L_202500013PT.000101.fmx.xml

REGULAMENTO (UE) 2025/13 DO PARLAMENTO EUROPEU E DO CONSELHO

de 19 de dezembro de 2024

relativo à recolha e transferência de informações antecipadas sobre os passageiros para efeitos de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave, e que altera o Regulamento (UE) 2019/818

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 82.o, n.o 1, alínea d), e o artigo 87.o, n.o 2, alínea a),

Tendo em conta a proposta da Comissão Europeia,

Após transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer do Comité Económico e Social Europeu (1),

Deliberando de acordo com o processo legislativo ordinário (2),

Considerando o seguinte:

(1)

A dimensão transnacional da criminalidade grave e da criminalidade organizada e a ameaça contínua de ataques terroristas em solo europeu exigem uma ação a nível da União no sentido de adotar medidas adequadas para garantir a segurança num espaço de liberdade, segurança e justiça sem fronteiras internas. As informações sobre os passageiros, como os registos de identificação dos passageiros (PNR, do inglês passenger name record) e, em especial, as informações antecipadas sobre os passageiros (API, do inglês advance passenger information), são essenciais para identificar os passageiros de alto risco, incluindo aqueles que, de outro modo, não são do conhecimento das autoridades responsáveis pela aplicação da lei, bem como para estabelecer ligações entre membros de grupos criminosos e para combater as atividades terroristas.

(2)

Embora a Diretiva 2004/82/CE do Conselho (3) estabeleça um regime jurídico para a recolha e a transferência de dados API pelas transportadoras aéreas com o objetivo de melhorar o controlo de fronteira e lutar contra a imigração ilegal, também estabelece que os Estados-Membros podem utilizar dados API para fins de aplicação da lei. No entanto, a mera criação de tal possibilidade gera lacunas e deficiências. Em particular, significa que as transportadoras aéreas não recolhem ou transferem sistematicamente os dados API para fins de aplicação da lei. A possibilidade de utilizar dados API para fins de aplicação da lei significa igualmente que, quando os Estados-Membros recorrem a essa possibilidade, as transportadoras aéreas se deparam com requisitos divergentes por força do direito nacional no que diz respeito ao momento e à forma de recolher e transferir dados API para esses fins. Tais divergências não só acarretam custos e complicações desnecessários para as transportadoras aéreas, mas também prejudicam a segurança interna da União e a cooperação eficaz entre as autoridades competentes dos Estados-Membros responsáveis pela aplicação da lei. Além disso, tendo em conta a natureza diferente dos objetivos de agilização dos controlos nas fronteiras e de aplicação da lei, é conveniente estabelecer um quadro jurídico distinto para a recolha e transferência de dados API para cada um desses fins.

(3)

A Diretiva (UE) 2016/681 do Parlamento Europeu e do Conselho (4) estabelece regras relativas à utilização dos dados PNR para efeitos de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave. Nos termos dessa diretiva, os Estados-Membros têm de adotar as medidas necessárias para assegurar que as transportadoras aéreas transfiram os dados PNR, incluindo os dados API recolhidos, para as unidades nacionais de informações de passageiros (UIP) estabelecidas nos termos da diretiva na medida em que já tenham recolhido esses dados no exercício normal das suas atividades. Por conseguinte, a diretiva em causa não assegura a recolha e a transferência de dados API em todos os casos, uma vez que as transportadoras aéreas não têm qualquer motivo comercial para recolher um conjunto completo desses dados. É importante assegurar que as UIP recebam os dados API juntamente com os dados PNR, pois o seu tratamento conjunto é necessário para que as autoridades competentes dos Estados-Membros possam prevenir, detetar, investigar e reprimir eficazmente as infrações terroristas e a criminalidade grave. Em particular, o tratamento conjunto permite a identificação exata dos passageiros passíveis de exigir uma análise mais aprofundada, em conformidade com a legislação aplicável, pelas referidas autoridades. Além disso, a referida diretiva não especifica em pormenor quais as informações que constituem dados API. Por estas razões, é importante estabelecer regras complementares que exijam que as transportadoras aéreas recolham e subsequentemente transfiram um conjunto de dados API especificamente definido, cujos requisitos deverão ser aplicáveis na medida em que as transportadoras aéreas estejam obrigadas, nos termos dessa diretiva, a recolher e a transferir dados PNR relativos ao mesmo voo.

(4)	Por conseguinte, é necessário estabelecer regras claras, harmonizadas e eficazes a nível da União em matéria de recolha e transferência de dados API para efeitos de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave.

(5)

Considerando a estreita relação entre ambos os atos, o presente regulamento deverá ser entendido como um complemento das regras previstas na Diretiva (UE) 2016/681, tal como interpretada pelo Tribunal de Justiça da União Europeia (TJUE). Por conseguinte, os dados API apenas devem ser recolhidos e transferidos ao abrigo do presente regulamento em conformidade com os requisitos específicos nele estabelecidos, inclusive no que diz respeito às situações e à forma como tal deve ser feito. No entanto, as regras dessa diretiva aplicam-se a matérias não especificamente abrangidas pelo presente regulamento, em especial no tocante às regras sobre o tratamento subsequente dos dados API recebidos pelas UIP, ao intercâmbio de informações entre os Estados-Membros, às condições de acesso da Agência da União Europeia para a Cooperação Policial (Europol), às transferências para países terceiros, à conservação e à anonimização, bem como à proteção dos dados pessoais. Na medida em que essas regras sejam aplicáveis, são igualmente aplicáveis as regras dessa diretiva em matéria de sanções e das autoridades nacionais de controlo. O presente regulamento não deverá afetar essas regras e, por conseguinte deverá, em particular, aplicar-se sem prejuízo dos requisitos e das garantias aplicáveis ao tratamento de dados API pelas UIP.

(6)

A recolha e transferência de dados API afetam a privacidade das pessoas e implicam o tratamento dos seus dados pessoais. A fim de respeitar plenamente os seus direitos fundamentais, em particular o direito ao respeito pela vida privada e o direito à proteção dos dados pessoais, em conformidade com a Carta dos Direitos Fundamentais da União Europeia (a «Carta»), há que prever limites e salvaguardas adequados. Por exemplo, o tratamento dos dados API e, designadamente, de dados API que constituam dados pessoais, deverá limitar-se ao estritamente necessário e proporcionado para a consecução dos objetivos que o presente regulamento procura alcançar. Além disso, importa assegurar que o tratamento de dados API recolhidos e transferidos ao abrigo do presente regulamento não conduza a nenhuma forma de discriminação proibida pela Carta.

(7)

Tendo em conta a natureza complementar do presente regulamento em relação à Diretiva (UE) 2016/681, as obrigações das transportadoras aéreas por força do presente regulamento deverão aplicar-se a todos os voos para os quais os Estados-Membros devem exigir que as transportadoras aéreas transmitam dados PNR por força da Diretiva (UE) 2016/681, independentemente do local de estabelecimento das transportadoras aéreas que efetuam esses voos. Esses voos deverão abranger voos regulares e não regulares, entre Estados-Membros e países terceiros (voos extra-UE), e entre vários Estados-Membros (voos intra-UE), desde que esses voos intra-UE aterrem ou façam escala no território de, pelo menos, um Estado-Membro que tenha notificado a sua decisão de aplicar a Diretiva (UE) 2016/681 aos voos intra-UE, nos termos do artigo 2.o, n.o 1, dessa diretiva e em conformidade com a jurisprudência do TJUE. No que diz respeito aos voos intra-UE abrangidos pelo presente regulamento, uma tal abordagem específica, adotada em aplicação do artigo 2.o da Diretiva (UE) 2016/681 e centrada nas exigências de uma aplicação eficaz da lei, deverá também ser requerida, tendo em conta que importa assegurar o cumprimento dos requisitos do direito da União relativos à necessidade e proporcionalidade do tratamento de dados, à livre circulação de pessoas e à supressão dos controlos nas fronteiras internas. A recolha de dados de quaisquer outras operações de aeronaves civis, como escolas de voo, voos médicos, voos de emergência, bem como voos militares, não deve ser abrangida pelo âmbito de aplicação do presente regulamento. O presente regulamento deve aplicar-se sem prejuízo da recolha de dados desses voos, tal como previsto no direito nacional compatível com o direito da União. A Comissão deverá avaliar a viabilidade de um regime da União que obrigue os operadores de voos privados a recolher e transferir dados de passageiros aéreos.

(8)

As obrigações de as transportadoras aéreas recolherem e transferirem dados API ao abrigo do presente regulamento deverão incluir todos os passageiros e membros da tripulação de voos com destino à União, passageiros e membros da tripulação em trânsito cujo destino final se situe fora da União e qualquer membro da tripulação que não se encontre em serviço num voo efetuado por uma transportadora aérea no âmbito das suas funções.

(9)

Por conseguinte, uma vez que a Diretiva (UE) 2016/681 não abrange os voos nacionais que partem e aterram no território do mesmo Estado-Membro sem escala no território de outro Estado-Membro ou de um país terceiro, e tendo em conta a dimensão transnacional das infrações terroristas e da criminalidade grave abrangida pelo presente regulamento, esses voos também não deverão enquadrar-se no âmbito de aplicação do presente regulamento. O presente regulamento não deverá ser entendido como afetando a possibilidade de os Estados-Membros preverem, ao abrigo do seu direito nacional e em conformidade com o direito da União, a obrigação de as transportadoras aéreas recolherem e transferirem dados API sobre esses voos nacionais.

(10)

Tendo em conta a estreita relação entre os atos jurídicos da União em causa e no interesse da consistência e da coerência, as definições estabelecidas no presente regulamento deverão, se adequado, ser alinhadas, interpretadas e aplicadas à luz das definições estabelecidas na Diretiva (UE) 2016/681 e no Regulamento (UE) 2025/12 do Parlamento Europeu e do Conselho (5).

(11)

Em especial, os elementos de informação que constituem conjuntamente os dados API a recolher e posteriormente a transferir ao abrigo do presente regulamento deverão ser enumerados de forma clara e exaustiva, abrangendo tanto as informações relativas a cada passageiro e membro da tripulação, como as informações sobre o voo desse passageiro e membro da tripulação. Ao abrigo do presente regulamento, e em conformidade com as normas internacionais, essas informações de voo deverão abranger informações sobre os lugares e a bagagem, se disponíveis, e informações sobre o ponto de passagem de fronteira de entrada no território do Estado-Membro em causa apenas quando aplicável, não quando os dados API dizem respeito a voos intra-UE. Se as informações sobre a bagagem ou os lugares estiverem disponíveis noutros sistemas informáticos ao dispor da transportadora aérea, do seu prestador de serviços de handling, do seu fornecedor de sistemas ou da autoridade aeroportuária, as transportadoras aéreas deverão integrar essas informações nos dados API a transferir para as UIP. Os dados API, tal como definidos e regulados pelo presente regulamento, não incluem dados biométricos.

(12)

De modo que seja possível viajar sem estar munido de um documento de viagem, quando os Estados-Membros permitam tal prática ao abrigo do direito nacional em conformidade com o direito da União, inclusive com base num acordo internacional, um Estado-Membro deverá poder impor às transportadoras aéreas a obrigação de prever a possibilidade de os passageiros carregarem voluntariamente dados API por meios automatizados e de conservarem esses dados na transportadora, tendo em vista a transferência dos dados para efeitos de voos futuros.

(13)

A fim de permitir a flexibilidade e a inovação, deverá, em princípio, caber a cada transportadora aérea determinar a forma como cumpre as suas obrigações em matéria de recolha de dados API estabelecidas no presente regulamento, tendo em conta os diferentes tipos de transportadora aérea, tal como definidos no presente regulamento, e os respetivos modelos empresariais, nomeadamente no tocante aos horários de registo de embarque e à cooperação com os aeroportos. No entanto, tendo em conta que existem soluções tecnológicas adequadas que permitem que determinados dados API sejam recolhidos automaticamente sem prejuízo da exatidão, da exaustividade e da atualização dos dados API, e atendendo às vantagens da utilização dessa tecnologia em termos de eficácia e eficiência, as transportadoras aéreas deverão ser obrigadas a recolher esses dados API por meios automatizados, através da leitura de informações dos dados de leitura automática do documento de viagem. Se a utilização desses meios automatizados não for tecnicamente possível em circunstâncias excecionais, as transportadoras aéreas deverão recolher os dados API manualmente, a título excecional, como parte do processo de registo de embarque em linha ou no aeroporto, de modo a assegurar o cumprimento das suas obrigações nos termos do presente regulamento.

(14)

A recolha de dados API através de meios automatizados deverá limitar-se estritamente aos dados alfanuméricos contidos no documento de viagem e não deverá resultar numa recolha de dados biométricos a partir desse documento. Dado que a recolha de dados API faz parte do processo de registo de embarque, seja em linha, seja no aeroporto, o presente regulamento não exige às transportadoras aéreas a verificação do documento de viagem do passageiro no momento do embarque. O cumprimento do presente regulamento não impõe aos passageiros a obrigação de estarem munidos de um documento de viagem no momento do embarque. Tal não deverá prejudicar as obrigações decorrentes de outros atos jurídicos da União ou do direito nacional que seja compatível com o direito da União.

(15)

A recolha de dados API a partir dos documentos de viagem deverá igualmente ser coerente com as normas da Organização da Aviação Civil Internacional (OACI) sobre os documentos de viagem de leitura ótica, que foram incorporadas no direito da União através do Regulamento (UE) 2019/1157 do Parlamento Europeu e do Conselho (6), do Regulamento (CE) n.o 2252/2004 do Conselho (7) e da Diretiva (UE) 2019/997 do Conselho (8).

(16)

A fim de evitar situações em que as transportadoras aéreas tenham de estabelecer e manter múltiplas ligações com as UIP dos Estados-Membros para a transferência de dados API recolhidos ao abrigo do presente regulamento, evitando assim as ineficiências e riscos de segurança conexos, é necessário prever um encaminhador único, criado e operado a nível da União, em conformidade com o presente regulamento e com o Regulamento (UE) 2025/12, que sirva de ponto de ligação e distribuição para essas transferências. No interesse da eficiência e da relação custo-eficácia, o encaminhador deverá, na medida do tecnicamente possível e no pleno cumprimento das regras do presente regulamento e do Regulamento (UE) 2025/12, basear-se em componentes técnicos de outros sistemas pertinentes criados ao abrigo do direito da União, nomeadamente o serviço Web a que se refere o Regulamento (UE) 2017/2226 do Parlamento Europeu e do Conselho (9), o portal para as transportadoras a que se refere o Regulamento (UE) 2018/1240 do Parlamento Europeu e do Conselho (10) e o portal para as transportadoras mencionado no Regulamento (CE) n.o 767/2008 do Parlamento Europeu e do Conselho (11). A fim de reduzir o impacto nas transportadoras aéreas e assegurar uma abordagem harmonizada em relação às transportadoras aéreas, a Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA), criada pelo Regulamento (UE) 2018/1726 do Parlamento Europeu e do Conselho (12) deverá conceber o encaminhador, na medida do possível do ponto de vista técnico e operacional, de forma coerente e consistente com as obrigações das transportadoras aéreas estipuladas nos Regulamentos (CE) n.o 767/2008, (UE) 2017/2226 e (UE) 2018/1240.

(17)

Com vista a assegurar a legibilidade dos dados PNR pelas UIP e o correto funcionamento dos seus sistemas PNR, as mensagens digitais enviadas por uma transportadora aérea que contenha um ou vários registos de identificação dos passageiros («mensagens PNR»), deverão ser transferidas pelas transportadoras aéreas e transmitidas pelo encaminhador num formato normalizado, através de campos de dados ou códigos normalizados, tanto em termos de conteúdo como de estrutura. Antes de o encaminhador iniciar as operações em relação a outros dados PNR, os testes a realizar pela eu-LISA, deverão assegurar a capacidade, a rapidez e a fiabilidade do encaminhador para garantir essa normalização. Para o efeito, a Comissão deverá tomar as medidas necessárias para rever a legislação de execução em vigor, adotada nos termos do artigo 16.o da Diretiva (UE) 2016/681, que estabelece protocolos comuns e formatos de dados reconhecidos. Essa revisão deverá ser realizada em estreita consulta com os representantes dos Estados-Membros, a fim de tirar partido dos seus conhecimentos especializados e garantir que as melhores práticas que desenvolveram aquando da aplicação da Diretiva (UE) 2016/681 a nível nacional são tidas em conta a nível da União para o funcionamento do encaminhador. O Grupo de Contacto API-PNR deverá apoiar essa revisão.

(18)

A fim de melhorar a eficiência da transmissão dos dados de tráfego aéreo e apoiar a monitorização dos dados API transmitidos às UIP, o encaminhador deverá receber informações de tráfego aéreo em tempo real recolhidas por outras organizações, como a Organização Europeia para a Segurança da Navegação Aérea («Eurocontrol»).

(19)

O encaminhador deverá servir apenas para viabilizar a transferência de dados API e outros dados PNR das transportadoras aéreas para as UIP em conformidade com o presente regulamento, e não deverá ser um repositório de dados API ou outros dados PNR. Por conseguinte, a fim de minimizar qualquer risco de acesso não autorizado ou de outra utilização indevida e em conformidade com o princípio da minimização dos dados, não deverá ser efetuada qualquer conservação, a menos que seja estritamente necessária para fins técnicos relacionados com a transmissão, e os dados API ou outros dados PNR deverão ser apagados do encaminhador de forma imediata, permanente e automatizada a partir do momento em que a transmissão tenha sido concluída ou, se for caso disso nos termos do presente regulamento, quando os dados API ou outros dados PNR não devam, de todo, ser transmitidos.

(20)

A fim de permitir que as transportadoras aéreas beneficiem o mais rapidamente possível das vantagens oferecidas pela utilização do encaminhador desenvolvido pela eu-LISA em conformidade com o presente regulamento e com o Regulamento (UE) 2025/12 e adquiram experiência na sua utilização, as transportadoras aéreas deverão ter a possibilidade, mas não a obrigação, de utilizar o encaminhador para transferir as informações que são obrigadas a transferir nos termos da Diretiva 2004/82/CE durante um período intercalar. Esse período intercalar deverá ter início no momento em que o encaminhador entra em funcionamento e terminar quando as obrigações decorrentes dessa diretiva deixarem de ser aplicáveis. Por forma a assegurar uma utilização voluntária responsável do encaminhador, o Estado-Membro que recebe as informações deverá dar o seu consentimento prévio, por escrito, a essa utilização, a pedido da transportadora aérea e após esse Estado-Membro ter procedido a verificações e obtido as garantias necessárias. Do mesmo modo, a fim de evitar uma situação em que as transportadoras aéreas iniciem e interrompam repetidamente a utilização do encaminhador, quando uma transportadora aérea inicia tal utilização voluntária, deverá ser obrigada a prossegui-la, salvo se existirem razões objetivas para suspender a utilização do encaminhador para a transferência das informações ao Estado-Membro em causa, por exemplo quando se afigure que a transferência de informações não está a ser efetuada de forma lícita, segura, eficaz e rápida. No interesse da correta aplicação da possibilidade de utilizar voluntariamente o encaminhador, tendo devidamente em conta os direitos e interesses de todas as partes afetadas, as regras necessárias em matéria de consultas e de prestação de informações deverão estar previstas no presente regulamento. A utilização voluntária do encaminhador em aplicação da Diretiva 2004/82/CE, conforme previsto no presente regulamento, não deverá ser entendida como afetando de forma alguma as obrigações das transportadoras aéreas e dos Estados-Membros decorrentes dessa diretiva.

(21)

É conveniente que os requisitos estabelecidos no presente regulamento e nos correspondentes atos delegados e de execução se traduzam numa aplicação uniforme do presente regulamento pelas transportadoras aéreas, minimizando assim os custos com a interligação dos respetivos sistemas. Para facilitar a aplicação harmonizada destes requisitos pelas transportadoras aéreas, nomeadamente no referente à estrutura, ao formato e ao protocolo de transmissão de dados, a Comissão, com base na sua cooperação com as UIP, outras autoridades dos Estados-Membros, transportadoras aéreas e agências pertinentes da União, deverá assegurar que o manual prático que irá elaborar forneça todas as orientações e todos os esclarecimentos necessários.

(22)

A fim de melhorar a qualidade dos dados API, o encaminhador a ser criado através do presente regulamento deverá verificar se os dados API que lhe foram transferidos pelas transportadoras aéreas cumprem os formatos de dados reconhecidos. Se a verificação determinar que os dados não são conformes com esses formatos de dados, deverá, imediatamente e de forma automatizada, notificar a transportadora aérea em causa.

(23)

Os passageiros deverão ter a possibilidade de disponibilizar autonomamente, por meios automatizados, determinados dados API durante um processo de registo de embarque em linha, por exemplo, através de uma aplicação segura num telemóvel inteligente, computador ou câmara Web de um passageiro que permita ler os dados de leitura automática do documento de viagem. Caso os passageiros não efetuem o seu registo de embarque em linha, as transportadoras aéreas deverão dar-lhes a possibilidade de disponibilizarem os dados API de leitura automática durante o registo de embarque no aeroporto, com a assistência de um terminal self-service ou do pessoal das transportadoras aéreas no balcão do registo de embarque. Sem prejuízo da liberdade de as transportadoras aéreas fixarem as tarifas aéreas e definirem a sua política comercial, importa assegurar que as obrigações decorrentes do presente regulamento não resultem em obstáculos desproporcionados para os passageiros que não possam utilizar meios em linha para disponibilizar dados API, tais como taxas adicionais pela disponibilização de dados API no aeroporto. Além disso, o presente regulamento deverá prever um período transitório durante o qual os passageiros tenham a possibilidade de disponibilizar dados API manualmente no âmbito do processo de registo de embarque em linha. Em tais casos, as transportadoras aéreas deverão utilizar técnicas de verificação de dados.

(24)

É importante que os sistemas automatizados de recolha de dados e outros processos estabelecidos ao abrigo do presente regulamento não tenham um impacto negativo nos trabalhadores do setor da aviação, que devem dispor de oportunidades de melhoria de competências e requalificação que aumentem a eficiência e a fiabilidade da recolha e transferência de dados e melhorem as condições de trabalho no setor.

(25)

A fim de assegurar o tratamento conjunto dos dados API e dos dados PNR para combater eficazmente o terrorismo e a criminalidade grave na União e, ao mesmo tempo, minimizar a ingerência nos direitos fundamentais dos passageiros protegidos pela Carta, as UIP deverão ser as autoridades competentes dos Estados-Membros encarregadas de receber e, subsequentemente, tratar e proteger os dados API recolhidos e transferidos ao abrigo do presente regulamento. No interesse da eficiência e para minimizar os riscos de segurança, o encaminhador, tal como concebido, desenvolvido, alojado e tecnicamente mantido pela eu-LISA em conformidade com o presente regulamento e o Regulamento (UE) 2025/12, deverá transmitir para as UIP pertinentes os dados API recolhidos e transferidos pelas transportadoras aéreas ao abrigo do presente regulamento. Tendo em conta o nível necessário de proteção dos dados API que constituam dados pessoais, nomeadamente para garantir a confidencialidade das informações em causa, os dados API deverão ser transmitidos pelo encaminhador às UIP pertinentes de forma automatizada. O presente regulamento não deverá afetar a possibilidade de os Estados-Membros preverem um ponto de entrada de dados único que assegure a sua ligação e integração com o encaminhador.

(26)

Com vista a assegurar o exercício dos direitos previstos na Carta, bem como a assegurar opções de viagem acessíveis e inclusivas, especialmente para os grupos vulneráveis e as pessoas com deficiência, e em conformidade com os direitos das pessoas com deficiência e das pessoas com mobilidade reduzida no transporte aéreo, estabelecidos no Regulamento (CE) n.o 1107/2006 do Parlamento Europeu e do Conselho (13), as transportadoras aéreas, apoiadas pelos Estados-Membros, deverão assegurar a disponibilidade permanente de uma opção para a disponibilização dos dados necessários pelos passageiros no aeroporto.

(27)

Para os voos extra-UE, a UIP do Estado-Membro em cujo território o voo aterrará ou do qual o voo partirá deverá receber os dados API do encaminhador para todos esses voos relativamente aos quais os dados PNR são recolhidos, em conformidade com a Diretiva (UE) 2016/681. O encaminhador deverá identificar o voo e as UIP correspondentes utilizando as informações contidas no localizador do registo PNR, um elemento de dados comum tanto aos conjuntos de dados API como aos conjuntos de dados PNR que permite o tratamento conjunto dos dados API e dos dados PNR pelas UIP.

(28)

No que diz respeito aos voos intra-UE, em conformidade com a jurisprudência do TJUE, a fim de evitar interferir indevidamente nos direitos fundamentais pertinentes dos passageiros tal como protegidos pela Carta e assegurar o cumprimento dos requisitos do direito da União em matéria de livre circulação de pessoas e a abolição dos controlos nas fronteiras internas, é conveniente prever uma abordagem seletiva. Tendo em conta a importância de assegurar que os dados API possam ser tratados juntamente com os dados PNR, essa abordagem deverá ser alinhada com a da Diretiva (UE) 2016/681. Por estas razões, os dados API relativos a esses voos só deverão ser transmitidos do encaminhador para as UIP pertinentes se os Estados-Membros tiverem selecionado os voos em causa em aplicação do artigo 2.o da Diretiva (UE) 2016/681 e em conformidade com a abordagem seletiva prevista no presente regulamento. Os Estados-Membros deverão poder aplicar a Diretiva (UE) 2016/681 a todos os voos intra-UE com chegada ou partida do seu território apenas em situações de ameaça terrorista real e atual ou previsível e com base numa decisão baseada numa avaliação da ameaça, limitada no tempo ao estritamente necessário e passível de revisão efetiva. Noutras situações, deverá ser prevista uma abordagem seletiva. Tal como recordado pelo TJUE, a seleção implica que os Estados-Membros orientem as obrigações em causa apenas para, nomeadamente, determinadas rotas, padrões de viagem ou aeroportos, sob reserva da revisão periódica dessa seleção. Além disso, a seleção deverá basear-se numa avaliação objetiva, devidamente fundamentada e não discriminatória, que tenha em conta apenas critérios pertinentes para efeitos de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave, com uma ligação objetiva, inclusive uma ligação indireta, com o transporte aéreo de passageiros. Os Estados-Membros deverão conservar toda a documentação pertinente relacionada com a avaliação, de molde a permitir uma supervisão adequada, e rever a sua avaliação regularmente, pelo menos a cada 12 meses, nos termos do artigo 13.o, n.o 7, do presente regulamento.

(29)

A fim de permitir a aplicação da abordagem seletiva nos termos do presente regulamento relativamente aos voos intra-UE, os Estados-Membros deverão ser obrigados a elaborar listas dos voos ou rotas que selecionaram, e a inseri-las no encaminhador, de modo que a eu-LISA possa assegurar que apenas sejam transmitidos do encaminhador às UIP pertinentes os dados API referentes a esses voos ou rotas e que os dados API relativos a outros voos intra-UE sejam imediata e permanentemente apagados.

(30)

A fim de aumentar a coesão entre as abordagens seletivas adotadas pelos diferentes Estados-Membros, a Comissão deverá facilitar o intercâmbio regular de pontos de vista sobre a escolha dos critérios de seleção – incluindo a partilha de boas práticas – e, numa base voluntária, o intercâmbio de informações sobre os voos selecionados.

(31)

A fim de não comprometer a eficácia do sistema que assenta na recolha e transferência de dados API criado pelo presente regulamento, e dos dados PNR no âmbito do sistema criado pela Diretiva (UE) 2016/681, para efeitos de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave, em especial criando o risco de evasão, as informações sobre os voos intra-UE selecionados pelos Estados-Membros deverão ser tratadas de forma confidencial. Por esse motivo, as informações em causa não deverão ser partilhadas com as transportadoras aéreas, pelo que estas deverão ser obrigadas a recolher dados API sobre todos os voos abrangidos pelo presente regulamento, incluindo todos os voos intra-UE, e a transferi-los para o encaminhador, caso seja necessário proceder à seleção. Além disso, quando os dados API são recolhidos em todos os voos intra-UE, os passageiros não são informados sobre os voos intra-UE selecionados relativamente aos quais são transmitidos dados API e, por conseguinte, dados PNR às UIP, em conformidade com a avaliação dos Estados-Membros. Esta abordagem garante igualmente que quaisquer alterações relativas a essa seleção possam ser aplicadas de forma rápida e eficaz, sem impor encargos económicos e operacionais indevidos às transportadoras aéreas.

(32)	O presente regulamento não permite a recolha ou transferência de dados API referentes a voos intra-UE para fins de luta contra a imigração ilegal, em conformidade com o direito da União e a jurisprudência do TJUE.

(33)

A fim de assegurar o respeito do direito fundamental à proteção dos dados pessoais, o presente regulamento deverá identificar o responsável pelo tratamento e o subcontratante e estabelecer regras em matéria de auditorias. No interesse de um controlo eficaz, de assegurar uma proteção adequada dos dados pessoais e de minimizar os riscos de segurança, também importa prever regras em matéria de registo, segurança do tratamento e autocontrolo. Sempre que digam respeito ao tratamento de dados pessoais, essas disposições deverão ser conformes com os atos jurídicos da União em matéria de proteção de dados pessoais, nomeadamente os Regulamentos (UE) 2016/679 (14) e (UE) 2018/1725 do Parlamento Europeu e do Conselho (15).

(34)

Sem prejuízo de regras mais específicas estabelecidas no presente regulamento para o tratamento de dados pessoais, o Regulamento (UE) 2016/679 deverá aplicar-se ao tratamento de dados pessoais pelas transportadoras aéreas ao abrigo do presente regulamento. A Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (16) deverá aplicar-se ao tratamento de dados pessoais ao abrigo do presente regulamento por parte das autoridades nacionais competentes, na aceção dessa diretiva, para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública. O Regulamento (UE) 2018/1725 deverá aplicar-se ao tratamento de dados pessoais pela eu-LISA no exercício das responsabilidades que lhe incumbem por força do presente regulamento.

(35)

Tendo em conta o direito dos passageiros a serem informados do tratamento dos seus dados pessoais, os Estados-Membros deverão assegurar que os passageiros recebem informações exatas sobre a recolha de dados API, a transferência desses dados para as UIP e os seus direitos, enquanto titulares dos dados, de uma forma facilmente acessível e compreensível, no momento da reserva e no momento do registo de embarque.

(36)	As auditorias sobre a proteção de dados pessoais a cargo dos Estados-Membros deverão ser realizadas pelas autoridades de controlo independentes a que se refere o artigo 41.o da Diretiva (UE) 2016/680 ou por um organismo de auditoria incumbido dessa tarefa pela autoridade de controlo.

(37)

As operações de tratamento ao abrigo do presente regulamento, nomeadamente a transmissão de dados API das transportadoras aéreas através do encaminhador às UIP dos Estados-Membros, visam ajudar essas autoridades no desempenho das suas obrigações e funções nos termos da Diretiva (UE) 2016/681. Os Estados-Membros deverão, pois, designar autoridades responsáveis pelo tratamento dos dados no encaminhador, pela transmissão dos dados do encaminhador à UIP e pelo tratamento subsequente desses dados nos termos da Diretiva (UE) 2016/681. Os Estados-Membros deverão comunicar a designação destas autoridades à Comissão e à eu-LISA. Para o tratamento de dados pessoais no encaminhador, os Estados-Membros deverão ser responsáveis conjuntos pelo tratamento, nos termos do artigo 21.o da Diretiva (UE) 2016/680. As transportadoras aéreas, por sua vez, deverão ser entidades responsáveis pelo tratamento distintas no que respeita ao tratamento dos dados API que constituam dados pessoais nos termos do presente regulamento. Nesta base, tanto as transportadoras aéreas como as UIP deverão ser entidades distintas responsáveis no que diz respeito às operações de tratamento de dados API ao abrigo do presente regulamento. Visto que a eu-LISA é responsável pela conceção, pelo desenvolvimento, pelo alojamento e pela gestão técnica do encaminhador, deverá assumir o papel de subcontratante para o tratamento de dados API que constituam dados pessoais através do encaminhador, incluindo a transmissão dos dados do encaminhador às UIP e a conservação desses dados no encaminhador, na medida em que tal conservação seja necessária para fins técnicos.

(38)

O encaminhador a criar e a operar ao abrigo do presente regulamento e do Regulamento (UE) 2025/12 deverá reduzir e simplificar as ligações técnicas necessárias para transferir dados API no âmbito do presente regulamento, limitando-as a uma única ligação por transportadora aérea e por UIP. Por conseguinte, o presente regulamento deverá prever a obrigação de as UIP e as transportadoras aéreas estabelecerem essa ligação ao encaminhador e lograrem a necessária integração com o mesmo, a fim de assegurar o bom funcionamento do sistema de transferência de dados API estabelecido pelo presente regulamento. A conceção e o desenvolvimento do encaminhador pela eu-LISA deverão permitir a ligação e integração eficazes e eficientes dos sistemas e das infraestruturas das transportadoras aéreas, ao preverem todas as normas e requisitos técnicos pertinentes. Para assegurar o correto funcionamento do sistema criado pelo presente regulamento, deverão ser previstas regras pormenorizadas. Ao conceber e desenvolver o encaminhador, a eu-LISA deverá assegurar que os dados API e outros dados PNR transferidos pelas transportadoras aéreas e transmitidos às UIP sejam cifrados em trânsito.

(39)

Tendo em conta os interesses da União em causa, todos os custos incorridos pela eu-LISA no desempenho das suas funções ao abrigo do presente regulamento no que diz respeito ao encaminhador deverão ser suportados pelo orçamento da União, inclusive a conceção e o desenvolvimento do encaminhador, o alojamento e a gestão técnica do encaminhador e a estrutura de governação da eu-LISA para apoiar a conceção, o desenvolvimento, o alojamento e a gestão técnica do encaminhador. O mesmo se pode aplicar aos custos incorridos pelos Estados-Membros em relação às suas ligações e à integração com o encaminhador, e respetiva manutenção, tal como exigido pelo presente regulamento, em conformidade com o direito da União aplicável. Importa que o orçamento da União preveja apoio financeiro adequado aos Estados-Membros para os referidos custos. Para o efeito, as necessidades financeiras dos Estados-Membros deverão beneficiar de apoio do orçamento geral da União, em conformidade com as regras de elegibilidade e as taxas de cofinanciamento estabelecidas pelos atos jurídicos da União pertinentes. A contribuição anual da União atribuída à eu-LISA deverá cobrir as necessidades relacionadas com o alojamento e a gestão técnica do encaminhador, com base numa avaliação realizada pela eu-LISA. O orçamento da União deverá igualmente abranger o apoio, nomeadamente formação, prestado pela eu-LISA às transportadoras aéreas e às UIP para permitir a transferência e a transmissão efetivas de dados API através do encaminhador. Os custos incorridos pelas autoridades nacionais de supervisão independentes no exercício das funções que lhes são confiadas pelo presente regulamento deverão ser suportados pelos respetivos Estados-Membros.

(40)

Nos termos do Regulamento (UE) 2018/1726, os Estados-Membros podem confiar à eu-LISA a tarefa de viabilizar a conectividade com as transportadoras aéreas, a fim de assistir os Estados-Membros na aplicação da Diretiva (UE) 2016/681, nomeadamente através da recolha e transferência de dados PNR através de um encaminhador. Para o efeito, e por razões de rentabilidade e eficiência tanto para os Estados-Membros como para as transportadoras aéreas, o presente regulamento deverá exigir que as transportadoras aéreas utilizem o encaminhador para a transferência de outros dados PNR abrangidos pela Diretiva (UE) 2016/681 para as bases de dados das respetivas UIP, no âmbito das medidas nacionais de execução da disposição dessa diretiva relativa à obrigação que incumbe aos Estados-Membros de assegurar que as transportadoras aéreas transferem, recorrendo ao método de transferência por exportação (push), os dados PNR para as UIP pertinentes.

(41)

A fim de assegurar que os dados em causa são tratados de forma lícita, segura, eficaz e rápida, as regras estabelecidas pelo presente regulamento em relação ao encaminhador e à transmissão de dados API do encaminhador para as UIP deverão também aplicar-se em conformidade a outros dados PNR. Essas regras incluem igualmente as obrigações do presente regulamento no que respeita à transferência e transmissão de dados relacionados com voos intra-UE, em conformidade com a jurisprudência do TJUE, bem como às ligações das transportadoras aéreas e das UIP ao encaminhador. No que concerne às regras relativas ao calendário das transferências, aos protocolos de transmissão e aos formatos de dados em que as mensagens PNR devem ser transferidas para o encaminhador, aplicam-se as disposições pertinentes da Diretiva (UE) 2016/681.

(42)

É conveniente clarificar que a utilização do encaminhador em relação a outros dados PNR afeta apenas a forma como esses dados são transferidos e transmitidos às bases de dados das UIP dos Estados-Membros em causa. As obrigações do presente regulamento relativas à recolha de dados API não são aplicáveis a todos esses outros dados PNR. Essa recolha deverá, pois, continuar a ser regulada exclusivamente pela Diretiva (UE) 2016/681, apenas na medida em que as transportadoras aéreas já tenham recolhido esses dados no exercício normal da sua atividade, na aceção da disposição pertinente da mesma diretiva. Além disso, tal como acontece com os dados API recolhidos pelas transportadoras aéreas e transferidas para as UIP nos termos do presente regulamento, não deverão ser afetadas as regras dessa diretiva no que diz respeito a matérias não especificamente abrangidas pelo presente regulamento, em especial as regras sobre o tratamento subsequente de outros dados PNR recebidos pelas UIP. Por conseguinte, essas regras continuam a aplicar-se a tais dados.

(43)

Não se pode excluir que, devido a circunstâncias excecionais e apesar de terem sido tomadas todas as medidas razoáveis nos termos do presente regulamento, a infraestrutura central ou um dos componentes técnicos do encaminhador, ou as infraestruturas de comunicação que ligam as UIP e as transportadoras aéreas não funcionem corretamente, conduzindo assim a uma impossibilidade técnica de as transportadoras aéreas transferirem os dados API ou de as UIP os receberem. Dada a indisponibilidade do encaminhador e o facto de, em geral, não ser razoavelmente possível às transportadoras aéreas transferir os dados API afetados pela falha de forma lícita, segura, eficaz e rápida através de meios alternativos, a obrigação imposta às transportadoras aéreas de transferir tais dados API para o encaminhador deverá deixar de ser aplicável enquanto persistir a impossibilidade técnica. No entanto, a fim de assegurar a disponibilidade dos dados API necessários para a prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave, as transportadoras aéreas deverão continuar a recolher e conservar os dados API para que possam ser transferidos assim que a impossibilidade técnica tenha sido resolvida. A fim de minimizar a duração e as consequências negativas de uma eventual impossibilidade técnica, as partes em causa deverão, nesse caso, informar-se mutuamente de imediato e tomar imediatamente todas as medidas necessárias para resolver o problema técnico. Esta disposição deverá aplicar-se sem prejuízo das obrigações nos termos do presente regulamento de todas as partes em causa assegurarem o bom funcionamento do encaminhador e dos respetivos sistemas e infraestruturas, nem o facto de as transportadoras aéreas estarem sujeitas a sanções em caso de incumprimento dessas obrigações, incluindo nos casos em que pretendam recorrer a esta disposição quando tal não se justifique. A fim de dissuadir tais abusos e viabilizar a supervisão e, se necessário, a imposição de sanções, as transportadoras aéreas que recorram a esta disposição devido a uma falha do seu próprio sistema e infraestrutura deverão informar do facto a autoridade supervisora competente.

(44)

Caso as transportadoras aéreas mantenham ligações diretas às UIP para a transferência de dados API, essas ligações podem constituir meios adequados que garantam o nível necessário de segurança dos dados para transferir dados API diretamente para as UIP caso seja tecnicamente impossível utilizar o encaminhador. As UIP deverão conseguir, no caso excecional de impossibilidade técnica de utilizar o encaminhador, solicitar às transportadoras aéreas que recorram aos referidos meios adequados, o que não pressupõe a obrigação de as transportadoras aéreas manterem ou introduzirem essas ligações diretas ou quaisquer outros meios adequados que garantam o nível necessário de segurança dos dados para transferir dados API diretamente para as UIP. A transferência excecional de dados API por qualquer outro meio adequado, como o correio eletrónico cifrado ou um portal Web seguro, e excluindo a utilização de formatos eletrónicos não normalizados, deverá assegurar o nível necessário de segurança, qualidade e proteção dos dados. Os dados API recebidos pelas UIP por esses demais meios adequados deverão ser posteriormente tratados em conformidade com as regras e as garantias em matéria de proteção de dados estabelecidas na Diretiva (UE) 2016/681. Na sequência da notificação da eu-LISA de que a impossibilidade técnica foi resolvida com êxito, e caso se confirme que a transmissão dos dados API à UIP através do encaminhador foi concluída, a UIP deverá apagar imediatamente os dados API que recebeu anteriormente por qualquer outro meio adequado. Essa supressão não deverá afetar os casos específicos em que os dados API recebidos pelas UIP por qualquer outro meio adequado tenham entretanto sido tratados nos termos da Diretiva (UE) 2016/681 para efeitos de prevenção, deteção, investigação ou repressão das infrações terroristas e da criminalidade grave.

(45)

A fim de assegurar que as regras do presente regulamento sejam efetivamente aplicadas pelas transportadoras aéreas, é necessário prever disposições para a designação e habilitação das autoridades nacionais enquanto autoridades nacionais de supervisão dos dados API responsáveis pelo controlo da aplicação dessas regras. Os Estados-Membros podem designar as suas UIP como autoridades nacionais de supervisão dos dados API. As regras do presente regulamento relativas a essa supervisão, nomeadamente no que diz respeito à imposição de sanções, se necessário, não deverão afetar as funções e os poderes das autoridades de supervisão estabelecidas nos termos do Regulamento (UE) 2016/679 e da Diretiva (UE) 2016/680, nomeadamente no que diz respeito ao tratamento de dados pessoais ao abrigo do presente regulamento.

(46)

Os Estados-Membros deverão estabelecer sanções efetivas, proporcionadas e dissuasivas, que incluam sanções financeiras e não financeiras, contra as transportadoras aéreas que não cumpram as suas obrigações ao abrigo do presente regulamento, nomeadamente no que respeita à recolha de dados API por meios automatizados e à transferência dos dados em conformidade com os prazos, os formatos e os protocolos exigidos. Em especial, os Estados-Membros deverão assegurar que o incumprimento recorrente por parte das transportadoras aéreas, enquanto pessoas coletivas, da sua obrigação de transferir todos os dados API para o encaminhador em conformidade com o presente regulamento fique sujeito a sanções financeiras proporcionadas, até 2 % do volume de negócios global da transportadora aérea no exercício anterior. Além disso, os Estados-Membros deverão poder aplicar sanções, incluindo sanções financeiras, às transportadoras aéreas devido a outras formas de incumprimento das obrigações decorrentes do presente regulamento.

(47)

Ao preverem regras relativas às sanções aplicáveis às transportadoras aéreas ao abrigo do presente regulamento, os Estados-Membros poderão ter em conta a viabilidade técnica e operacional de assegurar a exatidão completa dos dados. Ademais, quando forem impostas sanções, a sua aplicação e o seu valor deverão ser estabelecidos. As autoridades nacionais de supervisão dos dados API deverão poder ter em conta as medidas tomadas pela transportadora aérea para atenuar o problema e o seu grau de cooperação com as autoridades nacionais.

(48)

Uma vez que o encaminhador deverá ser concebido, desenvolvido, alojado e gerido tecnicamente pela eu-LISA, é necessário alterar o Regulamento (UE) 2018/1726„ acrescentando essa função às atribuições da eu-LISA. A fim de armazenar relatórios e estatísticas do encaminhador no repositório central para a elaboração de relatórios e estatísticas (CRRS), criado pelo Regulamento (UE) 2019/818 do Parlamento Europeu e do Conselho (17), importa alterar esse regulamento. Por forma a prestar apoio à aplicação do presente regulamento pela autoridade nacional de supervisão dos dados API, é necessário que as alterações ao Regulamento (UE) 2019/818 incluam disposições acerca de estatísticas sobre o grau de precisão e exaustividade dos dados API, por exemplo indicando se os dados foram recolhidos por meios automatizados. É igualmente importante recolher estatísticas fiáveis e úteis relativas à aplicação do presente regulamento, de molde a apoiar a concretização dos seus objetivos e a fundamentar as avaliações descritas no presente regulamento. A pedido da Comissão, a eu-LISA deverá fornecer-lhe estatísticas sobre aspetos específicos relacionados com a aplicação do presente regulamento, bem como estatísticas agregadas sobre a transmissão de dados API às UIP. Estas estatísticas não deverão conter quaisquer dados pessoais. O CRRS deverá, portanto, fornecer estatísticas baseadas em dados API unicamente com vista à aplicação e ao controlo eficaz da aplicação do presente regulamento. Os dados que o encaminhador transmite automaticamente ao CRRS para esse efeito não deverão permitir a identificação dos passageiros em causa.

(49)

A fim de aumentar a clareza e a segurança jurídica, contribuir para garantir a qualidade dos dados, garantir a utilização responsável dos meios automatizados para a recolha de dados API de leitura automática ao abrigo do presente regulamento, e garantir a recolha manual de dados API em circunstâncias excecionais e durante o período transitório, de clarificar os requisitos técnicos aplicáveis às transportadoras aéreas e necessários para assegurar que os dados API recolhidos ao abrigo do presente regulamento sejam transferidos para o encaminhador de forma segura, eficaz e rápida e de modo que as viagens dos passageiros e as transportadoras aéreas sejam afetadas apenas na medida do necessário, e de assegurar que os dados inexatos ou incompletos ou os dados já desatualizados sejam corrigidos, completados ou atualizados, o poder de adotar atos nos termos do artigo 290.o do Tratado sobre o Funcionamento da União Europeia (TFUE) deverá ser delegado na Comissão para pôr termo ao período transitório para a recolha manual de dados API; para adotar medidas relativas aos requisitos técnicos e às regras operacionais que as transportadoras aéreas deverão cumprir no que respeita à utilização de meios automatizados para a recolha de dados API de leitura automática ao abrigo do presente regulamento e para a recolha manual de dados API em circunstâncias excecionais e durante o período transitório, incluindo no atinente aos requisitos em matéria de segurança dos dados; para estabelecer regras pormenorizadas relativas aos protocolos comuns e aos formatos de dados reconhecidos a utilizar nas transferências cifradas de dados API para o encaminhador, incluindo requisitos em matéria de segurança dos dados; e para estabelecer regras pormenorizadas relativas às correções, aos acrescentos e às atualizações aos dados API. É particularmente importante que a Comissão proceda às consultas adequadas com as partes interessadas pertinentes, incluindo transportadoras aéreas, durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (18). Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da preparação dos atos delegados. Tendo em conta o estado da técnica, esses requisitos técnicos e regras operacionais podem mudar ao longo do tempo.

(50)

Para assegurar condições uniformes de aplicação do presente regulamento, designadamente no que diz respeito à entrada em funcionamento do encaminhador, às regras técnicas e processuais para as verificações e notificações de dados, às regras técnicas e processuais para a transmissão de dados API do encaminhador às UIP de uma forma que garanta a segurança, eficácia e rapidez da transmissão e de modo que as viagens dos passageiros e as transportadoras aéreas sejam afetadas apenas na medida do necessário, e às ligações e integração das UIP com o encaminhador, bem como para especificar as responsabilidades dos Estados-Membros enquanto responsáveis conjuntos pelo tratamento, nomeadamente no que diz respeito à identificação e gestão de incidentes de segurança, inclusive violações de dados pessoais, e à relação entre os responsáveis conjuntos pelo tratamento e a eu-LISA enquanto subcontratante, incluindo a assistência da eu-LISA aos responsáveis pelo tratamento, com medidas técnicas e organizativas adequadas, na medida do possível, para o cumprimento das obrigações do responsável pelo tratamento de responder aos pedidos de exercício dos direitos do titular dos dados, afigura-se oportuno atribuir competências de execução à Comissão. Essas competências deverão ser exercidas nos termos do Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho (19).

(51)

Todas as partes interessadas, em particular as transportadoras aéreas e as UIP, deverão dispor de tempo suficiente para realizar os preparativos necessários para poderem cumprir as obrigações que lhes incumbem por força do presente regulamento, tendo em conta que alguns desses preparativos, como os relativos às obrigações relacionadas com a ligação e a integração com o encaminhador, só podem ser concluídos quando as fases de conceção e desenvolvimento do encaminhador estiverem concluídas e o encaminhador entrar em funcionamento. Por conseguinte, o presente regulamento só deverá ser aplicável a contar de uma data adequada posterior à data em que o encaminhador entra em funcionamento, como especificado pela Comissão em conformidade com o presente regulamento e o Regulamento (UE) 2025/12. No entanto, a Comissão deverá poder adotar atos delegados e de execução ao abrigo do presente regulamento a partir de uma data anterior, a fim de assegurar que o sistema criado pelo presente regulamento esteja operacional o mais rapidamente possível.

(52)

As fases de conceção e desenvolvimento do encaminhador criado nos termos do presente regulamento e do Regulamento (UE) 2025/12 deverão ser iniciadas e concluídas com a maior brevidade possível, para que o encaminhador possa iniciar operações o mais rapidamente possível, o que exige igualmente a adoção dos atos de execução pertinentes previstos no presente regulamento. Para o desenvolvimento harmonioso e eficaz dessas fases, deverá ser criado um conselho de gestão do programa específico, com a missão de supervisionar a eu-LISA no desempenho das suas funções durante essas fases. Esse conselho de gestão deverá considerar-se extinto dois anos após a entrada em funcionamento do encaminhador. Além disso, deverá ser criado um órgão consultivo específico, o Grupo Consultivo API-PNR, em conformidade com o Regulamento (UE) 2018/1726, com o objetivo de disponibilizar conhecimentos especializados à eu-LISA e ao Conselho de Gestão do Programa no tocante às fases de conceção e desenvolvimento do encaminhador, bem como à eu-LISA sobre o alojamento e a gestão do encaminhador. O Conselho de Gestão do Programa e o Grupo Consultivo API-PNR deverão ser criados e operados de acordo com os modelos de conselhos de gestão do programa e de grupos consultivos existentes.

(53)

A clarificação constante do presente regulamento no que respeita à aplicação das especificações relativas à utilização de meios automatizados em aplicação da Diretiva 2004/82/CE deverá também ser fornecida sem demora. Por conseguinte, as disposições relativas a essas matérias deverão ser aplicáveis a partir da data de entrada em vigor do presente regulamento. Além disso, a fim de permitir a utilização voluntária do encaminhador o mais depressa possível, as disposições a ela relativas, bem como outras disposições necessárias para assegurar uma utilização responsável, deverão ser aplicáveis com a máxima brevidade, ou seja, logo que o encaminhador entre em funcionamento.

(54)

Deverá existir uma estrutura de governação única para efeitos do presente regulamento e do Regulamento (UE) 2025/12. Com o objetivo de facilitar e promover a comunicação entre os representantes das transportadoras aéreas e os representantes das autoridades dos Estados-Membros competentes nos termos do presente regulamento e do Regulamento (UE) 2025/12 no que respeita à transmissão dos dados API do encaminhador, deverão ser criados dois organismos específicos, o mais tardar dois anos após a entrada em funcionamento do encaminhador. As questões técnicas relacionadas com a utilização e o funcionamento do encaminhador deverão ser debatidas no Grupo de Contacto API-PNR, com a presença de representantes da eu-LISA. As questões políticas, como as relacionadas com sanções, deverão ser debatidas no grupo de peritos API.

(55)

O presente regulamento deverá ser objeto de avaliações periódicas para garantir o acompanhamento da sua aplicação efetiva. Em particular, a recolha de dados API não deverá afetar negativamente a experiência de viagem dos passageiros legítimos. Por conseguinte, a Comissão deverá incluir nos seus relatórios de avaliação periódicos sobre a aplicação do presente regulamento uma avaliação do impacto que este tem na experiência de viagem dos passageiros legítimos. A avaliação deverá também apreciar a qualidade dos dados enviados pelo encaminhador, bem como o desempenho do encaminhador na perspetiva das UIP.

(56)

Uma vez que o presente regulamento impõe ajustamentos e custos administrativos adicionais às transportadoras aéreas, a carga regulamentar global sobre o setor da aviação deverá ser objeto de um acompanhamento atento. Neste contexto, o relatório de avaliação do funcionamento do presente regulamento deverá avaliar em que medida os objetivos do presente regulamento foram atingidos e em que medida ele teve impacto na competitividade do setor.

(57)

Os objetivos do presente regulamento, a saber, contribuir para a prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave, tendo em conta a dimensão transnacional das infrações em causa e a necessidade de cooperação a nível transfronteiriço para lhes dar uma resposta eficaz, não podem ser suficientemente alcançados pelos Estados-Membros individualmente, mas podem ser mais bem alcançados a nível da União. Assim, a UE pode adotar medidas, em conformidade com o princípio da subsidiariedade definido no artigo 5.o do Tratado da União Europeia (TUE). Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para alcançar esses objetivos.

(58)	O presente regulamento deverá aplicar-se sem prejuízo das competências dos Estados-Membros no que diz respeito ao direito nacional em matéria de segurança nacional, desde que esse direito seja conforme com o direito da União.

(59)

O presente regulamento deverá aplicar-se sem prejuízo da competência atribuída aos Estados-Membros de recolherem, ao abrigo do seu direito nacional, dados de passageiros junto de prestadores de serviços de transporte diferentes dos especificados no presente regulamento, desde que esse direito nacional cumpra o direito da União.

(60)	Nos termos dos artigos 1.o e 2.o do Protocolo n.o 22 relativo à posição da Dinamarca, anexo ao TUE e ao TFUE, a Dinamarca não participa na adoção do presente regulamento e não fica a ele vinculada nem sujeita à sua aplicação.

(61)	Nos termos do artigo 3.o do Protocolo n.o 21 relativo à posição do Reino Unido e da Irlanda em relação ao espaço de liberdade, segurança e justiça, anexo ao TUE e ao TFUE, a Irlanda notificou a sua intenção de participar na adoção e na aplicação do presente regulamento.

(62)	A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 e emitiu parecer em 8 de fevereiro de 2023 (20),

ADOTARAM O PRESENTE REGULAMENTO:

CAPÍTULO 1

DISPOSIÇÕES GERAIS

Artigo 1.o

Objeto

Para fins de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave, o presente regulamento estabelece as regras relativas:

a)	À recolha de informações antecipadas sobre os passageiros (API) pelas transportadoras aéreas em voos extra-UE e voos intra-UE;

b)	À transferência dos dados API e outros dados PNR por parte das transportadoras aéreas para o encaminhador;

c)	À transmissão dos dados API e outros dados PNR do encaminhador às unidades de informações de passageiros (UIP) em voos extra-UE e determinados voos intra-UE.

O presente regulamento aplica-se sem prejuízo do Regulamento (UE) 2016/679, do Regulamento (UE) 2018/1725 e da Diretiva (UE) 2016/680.

Artigo 2.o

Âmbito de aplicação

O presente regulamento é aplicável às transportadoras aéreas que efetuam:

a)	Voos extra-UE;

b)	Voos intra-UE com partida, chegada ou escala no território de, pelo menos, um Estado-Membro que notificou a Comissão da sua decisão de aplicar a Diretiva (UE) 2016/681 aos voos intra-UE, nos termos do artigo 2.o, n.o 1, dessa diretiva.

Artigo 3.o

Definições

Para efeitos do presente regulamento, entende-se por:

1)	«Transportadora aérea», uma transportadora aérea na aceção do artigo 3.o, ponto 1, da Diretiva (UE) 2016/681;

2)	«Voo extra-UE», qualquer voo extra-UE na aceção do artigo 3.o, ponto 2, da Diretiva (UE) 2016/681;

3)	«Voo intra-UE», qualquer voo intra-UE na aceção do artigo 3.o, ponto 3, da Diretiva (UE) 2016/681;

4)	«Voo regular», um voo regular na aceção do artigo 3.o, ponto 5, do Regulamento (UE) 2025/12;

5)	«Voo não regular», um voo não regular na aceção do artigo 3.o, ponto 6, do Regulamento (UE) 2025/12;

6)	«Passageiro», um passageiro na aceção do artigo 3.o, ponto 4, da Diretiva (UE) 2016/681;

7)	«Tripulação», qualquer pessoa a bordo de uma aeronave durante o voo que não seja um passageiro, que trabalhe na aeronave ou a opere, incluindo a tripulação de voo e a tripulação de cabina;

8)	«Informações antecipadas sobre os passageiros» ou «dados API», os dados e as informações de voo a que se refere o artigo 4.o, n.os 2 e 3, respetivamente;

9)	«Outros dados do registo de identificação dos passageiros» ou «outros dados PNR», o registo do nome do passageiro, na aceção do artigo 3.o, ponto 5, da Diretiva (UE) 2016/681, conforme enumerados no anexo I da mesma diretiva, com a exceção do ponto 18 do referido anexo;

10)	«Unidade de informações de passageiros» ou «UIP», a unidade de informações de passageiros, tal como consta das notificações dos Estados-Membros à Comissão e das respetivas alterações publicadas pela Comissão nos termos do artigo 4.o, n.o 5, da Diretiva (UE) 2016/681;

11)	«Infrações terroristas», as infrações terroristas referidas nos artigos 3.o a 12.o da Diretiva (UE) 2017/541 do Parlamento Europeu e do Conselho (21);

12)	«Criminalidade grave», a criminalidade grave na aceção do artigo 3.o, ponto 9, da Diretiva (UE) 2016/681;

13)	«Encaminhador», o encaminhador a que se referem o artigo 9.o do presente regulamento e o artigo 11.o do Regulamento (UE) 2025/12;

14)	«Dados pessoais», dados pessoais na aceção do artigo 3.o, ponto 1, da Diretiva (UE) 2016/680, e do artigo 4.o, ponto 1, do Regulamento (UE) 2016/679;

15)	«Dados de tráfego aéreo em tempo real», informações sobre o tráfego aéreo de chegada e de partida de um aeroporto abrangido pelo presente regulamento.

CAPÍTULO 2

RECOLHA, TRANSFERÊNCIA, CONSERVAÇÃO E APAGAMENTO DE DADOS API

Artigo 4.o

Recolha de dados API pelas transportadoras aéreas

1. As transportadoras aéreas recolhem os dados API de cada passageiro e membro da tripulação nos voos a que se refere o artigo 2.o para serem transferidos para o encaminhador nos termos do artigo 5.o. Quando um voo é explorado por transportadoras aéreas em regime de partilha de código, a obrigação de transferir os dados API recai sobre a transportadora aérea que o opera.

2. Os dados API consistem apenas nos seguintes dados relativos a cada passageiro e membro da tripulação no voo:

a)	O apelido, o(s) nome(s) próprio(s);

b)	A data de nascimento, o sexo e a nacionalidade;

c)	O tipo e o número do documento de viagem e o código de três letras do país emissor do documento de viagem;

d)	A data de validade do documento de viagem;

e)	O número de identificação de um registo de identificação dos passageiros utilizado por uma transportadora aérea para localizar um passageiro no seu sistema de informação (localizador do registo PNR);

f)	As informações correspondentes ao lugar na aeronave atribuído a um passageiro, caso essas informações estejam disponíveis;

g)	O(s) número(s) de identificação da bagagem e o número e o peso das malas de porão, caso essas informações estejam disponíveis;

h)	Um código que indique o método utilizado para recolher e validar os dados referidos nas alíneas a) a d).

3. Os dados API consistem também apenas nas seguintes informações de voo relativas ao voo de cada passageiro e membro da tripulação:

a)	O número de identificação do voo ou, se o voo for explorado por transportadoras aéreas em regime de partilha de código, os números de identificação dos voos ou, na sua ausência, outros meios claros e adequados para identificar o voo;

b)	Quando aplicável, o ponto de passagem de fronteira de entrada no território do Estado-Membro;

c)	O código do aeroporto de chegada ou, se o voo estiver programado para aterrar num ou mais aeroportos situados no território de um ou mais Estados-Membros a que se aplica o presente regulamento, os códigos dos aeroportos de escala no território dos Estados-Membros em causa;

d)	O código do aeroporto de partida do voo;

e)	O código do aeroporto do ponto de embarque inicial, se disponível;

f)	A data e a hora locais de partida;

g)	A data e a hora locais de chegada;

h)	Os dados de contacto da transportadora aérea;

i)	O formato utilizado para a transferência de dados API.

4. As transportadoras aéreas recolhem os dados API de um modo que assegure que os dados API que transferem nos termos do artigo 5.o sejam exatos, completos e estejam atualizados. O cumprimento desta obrigação não exige que as transportadoras aéreas verifiquem o documento de viagem no momento do embarque na aeronave, sem prejuízo do direito nacional que seja compatível com o direito da União.

5. O presente regulamento não impõe aos passageiros nenhuma obrigação de estarem munidos de um documento de viagem quando viajam, sem prejuízo de outros atos jurídicos da União ou do direito nacional que sejam compatíveis com o direito da União.

6. Um Estado-Membro pode impor às transportadoras aéreas a obrigação de prever a possibilidade de os passageiros carregarem voluntariamente os dados a que se refere o artigo 4.o, n.o 2, alíneas a) a d), do Regulamento (UE) 2025/12 por meios automatizados e de conservar esses dados na transportadora, tendo em vista a transferência dos dados para efeitos de voos futuros, nos termos do artigo 5.o do presente regulamento e em conformidade com os requisitos estabelecidos nos n.os 4, 7 e 8 do presente artigo. Um Estado-Membro que imponha essa obrigação estabelece as regras e garantias em matéria de proteção de dados, em conformidade com o Regulamento (UE) 2016/679, inclusive as regras relativas ao período de conservação. Todavia, os dados são apagados se o passageiro deixar de consentir na sua conservação ou, o mais tardar, na data do termo de validade do documento de viagem.

7. As transportadoras aéreas recolhem os dados API referidos no n.o 2, alíneas a) a d), utilizando meios automatizados para recolher os dados de leitura automática do documento de viagem do passageiro em causa. Devem fazê-lo em conformidade com os requisitos técnicos pormenorizados e as regras operacionais a que se refere o n.o 12, assim que essas regras tenham sido adotadas e sejam aplicáveis.

As transportadoras aéreas que disponibilizem um processo de registo de embarque em linha permitem que os passageiros forneçam os dados API a que se refere o n.o 2, alíneas a) a d), por meios automatizados durante o referido processo. No caso de passageiros que não efetuem o seu registo de embarque em linha, as transportadoras aéreas permitem que esses passageiros apresentem os referidos dados API por meios automatizados durante o registo de embarque no aeroporto, com a assistência de um terminal self-service ou do pessoal da transportadora aérea ao balcão.

Se a utilização de meios automatizados não for tecnicamente possível, as transportadoras aéreas recolhem, a título excecional, os dados API a que se refere o n.o 2, alíneas a) a d), manualmente, no âmbito do processo de registo de embarque em linha ou no aeroporto, de forma a assegurar o cumprimento do disposto no n.o 4.

8. Os meios automatizados utilizados pelas transportadoras aéreas para recolher dados API ao abrigo do presente regulamento devem ser fiáveis, seguros e atualizados. Durante a transferência de dados API dos passageiros para as transportadoras aéreas, estas asseguram a cifragem dos referidos dados.

9. Durante um período transitório, e em complemento dos meios automatizados a que se refere o n.o 7, as transportadoras aéreas preveem a possibilidade de os passageiros fornecerem manualmente dados API no âmbito do registo de embarque em linha. Em tais casos, as transportadoras aéreas utilizam técnicas de verificação de dados para assegurar a conformidade com o n.o 4.

10. O período transitório a que se refere o n.o 9 não afeta o direito das transportadoras aéreas de verificarem no aeroporto, antes do embarque da aeronave, os dados API recolhidos durante o registo de embarque em linha, a fim de assegurar o cumprimento do disposto no n.o 4, em conformidade com o direito da União aplicável.

11. A Comissão fica habilitada a adotar um ato delegado nos termos do artigo 43.o, quatro anos a contar da data de entrada em funcionamento do encaminhador em relação aos dados API a que se refere o artigo 34.o, e com base numa avaliação da disponibilidade e acessibilidade de meios automatizados para recolher dados API, a fim de pôr termo ao período transitório referido no n.o 9 do presente artigo.

12. A Comissão fica habilitada a adotar atos delegados nos termos do artigo 43.o, a fim de completar o presente regulamento estabelecendo requisitos técnicos pormenorizados e regras operacionais para a recolha dos dados API a que se refere o n.o 2, alíneas a) a d), do presente artigo, utilizando meios automatizados em conformidade com os n.os 7 e 8 do presente artigo, e para a recolha manual de dados API em circunstâncias excecionais, em conformidade com o n.o 7 do presente artigo e durante o período transitório a que se refere o n.o 9 do presente artigo. Esses requisitos técnicos pormenorizados e essas regras operacionais devem incluir requisitos em matéria de segurança dos dados, utilizando os mais fiáveis meios automatizados disponíveis para recolher os dados de leitura automática de um documento de viagem.

Artigo 5.o

Obrigações das transportadoras aéreas em matéria de transferência de dados API e outros dados PNR

1. As transportadoras aéreas devem transferir os dados API cifrados para o encaminhador por via eletrónica para efeitos da sua transmissão às UIP nos termos do artigo 12.o. As transportadoras aéreas transferem os dados API em conformidade com as regras pormenorizadas a que se refere o n.o 4 do presente artigo, logo que essas regras tenham sido adotadas e sejam aplicáveis.

2. Ao adotarem medidas conformes com o artigo 8.o, n.o 1, da Diretiva (UE) 2016/681, os Estados-Membros exigem que as transportadoras aéreas transfiram quaisquer outros dados PNR que recolham no exercício normal das suas atividades exclusivamente para o encaminhador, em conformidade com os protocolos comuns e os formatos de dados estabelecidos nos termos do artigo 16.o dessa diretiva.

3. As transportadoras aéreas transferem os dados API:

No que respeita aos passageiros:

i)	De cada passageiro no momento do registo de embarque, mas não antes das 48 horas anteriores à hora de partida programada do voo, e

ii)	De todos os passageiros embarcados, imediatamente após o encerramento da porta de embarque, ou seja, quando os passageiros se encontrem a bordo da aeronave em preparação para a partida e já não seja possível o embarque ou o desembarque de passageiros;

b)	No que respeita a todos os membros da tripulação, imediatamente após o encerramento da porta de embarque, ou seja, quando a tripulação se encontre a bordo da aeronave em preparação para a partida e já não seja possível sair da aeronave.

4. A Comissão fica habilitada a adotar atos delegados nos termos do artigo 43.o, a fim de completar o presente regulamento estabelecendo as regras pormenorizadas necessárias relativas aos protocolos comuns e aos formatos de dados reconhecidos a utilizar nas transferências cifradas de dados API para o encaminhador a que se refere o n.o 1 do presente artigo, nomeadamente a transferência de dados API no momento do registo de embarque e os requisitos em matéria de segurança dos dados. Essas regras pormenorizadas asseguram a transferência dos dados API pelas transportadoras aéreas utilizando a mesma estrutura e conteúdo.

Artigo 6.o

Período de conservação e apagamento dos dados API

As transportadoras aéreas conservam os dados API de todos os passageiros e membros da tripulação recolhidos nos termos do artigo 4.o durante um período de 48 horas a contar do momento em que o encaminhador recebe os dados API para ele transferidos nos termos do artigo 5.o, n.o 3, alínea a), subalínea ii), e alínea b). As transportadoras aéreas apagam imediata e permanentemente tais dados API após o termo desse período, sem prejuízo da possibilidade de conservarem e utilizarem os dados sempre que necessário para o exercício normal das suas atividades, em conformidade com a legislação aplicável e com o artigo 16.o, n.os 1 e 3.

Artigo 7.o

Correções, acrescentos e atualizações aos dados API

1. Sempre que uma transportadora aérea tenha conhecimento de que os dados que conserva ao abrigo do presente regulamento foram objeto de tratamento ilícito ou não constituem dados API, apaga imediata e permanentemente esses dados. Se esses dados tiverem sido transferidos para o encaminhador, a transportadora aérea informa imediatamente a Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA). Ao receber essa informação, a eu-LISA informa de imediato as UIP que receberam os dados transmitidos através do encaminhador.

2. Sempre que uma transportadora aérea tenha conhecimento de que os dados que conserva ao abrigo do presente regulamento são inexatos, incompletos ou estão desatualizados, imediatamente corrige, completa ou atualiza esses dados. Tal não prejudica a possibilidade de as transportadoras aéreas conservarem e utilizarem os dados sempre que necessário para o exercício normal das suas atividades, em conformidade com a legislação aplicável.

3. Caso, após a transferência de dados API nos termos do artigo 5.o, n.o 3, alínea a), subalínea i), mas antes da transferência nos termos do artigo 5.o, n.o 3, alínea a), subalínea ii), uma transportadora aérea tenha conhecimento de que os dados que transferiu são inexatos, transfere imediatamente os dados API corrigidos para o encaminhador.

4. Caso, após a transferência de dados API nos termos do artigo 5.o, n.o 3, alínea a), subalínea ii), ou alínea b), uma transportadora aérea tenha conhecimento de que os dados que transferiu são inexatos, incompletos ou estão desatualizados, transfere imediatamente os dados API corrigidos, completos ou atualizados para o encaminhador.

5. A Comissão fica habilitada a adotar atos delegados nos termos do artigo 43.o, a fim de completar o presente regulamento estabelecendo as regras pormenorizadas necessárias relativas às correções, aos acrescentos e às atualizações aos dados API na aceção do presente artigo.

Artigo 8.o

Direitos fundamentais

1. A recolha e o tratamento de dados pessoais nos termos do presente regulamento e do Regulamento (UE) 2025/12 pelas transportadoras aéreas e pelas autoridades competentes não pode originar discriminação de pessoas pelos motivos mencionados no artigo 21.o da Carta dos Direitos Fundamentais da União Europeia («Carta»).

2. O presente regulamento respeita plenamente a dignidade humana e os direitos fundamentais e princípios consagrados na Carta, nomeadamente o direito ao respeito pela vida privada, ao asilo, à proteção dos dados pessoais, à liberdade de circulação e a vias de recurso efetivas.

3. É prestada particular atenção às crianças, aos idosos, às pessoas com deficiência e às pessoas vulneráveis. O superior interesse da criança é uma das principais considerações na aplicação do presente regulamento.

CAPÍTULO 3

DISPOSIÇÕES RELATIVAS AO ENCAMINHADOR

Artigo 9.o

Encaminhador

1. A eu-LISA concebe, desenvolve, aloja e gere tecnicamente, nos termos dos artigos 25.o e 26.o, um encaminhador com o objetivo de viabilizar a transferência de dados API e outros dados PNR cifrados pelas transportadoras aéreas para as UIP ao abrigo do presente regulamento.

2. O encaminhador é composto por:

a)	Uma infraestrutura central, incluindo um conjunto de componentes técnicos que permitem a receção e a transmissão de dados API e outros dados PNR cifrados;

Um canal de comunicação seguro entre a infraestrutura central e as UIP, bem como um canal de comunicação seguro entre a infraestrutura central e as transportadoras aéreas, para a transferência e transmissão de dados API e outros dados PNR e comunicações conexas e para a inserção no encaminhador, por parte dos Estados-Membros, dos voos selecionados a que se refere o artigo 12.o, n.o 4, e quaisquer atualizações conexas;

c)	Um canal seguro para receber dados de tráfego aéreo em tempo real.

3. Sem prejuízo do disposto no artigo 10.o do presente regulamento, o encaminhador partilha e reutiliza – se for caso disso e na medida do tecnicamente possível – os componentes técnicos, incluindo os componentes de hardware e software, do serviço Web referido no artigo 13.o do Regulamento (UE) 2017/2226, os do portal das transportadoras a que se refere o artigo 6.o, n.o 2, alínea k), do Regulamento (UE) 2018/1240 e os do portal dos transportadores a que se refere o artigo 45.o-C do Regulamento (CE) n.o 767/2008.

A eu-LISA concebe o encaminhador, na medida do possível do ponto de vista técnico e operacional, de forma coerente e consentânea com as obrigações das transportadoras aéreas estabelecidas nos Regulamentos (CE) n.o 767/2008, (UE) 2017/2226 e (UE) 2018/1240.

4. O encaminhador extrai e disponibiliza automaticamente os dados, nos termos do artigo 39.o do presente regulamento, ao repositório central para a elaboração de relatórios e estatísticas (CRRS) criado pelo artigo 39.o do Regulamento (UE) 2019/818.

5. A eu-LISA concebe e desenvolve o encaminhador de forma que seja assegurada a cifragem de ponta a ponta dos dados API e outros dados PNR durante o trânsito, no caso de qualquer transferência de dados API e outros dados PNR das transportadoras aéreas para o encaminhador, nos termos do artigo 5.o, bem como de qualquer transmissão de dados API e outros dados PNR do encaminhador às UIP, nos termos do artigo 12.o, e ao CRRS, nos termos do artigo 39.o, n.o 2.

Artigo 10.o

Utilização exclusiva do encaminhador

Para efeitos do presente regulamento, o encaminhador é utilizado apenas:

a)	Pelas transportadoras aéreas para transferir dados API e outros dados PNR cifrados nos termos do presente regulamento;

b)	Pelas UIP para receber dados API e outros dados PNR cifrados nos termos do presente regulamento;

c)	Com base em acordos internacionais que permitam a transferência de dados PNR através do encaminhador, celebrados pela União com países terceiros que tenham celebrado um acordo que preveja a sua associação à execução, aplicação e desenvolvimento do acervo de Schengen.

O presente artigo aplica-se sem prejuízo do artigo 12.o do Regulamento (UE) 2025/12.

Artigo 11.o

Verificações dos formatos dos dados e das transferências

1. O encaminhador verifica, de forma automatizada e com base em dados de tráfego aéreo em tempo real, se a transportadora aérea transferiu os dados API nos termos do artigo 5.o, n.o 1, ou outros dados PNR nos termos do artigo 5.o, n.o 2.

2. O encaminhador verifica, de forma imediata e automatizada, se os dados API que lhe foram transferidos nos termos do artigo 5.o, n.o 1, cumprem as regras pormenorizadas sobre os formatos de dados reconhecidos a que se refere o artigo 5.o, n.o 4.

3. O encaminhador verifica, de forma imediata e automatizada, se os outros dados PNR que lhe foram transferidos nos termos do artigo 5.o, n.o 2, cumprem as regras pormenorizadas sobre os formatos de dados reconhecidos a que se refere o artigo 16.o da Diretiva (UE) 2016/681.

4. Sempre que a verificação a que se refere o n.o 1 determine que os dados não foram transferidos pela transportadora aérea ou sempre que a verificação a que se referem os n.os 2 ou 3 determine que os dados não cumprem as regras pormenorizadas sobre os formatos de dados reconhecidos, o encaminhador notifica, de forma imediata e automatizada, a transportadora aérea em questão e as UIP dos Estados-Membros às quais os dados deveriam ter sido transmitidos nos termos do artigo 12.o, n.o 1. Nesses casos, a transportadora aérea transfere imediatamente os dados API e outros dados PNR nos termos do artigo 5.o.

5. A Comissão adota atos de execução que especifiquem as regras técnicas e processuais pormenorizadas necessárias para as verificações e notificações a que se referem os n.os 1 a 4 do presente artigo. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 42.o, n.o 2.

Artigo 12.o

Transmissão de dados API e outros dados PNR do encaminhador às UIP

1. Depois de feitas as verificações dos formatos dos dados e das transferências a que se refere o artigo 11.o, o encaminhador transmite os dados API e quaisquer outros dados PNR cifrados que lhe são transferidos pelas transportadoras aéreas nos termos do artigo 5.o, n.os 1 e 2, e se aplicável, do artigo 7.o, n.os 3 e 4, às UIP do Estado-Membro em cujo território o voo aterrará ou do qual partirá, ou ambos, no caso de voos intra-UE. Transmite esses dados de forma imediata e automatizada, sem alterar o seu conteúdo seja de que modo for. Se um voo tiver uma ou mais escalas no território de outros Estados-Membros que não aquele de onde partiu, o encaminhador transmite os dados API e quaisquer outros dados PNR às UIP de todos os Estados-Membros em causa.

Para efeitos dessa transmissão, a eu-LISA elabora e mantém atualizado um quadro de correspondência entre os diferentes aeroportos de origem e de destino e os países a que pertencem.

No entanto, para os voos intra-UE, o encaminhador só transmite às UIP pertinentes os dados API e outros dados PNR dos voos incluídos na lista a que se refere o n.o 4.

2. O encaminhador transmite os dados API e outros dados PNR em conformidade com as regras pormenorizadas a que se refere o n.o 6, assim que essas regras tenham sido adotadas e sejam aplicáveis.

3. Os Estados-Membros asseguram que as suas UIP que recebam dados API e outros dados PNR nos termos do n.o 1 confirmem ao encaminhador, de forma imediata e automatizada, a receção desses dados.

4. Cada um dos Estados-Membros que decidam aplicar a Diretiva (UE) 2016/681 aos voos intra-UE nos termos do artigo 2.o dessa diretiva estabelece uma lista dos voos intra-UE ou rotas selecionados. Os Estados-Membros podem utilizar o código do aeroporto de partida e do aeroporto de chegada para indicar os voos ou rotas selecionados. Nos termos do artigo 2.o dessa diretiva e do artigo 13.o do presente regulamento, esses Estados-Membros reexaminam e, se necessário, atualizam periodicamente as listas. Um Estado-Membro pode selecionar todos os voos ou rotas intra-UE, quando devidamente justificado, nos termos da Diretiva (UE) 2016/681 e do artigo 13.o do presente regulamento.

Até à data de aplicação pertinente do presente regulamento a que se refere o artigo 45.o, segundo parágrafo, os Estados-Membros inserem os voos ou rotas selecionados no encaminhador, por meios automatizados, através do canal de comunicação seguro referido no artigo 9.o, n.o 2, alínea b), e posteriormente fornecem ao encaminhador quaisquer atualizações dos mesmos.

5. As informações inseridas pelos Estados-Membros no encaminhador são tratadas confidencialmente e o acesso a essas informações pelo pessoal da eu-LISA limita-se ao estritamente necessário para a resolução de problemas técnicos. Após a receção pelo encaminhador dessas informações ou de quaisquer atualizações das mesmas provenientes de um Estado-Membro, a eu-LISA assegura que o encaminhador transmita imediatamente os dados API e outros dados PNR à UIP desse Estado-Membro relativamente aos voos ou rotas selecionados, nos termos do n.o 1.

6. A Comissão adota atos de execução que especifiquem as regras técnicas e processuais pormenorizadas necessárias para as transmissões de dados API e outros dados PNR do encaminhador a que se refere o n.o 1 do presente artigo e para a inserção das informações no encaminhador a que se refere o n.o 4 do presente artigo, designadamente no tocante aos requisitos em matéria de segurança dos dados. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 42.o, n.o 2.

Artigo 13.o

Seleção de voos intra-UE

1. Os Estados-Membros que decidam, nos termos do artigo 2.o da Diretiva (UE) 2016/681, aplicar essa diretiva e, consequentemente, o presente regulamento aos voos intra-UE selecionam esses voos intra-UE nos termos do presente artigo.

2. Os Estados-Membros podem aplicar a Diretiva (UE) 2016/681 e, consequentemente, o presente regulamento a todos os voos intra-UE com chegada ou partida no seu território apenas em situações de ameaça terrorista real e atual ou previsível, com base numa decisão assente numa avaliação da ameaça, sendo essa aplicação limitada no tempo ao estritamente necessário e passível de recurso efetivo por um tribunal ou por um órgão administrativo independente cuja decisão seja vinculativa.

3. Na ausência de uma ameaça terrorista real e atual ou previsível, os Estados-Membros que apliquem a Diretiva (UE) 2016/681 e, consequentemente, o presente regulamento aos voos intra-UE selecionam esses voos intra-UE de acordo com o resultado de uma avaliação efetuada com base nos requisitos definidos nos n.os 4 a 7 do presente artigo.

4. A avaliação referida no n.o 3:

a)	É realizada de forma objetiva, devidamente fundamentada e não discriminatória, nos termos do artigo 2.o da Diretiva (UE) 2016/681;

Tem em conta apenas critérios pertinentes para a prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave que tenham uma ligação objetiva, inclusive uma ligação indireta, com o transporte aéreo de passageiros e não se baseiem exclusivamente nos motivos enumerados no artigo 21.o da Carta em relação a quaisquer passageiros ou grupos de passageiros;

c)	Utiliza apenas informações que possam apoiar uma avaliação objetiva, devidamente fundamentada e não discriminatória.

5. Com base na avaliação a que se refere o n.o 3, os Estados-Membros selecionam apenas voos intra-UE relativos, entre outros, a rotas, padrões de viagem ou aeroportos específicos para os quais existam indícios de infrações terroristas e de criminalidade grave e que justifiquem o tratamento de dados API e outros dados PNR. A seleção dos voos intra-UE limita-se ao estritamente necessário para alcançar os objetivos da Diretiva (UE) 2016/681 e do presente regulamento.

6. Os Estados-Membros conservam toda a documentação relativa à avaliação a que se refere o n.o 3, incluindo as eventuais revisões, se for caso disso, e disponibilizam-na, nos termos da Diretiva (UE) 2016/680, às suas autoridades de supervisão independentes e às autoridades nacionais de supervisão, mediante pedido.

7. Nos termos do artigo 2.o da Diretiva (UE) 2016/681, os Estados-Membros reveem regularmente e, pelo menos, a cada 12 meses a sua avaliação a que se refere o n.o 3, a fim de terem em conta as alterações das circunstâncias que justificaram a seleção dos voos intra-UE e para assegurarem que a seleção dos voos intra-UE continua a ser limitada ao estritamente necessário.

8. A Comissão promove um intercâmbio regular de pontos de vista sobre os critérios de seleção para a avaliação a que se refere o n.o 3, incluindo a partilha de boas práticas e, numa base voluntária, o intercâmbio de informações sobre os voos selecionados.

Artigo 14.o

Apagamento de dados API e outros dados PNR do encaminhador

Os dados API e outros dados PNR transferidos para o encaminhador nos termos do presente regulamento são conservados no encaminhador apenas na medida do necessário para concluir a transmissão às UIP pertinentes, nos termos do presente regulamento, e são apagados do encaminhador, de forma imediata, permanente e automatizada, nas seguintes situações:

a)	Se se confirmar, nos termos do artigo 12.o, n.o 3, que a transmissão dos dados API e outros dados PNR às UIP pertinentes foi concluída;

b)	Se os dados API ou outros dados PNR disserem respeito a voos intra-UE que não os constantes das listas referidas no artigo 12.o, n.o 4.

O encaminhador informa automaticamente a eu-LISA e as UIP do apagamento imediato dos voos intra-UE a que se refere a alínea b).

Artigo 15.o

Tratamento de dados API e outros dados PNR pelas UIP

Os dados API e outros dados PNR transmitidos às UIP nos termos do presente regulamento são subsequentemente tratados pelas UIP nos termos da Diretiva (UE) 2016/681, especialmente no que diz respeito às regras sobre o tratamento de dados API e outros dados PNR pelas UIP, incluindo as estabelecidas nos artigos 6.o, 10.o, 12.o e 13.o dessa diretiva, e exclusivamente para efeitos de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave.

As UIP ou outras autoridades competentes não podem, em caso algum, tratar os dados API e outros dados PNR para fins de definição de perfis, como referido no artigo 11.o, n.o 3, da Diretiva (UE) 2016/680.

Artigo 16.o

Ações em caso de impossibilidade técnica de utilizar o encaminhador

1. Quando, devido a uma falha do encaminhador, for tecnicamente impossível utilizá-lo para transmitir os dados API ou outros dados PNR, a eu-LISA imediatamente notifica do facto, de forma automatizada, as transportadoras aéreas e as UIP. Nesse caso, a eu-LISA toma de imediato medidas para resolver a impossibilidade técnica de utilizar o encaminhador e, uma vez resolvido o problema, imediatamente notifica do facto as transportadoras aéreas e as UIP.

Durante o período compreendido entre essas notificações, o artigo 5.o, n.o 1, não é aplicável, na medida em que a impossibilidade técnica impeça a transferência de dados API ou outros dados PNR para o encaminhador. As transportadoras aéreas conservam os dados API ou outros dados PNR até ser resolvida a impossibilidade técnica. Logo que a impossibilidade técnica tenha sido resolvida, as transportadoras aéreas transferem os dados para o encaminhador nos termos do artigo 5.o, n.o 1.

Em caso de impossibilidade técnica de utilizar o encaminhador e em casos excecionais relacionados com os objetivos do presente regulamento que tornam necessária a receção imediata de dados API e outros dados PNR pelas UIP durante a impossibilidade técnica de utilizar o encaminhador, as UIP podem solicitar às transportadoras aéreas que utilizem qualquer outro meio adequado que assegure o nível necessário de segurança, qualidade e proteção dos dados para transferir os dados API ou outros dados PNR diretamente para as UIP. As UIP tratam os dados API ou outros dados PNR recebidos através de qualquer outro meio adequado em conformidade com as regras e garantias estabelecidas na Diretiva (UE) 2016/681.

Na sequência da notificação da eu-LISA de que a impossibilidade técnica foi resolvida com êxito, e caso se confirme, nos termos do artigo 12.o, n.o 3, que foi concluída a transmissão, através do encaminhador, dos dados API ou outros dados PNR à UIP pertinente, a UIP apaga imediatamente os dados API ou outros dados PNR recebidos por qualquer outro meio adequado.

2. Quando, devido a uma falha dos sistemas ou infraestruturas de um Estado-Membro a que se refere o artigo 23.o, for tecnicamente impossível utilizar o encaminhador para transmitir os dados API ou outros dados PNR, as UIP desse Estado-Membro imediatamente notificam do facto, de forma automatizada, as outras UIP, a eu-LISA e a Comissão. Nesse caso, o Estado-Membro em causa toma de imediato medidas para resolver a impossibilidade técnica de utilizar o encaminhador e, uma vez resolvido o problema, imediatamente notifica do facto as outras UIP, a eu-LISA e a Comissão. O encaminhador conserva os dados API ou outros dados PNR até ser resolvida a impossibilidade técnica. Logo que a impossibilidade técnica tenha sido resolvida, o encaminhador transmite os dados nos termos do artigo 12.o, n.o 1.

3. Quando, devido a uma falha dos sistemas ou infraestruturas de uma transportadora aérea a que se refere o artigo 24.o, for tecnicamente impossível utilizar o encaminhador para transferir os dados API ou outros dados PNR, essa transportadora aérea imediatamente notifica do facto, de forma automatizada, as UIP, a eu-LISA e a Comissão. Nesse caso, a transportadora aérea em causa toma de imediato medidas para resolver a impossibilidade técnica de utilizar o encaminhador e, uma vez resolvido o problema, imediatamente notifica do facto as UIP, a eu-LISA e a Comissão.

Em caso de impossibilidade técnica de utilizar o encaminhador e em casos excecionais relacionados com os objetivos do presente regulamento que tornam necessária a receção imediata de dados API e outros dados PNR pelas UIP durante a impossibilidade técnica de utilizar o encaminhador, as UIP podem solicitar às transportadoras aéreas que utilizem qualquer outro meio adequado que assegure o nível necessário de segurança, qualidade e proteção dos dados para transferir os dados API ou outros dados PNR diretamente para as UIP. As UIP tratam os dados API ou outros dados PNR recebidos através de qualquer outro meio adequado, em conformidade com as regras e garantias estabelecidas na Diretiva (UE) 2016/681.

Uma vez resolvida a impossibilidade técnica, a transportadora aérea em causa apresenta sem demora à autoridade nacional de supervisão dos dados API a que se refere o artigo 37.o um relatório contendo todos os pormenores necessários sobre a impossibilidade técnica, incluindo motivos, alcance e consequências, bem como as medidas tomadas para a resolver.

CAPÍTULO 4

DISPOSIÇÕES ESPECÍFICAS SOBRE A PROTEÇÃO DOS DADOS PESSOAIS E A SEGURANÇA

Artigo 17.o

Manutenção de registos

1. As transportadoras aéreas criam registos de todas as operações de tratamento relacionadas com dados API realizadas ao abrigo do presente regulamento utilizando os meios automatizados a que se refere o artigo 4.o, n.o 7. Esses registos devem abranger a data, a hora e o local de transferência dos dados API. Esses registos não podem incluir outros dados pessoais além das informações necessárias para identificar o membro do pessoal da transportadora aérea.

2. A eu-LISA conserva registos de todas as operações de tratamento relacionadas com a transferência e transmissão de dados API e outros dados PNR através do encaminhador ao abrigo do presente regulamento. Esses registos abrangem o seguinte:

a)	A transportadora aérea que transferiu os dados API e outros dados PNR para o encaminhador;

b)	A transportadora aérea que transferiu outros dados PNR para o encaminhador;

c)	As UIP às quais os dados API foram transmitidos através do encaminhador;

d)	As UIP às quais outros dados PNR foram transmitidos através do encaminhador;

e)	A data e a hora da transferência ou transmissão a que se referem as alíneas a) e b), bem como o local dessa transferência ou transmissão;

f)	Qualquer acesso por parte do pessoal da eu-LISA necessário para a manutenção do encaminhador, tal como referido no artigo 26.o, n.o 3;

g)	Quaisquer outras informações relativas a essas operações de tratamento necessárias para controlar a segurança e a integridade dos dados API e outros dados PNR e a licitude de tais operações de tratamento.

Esses registos não podem incluir outros dados pessoais além das informações necessárias para identificar o membro do pessoal da eu-LISA pertinente, a que se refere o primeiro parágrafo, alínea f).

3. Os registos a que se referem os n.os 1 e 2 do presente artigo só podem ser utilizados para garantir a segurança e a integridade dos dados API e outros dados PNR e a licitude do tratamento, em especial no que diz respeito ao cumprimento dos requisitos estabelecidos no presente regulamento, incluindo processos por infração a esses requisitos, nos termos dos artigos 37.o e 38.o.

4. As transportadoras aéreas e a eu-LISA tomam as medidas adequadas para proteger os registos que criaram nos termos dos n.os 1 e 2, respetivamente, contra o acesso não autorizado e outros riscos de segurança.

5. A autoridade nacional de supervisão dos dados API a que se refere o artigo 37.o e as UIP dispõem de acesso aos registos pertinentes referidos no n.o 1 do presente artigo, sempre que necessário para as finalidades previstas no n.o 3 do presente artigo.

6. As transportadoras aéreas e a eu-LISA conservam os registos que criaram nos termos dos n.os 1 e 2, respetivamente, por um período de um ano a contar do momento da criação desses registos. Apagam imediata e permanentemente esses registos após o termo desse prazo.

No entanto, se esses registos forem necessários para procedimentos de controlo ou garantia da segurança e integridade dos dados API ou da licitude das operações de tratamento, tal como referido no n.o 3, e esses procedimentos já tiverem sido iniciados no momento do termo do prazo referido no primeiro parágrafo do presente número, as transportadoras aéreas e a eu-LISA conservam os registos durante o tempo necessário para os procedimentos em causa. Nesse caso, apagam imediatamente esses registos quando deixarem de ser necessários para tais procedimentos.

Artigo 18.o

Responsabilidades em matéria de proteção de dados

1. As transportadoras aéreas são responsáveis pelo tratamento, na aceção do artigo 4.o, ponto 7, do Regulamento (UE) 2016/679, de dados API e outros dados PNR que constituam dados pessoais no que diz respeito à recolha desses dados e à sua transferência para o encaminhador nos termos do presente regulamento.

2. Cada Estado-Membro designa uma autoridade competente como responsável pelo tratamento de acordo com o presente artigo. Os Estados-Membros notificam à Comissão, à eu-LISA e aos outros Estados-Membros a designação dessas autoridades.

Todas as autoridades competentes designadas pelos Estados-Membros são responsáveis conjuntos pelo tratamento, nos termos do artigo 21.o da Diretiva (UE) 2016/680, para efeitos do tratamento de dados pessoais no encaminhador.

3. A eu-LISA é um subcontratante, na aceção do artigo 3.o, ponto 12, do Regulamento (UE) 2018/1725, para efeitos do tratamento de dados API e outros dados PNR que constituam dados pessoais ao abrigo do presente regulamento transferidos através do encaminhador, inclusive a transmissão dos dados do encaminhador às UIP e a conservação por razões técnicas desses dados no encaminhador. A eu-LISA garante o funcionamento do encaminhador nos termos do presente regulamento.

4. A Comissão adota atos de execução que estabelecem as respetivas responsabilidades dos responsáveis conjuntos pelo tratamento e as respetivas obrigações divididas entre os responsáveis conjuntos pelo tratamento e o subcontratante. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 42.o, n.o 2.

Artigo 19.o

Informações aos passageiros

Em conformidade com o artigo 13.o do Regulamento (UE) 2016/679, as transportadoras aéreas facultam aos passageiros, em relação aos voos abrangidos pelo presente regulamento, informações sobre a finalidade da recolha dos seus dados pessoais, o tipo de dados pessoais recolhidos, os destinatários dos dados pessoais e as regras de exercício dos seus direitos enquanto titulares dos dados.

As referidas informações são comunicadas aos passageiros por escrito e num formato de fácil acesso no momento da reserva e no momento do registo de embarque, independentemente do meio utilizado para recolher os dados pessoais no momento do registo de embarque, nos termos do artigo 4.o.

Artigo 20.o

Segurança

1. A eu-LISA garante a segurança e a cifragem dos dados API e outros dados PNR, em particular daqueles que constituam dados pessoais, que trata nos termos do presente regulamento. As UIP e as transportadoras aéreas garantem a segurança dos dados API, em particular daqueles que constituam dados pessoais, que tratam nos termos do presente regulamento. A eu-LISA, as UIP e as transportadoras aéreas cooperam entre si, de acordo com as respetivas responsabilidades e em conformidade com o direito da União, a fim de garantir essa segurança.

2. A eu-LISA assegura a segurança e a confidencialidade dos dados relativos aos voos e rotas selecionados pelos Estados-Membros nos termos do artigo 12.o, n.o 4. As UIP e as transportadoras aéreas garantem a segurança dos dados API, em particular daqueles que constituam dados pessoais, que tratam nos termos do presente regulamento. A eu-LISA, as UIP e as transportadoras aéreas cooperam entre si, de acordo com as respetivas responsabilidades e em conformidade com o direito da União, a fim de garantir essa segurança.

3. A eu-LISA toma as medidas necessárias para garantir a segurança do encaminhador e dos dados API e outros dados PNR, em particular daqueles que constituam dados pessoais, transmitidos através do encaminhador, designadamente estabelecendo, aplicando e atualizando regularmente um plano de segurança, um plano de continuidade das atividades e um plano de recuperação em caso de catástrofe, a fim de:

a)	Proteger fisicamente o encaminhador, nomeadamente através da elaboração de planos de emergência para a proteção dos respetivos componentes críticos;

Impedir o tratamento não autorizado dos dados API ou outros dados PNR, incluindo o acesso não autorizado aos mesmos e a cópia, alteração ou apagamento dos mesmos, tanto durante a transferência dos dados API ou outros dados PNR de e para o encaminhador, como durante a conservação dos dados API ou outros dados PNR no encaminhador, sempre que necessário para concluir a transmissão, nomeadamente através de técnicas de cifragem adequadas;

c)	Assegurar que as pessoas autorizadas a aceder ao encaminhador tenham acesso apenas aos dados abrangidos pela sua autorização de acesso;

d)	Assegurar que seja possível verificar e determinar quais as UIP a que são transmitidos os dados API ou outros dados PNR através do encaminhador;

e)	Comunicar devidamente ao seu Conselho de Administração eventuais falhas no funcionamento do encaminhador;

f)	Controlar a eficácia das medidas de segurança exigidas ao abrigo do presente artigo e do Regulamento (UE) 2018/1725, bem como avaliar e atualizar essas medidas de segurança, se necessário, à luz da evolução tecnológica ou operacional.

As medidas referidas no primeiro parágrafo do presente número não prejudicam o disposto no artigo 32.o do Regulamento (UE) 2016/679, no artigo 33.o do Regulamento (UE) 2018/1725, ou no artigo 29.o da Diretiva (UE) 2016/680.

Artigo 21.o

Autocontrolo

As transportadoras aéreas e as UIP controlam o respetivo cumprimento das obrigações que lhes incumbem por força do presente regulamento, em particular no que diz respeito ao tratamento de dados API que constituam dados pessoais. No caso das transportadoras aéreas, esse controlo engloba a verificação frequente dos registos referidos no artigo 17.o.

Artigo 22.o

Auditorias sobre a proteção de dados pessoais

1. As autoridades de controlo independentes a que se refere o artigo 41.o da Diretiva (UE) 2016/680 efetuam uma auditoria das operações de tratamento de dados API que constituam dados pessoais realizadas pelas UIP para efeitos do presente regulamento, pelo menos uma vez cada quatro anos. Os Estados-Membros asseguram que as respetivas autoridades de controlo independentes disponham dos meios e dos conhecimentos especializados necessários para cumprir as tarefas que lhes são confiadas no âmbito do presente regulamento.

2. A Autoridade Europeia para a Proteção de Dados efetua uma auditoria das operações de tratamento de dados API e outros dados PNR que constituam dados pessoais realizadas pela eu-LISA para efeitos do presente regulamento, em conformidade com as normas internacionais de auditoria aplicáveis, pelo menos uma vez por ano. É transmitido ao Parlamento Europeu, ao Conselho, à Comissão, aos Estados-Membros e à eu-LISA um relatório dessa auditoria. É dada à eu-LISA a oportunidade de formular observações antes da aprovação dos relatórios.

3. No que diz respeito às operações de tratamento a que se refere o n.o 2, mediante pedido, a eu-LISA presta as informações solicitadas pela Autoridade Europeia para a Proteção de Dados, concede à Autoridade Europeia para a Proteção de Dados o acesso a todos os documentos solicitados e aos registos referidos no artigo 17.o, n.o 2, e concede à Autoridade Europeia para a Proteção de Dados o acesso permanente a todas as instalações da eu-LISA.

CAPÍTULO 5

QUESTÕES RELATIVAS AO ENCAMINHADOR

Artigo 23.o

Ligações das UIP ao encaminhador

1. Os Estados-Membros asseguram que as suas UIP estão ligadas ao encaminhador. Asseguram que os seus sistemas e infraestruturas nacionais para a receção e posterior tratamento de dados API e outros dados PNR transferidos nos termos do presente regulamento sejam integrados com o encaminhador.

Os Estados-Membros asseguram que a ligação e a integração com o encaminhador permitem às UIP receber e tratar esses dados API e outros dados PNR, bem como trocar quaisquer comunicações com eles relacionadas, de forma lícita, segura, eficaz e rápida.

2. A Comissão adota atos de execução que especifiquem as regras pormenorizadas necessárias relativas às ligações e à integração com o encaminhador a que se refere o n.o 1 do presente artigo, designadamente no tocante aos requisitos em matéria de segurança dos dados. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 42.o, n.o 2.

Artigo 24.o

Ligações das transportadoras aéreas ao encaminhador

1. As transportadoras aéreas asseguram que estão ligadas ao encaminhador. Asseguram que os seus sistemas e infraestruturas para a transferência de dados API e outros dados PNR para o encaminhador nos termos do presente regulamento sejam integrados com o encaminhador.

As transportadoras aéreas asseguram que a ligação e a integração com o encaminhador lhes permitem transferir esses dados API e outros dados PNR, bem como trocar quaisquer comunicações com eles relacionadas, de forma lícita, segura, eficaz e rápida. Para o efeito, as transportadoras aéreas realizam testes à transferência de dados API e outros dados PNR para o encaminhador, em cooperação com a eu-LISA, nos termos do artigo 27.o, n.o 3.

Artigo 25.o

Funções da eu-LISA relacionadas com a conceção e o desenvolvimento do encaminhador

1. A eu-LISA é responsável pela conceção da arquitetura física do encaminhador, incluindo a definição das suas especificações técnicas.

2. A eu-LISA é responsável pelo desenvolvimento do encaminhador, incluindo as adaptações técnicas necessárias ao seu funcionamento.

O desenvolvimento do encaminhador consiste na elaboração e aplicação das especificações técnicas, nos testes e na gestão de projeto e coordenação globais da fase de desenvolvimento.

3. A eu-LISA assegura que o encaminhador seja concebido e desenvolvido de molde a fornecer as funcionalidades especificadas no presente regulamento e que o encaminhador entre em funcionamento o mais rapidamente possível após a adoção pela Comissão dos atos delegados previstos no artigo 4.o, n.o 12, no artigo 5.o, n.o 3, e no artigo 7.o, n.o 2, e dos atos de execução previstos no artigo 11.o, n.o 5, no artigo 12.o, n.o 4, no artigo 23.o, n.o 2, e no artigo 24.o, n.o 2, do presente regulamento, bem como dos atos de execução previstos no artigo 16.o, n.o 3, da Diretiva (UE) 2016/681 e após a realização de uma avaliação de impacto sobre a proteção de dados, nos termos do artigo 35.o do Regulamento (UE) 2016/679.

4. A eu-LISA fornece às UIP, às outras autoridades pertinentes dos Estados-Membros e às transportadoras aéreas um conjunto de testes de conformidade. O conjunto de testes de conformidade inclui um ambiente de ensaio, um simulador, conjuntos de dados de ensaio e um plano de ensaio. O conjunto de testes de conformidade permite o teste global do encaminhador referido nos n.os 5 e 6 e permanece disponível após a conclusão desses testes.

5. Se a eu-LISA considerar que a fase de desenvolvimento em relação aos dados API foi concluída, realiza, sem demora injustificada, um teste global do encaminhador, em cooperação com as UIP e outras autoridades pertinentes dos Estados-Membros e as transportadoras aéreas, e informa a Comissão dos resultados do teste.

6. Se a eu-LISA considerar que a fase de desenvolvimento em relação a outros dados PNR foi concluída, realiza, sem demora injustificada, testes globais do encaminhador para assegurar a fiabilidade das ligações do encaminhador às transportadoras aéreas e às UIP, a necessária transmissão normalizada de outros dados PNR pelas transportadoras aéreas e a transferência e transmissão de outros dados PNR nos termos do artigo 16.o da Diretiva (UE) 2016/681, incluindo a utilização dos protocolos comuns e dos formatos de dados normalizados reconhecidos a que se refere o artigo 16.o, n.os 2 e 3, dessa diretiva, a fim de assegurar a legibilidade dos outros dados PNR. Esses testes são realizados em cooperação com as UIP e outras autoridades competentes dos Estados-Membros e com as transportadoras aéreas. A eu-LISA informa a Comissão do resultado desses testes.

Artigo 26.o

Funções da eu-LISA relacionadas com o alojamento e a gestão técnica do encaminhador

1. A eu-LISA aloja o encaminhador nas suas instalações técnicas.

2. A eu-LISA é responsável pela gestão técnica do encaminhador, incluindo a sua manutenção e o seu desenvolvimento técnico, de modo a assegurar que os dados API e outros dados PNR sejam transmitidos de forma segura, eficaz e rápida através do encaminhador, nos termos do presente regulamento.

A gestão técnica do encaminhador consiste na execução de todas as tarefas e na adoção de todas as soluções técnicas necessárias ao bom funcionamento do encaminhador, nos termos do presente regulamento, de forma ininterrupta, 24 horas por dia, sete dias por semana. Inclui os trabalhos de manutenção e os desenvolvimentos técnicos necessários para assegurar um nível satisfatório de qualidade técnica do funcionamento do encaminhador, em especial no que diz respeito à disponibilidade, exatidão e fiabilidade da transmissão dos dados API e outros dados PNR, em conformidade com as especificações técnicas e, tanto quanto possível, em consonância com as necessidades operacionais das UIP e das transportadoras aéreas.

3. O pessoal da eu-LISA não pode ter acesso a nenhum dos dados API ou outros dados PNR transmitidos através do encaminhador. No entanto, essa proibição não obsta a que o pessoal da eu-LISA tenha o referido acesso na medida do estritamente necessário para a manutenção e a gestão técnica do encaminhador.

4. Sem prejuízo do disposto no n.o 3 do presente artigo e no artigo 17.o do Estatuto dos Funcionários da União Europeia, estabelecido no Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho (22), a eu-LISA aplica as normas de sigilo profissional adequadas, ou outros deveres de confidencialidade equivalentes, aos elementos do seu pessoal que tenham de trabalhar com os dados API e outros dados PNR transmitidos através do encaminhador. Esta obrigação mantém-se depois de essas pessoas cessarem funções ou deixarem o emprego ou após a cessação das suas atividades.

Artigo 27.o

Funções de apoio da eu-LISA relacionadas com o encaminhador

1. A pedido das UIP, de outras autoridades pertinentes dos Estados-Membros ou das transportadoras aéreas, a eu-LISA ministra-lhes formação sobre a utilização técnica do encaminhador, bem como sobre a ligação e a integração com o mesmo.

2. A eu-LISA presta apoio às UIP relativamente à receção de dados API e outros dados PNR através do encaminhador nos termos do presente regulamento, em especial no que diz respeito à aplicação dos artigos 12.o e 23.o.

3. Nos termos do artigo 24.o, n.o 1, e recorrendo ao conjunto de testes de conformidade referido no artigo 25.o, n.o 4, a eu-LISA realiza testes, em cooperação com as transportadoras aéreas, da transferência de dados API e outros dados PNR para o encaminhador.

CAPÍTULO 6

GOVERNAÇÃO

Artigo 28.o

Conselho de Gestão do Programa

1. Até 28 de janeiro de 2025, o Conselho de Administração da eu-LISA cria um Conselho de Gestão do Programa. É composto por 10 membros e integra:

a)	Sete membros nomeados pelo Conselho de Administração da eu-LISA de entre os seus membros ou suplentes;

b)	O presidente do Grupo Consultivo API-PNR a que se refere o artigo 29.o;

c)	Um membro do pessoal da eu-LISA nomeado pelo seu diretor-executivo; e

d)	Um membro nomeado pela Comissão.

No tocante à alínea a), os membros nomeados pelo Conselho de Administração da eu-LISA são eleitos apenas de entre os seus membros ou suplentes dos Estados-Membros aos quais se aplica o presente regulamento.

2. O Conselho de Gestão do Programa elabora o seu regulamento interno a adotar pelo Conselho de Administração da eu-LISA.

A presidência é assumida por um Estado-Membro que seja membro do Conselho de Gestão do Programa.

3. O Conselho de Gestão do Programa supervisiona o desempenho efetivo das funções da eu-LISA relacionadas com a conceção e o desenvolvimento do encaminhador, nos termos do artigo 25.o.

A pedido do Conselho de Gestão do Programa, a eu-LISA disponibiliza informações pormenorizadas e atualizadas sobre a conceção e o desenvolvimento do encaminhador, incluindo sobre os recursos afetados pela eu-LISA.

4. O Conselho de Gestão do Programa apresenta regularmente, e nunca menos de três vezes por trimestre, relatórios escritos ao Conselho de Administração da eu-LISA sobre os progressos efetuados na conceção e no desenvolvimento do encaminhador.

5. O Conselho de Gestão do Programa não dispõe de qualquer poder de decisão nem qualquer mandato para representar o Conselho de Administração da eu-LISA ou os seus membros.

6. O Conselho de Gestão do Programa considera-se extinto, o mais tardar, na data de aplicação do presente regulamento, referida no artigo 45.o, segundo parágrafo.

Artigo 29.o

Grupo Consultivo API-PNR

1. A partir de 28 de janeiro de 2025, o Grupo Consultivo API-PNR, criado nos termos do artigo 27.o, n.o 1, alínea de), do Regulamento (UE) 2018/1726, faculta ao Conselho de Administração da eu-LISA os conhecimentos especializados necessários relacionados com os API-PNR, designadamente no contexto da elaboração dos respetivos programa de trabalho anual e relatório anual de atividades.

2. Sempre que estejam disponíveis, a eu-LISA fornece ao Grupo Consultivo API-PNR versões, inclusive intermédias, das especificações técnicas e dos conjuntos de testes de conformidade referidos no artigo 25.o, n.os 1, 2 e 4.

3. O Grupo Consultivo API-PNR desempenha as seguintes funções:

a)	Disponibilizar conhecimentos especializados à eu-LISA e ao Conselho de Gestão do Programa no tocante à conceção e ao desenvolvimento do encaminhador, nos termos do artigo 25.o;

b)	Disponibilizar conhecimentos especializados à eu-LISA sobre o alojamento e a gestão técnica do encaminhador, nos termos do artigo 26.o;

c)	Emitir o seu parecer ao Conselho de Gestão do Programa, a pedido deste, sobre os progressos alcançados na conceção e no desenvolvimento do encaminhador, nomeadamente sobre a evolução das especificações técnicas e dos conjuntos de testes de conformidade referidos no n.o 2.

4. O Grupo Consultivo API-PNR não dispõe de qualquer poder de decisão nem qualquer mandato para representar o Conselho de Administração da eu-LISA ou os seus membros.

Artigo 30.o

Grupo de Contacto API-PNR

1. Até à data de aplicação pertinente do presente regulamento, referida no artigo 45.o, segundo parágrafo, o Conselho de Administração da eu-LISA cria um Grupo de Contacto API-PNR.

2. O Grupo de Contacto API-PNR possibilita a comunicação entre as autoridades competentes dos Estados-Membros e as transportadoras aéreas sobre questões técnicas relacionadas com as respetivas funções e obrigações ao abrigo do presente regulamento.

3. O Grupo de Contacto API-PNR é composto por representantes das autoridades competentes dos Estados-Membros e das transportadoras aéreas, pelo presidente do Grupo Consultivo API-PNR e por peritos da eu-LISA.

4. O Conselho de Administração da eu-LISA estabelece o regulamento interno do Grupo de Contacto API-PNR, na sequência de um parecer do Grupo Consultivo API-PNR.

5. Se for considerado necessário, o Conselho de Administração da eu-LISA pode também criar subgrupos do Grupo de Contacto API-PNR para debater questões técnicas específicas relacionadas com as respetivas funções e obrigações das autoridades competentes dos Estados-Membros e das transportadoras aéreas ao abrigo do presente regulamento.

6. O Grupo de Contacto API-PNR, incluindo os seus subgrupos, não dispõe de qualquer poder de decisão nem qualquer mandato para representar o Conselho de Administração da eu-LISA ou os seus membros.

Artigo 31.o

Grupo de peritos API

1. Até à data de aplicação do presente regulamento referida no artigo 45.o, segundo parágrafo, alínea a), a Comissão cria um grupo de peritos API em conformidade com as regras horizontais relativas à criação e ao funcionamento dos grupos de peritos da Comissão.

2. O grupo de peritos API possibilita a comunicação das autoridades competentes dos Estados-Membros entre si, e entre estas e as transportadoras aéreas, sobre questões políticas relacionadas com as respetivas funções e obrigações ao abrigo do presente regulamento, designadamente quanto às sanções referidas no artigo 38.o.

3. O grupo de peritos API é presidido pela Comissão e constituído em conformidade com as regras horizontais relativas à criação e ao funcionamento dos grupos de peritos da Comissão. É composto por representantes das autoridades competentes dos Estados-Membros, representantes das transportadoras aéreas e peritos da eu-LISA. Se tal for pertinente para o desempenho das suas funções, o grupo de peritos API pode convidar partes interessadas pertinentes – especialmente representantes do Parlamento Europeu, a Autoridade Europeia para a Proteção de Dados e as autoridades nacionais de supervisão independentes – a participarem nos seus trabalhos.

4. O grupo de peritos API exerce as suas funções no respeito do princípio da transparência. A Comissão publica no seu sítio Web as atas das reuniões do grupo de peritos API e outros documentos pertinentes.

Artigo 32.o

Custos incorridos pela eu-LISA, pela Autoridade Europeia para a Proteção de Dados, pelas autoridades nacionais de supervisão e pelos Estados-Membros

1. Os custos incorridos pela eu-LISA relacionados com a criação e o funcionamento do encaminhador ao abrigo do presente regulamento são suportados pelo orçamento geral da União.

2. Os custos incorridos pelos Estados-Membros relacionados com a aplicação do presente regulamento, nomeadamente a sua ligação e integração com o encaminhador a que se refere o artigo 23.o, são suportados pelo orçamento geral da União, em conformidade com as regras de elegibilidade e as taxas de cofinanciamento estabelecidas pelos atos jurídicos da União aplicáveis.

3. Os custos incorridos pela Autoridade Europeia para a Proteção de Dados no exercício das funções que lhe são confiadas nos termos do presente regulamento são suportados pelo orçamento geral da União.

4. Os custos incorridos pelas autoridades nacionais de supervisão independentes no exercício das funções que lhes são confiadas nos termos do presente regulamento são suportados pelos Estados-Membros.

Artigo 33.o

Responsabilidade relacionada com o encaminhador

Se o incumprimento por um Estado-Membro ou uma transportadora aérea das obrigações que lhe incumbem por força do presente regulamento causar danos ao encaminhador, esse Estado-Membro ou essa transportadora aérea é responsável pelos danos, conforme previsto no direito nacional ou da União aplicável, a menos e na medida em que seja demonstrado que a eu-LISA, outro Estado-Membro ou outra transportadora aérea não tomaram medidas razoáveis para prevenir os danos ou minimizar o seu impacto.

Artigo 34.o

Entrada em funcionamento do encaminhador em relação aos dados API

A Comissão determina, sem demora injustificada, a data a partir da qual o encaminhador entra em funcionamento em relação aos dados API por meio de um ato de execução, logo que a eu-LISA tenha informado a Comissão da conclusão com êxito do teste global do encaminhador a que se refere o artigo 25.o, n.o 5. O referido ato de execução é adotado pelo procedimento de exame a que se refere o artigo 42.o, n.o 2.

A Comissão fixa a data a que se refere o primeiro parágrafo, que não pode exceder 30 dias a contar da data de adoção desse ato de execução.

Artigo 35.o

Entrada em funcionamento do encaminhador em relação a outros dados PNR

A Comissão determina, sem demora injustificada, a data a partir da qual o encaminhador entra em funcionamento em relação a outros dados PNR por meio de um ato de execução, logo que a eu-LISA tenha informado a Comissão da conclusão com êxito dos testes globais do encaminhador a que se refere o artigo 25.o, n.o 6, nomeadamente sobre a fiabilidade das ligações do encaminhador às transportadoras aéreas e às UIP e sobre a legibilidade dos outros dados PNR transferidos pelas transportadoras aéreas e transmitidos pelo encaminhador no formato normalizado necessário, nos termos do artigo 16.o da Diretiva (UE) 2016/681. O referido ato de execução é adotado pelo procedimento de exame a que se refere o artigo 42.o, n.o 2.

A Comissão fixa a data a que se refere o primeiro parágrafo, que não pode exceder 30 dias a contar da data de adoção desse ato de execução.

Artigo 36.o

Utilização voluntária do encaminhador

1. As transportadoras aéreas têm o direito de utilizar o encaminhador para transmitir as informações a que se refere o artigo 3.o, n.os 1 e 2, da Diretiva 2004/82/CE ou outros dados PNR recolhidos nos termos do artigo 8.o da Diretiva (UE) 2016/681 a uma ou mais das UIP responsáveis, em conformidade com as referidas diretivas, desde que o Estado-Membro em causa tenha concordado com essa utilização, a partir de uma data adequada por si fixada. O referido Estado-Membro só pode concordar depois de ter determinado que – em particular, no que diz respeito quer à ligação da sua própria UIP ao encaminhador quer à da transportadora aérea em causa – as informações podem ser transmitidas de forma lícita, segura, eficaz e rápida.

2. Uma transportadora aérea que comece a utilizar o encaminhador nos termos do n.o 1 do presente artigo continua a fazê-lo para transmitir tais informações à UIP do Estado-Membro em causa até à data de aplicação pertinente do presente regulamento a que se refere o artigo 45.o, segundo parágrafo. No entanto, tal utilização é interrompida, a partir de uma data adequada fixada pelo Estado-Membro em causa, se este considerar haver razões objetivas que exijam essa interrupção e tiver informado a transportadora aérea em conformidade.

3. O Estado-Membro em causa:

a)	Consulta a eu-LISA antes de concordar com a utilização voluntária do encaminhador nos termos do n.o 1;

b)	Dá à transportadora aérea em causa, exceto em situações de urgência devidamente justificada, a oportunidade de apresentar comentários sobre a sua intenção de interromper a utilização nos termos do n.o 2 e, se for caso disso, consulta igualmente a eu-LISA a esse respeito;

c)	Informa imediatamente a eu-LISA e a Comissão da aceitação e eventual interrupção de utilização, facultando todas as informações necessárias, incluindo a data de início da utilização, a data da interrupção e os motivos da interrupção, consoante o caso.

CAPÍTULO 7

SUPERVISÃO, SANÇÕES, ESTATÍSTICAS E MANUAL

Artigo 37.o

Autoridade nacional de supervisão dos dados API

1. Os Estados-Membros designam uma ou mais autoridades nacionais de supervisão dos dados API responsáveis pelo controlo da aplicação no seu território das disposições do presente regulamento por parte das transportadoras aéreas e pela garantia do cumprimento dessas disposições.

2. Os Estados-Membros asseguram que as autoridades nacionais de supervisão dos dados API disponham de todos os meios e poderes de investigação e execução necessários para desempenharem as suas funções ao abrigo do presente regulamento, nomeadamente através da imposição das sanções referidas no artigo 38.o, se for caso disso. Os Estados-Membros asseguram que o exercício dos poderes conferidos à autoridade nacional de supervisão dos dados API esteja sujeito a salvaguardas adequadas, em conformidade com os direitos fundamentais garantidos pelo direito da União.

3. Os Estados-Membros comunicam à Comissão, até à data de aplicação pertinente do presente regulamento referida no artigo 45.o, segundo parágrafo, o nome e os dados de contacto das autoridades que designaram nos termos do n.o 1 do presente artigo. Notificam de imediato a Comissão de quaisquer alterações subsequentes ou de correções dos mesmos.

4. O presente artigo aplica-se sem prejuízo dos poderes das autoridades de supervisão a que se refere o artigo 51.o do Regulamento (UE) 2016/679, o artigo 41.o da Diretiva (UE) 2016/680 e o artigo 15.o da Diretiva (UE) 2016/681.

Artigo 38.o

Sanções

1. Os Estados-Membros estabelecem as regras relativas às sanções aplicáveis em caso de violação do disposto no presente regulamento e tomam todas as medidas necessárias para garantir a sua aplicação. As sanções previstas são efetivas, proporcionadas e dissuasivas.

2. Até à data de aplicação pertinente do presente regulamento referida no artigo 45.o, segundo parágrafo, os Estados-Membros informam a Comissão dessas regras e medidas, notificando-a sem demora de qualquer alteração subsequente das mesmas.

3. Os Estados-Membros asseguram que as autoridades nacionais de supervisão dos dados API, ao decidirem da imposição de uma sanção e ao determinarem o tipo e o nível das sanções, tenham em conta as circunstâncias pertinentes, as quais podem incluir:

a)	A natureza, a gravidade e a duração da infração;

b)	O grau de dolo da transportadora aérea;

c)	As infrações cometidas anteriormente pela transportadora aérea;

d)	O nível global de cooperação da transportadora aérea com as autoridades competentes;

e)	A dimensão da transportadora aérea, analisando, por exemplo, o número de passageiros transportados anualmente;

f)	A eventual aplicação, por outras autoridades nacionais de supervisão dos dados API, de sanções prévias à mesma transportadora aérea pela mesma infração.

4. Os Estados-Membros asseguram que o incumprimento recorrente da sua obrigação de transferir os dados API nos termos do artigo 5.o, n.o 1, fique sujeito a sanções financeiras proporcionadas, até 2 % do volume de negócios global da transportadora aérea no exercício anterior. Os Estados-Membros asseguram que o incumprimento de outras obrigações estabelecidas no presente regulamento fique sujeito a sanções proporcionadas, inclusivamente sanções financeiras.

Artigo 39.o

Estatísticas

1. A fim de apoiar a execução e o controlo da aplicação do presente regulamento e com base nas informações estatísticas referidas nos n.os 5 e 6, a eu-LISA publica trimestralmente estatísticas sobre o funcionamento do encaminhador e sobre o cumprimento, pelas transportadoras aéreas, das obrigações estabelecidas no presente regulamento. Essas estatísticas não podem permitir a identificação de pessoas.

2. Para efeitos do disposto no n.o 1, o encaminhador transmite automaticamente ao CRRS os dados enumerados nos n.os 5 e 6.

3. A fim de apoiar a execução e o controlo da aplicação do presente regulamento, a cada ano, a eu-LISA compila os dados estatísticos num relatório anual relativo ao ano anterior. Publica o relatório anual e transmite-o ao Parlamento Europeu, ao Conselho, à Comissão, à Autoridade Europeia para a Proteção de Dados, à Agência Europeia da Guarda de Fronteiras e Costeira e às autoridades nacionais de supervisão API a que se refere o artigo 37.o. O relatório anual não pode divulgar métodos de trabalho confidenciais nem comprometer as investigações em curso das autoridades competentes dos Estados-Membros.

4. A pedido da Comissão, a eu-LISA fornece-lhe estatísticas sobre aspetos específicos relacionados com a aplicação do presente regulamento, bem como as estatísticas referidas no n.o 3.

5. O CRRS presta à eu-LISA as informações estatísticas que se seguem, necessárias para a elaboração dos relatórios a que se refere o artigo 44.o e para a produção de estatísticas em conformidade com o presente artigo, sem que tais estatísticas relativas aos dados API permitam a identificação dos passageiros em causa:

a)	Se os dados dizem respeito a um passageiro ou membro da tripulação;

b)	A nacionalidade, o sexo e o ano de nascimento do passageiro ou membro da tripulação;

c)	A data e o ponto inicial de embarque, a data e o aeroporto de partida e a data e o aeroporto de chegada;

d)	O tipo de documento de viagem, o código de três letras do país emissor e a data de validade do documento de viagem;

e)	O número de passageiros registados no mesmo voo;

f)	O código da transportadora aérea que opera o voo;

g)	Se o voo é regular ou não regular;

h)	Se os dados API foram transferidos imediatamente após o encerramento da porta de embarque;

i)	Se os dados pessoais do passageiro são exatos, completos e estão atualizados;

j)	Os meios técnicos utilizados para recolher os dados API.

6. O CRRS presta à eu-LISA as seguintes informações estatísticas necessárias para a elaboração dos relatórios a que se refere o artigo 44.o e para a produção de estatísticas nos termos do presente artigo, sem que tais estatísticas relativas a outros dados PNR permitam a identificação dos passageiros em causa:

a)	A data e a hora em que a mensagem PNR foi recebida pelo encaminhador;

b)	As informações de voo contidas no itinerário de viagem na mensagem PNR específica;

c)	As informações de partilha de código contidas na mensagem PNR específica.

7. Para efeitos da elaboração de relatórios a que se refere o artigo 44.o e para a produção de estatísticas nos termos do presente artigo, a eu-LISA conserva os dados referidos nos n.os 5 e 6 do presente artigo no CRRS. A eu-LISA conserva esses dados durante um período de cinco anos, nos termos do n.o 2, assegurando simultaneamente que os dados não permitam a identificação dos passageiros em causa. O CRRS fornece ao pessoal devidamente autorizado das UIP e de outras autoridades pertinentes dos Estados-Membros relatórios e estatísticas personalizáveis sobre os dados API a que se refere o n.o 5 do presente artigo e outros dados PNR a que se refere o n.o 6 do presente artigo, para fins da execução e do controlo da aplicação do presente regulamento.

8. A utilização dos dados referidos nos n.os 5 e 6 do presente artigo não pode dar lugar à definição de perfis de pessoas, tal como referido no artigo 11.o, n.o 3, da Diretiva (UE) 2016/680, ou à discriminação de pessoas pelos motivos enumerados no artigo 21.o da Carta. Os dados referidos nos n.os 5 e 6 do presente artigo não podem ser utilizados para a comparação ou a correspondência com dados pessoais ou para serem combinados com dados pessoais.

9. Os procedimentos instaurados pela eu-LISA para acompanhar o desenvolvimento e o funcionamento do encaminhador referidos no artigo 39.o, n.o 2, do Regulamento (UE) 2019/818 incluem a possibilidade de elaborar estatísticas regulares para assegurar esse acompanhamento.

Artigo 40.o

Manual prático

A Comissão, em estreita cooperação com as UIP, outras autoridades pertinentes dos Estados-Membros, as transportadoras aéreas e os órgãos e organismos pertinentes da União, elabora e disponibiliza ao público um manual prático que contenha orientações, recomendações e boas práticas para a aplicação do presente regulamento, nomeadamente em matéria de cumprimento dos direitos fundamentais e de sanções, nos termos do artigo 38.o.

O manual prático tem em conta outros manuais pertinentes.

A Comissão adota o manual prático sob a forma de recomendação.

CAPÍTULO 8

RELAÇÃO COM OUTROS INSTRUMENTOS EXISTENTES

Artigo 41.o

Alteração do Regulamento (UE) 2019/818

No artigo 39.o do Regulamento (UE) 2019/818, os n.os 1 e 2 passam a ter a seguinte redação:

«1. É criado um repositório central para a elaboração de relatórios e estatísticas (CRRS) para efeitos de apoio aos objetivos do Eurodac, do SIS e do ECRIS-TCN, em conformidade com os respetivos atos jurídicos que regem esses sistemas, e para disponibilizar dados estatísticos intersistemas e relatórios analíticos para fins políticos, operacionais e para efeitos de qualidade dos dados. O CRRS apoia igualmente os objetivos do Regulamento (UE) 2025/13 do Parlamento Europeu e do Conselho (*1).

2. A eu-Lisa cria, implementa e aloja o CRRS nas suas instalações técnicas, contendo os dados e as estatísticas referidos no artigo 74.o do Regulamento (UE) 2018/1862 e no artigo 32.o do Regulamento (UE) 2019/816, logicamente separados pelo sistema de informação da UE. A eu-LISA também recolhe os dados e as estatísticas do encaminhador referido no artigo 39.o, n.o 1, do regulamento (UE) 2025/13. O acesso ao CRRS deve ser concedido mediante um acesso seguro com controlo do acesso e perfis de utilizador específicos, unicamente com a finalidade de elaboração de relatórios e estatísticas, às autoridades a que se refere o artigo 74.o do Regulamento (UE) 2018/1862, o artigo 32.o do Regulamento (UE) 2019/816 e o artigo 13.o, n.o 1, do Regulamento (UE) 2025/13.

CAPÍTULO 9

DISPOSIÇÕES FINAIS

Artigo 42.o

Procedimento de comité

1. A Comissão é assistida por um comité. Este comité é um comité na aceção do Regulamento (UE) n.o 182/2011.

2. Caso se remeta para o presente número, aplica-se o artigo 5.o do Regulamento (UE) n.o 182/2011. Na falta de parecer do comité, a Comissão não adota o projeto de ato de execução, aplicando-se o artigo 5.o, n.o 4, terceiro parágrafo, do Regulamento (UE) n.o 182/2011.

Artigo 43.o

Exercício da delegação

1. O poder de adotar atos delegados é conferido à Comissão nas condições estabelecidas no presente artigo.

2. O poder de adotar atos delegados referido no artigo 4.o, n.os 11 e 12, no artigo 5.o, n.o 4, e no artigo 7.o, n.o 5, é conferido à Comissão por um prazo de cinco anos a contar de 28 de janeiro de 2025. A Comissão elabora um relatório relativo à delegação de poderes pelo menos nove meses antes do final do prazo de cinco anos. A delegação de poderes é tacitamente prorrogada por períodos de igual duração, salvo se o Parlamento Europeu ou o Conselho a tal se opuserem pelo menos três meses antes do final de cada prazo.

No tocante aos atos delegados adotados nos termos do artigo 4.o, n.o 11, se tiverem sido formuladas objeções ao abrigo do n.o 6 pelo Parlamento Europeu ou pelo Conselho, o Parlamento Europeu ou o Conselho não podem opor-se à prorrogação tácita referida no primeiro parágrafo do presente número.

3. A delegação de poderes referida no artigo 4.o, n.o 12, no artigo 5.o, n.o 4, e no artigo 7.o, n.o 5, pode ser revogada em qualquer momento pelo Parlamento Europeu ou pelo Conselho. A decisão de revogação põe termo à delegação dos poderes nela especificados. A decisão de revogação produz efeitos a partir do dia seguinte ao da sua publicação no Jornal Oficial da União Europeia ou de uma data posterior nela especificada. A decisão de revogação não afeta os atos delegados já em vigor.

4. Antes de adotar um ato delegado, a Comissão consulta os peritos designados por cada Estado-Membro de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor.

5. Assim que adotar um ato delegado, a Comissão notifica-o simultaneamente ao Parlamento Europeu e ao Conselho.

6. Os atos delegados adotados nos termos do artigo 4.o, n.os 11 ou 12, do artigo 5.o, n.o 4, ou do artigo 7.o, n.o 5, só entram em vigor se não tiverem sido formuladas objeções pelo Parlamento Europeu ou pelo Conselho no prazo de dois meses a contar da sua notificação ao Parlamento Europeu e ao Conselho, ou se, antes do termo desse prazo, o Parlamento Europeu e o Conselho tiverem informado a Comissão de que não têm objeções a formular. O referido prazo é prorrogável por dois meses por iniciativa do Parlamento Europeu ou do Conselho.

Artigo 44.o

Acompanhamento e avaliação

1. A eu-LISA assegura que são criados procedimentos para acompanhar o desenvolvimento do encaminhador tendo em conta os objetivos fixados em termos de planeamento e de custos e para acompanhar o funcionamento do encaminhador tendo em conta os objetivos fixados em termos de resultados técnicos, relação custo-eficácia, segurança e qualidade do serviço.

2. Até 29 de janeiro de 2026 e, posteriormente, todos os anos durante a fase de desenvolvimento do encaminhador, a eu-LISA elabora um relatório sobre o ponto da situação do desenvolvimento do encaminhador e apresenta-o ao Parlamento Europeu e ao Conselho. O relatório inclui informações detalhadas sobre os custos incorridos e sobre os riscos suscetíveis de ter impacto nos custos globais a suportar pelo orçamento geral da União nos termos do artigo 32.o.

3. Quando o encaminhador estiver operacional, a eu-LISA elabora e apresenta ao Parlamento Europeu e ao Conselho um relatório que explique em pormenor de que modo se alcançaram os objetivos, em particular em matéria de planeamento e de custos, e que justifique eventuais divergências.

4. Até 29 de janeiro de 2029 e, posteriormente, de quatro em quatro anos, a Comissão elabora um relatório com uma avaliação global do presente regulamento, designadamente sobre a necessidade e o valor acrescentado da recolha de dados API, incluindo uma avaliação:

a)	Da aplicação do presente regulamento;

b)	Do grau de consecução dos objetivos do presente regulamento;

c)	Do impacto do presente regulamento nos direitos fundamentais protegidos pelo direito da União;

d)	Do impacto do presente regulamento na experiência de viagem dos passageiros legítimos;

e)	Do impacto do presente regulamento na competitividade do setor da aviação e nos encargos suportados pelas empresas;

f)	Da qualidade dos dados transmitidos pelo encaminhador às UIP;

g)	Do desempenho do encaminhador em relação às UIP.

Para efeitos da alínea e) do primeiro parágrafo, o relatório da Comissão aborda também a interação do presente regulamento com outros atos legislativos pertinentes da União, nomeadamente os Regulamentos (CE) n.o 767/2008, (UE) 2017/2226 e (UE) 2018/1240, para avaliar o impacto global das obrigações de comunicação de informações conexas nas transportadoras aéreas, identificar as disposições que possam ser atualizadas e simplificadas, se for caso disso, a fim de atenuar os encargos para as transportadoras aéreas e ponderar ações e medidas que possam ser tomadas para reduzir a pressão dos custos totais sobre as transportadoras aéreas.

5. A avaliação a que se refere o n.o 4 inclui também uma apreciação da necessidade, proporcionalidade e eficácia da inclusão da recolha e transferência obrigatórias de dados API relativos a voos intra-UE no âmbito de aplicação do presente regulamento.

6. A Comissão apresenta o relatório de avaliação ao Parlamento Europeu, ao Conselho, à Autoridade Europeia para a Proteção de Dados e à Agência dos Direitos Fundamentais da União Europeia. Se for caso disso, à luz da avaliação efetuada, a Comissão apresenta ao Parlamento Europeu e ao Conselho uma proposta legislativa destinada a alterar o presente regulamento.

7. Os Estados-Membros e as transportadoras aéreas prestam, mediante pedido, à eu-LISA e à Comissão as informações necessárias para a elaboração dos relatórios referidos nos n.os 2, 3 e 4. Os Estados-Membros prestam, em especial, informações quantitativas e qualitativas sobre a recolha de dados API de uma perspetiva operacional. As informações prestadas não podem incluir dados pessoais. Os Estados-Membros podem abster-se de prestar tais informações se e na medida do necessário para não divulgar métodos de trabalho confidenciais ou comprometer as investigações em curso das suas UIP ou de outras autoridades competentes. A Comissão assegura a proteção adequada de todas as informações confidenciais prestadas.

Artigo 45.o

Entrada em vigor e aplicação

O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

É aplicável:

a)	Em relação aos dados API, dois anos a contar da data de entrada em funcionamento do encaminhador, conforme determinada pela Comissão nos termos do artigo 34.o; e

b)	Em relação a outros dados PNR, quatro anos a contar da data de entrada em funcionamento do encaminhador, conforme determinada pela Comissão nos termos do artigo 35.o.

No entanto:

O artigo 4.o, n.o 12, o artigo 5.o, n.o 3, o artigo 7.o, n.o 5, o artigo 11.o, n.o 5, o artigo 12.o, n.o 6, o artigo 18.o, n.o 4, o artigo 23.o, n.o 2, o artigo 24.o, n.o 2, o artigo 25.o, o artigo 28.o, o artigo 29.o, o artigo 32.o, n.o 1, o artigo 34.o, o artigo 35.o, o artigo 42.o e o artigo 43.o são aplicáveis a partir de 28 de janeiro de 2025;

O artigo 6.o, o artigo 17.o, n.os 1, 2 e 3, o artigo 18.o, n.os 1, 2 e 3, o artigo 19.o, o artigo 20.o, o artigo 26.o, o artigo 27.o, o artigo 33.o e o artigo 36.o são aplicáveis a partir da data de entrada em funcionamento do encaminhador, determinada pela Comissão nos termos dos artigos 34.o e 35.o.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável nos Estados-Membros em conformidade com os Tratados.

Feito em Bruxelas, em 19 de dezembro de 2024.

Pelo Parlamento Europeu

A Presidente

R. METSOLA

Pelo Conselho

O Presidente

BÓKA J.

(1) JO C 228 de 29.6.2023, p. 97.

(2) Posição do Parlamento Europeu de 25 de abril de 2024 (ainda não publicada no Jornal Oficial) e decisão do Conselho de 12 de dezembro de 2024.

(3) Diretiva 2004/82/CE do Conselho, de 29 de abril de 2004, relativa à obrigação de comunicação de dados dos passageiros pelas transportadoras (JO L 261 de 6.8.2004, p. 24).

(4) Diretiva (UE) 2016/681 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à utilização dos dados dos registos de identificação dos passageiros (PNR) para efeitos de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave (JO L 119 de 4.5.2016, p. 132).

(5) Regulamento (UE) 2025/12 do Parlamento Europeu e do Conselho, de 19 de dezembro de 2024, relativo à recolha e transferência de informações antecipadas sobre os passageiros para reforçar e melhorar os controlos nas fronteiras externas, que altera os Regulamentos (UE) 2018/1726 e (UE) 2019/817, e que revoga a Diretiva 2004/82/CE do Conselho (JO L, 2025/12, 8.1.2025, ELI: http://data.europa.eu/eli/reg/2025/12/oj).

(6) Regulamento (UE) 2019/1157 do Parlamento Europeu e do Conselho, de 20 de junho de 2019, que visa reforçar a segurança dos bilhetes de identidade dos cidadãos da União e dos títulos de residência emitidos aos cidadãos da União e seus familiares que exercem o direito à livre circulação (JO L 188 de 12.7.2019, p. 67).

(7) Regulamento (CE) n.o 2252/2004 do Conselho, de 13 de dezembro de 2004, que estabelece normas para os dispositivos de segurança e dados biométricos dos passaportes e documentos de viagem emitidos pelos Estados-Membros (JO L 385 de 29.12.2004, p. 1).

(8) Diretiva (UE) 2019/997 do Conselho, de 18 de junho de 2019, que cria um título de viagem provisório da UE e que revoga a Decisão 96/409/PESC (JO L 163 de 20.6.2019, p. 1).

(9) Regulamento (UE) 2017/2226 do Parlamento Europeu e do Conselho, de 30 de novembro de 2017, que estabelece o Sistema de Entrada/Saída (SES) para registo dos dados das entradas e saídas e dos dados das recusas de entrada dos nacionais de países terceiros aquando da passagem das fronteiras externas dos Estados-Membros, que determina as condições de acesso ao SES para efeitos de aplicação da lei, e que altera a Convenção de Aplicação do Acordo de Schengen e os Regulamentos (CE) n.o 767/2008 e (UE) n.o 1077/2011 (JO L 327 de 9.12.2017, p. 20).

(10) Regulamento (UE) 2018/1240 do Parlamento Europeu e do Conselho, de 12 de setembro de 2018, que cria um Sistema Europeu de Informação e Autorização de Viagem (ETIAS) e altera os Regulamentos (UE) n.o 1077/2011, (UE) n.o 515/2014, (UE) 2016/399, (UE) 2016/1624 e (UE) 2017/2226 (JO L 236 de 19.9.2018, p. 1).

(11) Regulamento (CE) n.o 767/2008 do Parlamento Europeu e do Conselho, de 9 de julho de 2008, relativo ao Sistema de Informação sobre Vistos (VIS) e ao intercâmbio de dados entre os Estados-Membros sobre os vistos de curta duração (Regulamento VIS) (JO L 218 de 13.8.2008, p. 60).

(12) Regulamento (UE) 2018/1726 do Parlamento Europeu e do Conselho, de 14 de novembro de 2018, relativo à Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA), que altera o Regulamento (CE) n.o 1987/2006 e a Decisão 2007/533/JAI do Conselho, e que revoga o Regulamento (UE) n.o 1077/2011 (JO L 295 de 21.11.2018, p. 99).

(13) Regulamento (CE) n.o 1107/2006 do Parlamento Europeu e do Conselho, de 5 de julho de 2006, relativo aos direitos das pessoas com deficiência e das pessoas com mobilidade reduzida no transporte aéreo (JO L 204 de 26.7.2006, p. 1).

(14) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(15) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).

(16) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).

(17) Regulamento (UE) 2019/818 do Parlamento Europeu e do Conselho, de 20 de maio de 2019, relativo à criação de um regime de interoperabilidade entre os sistemas de informação da UE no domínio da cooperação policial e judiciária, asilo e migração, e que altera os Regulamentos (UE) 2018/1726, (UE) 2018/1862 e (UE) 2019/816 (JO L 135 de 22.5.2019, p. 85).

(18) JO L 123 de 12.5.2016, p. 1.

(19) Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho, de 16 de fevereiro de 2011, que estabelece as regras e os princípios gerais relativos aos mecanismos de controlo pelos Estados-Membros do exercício das competências de execução pela Comissão (JO L 55 de 28.2.2011, p. 13, ELI: http://data.europa.eu/eli/reg/2011/182/oj).

(20) JO C 84 de 7.3.2023, p. 2.

(21) Diretiva (UE) 2017/541 do Parlamento Europeu e do Conselho, de 15 de março de 2017, relativa à luta contra o terrorismo e que substitui a Decisão-Quadro 2002/475/JAI do Conselho e altera a Decisão 2005/671/JAI do Conselho (JO L 88 de 31.3.2017, p. 6).

(22) JO L 56 de 4.3.1968, p. 1.