operaciones de tratamiento a que se refiere el apartado 3, y esos procedimientos ya han comenzado en el momento de la expiración del plazo a que se refiere el párrafo primero del presente apartado, las compañías aéreas y eu-LISA conservarán dichos registros durante el tiempo que sea necesario para dichos procedimientos. En tal caso, suprimirán inmediatamente esos registros cuando ya no sean necesarios para dichos procedimientos.

Artículo 18 Responsabilidades en materia de protección de datos

1. Las compañías aéreas serán responsables, en el sentido del artículo 4, punto 7, del Reglamento (UE) 2016/679, del tratamiento de los datos API y otros datos PNR que constituyan datos personales en relación con la recogida de dichos datos y su transferencia al enrutador en virtud del presente Reglamento.

2. Cada Estado miembro designará una autoridad competente como responsable del tratamiento de conformidad con el presente artículo. Los Estados miembros notificarán dichas autoridades a la Comisión, a eu-LISA y a los demás Estados miembros.

Todas las autoridades competentes designadas por los Estados miembros serán corresponsables del tratamiento de conformidad con el artículo 21 de la Directiva (UE) 2016/680 a efectos del tratamiento de datos personales en el enrutador.

3. eu-LISA será la encargada del tratamiento en el sentido del artículo 3, punto 12, del Reglamento (UE) 2018/1725, a efectos del tratamiento de datos API y otros datos PNR que constituyan datos personales con arreglo al presente Reglamento trasmitidos a través del enrutador, incluida la transmisión de los datos del enrutador a las UIP y la conservación por razones técnicas de esos datos en el enrutador. eu-LISA se asegurará de que el enrutador se opere de conformidad con el presente Reglamento.

4. La Comisión adoptará actos de ejecución por los que se establezcan las responsabilidades respectivas de los corresponsables del tratamiento y las obligaciones respectivas entre los corresponsables del tratamiento y la encargada del tratamiento. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 42, apartado 2.

Artículo 19 Información a los pasajeros

De conformidad con el artículo 13 del Reglamento (UE) 2016/679, las compañías aéreas deben proporcionar a los pasajeros, en los vuelos regulados por el presente Reglamento, información sobre la finalidad de la recogida de sus datos personales, el tipo de datos personales recogidos, los destinatarios de los datos personales y los medios para ejercer sus derechos como interesados.

Esa información se debe comunicar a los pasajeros por escrito y en un formato fácilmente accesible en el momento de la reserva y en el momento de la facturación, con independencia de los medios utilizados para recoger los datos personales en el momento de la facturación de conformidad con el artículo 4.

Artículo 20 Seguridad

1. eu-LISA garantizará la seguridad y el cifrado de los datos API y otros datos PNR, en particular los datos que constituyan datos personales, que trate con arreglo al presente Reglamento. Las UIP y las compañías aéreas garantizarán la seguridad de los datos API, en particular de los datos API que constituyan datos personales, que traten con arreglo al presente Reglamento. eu-LISA, las UIP y las compañías aéreas cooperarán entre sí, de conformidad con sus responsabilidades respectivas y con arreglo al Derecho de la Unión, para garantizar dicha seguridad.

2. eu-LISA garantizará la seguridad y la confidencialidad de los datos relativos a los vuelos y rutas seleccionados por los Estados miembros de conformidad con el artículo 12, apartado 4. Las UIP y las compañías aéreas garantizarán la seguridad de los datos API, en particular de los datos API que constituyan datos personales, que traten con arreglo al presente Reglamento. eu-LISA, las UIP y las compañías aéreas cooperarán entre sí, de conformidad con sus responsabilidades respectivas y con arreglo al Derecho de la Unión, para garantizar dicha seguridad.

3. eu-LISA tomará las medidas necesarias para garantizar la seguridad del enrutador y de los datos API y otros datos PNR, en particular los datos que constituyan datos personales, transmitidos a través del enrutador, también estableciendo, aplicando y actualizando periódicamente un plan de seguridad, un plan de continuidad de las actividades y un plan de recuperación en caso de catástrofe, a fin de:

• a) proteger físicamente el enrutador, por ejemplo, mediante la elaboración de planes de contingencia para la protección de sus componentes críticos;
• b) impedir todo tratamiento no autorizado de los datos API u otros datos PNR, incluido el acceso no autorizado a los mismos y su copia, modificación o supresión, tanto durante la transferencia de los datos API u otros datos PNR hacia y desde el enrutador como durante la conservación de los datos API u otros datos PNR en el enrutador cuando sea necesario para completar la transmisión, en particular mediante técnicas adecuadas de cifrado;
• c) garantizar que las personas autorizadas a acceder al enrutador solo tengan acceso a los datos previstos en su autorización de acceso;
• d) garantizar que sea posible comprobar y determinar a qué UIP se transmiten los datos API u otros datos PNR a través del enrutador;
• e) informar adecuadamente a su Consejo de Administración de cualquier fallo en el funcionamiento del enrutador;
• f) supervisar la eficacia de las medidas de seguridad exigidas en virtud del presente artículo y del Reglamento (UE) 2018/1725, y evaluar y actualizar dichas medidas de seguridad cuando sea necesario a la luz de los avances tecnológicos u operativos.

Las medidas a que se refiere el párrafo primero del presente apartado no afectarán al artículo 32 del Reglamento (UE) 2016/679, al artículo 33 del Reglamento (UE) 2018/1725 ni al artículo 29 de la Directiva (UE) 2016/680.

Artículo 21 Autocontrol

Las compañías aéreas y las UIP supervisarán el cumplimiento de sus respectivas obligaciones en virtud del presente Reglamento, en particular en lo que respecta al tratamiento por su parte de los datos API que constituyan datos personales. En el caso de las compañías aéreas, la supervisión incluirá la verificación frecuente de los registros a que se refiere el artículo 17.

Artículo 22 Auditorías sobre la protección de datos personales

1. Las autoridades de control independientes a que se refiere el artículo 41 de la Directiva (UE) 2016/680 efectuarán, al menos una vez cada cuatro años, una auditoría de las operaciones de tratamiento de datos API que constituyan datos personales realizadas por las UIP a efectos del presente Reglamento. Los Estados miembros garantizarán que sus autoridades de control independientes dispongan de medios y conocimientos técnicos suficientes para desempeñar las tareas que les encomienda el presente Reglamento.

2. El Supervisor Europeo de Protección de Datos, al menos una vez al año, efectuará una auditoría de las operaciones de tratamiento de los datos API y otros datos PNR que constituyan datos personales realizadas por eu-LISA a efectos del presente Reglamento, de conformidad con las normas internacionales de auditoría pertinentes. Se enviará un informe de la auditoría al Parlamento Europeo, al Consejo, a la Comisión, a los Estados miembros y a eu-LISA. Se brindará a eu-LISA la oportunidad de formular observaciones antes de la adopción de los informes.

3. En relación con las operaciones de tratamiento a que se refiere el apartado 2, eu-LISA, previa petición, proporcionará al Supervisor Europeo de Protección de Datos la información que le solicite, le dará acceso a todos los documentos que le solicite y a los registros a que hace referencia el artículo 17, apartado 2, y le permitirá acceder a los locales de eu-LISA en todo momento.

Artículo 23 Conexiones de las UIP con el enrutador

1. Los Estados miembros se asegurarán de que sus UIP estén conectadas con el enrutador. Garantizarán que sus sistemas e infraestructuras nacionales para la recepción y posterior tratamiento de los datos API y otros datos PNR transferidos con arreglo al presente Reglamento estén integrados en el enrutador.

Los Estados miembros se asegurarán de que la conexión con el enrutador y la integración en él permitan a sus UIP recibir y seguir tratando dichos datos API y otros datos PNR, así como intercambiar cualquier comunicación relacionada con ellos, de manera lícita, segura, eficaz y rápida.

2. La Comisión adoptará actos de ejecución por los que se especifiquen las normas detalladas necesarias sobre las conexiones con el enrutador y la integración en él a que se refiere el apartado 1 del presente artículo, también en lo relativo a los requisitos de seguridad de los datos. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 42, apartado 2.

Artículo 24 Conexiones de las compañías aéreas con el enrutador

1. Las compañías aéreas se asegurarán de estar conectadas con el enrutador. Garantizarán que sus sistemas e infraestructuras para la transferencia de los datos API y otros datos PNR al enrutador con arreglo al presente Reglamento estén integrados en el enrutador.

Las compañías aéreas se asegurarán de que la conexión con el enrutador y la integración en él les permitan transferir dichos datos API y otros datos PNR, así como intercambiar cualquier comunicación relacionada con ellos, de manera lícita, segura, eficaz y rápida. A tal fin, las compañías aéreas realizarán ensayos de la transferencia de datos API y otros datos PNR al enrutador en cooperación con eu-LISA de conformidad con el artículo 27, apartado 3.

2. La Comisión adoptará actos de ejecución por los que se especifiquen las normas detalladas necesarias sobre las conexiones con el enrutador y la integración en él a que se refiere el apartado 1 del presente artículo, también en lo relativo a los requisitos de seguridad de los datos. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 42, apartado 2.

Artículo 25 Funciones de eu-LISA relacionadas con el diseño y el desarrollo del enrutador

1. eu-LISA será responsable del diseño de la arquitectura física del enrutador, incluida la determinación de sus especificaciones técnicas.

2. eu-LISA será responsable del desarrollo del enrutador, incluidas de las adaptaciones técnicas necesarias para el funcionamiento del enrutador.

El desarrollo del enrutador consistirá en la elaboración y aplicación de las especificaciones técnicas, los ensayos y la gestión global del proyecto, y la coordinación de la fase de desarrollo.

3. eu-LISA se asegurará de que el enrutador esté diseñado y desarrollado de tal manera que proporcione las funcionalidades especificadas en el presente Reglamento, y de que el enrutador entre en funcionamiento lo antes posible tras la adopción por parte de la Comisión de los actos delegados contemplados en el artículo 4, apartado 12, el artículo 5, apartado 3, y el artículo 7, apartado 2, y de los actos de ejecución contemplados en el artículo 11, apartado 5, el artículo 12, apartado 4, el artículo 23, apartado 2, el artículo 24, apartado 2 del presente Reglamento, y de los actos de ejecución previstos en el artículo 16, apartado 3, de la Directiva (UE) 2016/681, y tras haber realizado la evaluación de impacto relativa a la protección de datos de conformidad con el artículo 35 del Reglamento (UE) 2016/679.

4. eu-LISA proporcionará a las UIP, a otras autoridades de los Estados miembros pertinentes y a las compañías aéreas un conjunto de ensayos de conformidad. El conjunto de ensayos de conformidad incluirá un entorno de ensayos, un simulador, conjuntos de datos de ensayos y un plan de ensayos. El conjunto de ensayos de conformidad permitirá los ensayos exhaustivos del enrutador a que se refieren los apartados 5 y 6, y seguirá estando disponible una vez finalizados dichos ensayos.

5. Cuando eu-LISA considere que la fase de desarrollo se ha completado con respecto a los datos API, efectuará, sin demora indebida, un ensayo exhaustivo del enrutador en cooperación con las UIP y otras autoridades competentes de los Estados miembros, y las compañías aéreas, e informará a la Comisión del resultado de dicho ensayo.

6. Cuando eu-LISA considere que la fase de desarrollo se ha completado con respecto a otros datos PNR, efectuará, sin demora indebida, ensayos exhaustivos del enrutador para garantizar la fiabilidad de las conexiones del enrutador con las compañías aéreas y las UIP, la necesaria transmisión normalizada de otros datos PNR por las compañías aéreas y la transferencia y transmisión de otros datos PNR de conformidad con el artículo 16 de la Directiva (UE) 2016/681, incluido el uso de los protocolos comunes y los formatos de datos normalizados admitidos a que se refiere el artículo 16, apartados 2 y 3, de dicha Directiva para garantizar la legibilidad de los demás datos PNR. Tales ensayos se efectuarán en cooperación con las UIP y otras autoridades competentes de los Estados miembros, y las compañías aéreas. eu-LISA informará a la Comisión del resultado de dichos ensayos.

Artículo 26 Funciones de eu-LISA relacionadas con el alojamiento y la gestión técnica del enrutador

1. eu-LISA alojará el enrutador en sus emplazamientos técnicos.

2. eu-LISA será responsable de la gestión técnica del enrutador, incluidos su mantenimiento y sus avances técnicos, de tal manera que se garantice que los datos API y otros datos PNR se transmitan de forma segura, eficaz y rápida a través del enrutador, de conformidad con el presente Reglamento.

La gestión técnica del enrutador consistirá en desempeñar todas las funciones y adoptar todas las soluciones técnicas necesarias para el correcto funcionamiento del enrutador de conformidad con el presente Reglamento, de manera ininterrumpida, todos los días del año y las veinticuatro horas del día. Incluirá el trabajo de mantenimiento y los avances técnicos necesarios para garantizar que el enrutador funcione con un nivel satisfactorio de calidad técnica, en particular en lo que se refiere a la disponibilidad, exactitud y fiabilidad de la transmisión de los datos API y otros datos PNR, de conformidad con las especificaciones técnicas y, en la medida de lo posible, en consonancia con las necesidades operativas de las UIP y las compañías aéreas.

3. El personal de eu-LISA no tendrá acceso a ninguno de los datos API u otros datos PNR que se transmitan a través del enrutador. No obstante, esa prohibición no impedirá que el personal de eu-LISA disponga de tal acceso en la medida en que sea estrictamente necesario para el mantenimiento y la gestión técnica del enrutador.

4. Sin perjuicio de lo dispuesto en el apartado 3 del presente artículo y en el artículo 17 del Estatuto de los funcionarios de la Unión Europea, establecido por el Reglamento (CEE, Euratom, CECA) n.º 259/68 del Consejo (22) , eu-LISA aplicará al personal a su cargo que deba trabajar con los datos API y otros datos PNR transmitidos a través del enrutador normas adecuadas de secreto profesional u otras obligaciones equivalentes de confidencialidad. Esta obligación seguirá siendo aplicable después de que dichos miembros del personal hayan cesado en el cargo o el empleo, o tras la terminación de sus actividades.

Artículo 27 Funciones de apoyo de eu-LISA relacionadas con el enrutador

1. eu-LISA impartirá formación sobre el uso técnico del enrutador y sobre la conexión e integración con este de las UIP, de otras autoridades pertinentes de los Estados miembros o de las compañías aéreas que lo soliciten.

2. eu-LISA prestará apoyo a las UIP en relación con la recepción de datos API y otros datos PNR a través del enrutador con arreglo al presente Reglamento, en particular en lo que respecta a la aplicación de los artículos 12 y 23.

3. De conformidad con el artículo 24, apartado 1, y haciendo uso del conjunto de pruebas de cumplimiento a que se refiere el artículo 25, apartado 4, eu-LISA efectuará ensayos la transferencia de datos API y otros datos PNR al enrutador, en cooperación con las compañías aéreas.

Artículo 28 Consejo de Administración del Programa

1. A más tardar el 28 de enero de 2025, el Consejo de Administración de eu-LISA creará el Consejo de Administración del Programa. Estará compuesto por diez miembros, a saber:

• a) siete miembros nombrados por el Consejo de Administración de eu-LISA de entre sus miembros o suplentes;
• b) a persona que ostente la presidencia del grupo consultivo API-PNR a que se refiere el artículo 29;
• c) un miembro del personal de eu-LISA nombrado por su director ejecutivo, y
• d) un miembro nombrado por la Comisión.

Por lo que se refiere a la letra a), los miembros nombrados por el Consejo de Administración de eu-LISA solo serán elegidos de entre sus miembros o suplentes de los Estados miembros a los que se aplique el presente Reglamento.

2. El Consejo de Administración del Programa elaborará su reglamento interno, que será aprobado por el Consejo de Administración de eu-LISA.

La presidencia será ejercida por un Estado miembro que sea miembro del Consejo de Administración del Programa.

3. El Consejo de Administración del Programa supervisará el cumplimiento efectivo de las funciones de eu-LISA relacionadas con el diseño y el desarrollo del enrutador de conformidad con el artículo 25.

A petición del Consejo de Administración del Programa, eu-LISA proporcionará información pormenorizada y actualizada sobre el diseño y el desarrollo del enrutador, incluidos los recursos asignados por eu-LISA.

4. El Consejo de Administración del Programa presentará periódicamente, y al menos tres veces por trimestre, informes escritos sobre los avances en el diseño y el desarrollo del enrutador al Consejo de Administración de eu-LISA.

5. El Consejo de Administración del Programa no tendrá competencias para adoptar decisiones ni mandato alguno de representación del Consejo de Administración de eu-LISA o de sus miembros.

6. El Consejo de Administración del Programa dejará de existir en la fecha de aplicación del presente Reglamento a que se refiere el artículo 45, párrafo segundo.

Artículo 29 Grupo consultivo API-PNR

1. A partir del 28 de enero de 2025, el grupo consultivo API-PNR, creado en virtud del artículo 27, apartado 1, letra d sexies), del Reglamento (UE) 2018/1726, proporcionará al Consejo de Administración de eu-LISA los conocimientos especializados necesarios sobre API-PNR, en particular en el contexto de la preparación de su programa de trabajo anual y su informe anual de actividades.

2. Siempre que estén disponibles, eu-LISA proporcionará al grupo consultivo API-PNR versiones, incluso intermedias, de las especificaciones técnicas y los conjuntos de ensayos de conformidad a que se refiere el artículo 25, apartados 1, 2 y 4.

3. El grupo consultivo API-PNR ejercerá las funciones siguientes:

• a) proporcionará a eu-LISA y al Consejo de Administración del Programa conocimientos especializados sobre el diseño y el desarrollo del enrutador, de conformidad con el artículo 25;
• b) proporcionará a eu-LISA conocimientos especializados sobre el alojamiento y la gestión técnica del enrutador de conformidad con el artículo 26;
• c) proporcionará al Consejo de Administración del Programa, a petición de este, su dictamen sobre los avances en el diseño y el desarrollo del enrutador, incluidos los avances de las especificaciones técnicas y los conjuntos de ensayos de conformidad a que se refiere el apartado 2.

4. El grupo consultivo API-PNR no tendrá competencias para adoptar decisiones ni mandato alguno de representación del Consejo de Administración de eu-LISA o de sus miembros.

Artículo 30 Grupo de contacto API-PNR

1. A más tardar en la fecha de aplicación pertinente del presente Reglamento a que se refiere el artículo 45, párrafo segundo, el Consejo de Administración de eu-LISA creará un grupo de contacto API-PNR.

2. El grupo de contacto API-PNR permitirá la comunicación entre las autoridades competentes de los Estados miembros y las compañías aéreas sobre cuestiones técnicas relacionadas con sus respectivas funciones y obligaciones en virtud del presente Reglamento.

3. El grupo de contacto API-PNR estará compuesto por representantes de las autoridades competentes de los Estados miembros y de las compañías aéreas, la persona que ostente la presidencia del grupo consultivo API-PNR y expertos de eu-LISA.

4. El Consejo de Administración de eu-LISA establecerá el reglamento interno del grupo de contacto API-PNR, previo dictamen del grupo consultivo API-PNR.

5. Cuando se considere necesario, el Consejo de Administración de eu-LISA también podrá crear subgrupos del grupo de contacto API-PNR para debatir cuestiones técnicas específicas relacionadas con las respectivas funciones y obligaciones de las autoridades competentes de los Estados miembros y de las compañías aéreas en virtud del presente Reglamento.

6. El grupo de contacto API-PNR, así como sus subgrupos, no tendrán competencias para adoptar decisiones ni mandato alguno de representación del Consejo de Administración de eu-LISA o de sus miembros.

Artículo 31 Grupo de expertos API

1. A más tardar en la fecha de aplicación del presente Reglamento a que se refiere el artículo 45, párrafo segundo, letra a), la Comisión creará un grupo de expertos API de conformidad con las normas horizontales sobre la creación y el funcionamiento de los grupos de expertos de la Comisión.

2. El grupo de expertos API hará posible la comunicación entre las autoridades competentes de los Estados miembros, y entre estas autoridades y las compañías aéreas sobre cuestiones políticas relacionadas con sus respectivas funciones y obligaciones en virtud del presente Reglamento, también en relación con las sanciones a que se refiere el artículo 38.

3. El grupo de expertos API estará presidido por la Comisión y se constituirá de conformidad con las normas horizontales sobre la creación y funcionamiento de los grupos de expertos de la Comisión. Estará compuesto por representantes de las autoridades competentes de los Estados miembros, representantes de las compañías aéreas y expertos de eu-LISA. Cuando proceda para el desempeño de sus tareas, el grupo de expertos API podrá invitar a las partes interesadas pertinentes, y en particular, a representantes del Parlamento Europeo, del Supervisor Europeo de Protección de Datos y de las autoridades nacionales de supervisión independientes, a participar en sus trabajos.

4. El grupo de expertos API desempeñará sus funciones de conformidad con el principio de transparencia. La Comisión publicará las actas de las reuniones del grupo de expertos API y otros documentos pertinentes en el sitio web de la Comisión.

Artículo 32 Costes incurridos por eu-LISA, el Supervisor Europeo de Protección de Datos, las autoridades nacionales de supervisión y los Estados miembros

1. Los costes en que incurra eu-LISA en relación con el establecimiento y el funcionamiento del enrutador en virtud del presente Reglamento se sufragarán con cargo al presupuesto general de la Unión.

2. Los costes en que incurran los Estados miembros en relación con la aplicación del presente Reglamento, en particular su conexión con el enrutador y la integración en él a que se refiere el artículo 23, serán financiados con cargo al presupuesto general de la Unión, de conformidad con las normas de subvencionabilidad y los porcentajes de cofinanciación establecidos en los actos jurídicos de la Unión aplicables.

3. Los costes en que incurra el Supervisor Europeo de Protección de Datos en relación con las funciones que se le encomienden con arreglo al presente Reglamento se sufragarán con cargo al presupuesto general de la Unión.

4. Los costes en que incurran las autoridades nacionales de supervisión independientes en relación con las funciones que se les encomienden con arreglo al presente Reglamento serán sufragados por los Estados miembros.

Artículo 33 Responsabilidad relativa al enrutador

Si un incumplimiento por parte de un Estado miembro o de una compañía aérea de las obligaciones que les impone el presente Reglamento causa daños al enrutador, dicho Estado miembro o dicha compañía aérea serán considerados responsables de dichos daños, tal y como se establezca en el Derecho de la Unión o el nacional, a no ser que se demuestre que eu-LISA, otro Estado miembro u otra compañía aérea no tomó medidas razonables para impedir que se produjeran dichos daños o para atenuar sus efectos.

Artículo 34 Entrada en funcionamiento del enrutador con respecto a los datos API

La Comisión determinará, sin demora indebida, la fecha de entrada en funcionamiento del enrutador con respecto a los datos API mediante un acto de ejecución, una vez que eu-LISA haya informado a la Comisión de que se ha completado satisfactoriamente el ensayo exhaustivo del enrutador a que se refiere el artículo 25, apartado 5. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 42, apartado 2.

La Comisión establecerá que la fecha a que se refiere el párrafo primero no sea posterior a los treinta días siguientes a la fecha de adopción del acto de ejecución.

Artículo 35 Entrada en funcionamiento del enrutador con respecto a otros datos PNR

La Comisión determinará, sin demora indebida, la fecha de entrada en funcionamiento del enrutador con respecto a otros datos PNR mediante un acto de ejecución, una vez que eu-LISA haya informado a la Comisión de que se han completado satisfactoriamente los ensayos exhaustivos del enrutador a que se refiere el artículo 25, apartado 6, también sobre la fiabilidad de las conexiones del enrutador con compañías aéreas y UIP y sobre la legibilidad de otros datos PNR transferidos por las compañías aéreas y transmitidos por el enrutador en el formato normalizado necesario, de conformidad con el artículo 16 de la Directiva (UE) 2016/681. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 42, apartado 2.

La Comisión establecerá que la fecha a que se refiere el párrafo primero no sea posterior a los treinta días siguientes a la fecha de adopción del acto de ejecución.

Artículo 36 Uso voluntario del enrutador

1. Las compañías aéreas tendrán derecho a usar el enrutador para transmitir la información a que se refiere el artículo 3, apartados 1 y 2, de la Directiva 2004/82/CE u otros datos PNR recogidos en virtud del artículo 8 de la Directiva (UE) 2016/681 a una o varias de las UIP, de conformidad con esas Directivas, siempre que el Estado miembro interesado haya accedido a dicho uso, a partir de una fecha adecuada fijada por dicho Estado miembro. Dicho Estado miembro solo accederá tras haber establecido que, en particular por lo que respecta a la conexión de sus propias UIP con el enrutador y a la de la compañía aérea de que se trate, la información pueda transmitirse de manera lícita, segura, eficaz y rápida.

2. Cuando una compañía aérea empiece a usar el enrutador de conformidad con el apartado 1 del presente artículo, seguirá usándolo para transmitir tal información a la UIP del Estado miembro de que se trate hasta la fecha de aplicación pertinente del presente Reglamento a que se refiere el artículo 45, párrafo segundo. No obstante, dicho uso se interrumpirá, a partir de una fecha adecuada fijada por tal Estado miembro, cuando ese Estado miembro considere que existen razones objetivas que lo exigen y haya informado de ello a la compañía aérea.

3. El Estado miembro de que se trate:

• a) consultará a eu-LISA antes de acceder al uso voluntario del enrutador de conformidad con el apartado 1;
• b) excepto en situaciones de urgencia debidamente justificadas, ofrecerá a la compañía aérea de que se trate la oportunidad de formular observaciones sobre su intención de interrumpir tal uso de conformidad con el apartado 2 y, en su caso, consultará también a eu-LISA al respecto;
• c) informará inmediatamente a eu-LISA y a la Comisión de tal uso al que haya accedido y de cualquier interrupción de dicho uso, aportando toda la información necesaria, incluida la fecha de inicio del uso, la fecha de la interrupción y los motivos de la interrupción, según proceda.

Artículo 37 Autoridad nacional de supervisión de API

1. Los Estados miembros designarán una o varias autoridades nacionales de supervisión de API responsables de supervisar la aplicación en su territorio por parte de las compañías aéreas de las disposiciones del presente Reglamento y de garantizar el cumplimiento de dichas disposiciones.

2. Los Estados miembros se asegurarán de que las autoridades nacionales de supervisión de API dispongan de todos los medios todas las competencias de investigación y ejecución que se requieran en el desempeño de sus funciones con arreglo al presente Reglamento, incluso mediante la imposición, en su caso, de las sanciones a que se refiere el artículo 38. Los Estados miembros se asegurarán de que el ejercicio de las competencias conferidas a la autoridad nacional de supervisión de la API esté sometido a garantías adecuadas de conformidad con los derechos fundamentales garantizados por el Derecho de la Unión.

3. A más tardar en la fecha de aplicación del presente Reglamento a que se refiere el artículo 45, párrafo segundo, los Estados miembros notificarán a la Comisión el nombre y los datos de contacto de las autoridades que hayan designado con arreglo al apartado 1 del presente artículo. Notificarán a la Comisión sin demora cualquier variación o modificación ulterior al respecto.

4. El presente artículo se entiende sin perjuicio de las competencias de las autoridades de control a que hacen referencia el artículo 51 del Reglamento (UE) 2016/679, el artículo 41 de la Directiva (UE) 2016/680 y el artículo 15 de la Directiva (UE) 2016/681.

Artículo 38 Sanciones

1. Los Estados miembros establecerán el régimen de sanciones aplicables a cualquier infracción del presente Reglamento y adoptarán todas las medidas necesarias para garantizar su ejecución. Tales sanciones serán efectivas, proporcionadas y disuasorias.

2. Los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas, a más tardar en la fecha de aplicación pertinente del presente Reglamento a que hace referencia el artículo 45, párrafo segundo, y le notificarán sin demora toda modificación posterior.

3. Los Estados miembros se asegurarán de que las autoridades nacionales de supervisión de API, al decidir si se imponen sanciones y al determinar el tipo y el grado de las sanciones, tengan en cuenta las circunstancias pertinentes, que pueden ser:

• a) la naturaleza, la gravedad y la duración de la infracción;
• b) el grado de responsabilidad de la compañía aérea;
• c) las infracciones anteriores de la compañía aérea;
• d) el nivel general de cooperación de la compañía aérea con las autoridades competentes;
• e) el tamaño de la compañía aérea, determinado, por ejemplo, mediante el número anual de pasajeros transportados;
• f) la aplicación de sanciones previas a la misma compañía aérea por la misma infracción por parte de otras autoridades nacionales de supervisión de API.

4. Los Estados miembros garantizarán que la falta persistente de transferencia de datos API de conformidad con el artículo 5, apartado 1, sea objeto de sanciones económicas proporcionadas de hasta el 2 % del volumen de negocios mundial de la compañía aérea en el ejercicio precedente. Los Estados miembros se asegurarán de que en caso de incumplimiento de otras obligaciones establecidas en el presente Reglamento se impongan sanciones proporcionadas, incluidas sanciones económicas.

Artículo 39 Estadísticas

1. Con miras a apoyar la aplicación y supervisión de la aplicación presente Reglamento, y sobre la base de la información estadística a que se refieren los apartados 5 y 6, eu-LISA publicará trimestralmente estadísticas sobre el funcionamiento del enrutador y sobre el cumplimiento por parte de las compañías aéreas de las obligaciones establecidas en el presente Reglamento. Esas estadísticas no permitirán la identificación de personas.

2. A los efectos establecidos en el apartado 1, el enrutador transmitirá automáticamente los datos enumerados en los apartados 5 y 6 al RCIE.

3. Con miras a apoyar la aplicación y supervisión de la aplicación del presente Reglamento, eu-LISA compilará cada año los datos estadísticos en un informe anual correspondiente al año anterior. Publicará dicho informe anual y lo transmitirá al Parlamento Europeo, al Consejo, a la Comisión, al Supervisor Europeo de Protección de Datos, a la Agencia Europea de la Guardia de Fronteras y Costas y a las autoridades nacionales de supervisión de API a que se refiere el artículo 37. El informe anual no revelará métodos de trabajo confidenciales ni pondrá en riesgo las investigaciones en curso de las autoridades competentes de los Estados miembros.

4. A petición de la Comisión, eu-LISA le proporcionará estadísticas sobre aspectos específicos relacionados con la aplicación del presente Reglamento, así como las estadísticas de conformidad con el apartado 3.

5. El RCIE proporcionará a eu-LISA las estadísticas siguientes necesarias para la notificación a que se refiere el artículo 44 y para generar estadísticas de conformidad con el presente artículo, sin que dichas estadísticas relativas a datos API permitan la identificación de los pasajeros de que se trate:

• a) si los datos conciernen a un pasajero o un miembro de la tripulación;
• b) la nacionalidad, el sexo y el año de nacimiento del pasajero o el miembro de la tripulación;
• c) la fecha y el punto inicial de embarque, la fecha y el aeropuerto de salida, y la fecha y el aeropuerto de llegada;
• d) el tipo y el número del documento de viaje, el código de tres letras del país de expedición y la fecha de caducidad del documento de viaje;
• e) el número de pasajeros que facturaron para el mismo vuelo;
• f) el código de la compañía aérea que opera el vuelo;
• g) si se trata de un vuelo programado o no programado;
• h) si los datos API se transfirieron inmediatamente después del cierre del vuelo;
• i) si los datos personales del pasajero son exactos y completos y están actualizados;
• j) los medios técnicos utilizados para recoger los datos API.

6. El RCIE proporcionará a eu-LISA las siguientes estadísticas necesarias para la notificación a que se refiere el artículo 44 y para generar estadísticas de conformidad con el presente artículo, sin que dichas estadísticas relativas a otros datos PNR permitan la identificación de los pasajeros de que se trate:

• a) la fecha y hora en que el enrutador recibió el mensaje PNR;
• b) la información de vuelo contenida en el itinerario de viaje del mensaje PNR específico;
• c) la información sobre códigos compartidos contenida en el mensaje PNR específico.

7. A efectos de los informes a que se refiere el artículo 44 y para generar estadísticas de conformidad con el presente artículo, eu-LISA conservará los datos a que se refieren los apartados 5 y 6 del presente artículo en el RCIE. Conservará tales datos durante un período de cinco años, de conformidad con el apartado 2, sin que los datos permitan la identificación de los pasajeros de que se trate. El RCIE proporcionará al personal debidamente autorizado, a las UIP y a otras autoridades competentes de los Estados miembros informes y estadísticas personalizables sobre los datos API a que se refiere el apartado 5 del presente artículo y sobre otros datos PNR a que se refiere el apartado 6 del presente artículo, para la aplicación y supervisión de la aplicación del presente Reglamento.

8. La utilización de los datos a que se refieren los apartados 5 y 6 del presente artículo no conducirá a la elaboración de perfiles de personas a que se refiere el artículo 11, apartado 3, de la Directiva (UE) 2016/680 ni a la discriminación de personas por las razones enumeradas en el artículo 21 de la Carta. Los datos a que se refieren los apartados 5 y 6 del presente artículo no se utilizarán para compararlos o cotejarlos con datos personales ni para combinarlos con datos personales.

9. Los procedimientos puestos en práctica por eu-LISA para supervisar el desarrollo y el funcionamiento del enrutador a que se refiere el artículo 39, apartado 2, del Reglamento (UE) 2019/818 incluirán la posibilidad de producir estadísticas periódicas para garantizar esa supervisión.

Artículo 40 Manual práctico

La Comisión, en estrecha cooperación con las UIP, otras autoridades pertinentes de los Estados miembros, las compañías aéreas y los órganos y las agencias pertinentes de la Unión, elaborará y pondrá a disposición del público un manual práctico que contenga las directrices, recomendaciones y mejores prácticas para la aplicación del presente Reglamento, también en lo que atañe al respeto de los derechos fundamentales y a las sanciones de conformidad con el artículo 38.

El manual práctico tendrá en cuenta otros manuales pertinentes.

La Comisión adoptará el manual práctico en forma de recomendación.

Artículo 41 Modificaciones del Reglamento (UE) 2019/818

En el artículo 39 del Reglamento (UE) 2019/818, los apartados 1 y 2 se sustituyen por el texto siguiente:

• «1. Se crea un repositorio central para la presentación de informes y estadísticas (RCIE) con el fin de apoyar los objetivos del SIS, Eurodac y ECRIS-TCN, de conformidad con los respectivos instrumentos jurídicos que rigen esos sistemas, y de proporcionar datos estadísticos transversales entre sistemas e informes analíticos con fines operativos, de formulación de políticas y de calidad de los datos. El RCIE también apoyará los objetivos del Reglamento (UE) 2025/13 del Parlamento Europeo y del Consejo (*1).
• 2. eu-LISA establecerá, implementará y alojará en sus sitios técnicos el RCIE que contenga los datos y estadísticas a que se hace referencia en el artículo 74 del Reglamento (UE) 2018/1862 y el artículo 32 del Reglamento (UE) 2019/816, separados de forma lógica por el sistema de información de la UE. eu-LISA también recopilará los datos y las estadísticas del enrutador a que se refiere el artículo 39, apartado 1, del Reglamento (UE) 2025/13. El acceso al RCIE se concederá por medio de un acceso seguro, con un control de acceso y unos perfiles de usuario específicos, únicamente a efectos de la presentación de informes y estadísticas, a las autoridades a las que se refieren el artículo 74 del Reglamento (UE) 2018/1862, el artículo 32 del Reglamento (UE) 2019/816 y el artículo 13, apartado 1, del Reglamento (UE) 2025/13.

LE0000645274_20250128

LE0000645274_20250128

Artículo 42 Procedimiento de comité

1. La Comisión estará asistida por un comité. Dicho comité será un comité en el sentido del Reglamento (UE) n.º 182/2011.

2. En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) n.º 182/2011. Cuando el comité no emita ningún dictamen, la Comisión no adoptará el proyecto de acto de ejecución y se aplicará el artículo 5, apartado 4, párrafo tercero, del Reglamento (UE) n.º 182/2011.

Artículo 43 Ejercicio de la delegación

1. Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.

2. Los poderes para adoptar los actos delegados mencionados en el artículo 4, apartados 11 y 12, el artículo 5, apartado 4, y el artículo 7, apartado 5, se otorgan a la Comisión por un período de cinco años a partir del 28 de enero de 2025. La Comisión elaborará un informe sobre la delegación de poderes a más tardar nueve meses antes de que finalice el período de cinco años. La delegación de poderes se prorrogará tácitamente por períodos de idéntica duración, excepto si el Parlamento Europeo o el Consejo se oponen a dicha prórroga a más tardar tres meses antes del final de cada período.

Por lo que respecta a los actos delegados adoptados en virtud del artículo 4, apartado 11, si el Parlamento Europeo o el Consejo formulan objeciones en virtud del apartado 6 del presente artículo, no se opondrán a la prórroga tácita a que se refiere el párrafo primero del presente apartado.

3. La delegación de poderes mencionada en el artículo 4, apartado 12, el artículo 5, apartado 4, y el artículo 7, apartado 5, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en ella. No afectará a la validez de los actos delegados que ya estén en vigor.

4. Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5. Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.

6. Los actos delegados adoptados en virtud del artículo 4, apartados 11 o 12, del artículo 5, apartado 4, o del artículo 7, apartado 5, entrarán en vigor únicamente si, en un plazo de dos meses desde su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formulan objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará dos meses a iniciativa del Parlamento Europeo o del Consejo.

Artículo 44 Supervisión y evaluación

1. eu-LISA se asegurará de que se establezcan procedimientos para supervisar el desarrollo del enrutador a la luz de los objetivos en materia de planificación y costes, y para supervisar el funcionamiento del enrutador a la luz de los objetivos en materia de resultados técnicos, rentabilidad, seguridad y calidad del servicio.

2. A más tardar el 29 de enero de 2026, y posteriormente cada año durante la fase de desarrollo del enrutador, eu-LISA elaborará un informe sobre el estado de desarrollo del enrutador y lo presentará al Parlamento Europeo y al Consejo. El informe contendrá información pormenorizada sobre los costes en que se haya incurrido y sobre cualesquiera riesgos que puedan afectar a los costes globales que deban sufragarse con cargo al presupuesto general de la Unión de conformidad con el artículo 32.

3. Una vez que el enrutador entre en funcionamiento, eu-LISA elaborará un informe y lo presentará al Parlamento Europeo y al Consejo en el que se explique con detalle cómo se han conseguido los objetivos, en particular en lo relativo a la planificación y los costes, y se expongan los motivos de cualquier divergencia.

4. A más tardar el 29 de enero de 2029, y posteriormente cada cuatro años, la Comisión elaborará un informe que contenga una evaluación global del presente Reglamento, también sobre la necesidad y el valor añadido de la recogida de datos API, que incluya un examen de:

• a) la aplicación del presente Reglamento;
• b) la medida en que el presente Reglamento ha alcanzado sus objetivos;
• c) el impacto del presente Reglamento en los derechos fundamentales protegidos por el Derecho de la Unión;
• d) el impacto del presente Reglamento en la experiencia de viaje de los pasajeros en regla;
• e) el impacto del presente Reglamento en la competitividad del sector de la aviación y la carga que soportan las empresas;
• f) la calidad de los datos API transmitidos por el enrutador a las UIP;
• g) el rendimiento del enrutador con respecto a las UIP.

A efectos del párrafo primero, letra e), el informe de la Comisión también abordará la interacción del presente Reglamento con otros actos legislativos pertinentes de la Unión, en particular los Reglamentos (CE) n.º 767/2008, (UE) 2017/2226 y (UE) 2018/1240, a fin de evaluar el impacto global de las obligaciones de información conexas para las compañías aéreas, determinar las disposiciones que puedan actualizarse y simplificarse, en su caso, para reducir la carga que soportan las compañías aéreas, y estudiar acciones y medidas que podrían adoptarse para reducir la presión de los costes totales sobre las compañías aéreas.

5. La evaluación a que se refiere el apartado 4 incluirá también un análisis de la necesidad, proporcionalidad y eficacia de incluir la recogida y transferencia obligatorias de datos API relativos a los vuelos interiores de la UE en el ámbito de aplicación del presente Reglamento.

6. La Comisión presentará el informe de evaluación al Parlamento Europeo, al Consejo, al Supervisor Europeo de Protección de Datos y a la Agencia de los Derechos Fundamentales de la Unión Europea. Si procede, a la luz de la evaluación realizada, la Comisión presentará una propuesta legislativa al Parlamento Europeo y al Consejo con vistas a modificar el presente Reglamento.

7. Los Estados miembros y las compañías aéreas proporcionarán a eu-LISA y a la Comisión, previa solicitud, la información necesaria para elaborar los informes a que se refieren los apartados 2, 3 y 4. En particular, los Estados miembros proporcionarán información cuantitativa y cualitativa sobre la recogida de datos API desde el punto de vista operativo. La información proporcionada no incluirá datos personales. Los Estados miembros podrán abstenerse de proporcionar dicha información si ello es necesario, y en la medida en que sea necesario, para evitar revelar métodos de trabajo confidenciales o poner en peligro las investigaciones en curso de sus UIP u otras autoridades competentes. La Comisión garantizará que toda información confidencial proporcionada esté adecuadamente protegida.

Artículo 45 Entrada en vigor y aplicación

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Será aplicable:

• a) en relación con los datos API, a partir de dos años después de la fecha en que el enrutador entre en funcionamiento, especificada por la Comisión de conformidad con el artículo 34, y
• b) en relación con otros datos PNR, a partir de cuatro años después de la fecha en que el enrutador entre en funcionamiento, especificada por la Comisión de conformidad con el artículo 35.

  No obstante:

  • a) el artículo 4, apartado 12, el artículo 5, apartado 4, el artículo 7, apartado 5, el artículo 11, apartado 5, el artículo 12, apartado 6, el artículo 18, apartado 4, el artículo 23, apartado 2, el artículo 24, apartado 2, los artículos 25, 28 y 29, el artículo 32, apartado 1, los artículos 34, 35, 42 y 43 serán aplicables a partir del 28 de enero de 2025.
  • b) el artículo 6, el artículo 17, apartados 1, 2 y 3, el artículo 18, apartados 1, 2 y 3, los artículos 19, 20, 26, 27, 33 y 36 serán aplicables a partir de la fecha en que el enrutador entre en funcionamiento, tal como se determine por la Comisión de conformidad con los artículos 34 y 35.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en los Estados miembros de conformidad con los Tratados.