Reglamento (UE) 2025/12 del Parlamento Europeo y del Consejo, de 19 de diciembre de 2024, relativo a la recogida y la transferencia de información anticipada sobre los pasajeros para reforzar y facilitar las inspecciones en las fronteras exteriores, por el que se modifican los Reglamentos (UE) 2018/1726 y (UE) 2019/817 y se deroga la Directiva 2004/82/CE del Consejo

• Expandir / Contraer índice sistemático
• INTRODUCCION
• CAPÍTULO 1. DISPOSICIONES GENERALES
  • Artículo 1 Objeto
  • Artículo 2 Ámbito de aplicación
  • Artículo 3 Definiciones
• CAPÍTULO 2. RECOGIDA, TRANSFERENCIA, CONSERVACIÓN Y SUPRESIÓN DE DATOS API
  • Artículo 4 Recogida de datos API por las compañías aéreas
  • Artículo 5 Medios de recogida de los datos API
  • Artículo 6 Obligaciones de las compañías aéreas en relación con la transferencia de los datos API
  • Artículo 7 Tratamiento de los datos API por las autoridades fronterizas competentes
  • Artículo 8 Plazo de conservación y supresión de los datos API
  • Artículo 9 Corrección, compleción y actualización de los datos API
  • Artículo 10 Derechos fundamentales
• CAPÍTULO 3. DISPOSICIONES RELATIVAS AL ENRUTADOR
  • Artículo 11 El enrutador
  • Artículo 12 Uso exclusivo del enrutador
  • Artículo 13 Verificación del formato de los datos y de la transferencia
  • Artículo 14 Transmisión de datos API del enrutador a las autoridades fronterizas competentes
  • Artículo 15 Supresión de los datos API del enrutador
  • Artículo 16 Acciones en caso de imposibilidad técnica de utilizar el enrutador
• CAPÍTULO 4. DISPOSICIONES ESPECÍFICAS SOBRE LA PROTECCIÓN DE LOS DATOS PERSONALES Y SEGURIDAD
  • Artículo 17 Conservación de registros
  • Artículo 18 Responsabilidades en materia de protección de datos
  • Artículo 19 Información a los pasajeros
  • Artículo 20 Seguridad
  • Artículo 21 Autocontrol
  • Artículo 22 Auditorías sobre la protección de datos personales
• CAPÍTULO 5. ASUNTOS RELACIONADOS CON EL ENRUTADOR
  • Artículo 23 Conexiones de las autoridades fronterizas competentes con el enrutador
  • Artículo 24 Conexiones de las compañías aéreas con el enrutador
  • Artículo 25 Funciones de eu-LISA relacionadas con el diseño y el desarrollo del enrutador
  • Artículo 26 Funciones de eu-LISA relacionadas con el alojamiento y la gestión técnica del enrutador
  • Artículo 27 Funciones de apoyo de eu-LISA relacionadas con el enrutador
• CAPÍTULO 6. GOBERNANZA
  • Artículo 28 Consejo de Administración del Programa
  • Artículo 29 Grupo consultivo API-PNR
  • Artículo 30 Grupo de contacto API-PNR
  • Artículo 31 Grupo de expertos API
  • Artículo 32 Costes incurridos por eu-LISA, el Supervisor Europeo de Protección de Datos, las autoridades nacionales de supervisión y los Estados miembros
  • Artículo 33 Responsabilidad relativa al enrutador
  • Artículo 34 Entrada en funcionamiento del enrutador
  • Artículo 35 Uso voluntario del enrutador en aplicación de la Directiva 2004/82/CE
• CAPÍTULO 7. SUPERVISIÓN, SANCIONES, ESTADÍSTICAS Y MANUAL
  • Artículo 36 Autoridad nacional de supervisión de API
  • Artículo 37 Sanciones
  • Artículo 38 Estadísticas
  • Artículo 39 Manual práctico
• CAPÍTULO 8. RELACIÓN CON OTROS INSTRUMENTOS EN VIGOR
  • Artículo 40 Derogación de la Directiva 2004/82/CE
  • Artículo 41 Modificaciones del Reglamento (UE) 2018/1726
  • Artículo 42 Modificaciones del Reglamento (UE) 2019/817
• CAPÍTULO 9. DISPOSICIONES FINALES
  • Artículo 43 Procedimiento de comité
  • Artículo 44 Ejercicio de la delegación
  • Artículo 45 Supervisión y evaluación
  • Artículo 46 Entrada en vigor y aplicación

Artículo 1 Objeto

Con el fin de mejorar y facilitar la eficacia y la eficiencia de las inspecciones fronterizas en las fronteras exteriores y de luchar contra la inmigración ilegal, el presente Reglamento establece normas relativas a lo siguiente:

• a) la recogida de información anticipada sobre los pasajeros (API, por sus siglas en inglés) por parte de las compañías aéreas;
• b) la transferencia de los datos API por parte de las compañías aéreas al enrutador;
• c) la transmisión de los datos API desde el enrutador a las autoridades fronterizas competentes.

El presente Reglamento se entiende sin perjuicio de los Reglamentos (UE) 2016/679 y (UE) 2018/1725.

Artículo 2 Ámbito de aplicación

El presente Reglamento se aplica a las compañías aéreas que realizan vuelos con destino a la Unión.

Artículo 3 Definiciones

A los efectos del presente Reglamento, se entenderá por:

• 1) «compañía aérea», una compañía aérea tal como se define en el artículo 3, punto 1, de la Directiva (UE) 2016/681 del Parlamento Europeo y del Consejo (27) ;
• 2) «inspecciones fronterizas», las inspecciones fronterizas tal como se definen en el artículo 2, punto 11, del Reglamento (UE) 2016/399;
• 3) «vuelos con destino a la Unión», los vuelos procedentes del territorio de un tercer país o de un Estado miembro al que no se aplique el presente Reglamento y que tengan previsto aterrizar en el territorio de un Estado miembro o Estados miembros a los que se aplique el presente Reglamento;
• 4) «paso fronterizo», un paso fronterizo tal como se define en el artículo 2, punto 8, del Reglamento (UE) 2016/399;
• 5) «vuelo programado», un vuelo que se explota con arreglo a un horario fijo y para el cual el público en general puede adquirir billetes;
• 6) «vuelo no programado», un vuelo que no se explota con arreglo a un horario fijo y que no forma parte necesariamente de una ruta regular o programada;
• 7) «autoridad fronteriza competente», la autoridad facultada por un Estado miembro para efectuar inspecciones fronterizas que ha sido designada y notificada por dicho Estado miembro de conformidad con el artículo 14, apartado 2;
• 8) «pasajero», toda persona, a excepción de los miembros en servicio de la tripulación, transportada o que vaya a ser transportada en una aeronave con el consentimiento de la compañía aérea, consentimiento que se manifiesta mediante la inscripción de tal persona en la lista de pasajeros;
• 9) «información anticipada sobre los pasajeros» o «datos API», los datos del pasajero y la información de vuelo a que se refiere el artículo 4, apartados 2 y 3, respectivamente;
• 10) «enrutador», el enrutador a que se refieren el artículo 11 del presente Reglamento y el artículo 9 del Reglamento (UE) 2025/13;
• 11) «datos personales», los datos personales tal como se definen en el artículo 4, punto 1, del Reglamento (UE) 2016/679;
• 12) «datos de tráfico de vuelo en tiempo real», la información sobre el tráfico de entrada y de salida de un aeropuerto al que se aplique el presente Reglamento.

Artículo 4 Recogida de datos API por las compañías aéreas

1. Las compañías aéreas recogerán los datos API de cada pasajero en los vuelos con destino a la Unión que han de transferirse al enrutador de conformidad con el artículo 6. En caso de compañías aéreas que compartan el código del vuelo, la obligación de transferir los datos API recaerá en la compañía aérea que explote el vuelo.

2. Los datos API consistirán únicamente en los siguientes datos relativos a cada pasajero en el vuelo:

• a) los apellidos y los nombres de pila;
• b) la fecha de nacimiento, el sexo y la nacionalidad;
• c) el tipo y el número del documento de viaje y el código de tres letras del país de expedición del documento de viaje;
• d) la fecha de caducidad del documento de viaje;
• e) el número de identificación del registro de nombres de los pasajeros utilizado por las compañías aéreas para localizar a un pasajero en su sistema de información (localizador de registro PNR);
• f) la información sobre el asiento asignado a un pasajero en la aeronave, cuando se disponga de dicha información;
• g) el número o los números de la etiqueta del equipaje y el número y el peso del equipaje facturado, cuando se disponga de dicha información;
• h) un código que indique el método utilizado para recoger y validar los datos a que se refieren las letras a) a d).

3. Asimismo, los datos API consistirán únicamente en la siguiente información sobre el vuelo relativa al vuelo de cada pasajero:

• a) el número de identificación del vuelo o, en caso de compañías aéreas que compartan el código del vuelo, los números de identificación de los vuelos, o, en su defecto, otros medios claros y adecuados para identificar el vuelo;
• b) cuando proceda, el paso fronterizo de entrada en el territorio del Estado miembro;
• c) el código del aeropuerto de llegada o, cuando el vuelo tenga previsto aterrizar en uno o varios aeropuertos situados en el territorio de uno o varios Estados miembros a los que se aplica el presente Reglamento, los códigos de los aeropuertos de escala en los territorios de los Estados miembros de que se trate;
• d) el código del aeropuerto de salida del vuelo;
• e) el código del aeropuerto del punto de embarque inicial, cuando se disponga de él;
• f) la fecha y hora local de salida;
• g) la fecha y hora local de llegada;
• h) los datos de contacto de la compañía aérea;
• i) el formato utilizado para la transferencia de los datos API.

Artículo 5 Medios de recogida de los datos API

1. Las compañías aéreas recogerán los datos API de conformidad con el artículo 4 de tal manera que se garantice que los datos API que transfieran con arreglo al artículo 6 sean exactos y completos y estén actualizados.

2. Las compañías aéreas recogerán los datos API a que se refiere el artículo 4, apartado 2, letras a) a d), utilizando medios automatizados para recoger los datos de lectura mecánica del documento de viaje del pasajero de que se trate. Lo harán de conformidad con los requisitos técnicos detallados y las normas operativas a que se refiere el apartado 7 del presente artículo, una vez que dichas normas se hayan adoptado y sean aplicables.

Cuando las compañías aéreas ofrezcan un proceso de facturación en línea, permitirán que los pasajeros proporcionen los datos API a que se refiere el artículo 4, apartado 2, letras a) a d), utilizando medios automatizados durante ese proceso de facturación en línea. En el caso de los pasajeros que no facturen en línea, las compañías aéreas deben permitirles proporcionar los datos API utilizando medios automatizados durante la facturación en el aeropuerto con la asistencia de un quiosco de autoservicio o del personal de las compañías aéreas en el mostrador.

Cuando no sea técnicamente posible utilizar medios automatizados, las compañías aéreas recogerán manualmente de manera excepcional los datos API a que se refiere el artículo 4, apartado 2, letras a) a d), ya sea como parte de la facturación en línea o de la facturación en el aeropuerto, de manera que se garantice el cumplimiento de lo dispuesto en el apartado 1 del presente artículo.

3. Los medios automatizados utilizados por las compañías aéreas para recoger los datos API en virtud del presente Reglamento serán fiables y seguros y estarán actualizados. Las compañías aéreas garantizarán que los datos API estén cifrados durante su transferencia del pasajero a la compañía aérea.

4. Durante un período transitorio, y además de los medios automatizados a que se refiere el apartado 3, las compañías aéreas ofrecerán a los pasajeros la posibilidad de proporcionar los datos API manualmente como parte de la facturación en línea. En esos casos, las compañías aéreas utilizarán técnicas de verificación de datos para garantizar el cumplimiento del apartado 1.

5. El período transitorio a que se refiere el apartado 4 no afectará al derecho de las compañías aéreas a verificar, en el aeropuerto antes del embarque en la aeronave, los datos API recogidos como parte de la facturación en línea, para garantizar el cumplimiento del apartado 1, de conformidad con el Derecho de la Unión aplicable.

6. La Comisión estará facultada para adoptar, una vez transcurridos cuatro años después de la entrada en funcionamiento del enrutador a que se refiere el artículo 34, y sobre la base de una evaluación de la disponibilidad y accesibilidad de los medios automatizados para recoger datos API, un acto delegado con arreglo al artículo 44 para poner fin al período transitorio a que se refiere el apartado 4 del presente artículo.

7. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 44 a fin de completar el presente Reglamento por los que se establezcan requisitos técnicos detallados y normas operativas para la recogida de los datos API a que se refiere el artículo 4, apartado 2, letras a) a d), utilizando medios automatizados de conformidad con los apartados 2 y 3 del presente artículo, y para la recogida manual de datos API en circunstancias excepcionales de conformidad con el apartado 2 del presente artículo y durante el período transitorio a que se refiere el apartado 4 del presente artículo. Dichos requisitos técnicos y normas operativas incluirán requisitos relativos a la seguridad de los datos y a la utilización de los medios automatizados más fiables disponibles para recoger los datos de lectura mecánica de un documento de viaje.

8. Las compañías aéreas que usen medios automatizados para recoger la información a que se refiere el artículo 3, apartados 1 y 2, de la Directiva 2004/82/CE tendrán derecho a hacerlo aplicando los requisitos técnicos relativos a tal uso a que se refiere el apartado 7 del presente artículo, de conformidad con dicha Directiva.

Artículo 6 Obligaciones de las compañías aéreas en relación con la transferencia de los datos API

1. Las compañías aéreas transferirán los datos API cifrados al enrutador por medios electrónicos a efectos de su transmisión a las autoridades fronterizas competentes de conformidad con el artículo 14. Las compañías aéreas transferirán los datos API de conformidad con las normas detalladas a que se refiere el apartado 3 del presente artículo, una vez que dichas normas se hayan adoptado y sean aplicables.

2. Las compañías aéreas transferirán los datos API:

• a) de cada pasajero en el momento de la facturación, pero no antes de las cuarenta y ocho horas previas a la hora prevista de salida del vuelo, y
• b) de todos los pasajeros que hayan embarcado inmediatamente después del cierre del vuelo, es decir, una vez que los pasajeros hayan embarcado en la aeronave en preparación de la salida y no sea posible para los pasajeros embarcar o desembarcar.

3. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 44 a fin de completar el presente Reglamento por los que se establezcan las normas detalladas necesarias sobre los protocolos comunes y los formatos de datos admitidos que deben utilizarse para las transferencias cifradas de datos API al enrutador a que se refiere el apartado 1 del presente artículo, incluidos la transferencia de datos API en el momento de la facturación y los requisitos de seguridad de los datos. Dichas normas detalladas garantizarán que las compañías aéreas transfieran los datos API con una estructura y un contenido idénticos.

Artículo 7 Tratamiento de los datos API por las autoridades fronterizas competentes

Las autoridades fronterizas competentes tratarán los datos API que reciban de conformidad con el presente Reglamento únicamente para los fines de mejorar y facilitar la eficacia y la eficiencia de las inspecciones fronterizas en las fronteras exteriores y de luchar contra la inmigración ilegal.

Las autoridades fronterizas competentes no tratarán los datos API de una manera que conduzca a la elaboración de perfiles de personas a que se refiere el artículo 22 del Reglamento (UE) 2016/679 ni a la discriminación de personas por las razones enumeradas en el artículo 21 de la Carta.

Artículo 8 Plazo de conservación y supresión de los datos API

1. Las compañías aéreas conservarán, durante un plazo de cuarenta y ocho horas a partir del momento en que el enrutador reciba los datos API que se le transfieran de conformidad con el artículo 6, apartado 2, letras a) y b), los datos API que hayan recogido de conformidad con el artículo 4. Suprimirán inmediata y permanentemente dichos datos API una vez expirado dicho plazo, sin perjuicio de la posibilidad de que las compañías aéreas conserven y utilicen los datos cuando sea necesario para el desarrollo normal de su actividad comercial de conformidad con el Derecho aplicable y con el artículo 16, apartados 1 y 3.

2. Las autoridades fronterizas competentes conservarán, durante un plazo de cuarenta y ocho horas a partir del momento de su recepción, los datos API que se les hayan transmitido con arreglo al artículo 14 tras la transferencia de conformidad con el artículo 6, apartado 2, letras a) y b). Suprimirán inmediata y permanentemente dichos datos API una vez expirado dicho plazo.

En casos excepcionales, las autoridades fronterizas competentes podrán conservar los datos API durante un período adicional de hasta cuarenta y ocho horas únicamente en la medida en que dichos datos API se refieran a pasajeros que no se hayan presentado en un paso fronterizo durante el plazo a que se refiere el párrafo primero.

Artículo 9 Corrección, compleción y actualización de los datos API

1. Cuando una compañía aérea tenga conocimiento de que los datos que conserva en virtud del presente Reglamento han sido tratados ilícitamente, o de que no constituyen datos API, los suprimirá de forma inmediata y permanente. Si dichos datos se han transferido al enrutador, la compañía aérea informará inmediatamente a la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia (eu-LISA). Una vez recibida dicha información, eu-LISA informará inmediatamente a la autoridad fronteriza competente que haya recibido los datos transmitidos a través del enrutador. Dicha autoridad fronteriza competente suprimirá de forma inmediata y permanente esos datos.

2. Cuando una compañía aérea tenga conocimiento de que los datos que conserva en virtud del presente Reglamento son inexactos o incompletos o ya no están actualizados, los corregirá, completará o actualizará inmediatamente. Lo anterior se entiende sin perjuicio de la posibilidad de que las compañías aéreas conserven y utilicen los datos cuando sea necesario para el desarrollo normal de su actividad comercial de conformidad con el Derecho aplicable.

3. Cuando una compañía aérea tenga conocimiento, después de la transferencia de datos API con arreglo al artículo 6, apartado 2, letra a), pero antes de la transferencia con arreglo al artículo 6, apartado 2, letra b), de que los datos que ha transferido son inexactos, la compañía aérea transferirá inmediatamente los datos API corregidos al enrutador.

4. Cuando una compañía aérea tenga conocimiento, después de la transferencia de datos API con arreglo al artículo 6, apartado 2, letras a) o b), de que los datos que ha transferido son inexactos o incompletos o han dejado de estar actualizados, la compañía aérea transferirá inmediatamente los datos API corregidos, completados o actualizados al enrutador.

5. Cuando una autoridad fronteriza competente tenga conocimiento, tras la transmisión de los datos API con arreglo al artículo 14, de que los datos son inexactos o están incompletos o han dejado de estar actualizados, los suprimirá inmediatamente, a menos que sean necesarios para garantizar el cumplimiento de las obligaciones establecidas en el presente Reglamento.

6. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 44 a fin de completar el presente Reglamento por lo que se establezcan las normas detalladas necesarias sobre la corrección, compleción y actualización de los datos API en el sentido del presente artículo.

Artículo 10 Derechos fundamentales

1. La recogida y el tratamiento de datos personales de conformidad con el presente Reglamento y el Reglamento (UE) 2025/13 por parte de las compañías aéreas y las autoridades competentes no dará lugar a discriminación alguna de las personas por los motivos enumerados en el artículo 21 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).

2. El presente Reglamento deberá respetar plenamente la dignidad humana y los derechos fundamentales y los principios reconocidos en la Carta, incluidos los derechos a la intimidad, al asilo, a la protección de los datos personales, a la libre circulación y a vías de recurso efectivas.

3. Se prestará especial atención a los menores, las personas mayores, las personas con discapacidad y las personas vulnerables. El interés superior del niño constituirá una consideración primordial al aplicar el presente Reglamento.

Artículo 11 El enrutador

1. eu-LISA diseñará, desarrollará, alojará y gestionará técnicamente, de conformidad con los artículos 25 y 26, un enrutador con el fin de facilitar la transferencia de datos API cifrados por parte de las compañías aéreas a las autoridades fronterizas competentes, de conformidad con el presente Reglamento.

2. El enrutador estará compuesto por:

• a) una infraestructura central, que incluye un conjunto de componentes técnicos que permiten la recepción y la transmisión de datos API cifrados;
• b) un canal de comunicación seguro entre la infraestructura central y las autoridades fronterizas competentes y un canal de comunicación seguro entre la infraestructura central y las compañías aéreas, para la transferencia y la transmisión de datos API y para cualquier comunicación relacionada con ellos;
• c) un canal seguro para recibir datos de tráfico de vuelo en tiempo real.

3. Sin perjuicio de lo dispuesto en el artículo 12 del presente Reglamento, el enrutador compartirá y reutilizará, cuando proceda y en la medida en que sea técnicamente posible, los componentes técnicos, incluidos los componentes de soporte físico (hardware) y soporte lógico (software), del servicio web a que se refiere el artículo 13 del Reglamento (UE) 2017/2226, la pasarela para los transportistas a que se refiere el artículo 6, apartado 2, letra k), del Reglamento (UE) 2018/1240 y la pasarela para los transportistas a que se refiere el artículo 45 quater del Reglamento (CE) n.º 767/2008.

eu-LISA diseñará el enrutador, en la medida en que sea técnica y operativamente posible, de manera coherente y compatible con las obligaciones de las compañías aéreas establecidas en los Reglamentos (CE) n.º 767/2008, (UE) 2017/2226 y (UE) 2018/1240.

4. El enrutador extraerá automáticamente los datos, de conformidad con el artículo 38 del presente Reglamento, y los pondrá a disposición del repositorio central para la presentación de informes y estadísticas (RCIE) creado por el artículo 39 del Reglamento (UE) 2019/817.

5. eu-LISA diseñará y desarrollará el enrutador de manera que, para cualquier transferencia de datos API desde las compañías aéreas al enrutador de conformidad con el artículo 6 y para cualquier transmisión de datos API desde el enrutador a las autoridades fronterizas competentes de conformidad con el artículo 14 y al RCIE de conformidad con el artículo 38, apartado 2, los datos API estén cifrados de extremo a extremo en el momento del tránsito.

Artículo 12 Uso exclusivo del enrutador

A efectos del presente Reglamento, el enrutador solo será utilizado por las entidades siguientes:

• a) las compañías aéreas para transferir datos API cifrados de conformidad con el presente Reglamento;
• b) las autoridades fronterizas competentes para recibir datos API cifrados de conformidad con el presente Reglamento.

El presente artículo se entiende sin perjuicio de lo dispuesto en el artículo 10 del Reglamento (UE) 2025/13.

Artículo 13 Verificación del formato de los datos y de la transferencia

1. El enrutador verificará, de manera automatizada y sobre la base de datos de tráfico aéreo en tiempo real, si la compañía aérea transfirió los datos API de conformidad con el artículo 6, apartado 1.

2. El enrutador verificará, de forma inmediata y automatizada, si los datos API que se le transfieran de conformidad con el artículo 6, apartado 1, cumplen las normas detalladas sobre los formatos de datos admitidos a que se refiere el artículo 6, apartado 3.

3. Cuando la verificación a que se refiere el apartado 1 del presente artículo determine que los datos no han sido transferidos por la compañía aérea o cuando la verificación a que se refiere el apartado 2 del presente artículo determine que los datos no cumplen las normas detalladas sobre los formatos de datos admitidos, el enrutador lo notificará inmediatamente y de manera automatizada a la compañía aérea de que se trate y a las autoridades fronterizas competentes de los Estados miembros a los que deban transmitirse los datos con arreglo al artículo 14, apartado 1. En tales casos, la compañía aérea transferirá inmediatamente los datos API de conformidad con el artículo 6.

4. La Comisión adoptará actos de ejecución que especifiquen las normas técnicas y de procedimiento detalladas necesarias para las verificaciones y notificaciones a que se refieren los apartados 1, 2 y 3 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 43, apartado 2.

Artículo 14 Transmisión de datos API del enrutador a las autoridades fronterizas competentes

1. Tras las verificaciones del formato de los datos y de la transferencia a que se refiere el artículo 13, el enrutador transmitirá los datos API cifrados que le hayan sido transferidos con arreglo al artículo 6 o al artículo 9, apartados 3 y 4, a las autoridades fronterizas competentes del Estado miembro o, cuando el vuelo tenga previsto aterrizar en uno o varios aeropuertos situados en el territorio de uno o más Estados miembros a los que se aplica el presente Reglamento, a las autoridades fronterizas competentes de los Estados miembros a que se refiere el artículo 4, apartado 3, letra c). Transmitirá dichos datos inmediatamente y de manera automatizada, sin modificar en modo alguno su contenido, y de conformidad con las normas detalladas a que se refiere el apartado 5 del presente artículo, una vez que dichas normas se hayan adoptado y sean de aplicación.

A efectos de dicha transmisión, eu-LISA establecerá y mantendrá actualizado un cuadro de correspondencias entre los distintos aeropuertos de origen y de destino y los países a los que pertenecen.

2. Los Estados miembros designarán a las autoridades fronterizas competentes autorizadas para recibir del enrutador los datos API que les sean transmitidos de conformidad con el presente Reglamento. Notificarán a eu-LISA y a la Comisión, a más tardar en la fecha de aplicación del presente Reglamento a que se refiere el artículo 46, párrafo segundo, el nombre y los datos de contacto de las autoridades fronterizas competentes y, en caso necesario, notificarán a eu-LISA y a la Comisión cualquier actualización de dicha información.

La Comisión, sobre la base de dichas notificaciones y actualizaciones, recopilará y pondrá a disposición del público una lista de las autoridades fronterizas competentes notificadas, incluidos sus datos de contacto.

3. Los Estados miembros se asegurarán de que sus autoridades fronterizas competentes, una vez reciban datos API de conformidad con el apartado 1, confirmen de forma inmediata y automatizada la recepción de tales datos al enrutador.

4. Los Estados miembros se asegurarán de que solo el personal debidamente autorizado y formado de sus autoridades fronterizas competentes, designadas de conformidad con el apartado 2, tenga acceso a los datos API que les hayan sido transmitidos a través del enrutador. Los Estados miembros establecerán las normas necesarias a tal efecto. Entre ellas se incluirán normas sobre la creación y actualización periódica de una lista de dicho personal y sus perfiles.

5. La Comisión adoptará actos de ejecución por los que se especifiquen las normas técnicas y de procedimiento detalladas necesarias para la transmisión de datos API del enrutador a que se refiere el apartado 1 del presente artículo, también en lo relativo a los requisitos de seguridad de los datos. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 43, apartado 2.

Artículo 15 Supresión de los datos API del enrutador

Los datos API, transferidos al enrutador con arreglo al presente Reglamento, se conservarán en el enrutador únicamente en la medida en que sea necesario para completar la transmisión a las autoridades fronterizas competentes pertinentes de conformidad con el presente Reglamento, y se suprimirán del enrutador inmediata y permanentemente de forma automatizada cuando se haya confirmado, de acuerdo con el artículo 14, apartado 3, que se ha completado la transmisión de los datos API a las autoridades fronterizas competentes pertinentes.

Artículo 16 Acciones en caso de imposibilidad técnica de utilizar el enrutador

1. Cuando sea técnicamente imposible utilizar el enrutador para transmitir datos API debido a un fallo del enrutador, eu-LISA notificará inmediatamente de manera automatizada dicha imposibilidad técnica a las compañías aéreas y a las autoridades fronterizas competentes. En tal caso, eu-LISA tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el enrutador y lo notificará inmediatamente a las compañías aéreas y a las autoridades fronterizas competentes cuando esta se haya resuelto satisfactoriamente.

Durante el período comprendido entre dichas notificaciones, no se aplicarán el artículo 6, apartado 1, ni el artículo 8, apartado 1, en la medida en que la imposibilidad técnica impida la transferencia de datos API al enrutador. Las compañías aéreas conservarán los datos API hasta que se haya resuelto satisfactoriamente la imposibilidad técnica. Tan pronto se haya resuelto satisfactoriamente la imposibilidad técnica, las compañías aéreas transferirán los datos al enrutador de conformidad con el artículo 6, apartado 1.

Cuando los datos API se reciban más de noventa y seis horas después de la hora de salida a que se refiere el artículo 4, apartado 3, letra f), el enrutador no transmitirá los datos API a las autoridades fronterizas competentes, sino que los suprimirá.

Cuando sea imposible técnicamente utilizar el enrutador y en casos excepcionales relacionados con los objetivos del presente Reglamento que hagan necesario que las autoridades fronterizas competentes reciban inmediatamente datos API durante la imposibilidad técnica de utilizar el enrutador, las autoridades fronterizas competentes podrán solicitar a las compañías aéreas que utilicen cualquier otro medio adecuado que garantice el nivel necesario de seguridad, calidad y protección de los datos para transferir los datos API directamente a las autoridades fronterizas competentes. Las autoridades fronterizas competentes tratarán los datos API recibidos por cualquier otro medio adecuado de conformidad con las normas y garantías establecidas en el Reglamento (UE) 2016/399 y el Derecho nacional aplicable.

Tras la notificación de eu-LISA de que la imposibilidad técnica se ha resuelto satisfactoriamente, y cuando se confirme, de acuerdo con el artículo 14, apartado 3, que se ha completado la transmisión de los datos API a través del enrutador a la autoridad fronteriza competente pertinente, la autoridad fronteriza competente suprimirá inmediatamente los datos API que haya recibido por cualquier otro medio adecuado.

2. Cuando sea técnicamente imposible utilizar el enrutador para transmitir los datos API debido a un fallo de los sistemas o las infraestructuras a que se refiere el artículo 23 de un Estado miembro, las autoridades fronterizas competentes de dicho Estado miembro notificarán inmediatamente dicha imposibilidad técnica de manera automatizada a las compañías aéreas, a las autoridades competentes de los demás Estados miembros, a eu-LISA y a la Comisión. En tal caso, dicho Estado miembro tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el enrutador y lo notificará inmediatamente a las compañías aéreas, a las autoridades competentes de los demás Estados miembros, a eu-LISA y a la Comisión cuando esta se haya resuelto satisfactoriamente. El enrutador conservará los datos API hasta que se haya resuelto satisfactoriamente la imposibilidad técnica. Tan pronto se haya resuelto satisfactoriamente la imposibilidad técnica, el enrutador transmitirá los datos de conformidad con el artículo 14, apartado 1.

Durante el período comprendido entre dichas notificaciones, no se aplicará el artículo 6, apartado 1, ni el artículo 8, apartado 1, en la medida en que la imposibilidad técnica impida la transferencia de datos API al enrutador. Las compañías aéreas conservarán los datos API hasta que se haya resuelto satisfactoriamente la imposibilidad técnica. Tan pronto se haya resuelto satisfactoriamente la imposibilidad técnica, las compañías aéreas transferirán los datos al enrutador de conformidad con el artículo 6, apartado 1.

Cuando los datos API se reciban más de noventa y seis horas después de la hora de salida a que se refiere el artículo 4, apartado 3, letra f), el enrutador no transmitirá los datos API a las autoridades fronterizas competentes, sino que los suprimirá.

Cuando sea técnicamente imposible utilizar el enrutador y en casos excepcionales relacionados con los objetivos del presente Reglamento que hagan necesario que las autoridades fronterizas competentes reciban inmediatamente datos API durante la imposibilidad técnica de utilizar el enrutador, las autoridades fronterizas competentes podrán solicitar a las compañías aéreas que utilicen cualquier otro medio adecuado que garantice el nivel necesario de seguridad, calidad y protección de los datos para transferir los datos API directamente a las autoridades fronterizas competentes. Las autoridades fronterizas competentes tratarán los datos API recibidos por cualquier otro medio adecuado de conformidad con las normas y garantías establecidas en el Reglamento (UE) 2016/399 y el Derecho nacional aplicable.

Tras la notificación de eu-LISA de que la imposibilidad técnica se ha resuelto satisfactoriamente, y cuando se confirme, de acuerdo con el artículo 14, apartado 3, que se ha completado la transmisión de los datos API a través del enrutador a la autoridad fronteriza competente pertinente, la autoridad fronteriza competente suprimirá inmediatamente los datos API que haya recibido por cualquier otro medio adecuado.

3. Cuando sea técnicamente imposible utilizar el enrutador para transferir los datos API debido a un fallo de los sistemas o las infraestructuras a que se refiere el artículo 24 de una compañía aérea, dicha compañía aérea notificará inmediatamente esta imposibilidad técnica de manera automatizada a las autoridades fronterizas competentes, a eu-LISA y a la Comisión. En tal caso, dicha compañía aérea tomará inmediatamente medidas para hacer frente a la imposibilidad técnica de utilizar el enrutador y lo notificará inmediatamente a eu-LISA y a la Comisión cuando esta se haya resuelto satisfactoriamente.

Durante el período comprendido entre dichas notificaciones, no se aplicará el artículo 6, apartado 1, ni el artículo 8, apartado 1, en la medida en que la imposibilidad técnica impida la transferencia de datos API al enrutador. Las compañías aéreas conservarán los datos API hasta que se haya resuelto satisfactoriamente la imposibilidad técnica. Tan pronto se haya resuelto satisfactoriamente la imposibilidad técnica, las compañías aéreas transferirán los datos al enrutador de conformidad con el artículo 6, apartado 1. No obstante, el enrutador no transmitirá los datos API a las autoridades fronterizas competentes, sino que los suprimirá si se reciben más de noventa y seis horas después de la hora de salida a que se refiere el artículo 4, apartado 3, letra f).

Cuando sea técnicamente imposible utilizar el enrutador y en casos excepcionales relacionados con los objetivos del presente Reglamento que hagan necesario que las autoridades fronterizas competentes reciban inmediatamente datos API durante la imposibilidad técnica de utilizar el enrutador, las autoridades fronterizas competentes podrán solicitar a las compañías aéreas que utilicen cualquier otro medio adecuado que garantice el nivel necesario de seguridad, calidad y protección de los datos para transferir los datos API directamente a las autoridades fronterizas competentes. Las autoridades fronterizas competentes tratarán los datos API recibidos por cualquier otro medio adecuado de conformidad con las normas y garantías establecidas en el Reglamento (UE) 2016/399 y el Derecho nacional aplicable.

Tras la notificación de eu-LISA de que la imposibilidad técnica se ha resuelto satisfactoriamente, y cuando se confirme, de acuerdo con el artículo 14, apartado 3, que se ha completado la transmisión de los datos API a través del enrutador a la autoridad fronteriza competente pertinente, la autoridad fronteriza competente suprimirá inmediatamente los datos API que haya recibido por cualquier otro medio adecuado.

Cuando se haya resuelto satisfactoriamente la imposibilidad técnica, la compañía aérea afectada presentará sin demora a la autoridad nacional de supervisión de API a que se refiere el artículo 36 un informe que contenga todos los pormenores necesarios de la imposibilidad técnica, incluidas las razones de la imposibilidad técnica, su alcance y consecuencias, así como las medidas tomadas para resolverla.

Artículo 17 Conservación de registros

1. Las compañías aéreas crearán registros de todas las operaciones de tratamiento relativas a datos API realizadas en virtud del presente Reglamento utilizando los medios automatizados a que se refiere el artículo 5, apartado 2. Dichos registros incluirán la fecha, la hora y el lugar de transferencia de los datos API. Dichos registros no contendrán datos personales, excepto la información necesaria para identificar al miembro pertinente del personal de la compañía aérea.

2. eu-LISA conservará registros de todas las operaciones de tratamiento relacionadas con la transferencia y la transmisión de datos API a través del enrutador en virtud del presente Reglamento. Dichos registros incluirán:

• a) la compañía aérea que transfirió los datos API al enrutador;
• b) las autoridades fronterizas competentes a las que se transmitieron los datos API a través del enrutador;
• c) la fecha y hora de la transferencia o transmisión a que se refieren las letras a) y b), y el lugar de dicha transferencia o transmisión;
• d) todo acceso del personal de eu-LISA necesario para el mantenimiento del enrutador, tal como se contempla en el artículo 26, apartado 3;
• e) cualquier otra información relativa a esas operaciones de tratamiento necesaria para supervisar la seguridad e integridad de los datos API y la licitud de dichas operaciones de tratamiento.

Dichos registros no incluirán datos personales distintos de la información necesaria para identificar al miembro pertinente del personal de eu-LISA a que se refiere el párrafo primero, letra d).

3. Los registros a que se refieren los apartados 1 y 2 del presente artículo se utilizarán únicamente para garantizar la seguridad e integridad de los datos API y la licitud del tratamiento, en particular en lo que se refiere al cumplimiento de los requisitos establecidos en el presente Reglamento, incluidos los procedimientos y sanciones por el incumplimiento de dichos requisitos de conformidad con los artículos 36 y 37.

4. Las compañías aéreas y eu-LISA tomarán las medidas adecuadas para proteger los registros que hayan creado de conformidad con los apartados 1 y 2, respectivamente, contra el acceso no autorizado y otros riesgos para la seguridad.

5. La autoridad nacional de supervisión de API a que se refiere el artículo 36 y las autoridades fronterizas competentes tendrán acceso a los registros pertinentes a que se refiere el apartado 1 del presente artículo cuando sea necesario para los fines a que se refiere el apartado 3 del presente artículo.

6. Las compañías aéreas y eu-LISA conservarán los registros que hayan creado de conformidad con los apartados 1 y 2, respectivamente, durante un período de un año a partir del momento de la creación de dichos registros. Suprimirán inmediata y permanentemente dichos registros una vez expirado dicho plazo.

No obstante, si dichos registros son necesarios para procedimientos destinados a supervisar o garantizar la seguridad e integridad de los datos API o la licitud de las operaciones de tratamiento a que se refiere el apartado 3, y esos procedimientos ya han comenzado en el momento de la expiración del plazo a que se refiere el párrafo primero del presente apartado, eu-LISA y las compañías aéreas conservarán dichos registros durante el tiempo que sea necesario para dichos procedimientos. En tal caso, suprimirán inmediatamente esos registros cuando ya no sean necesarios para dichos procedimientos.

Artículo 18 Responsabilidades en materia de protección de datos

1. Las compañías aéreas serán responsables, en el sentido del artículo 4, punto 7, del Reglamento (UE) 2016/679, del tratamiento de los datos API que constituyan datos personales en relación con la recogida de dichos datos y su transferencia al enrutador en virtud del presente Reglamento.

2. Cada Estado miembro designará una autoridad competente como responsable del tratamiento de conformidad con el presente artículo. Los Estados miembros notificarán dichas autoridades a la Comisión, a eu-LISA y a los demás Estados miembros.

Todas las autoridades competentes designadas por los Estados miembros serán corresponsables del tratamiento de conformidad con el artículo 26 del Reglamento (UE) 2016/679 a efectos del tratamiento de datos personales en el enrutador.

3. eu-LISA será una encargada del tratamiento en el sentido del artículo 3, punto 12, del Reglamento (UE) 2018/1725, a efectos del tratamiento de datos API que constituyan datos personales con arreglo al presente Reglamento a través del enrutador, incluida la transmisión de los datos del enrutador a las autoridades fronterizas competentes y la conservación por razones técnicas de esos datos en el enrutador. eu-LISA se asegurará de que el enrutador se opere de conformidad con el presente Reglamento.

4. La Comisión adoptará actos de ejecución por los que se establezcan las responsabilidades respectivas de los corresponsables del tratamiento y las obligaciones respectivas entre los corresponsables del tratamiento y la encargada del tratamiento. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 43, apartado 2.

Artículo 19 Información a los pasajeros

De conformidad con el artículo 13 del Reglamento (UE) 2016/679, las compañías aéreas deben proporcionar a los pasajeros, en los vuelos regulados por el presente Reglamento, información sobre la finalidad de la recogida de sus datos personales, el tipo de datos personales recogidos, los destinatarios de los datos personales y los medios para ejercer sus derechos como interesados.

Esa información se comunicará a los pasajeros por escrito y en un formato fácilmente accesible en el momento de la reserva y en el momento de la facturación, con independencia de los medios utilizados para recoger los datos personales en el momento de la facturación de conformidad con el artículo 5.

Artículo 20 Seguridad

1. eu-LISA garantizará la seguridad y el cifrado de los datos API, en particular los datos API que constituyan datos personales, que trate con arreglo al presente Reglamento. Las autoridades fronterizas competentes y las compañías aéreas garantizarán la seguridad de los datos API, en particular los datos API que constituyan datos personales, que traten con arreglo al presente Reglamento. eu-LISA, las autoridades fronterizas competentes y las compañías aéreas cooperarán entre sí, de conformidad con sus responsabilidades respectivas y de conformidad con el Derecho de la Unión, para garantizar dicha seguridad.

2. eu-LISA tomará las medidas necesarias para garantizar la seguridad del enrutador y de los datos API, en particular los datos API que constituyan datos personales, transmitidos a través del enrutador, también estableciendo, aplicando y actualizando periódicamente un plan de seguridad, un plan de continuidad de las actividades y un plan de recuperación en caso de catástrofe, a fin de:

• a) proteger físicamente el enrutador, por ejemplo mediante la elaboración de planes de contingencia para la protección de sus componentes críticos;
• b) impedir todo tratamiento no autorizado de los datos API, incluido el acceso no autorizado a los mismos y su copia, modificación o supresión, tanto durante la transferencia de los datos API hacia y desde el enrutador como durante la conservación de los datos API en el enrutador cuando sea necesario para completar la transmisión, en particular mediante técnicas adecuadas de cifrado;
• c) garantizar que las personas autorizadas a acceder al enrutador solo tengan acceso a los datos previstos en su autorización de acceso;
• d) garantizar que sea posible verificar y determinar a qué autoridades fronterizas competentes se transmiten los datos API a través del enrutador;
• e) informar adecuadamente a su Consejo de Administración de cualquier fallo en el funcionamiento del enrutador;
• f) supervisar la eficacia de las medidas de seguridad exigidas en virtud del presente artículo y del Reglamento (UE) 2018/1725, y evaluar y actualizar dichas medidas de seguridad cuando sea necesario a la luz de los avances tecnológicos u operativos.

Las medidas a que se refiere el párrafo primero del presente apartado no afectarán al artículo 32 del Reglamento (UE) 2016/679 ni al artículo 33 del Reglamento (UE) 2018/1725.

Artículo 21 Autocontrol

Las compañías aéreas y las autoridades fronterizas competentes supervisarán el cumplimiento de sus respectivas obligaciones en virtud del presente Reglamento, en particular en lo que respecta al tratamiento por su parte de los datos API que constituyan datos personales. En el caso de las compañías aéreas, la supervisión incluirá la verificación frecuente de los registros a que se refiere el artículo 17, apartado 1.

Artículo 22 Auditorías sobre la protección de datos personales

1. Las autoridades de control independientes a que se refiere el artículo 51 del Reglamento (UE) 2016/679 efectuarán, al menos una vez cada cuatro años, una auditoría de las operaciones de tratamiento de los datos API que constituyan datos personales realizadas por las autoridades fronterizas competentes a efectos del presente Reglamento. Los Estados miembros garantizarán que sus autoridades de control independientes dispongan de medios y conocimientos técnicos suficientes para desempeñar las tareas que les encomienda el presente Reglamento.

2. El Supervisor Europeo de Protección de Datos, al menos una vez al año, efectuará una auditoría de las operaciones de tratamiento de los datos API que constituyan datos personales realizadas por eu-LISA a efectos del presente Reglamento, de conformidad con las normas internacionales de auditoría pertinentes. Se enviará un informe de la auditoría al Parlamento Europeo, al Consejo, a la Comisión, a los Estados miembros y a eu-LISA. Se brindará a eu-LISA la oportunidad de formular observaciones antes de la adopción de los informes.

3. En relación con las operaciones de tratamiento a que se refiere el apartado 2 del presente artículo, eu-LISA, previa petición, proporcionará al Supervisor Europeo de Protección de Datos la información que le solicite, le dará acceso a todos los documentos que le solicite y a los registros a que se refiere el artículo 17, apartado 2, y le permitirá acceder a los locales de eu-LISA en todo momento.

Artículo 23 Conexiones de las autoridades fronterizas competentes con el enrutador

1. Los Estados miembros se asegurarán de que sus autoridades fronterizas competentes estén conectadas con el enrutador. Garantizarán que los sistemas e infraestructuras de las autoridades fronterizas competentes para la recepción y posterior tratamiento de los datos API transferidos con arreglo al presente Reglamento estén integrados en el enrutador.

Los Estados miembros se asegurarán de que la conexión con el enrutador y la integración en él permitan a sus autoridades fronterizas competentes recibir y seguir tratando los datos API, así como intercambiar cualquier comunicación relacionada con ellos, de manera lícita, segura, eficaz y rápida.

2. La Comisión adoptará actos de ejecución por los que se especifiquen las normas detalladas necesarias sobre las conexiones con el enrutador y la integración en él a que se refiere el apartado 1 del presente artículo, también en lo relativo a los requisitos de seguridad de los datos. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 43, apartado 2.

Artículo 24 Conexiones de las compañías aéreas con el enrutador

1. Las compañías aéreas se asegurarán de estar conectadas con el enrutador. Garantizarán que sus sistemas e infraestructuras para la transferencia de los datos API al enrutador con arreglo al presente Reglamento estén integrados en el enrutador.

Las compañías aéreas se asegurarán de que la conexión con el enrutador y la integración en él les permitan transferir los datos API, así como intercambiar cualquier comunicación relacionada con ellos, de manera lícita, segura, eficaz y rápida. A tal fin, las compañías aéreas realizarán ensayos de la transferencia de datos API al enrutador en cooperación con eu-LISA de conformidad con el artículo 27, apartado 3.

2. La Comisión adoptará actos de ejecución por los que se especifiquen las normas detalladas necesarias sobre las conexiones con el enrutador y la integración en él a que se refiere el apartado 1 del presente artículo, también en lo relativo a los requisitos de seguridad de los datos. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 43, apartado 2.

Artículo 25 Funciones de eu-LISA relacionadas con el diseño y el desarrollo del enrutador

1. eu-LISA será responsable del diseño de la arquitectura física del enrutador, incluida la determinación de sus especificaciones técnicas.

2. eu-LISA será responsable del desarrollo del enrutador, incluidas las adaptaciones técnicas necesarias para el funcionamiento del enrutador.

El desarrollo del enrutador consistirá en la elaboración y aplicación de las especificaciones técnicas, los ensayos y la gestión global del proyecto, y la coordinación de la fase de desarrollo.

3. eu-LISA se asegurará de que el enrutador esté diseñado y desarrollado de tal manera que proporcione las funcionalidades especificadas en el presente Reglamento, y de que el enrutador entre en funcionamiento lo antes posible tras la adopción por la Comisión de los actos de ejecución y delegados contemplados en el artículo 5, apartado 7, el artículo 6, apartado 3, el artículo 9, apartado 6, el artículo 23, apartado 2, y el artículo 24, apartado 2, del presente Reglamento y tras haber realizado la evaluación de impacto relativa a la protección de datos de conformidad con el artículo 35 del Reglamento (UE) 2016/679.

4. eu-LISA proporcionará a las autoridades fronterizas competentes, a otras autoridades pertinentes de los Estados miembros y a las compañías aéreas un conjunto de ensayos de conformidad. El conjunto de ensayos de conformidad incluirá un entorno de ensayos, un simulador, conjuntos de datos de ensayos y un plan de ensayos. El conjunto de ensayos de conformidad permitirá el ensayo exhaustivo del enrutador a que se refiere el apartado 5, y seguirá estando disponible una vez finalizado dicho ensayo.

5. Cuando eu-LISA considere que se ha completado la fase de desarrollo, efectuará, sin demora indebida, un ensayo exhaustivo del enrutador en cooperación con las autoridades fronterizas competentes y otras autoridades pertinentes de los Estados miembros, y las compañías aéreas, e informará a la Comisión del resultado de dicho ensayo.

Artículo 26 Funciones de eu-LISA relacionadas con el alojamiento y la gestión técnica del enrutador

1. eu-LISA alojará el enrutador en sus emplazamientos técnicos.

2. eu-LISA será responsable de la gestión técnica del enrutador, incluidos su mantenimiento y sus avances técnicos, de tal manera que se garantice que los datos API se transmitan de forma segura, eficaz y rápida a través del enrutador, de conformidad con el presente Reglamento.

La gestión técnica del enrutador consistirá en desempeñar todas las funciones y adoptar todas las soluciones técnicas necesarias para el correcto funcionamiento del enrutador de conformidad con el presente Reglamento, de manera ininterrumpida, todos los días del año y las veinticuatro horas del día. Incluirá el trabajo de mantenimiento y los avances técnicos necesarios para garantizar que el enrutador funcione con un nivel satisfactorio de calidad técnica, en particular en lo que se refiere a la disponibilidad, exactitud y fiabilidad de la transmisión de los datos API, de conformidad con las especificaciones técnicas y, en la medida de lo posible, en consonancia con las necesidades operativas de las autoridades fronterizas competentes y las compañías aéreas.

3. El personal de eu-LISA no tendrá acceso a ninguno de los datos API que se transmitan a través del enrutador. No obstante, esa prohibición no impedirá que el personal de eu-LISA disponga de tal acceso en la medida en que sea estrictamente necesario para el mantenimiento y la gestión técnica del enrutador.

4. Sin perjuicio de lo dispuesto en el apartado 3 del presente artículo y en el artículo 17 del Estatuto de los funcionarios de la Unión Europea, establecido por el Reglamento (CEE, Euratom, CECA) n.º 259/68 del Consejo (28) , eu-LISA aplicará al personal a su cargo que deba trabajar con los datos API transmitidos a través del enrutador normas adecuadas de secreto profesional u otras obligaciones equivalentes de confidencialidad. Esta obligación seguirá siendo aplicable después de que dichos miembros del personal hayan cesado en el cargo o el empleo, o tras la terminación de sus actividades.

Artículo 27 Funciones de apoyo de eu-LISA relacionadas con el enrutador

1. eu-LISA impartirá formación sobre el uso técnico del enrutador y sobre la conexión e integración con este de las autoridades fronterizas competentes, de otras autoridades pertinentes de los Estados miembros y de las compañías aéreas que lo soliciten.

2. eu-LISA prestará apoyo a las autoridades fronterizas competentes en relación con la recepción de datos API a través del enrutador con arreglo al presente Reglamento, en particular en lo que respecta a la aplicación de los artículos 14 y 23.

3. De conformidad con el artículo 24, apartado 1, y haciendo uso del conjunto de ensayos de conformidad a que se refiere el artículo 25, apartado 4, eu-LISA efectuará ensayos de la transferencia de datos API al enrutador, en cooperación con las compañías aéreas.

Artículo 28 Consejo de Administración del Programa

1. A más tardar el 28 de enero de 2025, el Consejo de Administración de eu-LISA creará el Consejo de Administración del Programa. Estará compuesto por diez miembros, a saber:

• a) siete miembros nombrados por el Consejo de Administración de eu-LISA de entre sus miembros o suplentes;
• b) la persona que ostente la presidencia del grupo consultivo API-PNR a que se refiere el artículo 29;
• c) un miembro del personal de eu-LISA nombrado por su director ejecutivo, y
• d) un miembro nombrado por la Comisión.

Por lo que se refiere a la letra a), los miembros nombrados por el Consejo de Administración de eu-LISA solo serán elegidos de entre sus miembros o suplentes de los Estados miembros a los que se aplique el presente Reglamento.

2. El Consejo de Administración del Programa elaborará su reglamento interno, que será aprobado por el Consejo de Administración de eu-LISA.

La presidencia será ejercida por un Estado miembro que sea miembro del Consejo de Administración del Programa.

3. El Consejo de Administración del Programa supervisará el cumplimiento efectivo de las funciones de eu-LISA relacionadas con el diseño y el desarrollo del enrutador de conformidad con el artículo 25.

A petición del Consejo de Administración del Programa, eu-LISA proporcionará información pormenorizada y actualizada sobre el diseño y el desarrollo del enrutador, incluidos los recursos asignados por eu-LISA.

4. El Consejo de Administración del Programa presentará periódicamente, y al menos tres veces por trimestre, informes escritos sobre los avances en el diseño y el desarrollo del enrutador al Consejo de Administración de eu-LISA.

5. El Consejo de Administración del Programa no tendrá competencias para adoptar decisiones ni mandato alguno de representación del Consejo de Administración de eu-LISA o de sus miembros.

6. El Consejo de Administración del Programa dejará de existir en la fecha de aplicación del presente Reglamento a que se refiere el artículo 46, párrafo segundo.

Artículo 29 Grupo consultivo API-PNR

1. A partir del 28 de enero de 2025, el grupo consultivo API-PNR, creado en virtud del artículo 27, apartado 1, letra d sexies), del Reglamento (UE) 2018/1726, proporcionará al Consejo de Administración de eu-LISA los conocimientos especializados necesarios sobre API-PNR, en particular en el contexto de la preparación de su programa de trabajo anual y su informe anual de actividades.

2. Siempre que estén disponibles, eu-LISA proporcionará al grupo consultivo API-PNR versiones, incluso intermedias, de las especificaciones técnicas y los conjuntos de ensayos de conformidad a que se refiere el artículo 25, apartados 1, 2 y 4.

3. El grupo consultivo API-PNR ejercerá las funciones siguientes:

• a) proporcionará a eu-LISA y al Consejo de Administración del Programa conocimientos especializados sobre el diseño y el desarrollo del enrutador, de conformidad con el artículo 25;
• b) proporcionará a eu-LISA conocimientos especializados sobre el alojamiento y la gestión técnica del enrutador de conformidad con el artículo 26;
• c) proporcionará al Consejo de Administración del Programa, a petición de este, su dictamen sobre los avances en el diseño y el desarrollo del enrutador, incluidos los avances de las especificaciones técnicas y los conjuntos de ensayos de conformidad a que se refiere el apartado 2.

4. El grupo consultivo API-PNR no tendrá competencias para adoptar decisiones ni mandato alguno de representación del Consejo de Administración de eu-LISA o de sus miembros.

Artículo 30 Grupo de contacto API-PNR

1. A más tardar en la fecha de aplicación del presente Reglamento a que se refiere el artículo 46, párrafo segundo, el Consejo de Administración de eu-LISA creará un grupo de contacto API-PNR.

2. El grupo de contacto API-PNR permitirá la comunicación entre las autoridades competentes de los Estados miembros y las compañías aéreas sobre cuestiones técnicas relacionadas con sus respectivas funciones y obligaciones en virtud del presente Reglamento.

3. El grupo de contacto API-PNR estará compuesto por representantes de las autoridades competentes de los Estados miembros y de las compañías aéreas, la persona que ostente la presidencia del grupo consultivo API-PNR y expertos de eu-LISA.

4. El Consejo de Administración de eu-LISA establecerá el reglamento interno del grupo de contacto API-PNR, previo dictamen del grupo consultivo API-PNR.

5. Cuando se considere necesario, el Consejo de Administración de eu-LISA también podrá crear subgrupos del grupo de contacto API-PNR para debatir cuestiones técnicas específicas relacionadas con las respectivas funciones y obligaciones de las autoridades competentes de los Estados miembros y de las compañías aéreas en virtud del presente Reglamento.

6. El grupo de contacto API-PNR, así como sus subgrupos, no tendrán competencias para adoptar decisiones ni mandato alguno de representación del Consejo de Administración de eu-LISA o de sus miembros.

Artículo 31 Grupo de expertos API

1. A más tardar en la fecha de aplicación del presente Reglamento a que se refiere el artículo 46, párrafo segundo, la Comisión creará un grupo de expertos API de conformidad con las normas horizontales sobre la creación y el funcionamiento de los grupos de expertos de la Comisión.

2. El grupo de expertos API hará posible la comunicación entre las autoridades competentes de los Estados miembros y entre estas autoridades y las compañías aéreas sobre cuestiones políticas relacionadas con sus respectivas funciones y obligaciones en virtud del presente Reglamento, también en relación con las sanciones a que se refiere el artículo 37.

3. El grupo de expertos API estará presidido por la Comisión y se constituirá de conformidad con las normas horizontales sobre la creación y funcionamiento de los grupos de expertos de la Comisión. Estará compuesto por representantes de las autoridades competentes de los Estados miembros, representantes de las compañías aéreas y expertos de eu-LISA. Cuando proceda para el desempeño de sus tareas, el grupo de expertos API podrá invitar a las partes interesadas pertinentes, y en particular, a representantes del Parlamento Europeo, del Supervisor Europeo de Protección de Datos y de las autoridades nacionales de supervisión independientes, a participar en sus trabajos.

4. El grupo de expertos API desempeñará sus funciones de conformidad con el principio de transparencia. La Comisión publicará las actas de las reuniones del grupo de expertos API y otros documentos pertinentes en el sitio web de la Comisión.

Artículo 32 Costes incurridos por eu-LISA, el Supervisor Europeo de Protección de Datos, las autoridades nacionales de supervisión y los Estados miembros

1. Los costes en que incurra eu-LISA en relación con el establecimiento y el funcionamiento del enrutador en virtud del presente Reglamento se sufragarán con cargo al presupuesto general de la Unión.

2. Los costes en que incurran los Estados miembros en relación con la aplicación del presente Reglamento, en particular su conexión con el enrutador y la integración en él a que se refiere el artículo 23, serán financiados con cargo al presupuesto general de la Unión, de conformidad con las normas de subvencionabilidad y los porcentajes de cofinanciación establecidos en los actos jurídicos de la Unión aplicables.

3. Los costes en que incurra el Supervisor Europeo de Protección de Datos en relación con las funciones que se le encomienden con arreglo al presente Reglamento se sufragarán con cargo al presupuesto general de la Unión.

4. Los costes en que incurran las autoridades nacionales de supervisión independientes en relación con las funciones que se les encomienden con arreglo al presente Reglamento serán sufragados por los Estados miembros.

Artículo 33 Responsabilidad relativa al enrutador

Si un incumplimiento por parte de un Estado miembro o de una compañía aérea de las obligaciones que les impone el presente Reglamento causa daños al enrutador, dicho Estado miembro o dicha compañía aérea serán considerados responsables de dichos daños, tal y como se establezca en el Derecho de la Unión o el nacional aplicable, a no ser que se demuestre que eu-LISA, otro Estado miembro u otra compañía aérea no tomó medidas razonables para impedir que se produjeran dichos daños o para atenuar sus efectos.

Artículo 34 Entrada en funcionamiento del enrutador

La Comisión determinará, sin demora indebida, la fecha de entrada en funcionamiento del enrutador mediante un acto de ejecución, una vez que eu-LISA haya informado a la Comisión de que se ha completado satisfactoriamente el ensayo exhaustivo del enrutador a que se refiere el artículo 25, apartado 5. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen contemplado en el artículo 43, apartado 2.

La Comisión establecerá que la fecha a que se refiere el párrafo primero no sea posterior a los treinta días siguientes a la fecha de adopción del acto de ejecución.

Artículo 35 Uso voluntario del enrutador en aplicación de la Directiva 2004/82/CE

1. Las compañías aéreas tendrán derecho a usar el enrutador para transmitir la información a que se refiere el artículo 3, apartados 1 y 2, de la Directiva 2004/82/CE a una o varias de las autoridades responsables mencionadas en él, de conformidad con dicha Directiva, siempre que el Estado miembro interesado haya accedido a dicho uso, a partir de una fecha adecuada fijada por dicho Estado miembro. Dicho Estado miembro solo accederá tras haber establecido que, en particular por lo que respecta a la conexión de sus propias autoridades responsables con el enrutador y a la de la compañía aérea de que se trate, la información pueda transmitirse de manera lícita, segura, eficaz y rápida.

2. Cuando una compañía aérea empiece a usar el enrutador de conformidad con el apartado 1 del presente artículo, seguirá usándolo para transmitir tal información a las autoridades responsables del Estado miembro de que se trate hasta la fecha de aplicación del presente Reglamento a que se refiere el artículo 46, párrafo segundo. No obstante, dicho uso se interrumpirá, a partir de una fecha adecuada fijada por tal Estado miembro, cuando ese Estado miembro considere que existen razones objetivas que lo exigen y haya informado de ello a la compañía aérea.

3. El Estado miembro de que se trate:

• a) consultará a eu-LISA antes de acceder al uso voluntario del enrutador de conformidad con el apartado 1;
• b) excepto en situaciones de urgencia debidamente justificadas, ofrecerá a la compañía aérea de que se trate la oportunidad de formular observaciones sobre su intención de interrumpir tal uso de conformidad con el apartado 2 y, en su caso, consultará también a eu-LISA al respecto;
• c) informará inmediatamente a eu-LISA y a la Comisión de tal uso al que haya accedido y de cualquier interrupción de dicho uso, aportando toda la información necesaria, incluida la fecha de inicio del uso, la fecha de la interrupción y los motivos de la interrupción, según proceda.

Artículo 36 Autoridad nacional de supervisión de API

1. Los Estados miembros designarán una o varias autoridades nacionales de supervisión de API responsables de supervisar la aplicación en su territorio por parte de las compañías aéreas de las disposiciones del presente Reglamento y de garantizar el cumplimiento de dichas disposiciones.

2. Los Estados miembros se asegurarán de que las autoridades nacionales de supervisión de API dispongan de todos los medios necesarios y todas las competencias de investigación y ejecución necesarias que se requieran en el desempeño de sus funciones con arreglo al presente Reglamento, incluso mediante la imposición, en su caso, de las sanciones a que se refiere el artículo 37. Los Estados miembros se asegurarán de que el ejercicio de las competencias conferidas a la autoridad nacional de supervisión API esté sometido a garantías adecuadas de conformidad con los derechos fundamentales garantizados por el Derecho de la Unión.

3. A más tardar en la fecha de aplicación del presente Reglamento a que se refiere el artículo 46, párrafo segundo, los Estados miembros notificarán a la Comisión el nombre y los datos de contacto de las autoridades que hayan designado con arreglo al apartado 1 del presente artículo. Notificarán a la Comisión sin demora cualquier variación o modificación ulterior al respecto.

4. El presente artículo se entiende sin perjuicio de las competencias de las autoridades de control a que hace referencia el artículo 51 del Reglamento (UE) 2016/679.

Artículo 37 Sanciones

1. Los Estados miembros establecerán el régimen de sanciones aplicables a cualquier infracción del presente Reglamento y adoptarán todas las medidas necesarias para garantizar su ejecución. Tales sanciones serán efectivas, proporcionadas y disuasorias.

2. Los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas, a más tardar en la fecha de aplicación del presente Reglamento a que hace referencia el artículo 46, párrafo segundo, y le notificarán sin demora toda modificación posterior.

3. Los Estados miembros se asegurarán de que las autoridades nacionales de supervisión de API, al decidir si se imponen sanciones y al determinar el tipo y el grado de las sanciones, tengan en cuenta las circunstancias pertinentes, que pueden ser:

• a) la naturaleza, la gravedad y la duración de la infracción;
• b) el grado de responsabilidad de la compañía aérea;
• c) las infracciones anteriores de la compañía aérea;
• d) el nivel general de cooperación de la compañía aérea con las autoridades competentes;
• e) el tamaño de la compañía aérea, determinado, por ejemplo, mediante el número anual de pasajeros transportados;
• f) la aplicación de sanciones previas a la misma compañía aérea por la misma infracción por parte de otras autoridades nacionales de supervisión de API.

4. Los Estados miembros garantizarán que la falta persistente de transferencia de datos API de conformidad con el artículo 6, apartado 1, sea objeto de sanciones económicas proporcionadas de hasta el 2 % del volumen de negocios mundial de la compañía aérea en el ejercicio precedente. Los Estados miembros se asegurarán de que en caso de incumplimiento de otras obligaciones establecidas en el presente Reglamento se impongan sanciones proporcionadas, incluidas sanciones económicas.

Artículo 38 Estadísticas

1. Con miras a apoyar la aplicación y supervisión de la aplicación del presente Reglamento, y sobre la base de la información estadística a que se refiere el apartado 5, eu-LISA publicará trimestralmente estadísticas sobre el funcionamiento del enrutador y sobre el cumplimiento por parte de las compañías aéreas de las obligaciones establecidas en el presente Reglamento. Esas estadísticas no permitirán la identificación de personas.

2. A los efectos establecidos en el apartado 1, el enrutador transmitirá automáticamente los datos enumerados en el apartado 5 al RCIE.

3. Con miras a apoyar la aplicación y supervisión de la aplicación del presente Reglamento, eu-LISA compilará cada año los datos estadísticos en un informe anual correspondiente al año anterior. Publicará dicho informe anual y lo transmitirá al Parlamento Europeo, al Consejo, a la Comisión, al Supervisor Europeo de Protección de Datos, a la Agencia Europea de la Guardia de Fronteras y Costas y a las autoridades nacionales de supervisión de API a que se refiere el artículo 36. El informe anual no revelará métodos de trabajo confidenciales ni pondrá en riesgo las investigaciones en curso de las autoridades competentes de los Estados miembros.

4. A petición de la Comisión, eu-LISA le proporcionará estadísticas sobre aspectos específicos relacionados con la aplicación del presente Reglamento, así como las estadísticas con arreglo al apartado 3.

5. El RCIE proporcionará a eu-LISA las estadísticas siguientes necesarias para la notificación a que se refiere el artículo 45 y para generar estadísticas de conformidad con el presente artículo, sin que dichas estadísticas relativas a datos API permitan la identificación de los pasajeros de que se trate:

• a) la nacionalidad, el sexo y el año de nacimiento del pasajero;
• b) la fecha y el punto de embarque inicial, la fecha y el aeropuerto de salida, y la fecha y el aeropuerto de llegada;
• c) el tipo de documento de viaje, el código de tres letras del país de expedición y la fecha de caducidad del documento de viaje;
• d) el número de pasajeros que facturaron para el mismo vuelo;
• e) el código de la compañía aérea que opera el vuelo;
• f) si se trata de un vuelo programado o no programado;
• g) si los datos API se transfirieron inmediatamente después del cierre del vuelo;
• h) si los datos personales del pasajero son exactos y completos y están actualizados;
• i) los medios técnicos utilizados para recoger los datos API.

6. A efectos de los informes a que se refiere el artículo 45 y para generar estadísticas de conformidad con el presente artículo, eu-LISA conservará los datos a que se refiere el apartado 5 del presente artículo en el RCIE. Conservará tales datos durante un plazo de cinco años, de conformidad con el apartado 2, sin que los datos permitan la identificación de los pasajeros de que se trate. El RCIE proporcionará al personal debidamente autorizado de las autoridades fronterizas competentes y a otras autoridades pertinentes de los Estados miembros informes y estadísticas personalizables sobre los datos API a que se refiere el apartado 5 del presente artículo, para la aplicación y supervisión de la aplicación del presente Reglamento.

7. La utilización de los datos a que se refiere el apartado 5 del presente artículo no conducirá a la elaboración de perfiles de personas a que se refiere el artículo 22 del Reglamento (UE) 2016/679 ni a la discriminación de personas por las razones enumeradas en el artículo 21 de la Carta. Los datos a que se refiere el apartado 5 del presente artículo no se utilizarán para compararlos o cotejarlos con datos personales ni para combinarlos con datos personales.

8. Los procedimientos puestos en práctica por eu-LISA para supervisar el desarrollo y el funcionamiento del enrutador a que hace referencia el artículo 39, apartado 2, del Reglamento (UE) 2019/817 incluirán la posibilidad de producir estadísticas periódicas para garantizar dicha supervisión.

Artículo 39 Manual práctico

La Comisión, en estrecha cooperación con las autoridades competentes y otras autoridades pertinentes de los Estados miembros, las compañías aéreas y los órganos y las agencias pertinentes de la Unión, elaborará y pondrá a disposición del público un manual práctico que contenga las directrices, recomendaciones y mejores prácticas para la aplicación del presente Reglamento, también en lo que atañe al respeto de los derechos fundamentales y a las sanciones de conformidad con el artículo 37.

El manual práctico tendrá en cuenta otros manuales pertinentes.

La Comisión adoptará el manual práctico en forma de recomendación.

Artículo 40 Derogación de la Directiva 2004/82/CE

Queda derogada la Directiva 2004/82/CE a partir de la fecha de aplicación del presente Reglamento, a que hace referencia el artículo 46, párrafo segundo.

LE0000204396_20040907

Artículo 41 Modificaciones del Reglamento (UE) 2018/1726

El Reglamento (UE) 2018/1726 se modifica como sigue:

• 1) Se inserta el artículo siguiente:

  «Artículo 13 bis Funciones relacionadas con el enrutador

  En relación con los Reglamentos (UE) 2025/12 (29) y (UE) 2025/13 (30) del Parlamento Europeo y del Consejo, la Agencia desempeñará las funciones relacionadas con el enrutador que le confieren dichos Reglamentos.

  LE0000631940_20250128
• 2) En el artículo 17, el apartado 3 se sustituye por el texto siguiente:

  « 3. La sede de la Agencia será Tallin (Estonia).

  Las funciones relacionadas con el desarrollo y la gestión operativa mencionados en el artículo 1, apartados 4 y 5, en los artículos 3 a 9 y en los artículos 11 y 13 bis se realizarán en el emplazamiento técnico de Estrasburgo (Francia).

  Se instalará en Sankt Johann im Pongau (Austria) un emplazamiento de reserva de continuidad capaz de garantizar el funcionamiento de un sistema informático de gran magnitud en caso de fallo de ese tipo de sistema.».

  LE0000631940_20250128
• 3) En el artículo 19, el apartado 1 se modifica como sigue:
  • a) se inserta la letra siguiente:
    • ee quater) aprobará los informes sobre el estado de desarrollo del enrutador de conformidad con el artículo 45, apartado 2, del Reglamento (UE) 2025/12;”;
    LE0000631940_20250128
  • b) en la letra ff), el inciso vi) se sustituye por el texto siguiente:
    • «vi) los componentes de interoperabilidad con arreglo al artículo 78, apartado 3, del Reglamento (UE) 2019/817 y al artículo 74, apartado 3, del Reglamento (UE) 2019/818, y del enrutador con arreglo al artículo 80, apartado 5, del Reglamento (UE) 2024/982 y al artículo 45, apartado 5, del Reglamento (UE) 2025/12,”;»LE0000631940_20250128
  • c) la letra hh) se sustituye por el texto siguiente:
    • hh) aprobará observaciones formales sobre los informes de auditoría del Supervisor Europeo de Protección de Datos con arreglo al artículo 56, apartado 2, del Reglamento (UE) 2018/1861; al artículo 42, apartado 2, del Reglamento (CE) n.º 767/2008; al artículo 31, apartado 2, del Reglamento (UE) n.º 603/2013; al artículo 56, apartado 2, del Reglamento (UE) 2017/2226; al artículo 67 del Reglamento (UE) 2018/1240; al artículo 29, apartado 2, del Reglamento (UE) 2019/816; al artículo 52 del Reglamento (UE) 2019/817, el artículo 52 del Reglamento (UE) 2019/818 y al artículo 58, apartado 1, del Reglamento (UE) 2024/982, y al artículo 22, apartado 3, del Reglamento (UE) 2025/12, y garantizará el seguimiento adecuado de dichas auditorías;
    LE0000631940_20250128
• 4) En el artículo 27, apartado 1, se inserta la letra siguiente:
  • « d sexies) el grupo consultivo API-PNR.».
  LE0000631940_20250128

Artículo 42 Modificaciones del Reglamento (UE) 2019/817

En el artículo 39 del Reglamento (UE) 2019/817, los apartados 1 y 2 se sustituyen por el texto siguiente:

«1. Se crea un repositorio central para la presentación de informes y estadísticas (RCIE) con el fin de apoyar los objetivos del SES, el VIS, el SEIAV y el SIS, de conformidad con los respectivos instrumentos jurídicos que rigen dichos sistemas, y de proporcionar datos estadísticos transversales entre sistemas e informes analíticos con fines operativos, de formulación de políticas y de calidad de los datos. El RCIE apoyará, asimismo, los objetivos del Reglamento (UE) 2025/12 del Parlamento Europeo y del Consejo (31) .

LE0000645276_20250128

2. eu-LISA establecerá, implementará y alojará en sus sitios técnicos el RCIE que contenga los datos y estadísticas a que se hace referencia en el artículo 63 del Reglamento (UE) 2017/2226, el artículo 17 del Reglamento (CE) n.º 767/2008, el artículo 84 del Reglamento (UE) 2018/1240, el artículo 60 del Reglamento (UE) 2018/1861 y el artículo 16 del Reglamento (UE) 2018/1860, separados de forma lógica por el sistema de información de la UE. eu-LISA recogerá también los datos y estadísticas del enrutador a que se hace referencia en el artículo 38, apartado 1, del Reglamento (UE) 2025/12. Las autoridades a las que se refieren el artículo 63 del Reglamento (UE) 2017/2226, el artículo 17 del Reglamento (CE) n.º 767/2008, el artículo 84 del Reglamento (UE) 2018/1240, el artículo 60 del Reglamento (UE) 2018/1861 y el artículo 45, apartado 2, del Reglamento (UE) 2025/12 tendrán acceso al RCIE por medio de un acceso controlado y seguro y perfiles de usuario específicos, a efectos únicamente de la elaboración de informes y estadísticas.»

Artículo 43 Procedimiento de comité

1. La Comisión estará asistida por un comité. Dicho comité será un comité en el sentido del Reglamento (UE) n.º 182/2011.

2. En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) n.º 182/2011. Cuando el comité no emita ningún dictamen, la Comisión no adoptará el proyecto de acto de ejecución y se aplicará el artículo 5, apartado 4, párrafo tercero, del Reglamento (UE) n.º 182/2011.

Artículo 44 Ejercicio de la delegación

1. Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.

2. Los poderes para adoptar los actos delegados mencionados en el artículo 5, apartados 6 y 7, el artículo 6, apartado 3, y el artículo 9, apartado 6, se otorgan a la Comisión por un período de cinco años a partir del 28 de enero de 2025. La Comisión elaborará un informe sobre la delegación de poderes a más tardar nueve meses antes de que finalice el período de cinco años. La delegación de poderes se prorrogará tácitamente por períodos de idéntica duración, excepto si el Parlamento Europeo o el Consejo se oponen a dicha prórroga a más tardar tres meses antes del final de cada período.

Por lo que respecta a los actos delegados adoptados en virtud del artículo 5, apartado 6, si el Parlamento Europeo o el Consejo formulan objeciones en virtud del apartado 6 del presente artículo, no se opondrán a la prórroga tácita a que se refiere el párrafo primero del presente apartado.

3. La delegación de poderes mencionada en el artículo 5, apartado 7, el artículo 6, apartado 3, y el artículo 9, apartado 6, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en ella. No afectará a la validez de los actos delegados que ya estén en vigor.

4. Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5. Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.

6. Los actos delegados adoptados en virtud del artículo 5, apartados 6 o 7, el artículo 6, apartado 3, o el artículo 9, apartado 6, entrarán en vigor únicamente si, en un plazo de dos meses a partir de su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará dos meses a iniciativa del Parlamento Europeo o del Consejo.

Artículo 45 Supervisión y evaluación

1. eu-LISA se asegurará de que se establezcan procedimientos para supervisar el desarrollo del enrutador a la luz de los objetivos en materia de planificación y costes, y para supervisar el funcionamiento del enrutador a la luz de los objetivos en materia de resultados técnicos, rentabilidad, seguridad y calidad del servicio.

2. A más tardar el 29 de enero de 2026, y posteriormente cada año durante la fase de desarrollo del enrutador, eu-LISA elaborará un informe sobre el estado de desarrollo del enrutador y lo presentará al Parlamento Europeo y al Consejo. El informe contendrá información pormenorizada sobre los costes en que se haya incurrido y sobre cualesquiera riesgos que puedan afectar a los costes globales que deban sufragarse con cargo al presupuesto general de la Unión de conformidad con el artículo 32.

3. Una vez que el enrutador entre en funcionamiento, eu-LISA elaborará un informe y lo presentará al Parlamento Europeo y al Consejo en el que se explique con detalle cómo se han conseguido los objetivos, en particular en lo relativo a la planificación y los costes, y se expongan los motivos de cualquier divergencia.

4. A más tardar el 29 de enero de 2029, y posteriormente cada cuatro años, la Comisión elaborará un informe que contenga una evaluación global del presente Reglamento, también sobre la necesidad y el valor añadido de la recogida de datos API, que incluya un examen de:

• a) la aplicación del presente Reglamento;
• b) la medida en que el presente Reglamento ha alcanzado sus objetivos;
• c) el impacto del presente Reglamento en los derechos fundamentales protegidos por el Derecho de la Unión;
• d) el impacto del presente Reglamento en la experiencia de viaje de los pasajeros en regla;
• e) el impacto del presente Reglamento en la competitividad del sector de la aviación y la carga que soportan las empresas;
• f) la calidad de los datos API transmitidos por el enrutador a las autoridades fronterizas competentes;
• g) el rendimiento del enrutador con respecto a las autoridades fronterizas competentes.

A efectos de la letra e) del párrafo primero, el informe de la Comisión también abordará la interacción del presente Reglamento con otros actos legislativos pertinentes de la Unión, en particular los Reglamentos (CE) n.º 767/2008, (UE) 2017/2226 y (UE) 2018/1240, a fin de evaluar el impacto global de las obligaciones de información conexas para las compañías aéreas, determinar las disposiciones que puedan actualizarse y simplificarse, en su caso, para reducir la carga que soportan las compañías aéreas, y estudiar acciones y medidas que podrían adoptarse para reducir la presión de los costes totales sobre las compañías aéreas.

5. La Comisión presentará el informe de evaluación al Parlamento Europeo, al Consejo, al Supervisor Europeo de Protección de Datos y a la Agencia de los Derechos Fundamentales de la Unión Europea. Si procede, a la luz de la evaluación realizada, la Comisión presentará una propuesta legislativa al Parlamento Europeo y al Consejo con vistas a modificar el presente Reglamento.

6. Los Estados miembros y las compañías aéreas proporcionarán a eu-LISA y a la Comisión, previa petición, la información necesaria para elaborar los informes a que se refieren los apartados 2, 3 y 4, como datos relacionados con los resultados de los controles previos de los sistemas de información de la Unión y las bases de datos nacionales efectuados en las fronteras exteriores utilizando datos API. En particular, los Estados miembros proporcionarán información cuantitativa y cualitativa sobre la recogida de datos API desde el punto de vista operativo. La información proporcionada no incluirá datos personales. Los Estados miembros podrán abstenerse de proporcionar dicha información si ello es necesario, y en la medida necesaria, para evitar revelar métodos de trabajo confidenciales o poner en peligro las investigaciones en curso de las autoridades fronterizas competentes. La Comisión garantizará que toda información confidencial facilitada quede debidamente protegida.

Artículo 46 Entrada en vigor y aplicación

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Será aplicable a partir de dos años a partir de la fecha en que el enrutador entre en funcionamiento, según determine la Comisión de conformidad con el artículo 34.

No obstante:

• a) el artículo 5, apartados 7 y 8, el artículo 6, apartado 3, el artículo 9, apartado 6, el artículo 13, apartado 4, el artículo 14, apartado 5, el artículo 18, apartado 4, el artículo 23, apartado 2, el artículo 24, apartado 2, los artículos 25, 28 y 29, el artículo 32, apartado 1, y los artículos 34, 43 y 44 serán aplicables a partir del 28 de enero de 2025;
• b) el artículo 5, apartado 6, los artículos 12 y 15, el artículo 17, apartados 1, 3 y 4, el artículo 18, apartados 1, 2 y 3, y los artículos 19, 20, 26, 27, 33 y 35 serán aplicables a partir de la fecha en que el enrutador entre en funcionamiento, tal como se determine por la Comisión de conformidad con el artículo 34.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en los Estados miembros de conformidad con los Tratados.