Regolamento (UE) 2025/13

Oggetto e coordinamento con la disciplina PNR

L’articolo 1 stabilisce norme su: raccolta delle API sui voli extra-UE e intra-UE; trasferimento delle API e di altri dati PNR al router da parte dei vettori aerei; trasmissione dal router alle UIP dei dati API e degli altri dati PNR relativi ai voli extra-UE e ai voli intra-UE selezionati. Il regolamento non pregiudica il regolamento (UE) 2016/679, il regolamento (UE) 2018/1725 e la direttiva (UE) 2016/680. I considerando chiariscono che il regolamento integra la direttiva (UE) 2016/681 e lascia a quest’ultima la disciplina del successivo trattamento dei dati, dello scambio tra Stati membri, dell’accesso di Europol, dei trasferimenti verso paesi terzi, della conservazione, anonimizzazione e delle sanzioni/autorità di controllo nei casi pertinenti.

Ambito soggettivo e voli interessati

L’articolo 2 si applica ai vettori aerei che operano voli extra-UE e voli intra-UE che partono, arrivano o fanno scalo in almeno uno Stato membro che ha notificato l’applicazione della direttiva (UE) 2016/681 ai voli intra-UE. I considerando escludono i voli che partono e atterrano nello stesso Stato membro senza scali in altri Stati membri o paesi terzi, e le operazioni aeronautiche civili non commerciali o speciali indicate dal testo.

Definizioni rilevanti

L’articolo 3 rinvia per le definizioni di vettore aereo, volo extra-UE, volo intra-UE, passeggero e reato grave alla direttiva (UE) 2016/681; definisce inoltre il volo di linea e non di linea richiamando il regolamento (UE) 2025/12. Sono definiti anche equipaggio, API, altri dati PNR, UIP, reato di terrorismo, router, dati personali e dati sul traffico aereo in tempo reale.

Contenuto delle API e modalità di raccolta

L’articolo 4 elenca in modo tassativo le API da raccogliere per ciascun passeggero e membro dell’equipaggio: nome, data di nascita/sesso/cittadinanza, dati del documento di viaggio, identificativo PNR di pratica, posto a sedere e dati bagagli se disponibili, e un codice che indichi il metodo di raccolta/validazione. Le informazioni di volo includono numero volo, eventuale valico di frontiera, aeroporti di partenza/arrivo e di scalo, date/ore locali, dati di contatto del vettore e formato di trasferimento. La raccolta deve garantire dati esatti, completi e aggiornati; non comporta obbligo per il vettore di controllare il documento di viaggio all’imbarco né per il passeggero di portarlo con sé, salvo altre norme applicabili. La regola generale impone la raccolta automatizzata dai documenti leggibili meccanicamente; la raccolta manuale è eccezionale, in caso di impossibilità tecnica. È previsto un periodo transitorio per la raccolta manuale online, con uso di tecniche di verifica dei dati. La Commissione può adottare atti delegati per fissare requisiti tecnici e operativi dettagliati e per porre fine al periodo transitorio, a partire da quattro anni dopo l’entrata in funzione del router in relazione ai dati API.

Trasferimento al router e altri dati PNR

L’articolo 5 impone ai vettori aerei di trasferire le API criptate al router con mezzi automatizzati ai fini della trasmissione alle UIP. Quando gli Stati membri adottano misure ai sensi dell’articolo 8, paragrafo 1, della direttiva (UE) 2016/681, i vettori trasferiscono al router anche gli altri dati PNR raccolti nel normale svolgimento dell’attività, secondo i protocolli comuni e formati previsti dalla direttiva PNR. Le API vanno trasferite al momento dell’accettazione, ma non prima delle 48 ore precedenti la partenza prevista, e di nuovo per tutti i passeggeri imbarcati immediatamente dopo la chiusura del volo; per l’equipaggio, il trasferimento avviene immediatamente dopo la chiusura del volo. La Commissione può adottare atti delegati sui protocolli comuni, i formati di dati supportati e la sicurezza del trasferimento criptato.

Conservazione e cancellazione dei dati API presso i vettori

Ai sensi dell’articolo 6, i vettori aerei conservano per 48 ore, dal momento del ricevimento da parte del router dei dati inviati dopo la chiusura del volo, i dati API relativi a tutti i passeggeri e all’intero equipaggio. Trascorso il termine, devono cancellarli immediatamente e definitivamente, salvo la facoltà di conservarli e usarli per il normale svolgimento dell’attività nel rispetto del diritto applicabile e delle regole sulla correzione/aggiornamento.

Correzione, integrazione e aggiornamento

L’articolo 7 disciplina la cancellazione immediata dei dati trattati illecitamente o che non costituiscono API; in caso di trasferimento già avvenuto, eu-LISA deve essere informata e a sua volta comunica alle UIP interessate. Se i dati sono inesatti, incompleti o non aggiornati, il vettore deve rettificarli, integrarli o aggiornarli. Se l’errore emerge tra il primo trasferimento e quello successivo alla chiusura del volo, oppure dopo i trasferimenti finali, il vettore deve trasmettere immediatamente i dati corretti al router. La Commissione può adottare atti delegati di dettaglio.

Principi di non discriminazione e tutela dei diritti fondamentali

L’articolo 8 vieta discriminazioni nel trattamento di dati personali basate sui motivi dell’articolo 21 della Carta. Il regolamento richiama il rispetto pieno della Carta, inclusi vita privata, asilo, protezione dei dati, libertà di circolazione e ricorsi effettivi, con particolare attenzione a minori, anziani, persone con disabilità e persone vulnerabili.

Router unico: struttura, funzioni e uso esclusivo

L’articolo 9 affida a eu-LISA la progettazione, lo sviluppo, l’hosting e la gestione tecnica di un router unico per agevolare il trasferimento criptato di API e altri dati PNR. Il router comprende un’infrastruttura centrale, canali sicuri verso UIP e vettori, e un canale per i dati sul traffico aereo in tempo reale. Deve riutilizzare, ove possibile, componenti di sistemi UE esistenti (EES, ETIAS, VIS) e trasmettere dati al CRRS. L’articolo 10 limita l’uso del router ai vettori aerei, alle UIP e, ove previsto da accordi internazionali, a taluni trasferimenti verso paesi terzi associati a Schengen.

Verifiche automatiche e avvisi

L’articolo 11 impone al router di verificare automaticamente, anche sulla base dei dati sul traffico aereo in tempo reale, se il vettore ha trasmesso i dati dovuti e se i formati sono conformi. In caso di omissione o non conformità, il router avvisa immediatamente il vettore interessato e le UIP destinatarie; il vettore deve ritrasmettere i dati. La Commissione adotta atti di esecuzione sulle regole tecniche e procedurali delle verifiche e degli avvisi.

Trasmissione alle UIP e selezione dei voli intra-UE

L’articolo 12 prevede che il router trasmetta immediatamente e automaticamente i dati API e gli eventuali altri dati PNR alle UIP dello Stato membro di partenza o di arrivo, o a entrambi negli intra-UE; se vi sono scali in altri Stati membri, i dati vanno alle UIP di tutti gli Stati interessati. Per i voli intra-UE, la trasmissione avviene solo per i voli o collegamenti inseriti negli elenchi selezionati dagli Stati membri. Gli Stati membri devono confermare immediatamente nel router il ricevimento dei dati. Devono inserire e aggiornare gli elenchi dei voli selezionati entro la data di applicazione del regolamento. Le informazioni inserite nel router sono riservate e accessibili a eu-LISA solo quanto strettamente necessario per risolvere problemi tecnici. La Commissione adotta atti di esecuzione sulle modalità tecniche e procedurali di trasmissione e inserimento delle informazioni.

Criteri per la selezione dei voli intra-UE

L’articolo 13 disciplina la selezione dei voli intra-UE. La selezione di tutti i voli intra-UE è ammessa solo in presenza di una minaccia terroristica reale e attuale o prevedibile, sulla base di una decisione motivata, limitata nel tempo e soggetta a controllo effettivo di un giudice o di un organo amministrativo indipendente vincolante. In assenza di tale minaccia, la selezione deve basarsi su una valutazione obiettiva, motivata e non discriminatoria, limitata a criteri pertinenti ai fini antiterrorismo e anti-crimine grave con nesso oggettivo, anche indiretto, con il trasporto aereo. Gli Stati membri devono documentare la valutazione e riesaminarla almeno ogni 12 mesi. La Commissione facilita lo scambio di buone prassi e, su base volontaria, di informazioni sui voli selezionati.

Cancellazione dei dati nel router

L’articolo 14 dispone che i dati API e gli altri dati PNR siano conservati nel router solo per il tempo necessario a completare la trasmissione alle UIP competenti e siano cancellati immediatamente, definitivamente e automaticamente quando la trasmissione è completata oppure quando si riferiscono a voli intra-UE non inclusi negli elenchi selezionati. Il router informa automaticamente eu-LISA e le UIP della cancellazione relativa ai voli intra-UE non selezionati.

Trattamento successivo da parte delle UIP

L’articolo 15 rinvia alla direttiva (UE) 2016/681 per il successivo trattamento da parte delle UIP, che può avvenire solo per prevenzione, accertamento, indagine e azione penale di reati di terrorismo e reati gravi. È espressamente vietato qualsiasi trattamento a scopo di profilazione ai sensi dell’articolo 11, paragrafo 3, della direttiva (UE) 2016/680.

Impossibilità tecnica di usare il router

L’articolo 16 regola i casi di guasto del router, dei sistemi o infrastrutture di uno Stato membro, o di un vettore aereo. In tali casi eu-LISA o il soggetto interessato devono informare immediatamente le controparti e adottare misure per ripristinare il funzionamento. Durante l’impossibilità tecnica, l’obbligo di trasferire i dati al router è sospeso nei limiti dell’impedimento tecnico; i dati devono però essere conservati e poi trasmessi appena il problema è risolto. In casi eccezionali e per finalità del regolamento, le UIP possono chiedere il trasferimento diretto con mezzi appropriati che garantiscano sicurezza, qualità e protezione dei dati. Quando il problema è risolto, la UIP deve cancellare i dati ricevuti con mezzi alternativi, salvo che siano già stati ulteriormente trattati ai fini di contrasto al terrorismo e ai reati gravi. Il vettore, se il guasto riguarda i propri sistemi, deve presentare una relazione all’autorità nazionale di controllo delle API con motivazioni, portata, conseguenze e misure adottate.

Registrazioni e tracciabilità

L’articolo 17 impone ai vettori aerei di creare registrazioni delle operazioni automatizzate di trasferimento delle API e a eu-LISA di registrare tutte le operazioni relative al trasferimento e alla trasmissione di API e altri dati PNR tramite il router. Le registrazioni sono utilizzabili solo per sicurezza, integrità e liceità del trattamento, devono essere protette da accessi non autorizzati, sono accessibili all’autorità nazionale di controllo delle API e alle UIP se necessario, e sono conservate per un anno, salvo proroga per procedure già avviate.

Ruoli nel trattamento e responsabilità privacy

L’articolo 18 qualifica i vettori aerei come titolari del trattamento per la raccolta e il trasferimento al router; ciascuno Stato membro designa un’autorità competente titolare del trattamento e tutte tali autorità sono contitolari nel router ai sensi della direttiva (UE) 2016/680; eu-LISA è responsabile del trattamento ai sensi del regolamento (UE) 2018/1725 per il trattamento tramite router, inclusa la trasmissione alle UIP e la conservazione tecnica. La Commissione stabilisce con atti di esecuzione le rispettive responsabilità tra contitolari e responsabile.

Informativa ai passeggeri

L’articolo 19 impone ai vettori aerei di fornire ai passeggeri, in modo scritto e facilmente accessibile, al momento della prenotazione e dell’accettazione, informazioni sulle finalità della raccolta, sul tipo di dati raccolti, sui destinatari e sui mezzi per esercitare i diritti dell’interessato, in conformità dell’articolo 13 del regolamento (UE) 2016/679.

Sicurezza dei dati e del router

L’articolo 20 prevede obblighi di sicurezza e cifratura per eu-LISA, UIP e vettori aerei. eu-LISA deve adottare misure per la sicurezza del router, incluso un piano di sicurezza, continuità operativa e ripristino in caso di disastro, con protezione fisica, cifratura, controllo accessi, tracciabilità dei destinatari dei dati, segnalazione delle anomalie al consiglio di amministrazione e aggiornamento delle misure. Restano ferme le regole generali sulla sicurezza dei trattamenti contenute nel GDPR, nel regolamento 2018/1725 e nella direttiva 2016/680.

Verifica interna e audit indipendenti

L’articolo 21 impone a vettori aerei e UIP di controllare il rispetto dei rispettivi obblighi, con verifica frequente delle registrazioni per i vettori. L’articolo 22 prevede audit almeno quadriennali da parte delle autorità indipendenti di controllo per le UIP e audit annuali del Garante europeo della protezione dei dati sulle operazioni di eu-LISA; quest’ultima deve garantire accesso alle informazioni e ai locali richiesti.

Connessione dei vettori e delle UIP al router

Gli articoli 23 e 24 impongono agli Stati membri di garantire che le UIP siano connesse e integrate con il router e ai vettori aerei di fare altrettanto per i propri sistemi di trasferimento. La Commissione adotta atti di esecuzione con i requisiti dettagliati, inclusi quelli di sicurezza dei dati. I vettori aerei devono effettuare prove del trasferimento in cooperazione con eu-LISA.

Compiti di eu-LISA per progettazione, sviluppo, hosting e supporto

Gli articoli 25, 26 e 27 attribuiscono a eu-LISA la progettazione dell’architettura fisica e lo sviluppo del router, il collaudo generale, l’hosting nei propri siti tecnici e la gestione tecnica 24/7. Il personale eu-LISA non deve accedere ai dati salvo quanto strettamente necessario per manutenzione e gestione tecnica, ed è soggetto a segreto professionale/obblighi di riservatezza. eu-LISA fornisce inoltre formazione e supporto tecnico a UIP, autorità e vettori aerei, e svolge prove di trasferimento con i vettori.

Governance del programma e organismi di consultazione

Gli articoli 28, 29, 30 e 31 istituiscono un consiglio di gestione del programma, un gruppo consultivo API-PNR, un gruppo di contatto API-PNR e un gruppo di esperti API. Il consiglio di gestione del programma, composto da 10 membri, sorveglia i compiti di progettazione e sviluppo di eu-LISA e cessa con la data di applicazione del regolamento. Il gruppo consultivo fornisce competenze e pareri a eu-LISA e al consiglio di gestione; il gruppo di contatto consente la comunicazione tecnica tra autorità competenti e vettori; il gruppo di esperti API è istituito dalla Commissione per le questioni politiche, incluse le sanzioni. Nessuno di tali organi ha potere decisionale.

Finanziamento e responsabilità per danni

L’articolo 32 dispone che i costi di eu-LISA per router e relativi compiti sono a carico del bilancio generale dell’Unione; analogamente, gli Stati membri possono ricevere copertura UE per i costi di attuazione, in particolare connessione e integrazione al router, secondo le regole di ammissibilità e cofinanziamento. Le spese del Garante europeo della protezione dei dati sono a carico del bilancio UE, mentre quelle delle autorità nazionali di controllo indipendenti restano a carico degli Stati membri. L’articolo 33 disciplina la responsabilità per danni al router, imputandola allo Stato membro o al vettore aereo responsabile dell’inosservanza, salvo il concorso di eu-LISA, di un altro Stato membro o di un altro vettore aereo che abbia omesso misure ragionevoli di prevenzione/mitigazione.

Entrata in funzione del router

Gli articoli 34 e 35 prevedono che la Commissione determini, con atti di esecuzione, la data di entrata in funzione del router rispettivamente per i dati API e per gli altri dati PNR, dopo il positivo collaudo generale comunicato da eu-LISA. La data deve essere fissata entro 30 giorni dall’adozione dell’atto di esecuzione.

Uso volontario del router per altri flussi informativi

L’articolo 36 consente ai vettori aerei di usare volontariamente il router per trasmettere le informazioni previste dalla direttiva 2004/82/CE o altri dati PNR raccolti ai sensi dell’articolo 8 della direttiva (UE) 2016/681, se lo Stato membro interessato vi acconsente e dopo aver verificato la fattibilità tecnica e operativa. Una volta iniziato, l’uso continua fino alla data di applicazione pertinente del regolamento, salvo interruzione motivata da ragioni oggettive, previa consultazione e notifica a eu-LISA e Commissione.

Controllo nazionale e sanzioni

L’articolo 37 obbliga gli Stati membri a designare una o più autorità nazionali di controllo delle API per monitorare l’applicazione del regolamento e garantire l’osservanza. L’articolo 38 impone sanzioni effettive, proporzionate e dissuasive; nel decidere se irrogarle e in quale misura si considerano natura, gravità, durata della violazione, responsabilità, precedenti, cooperazione, dimensioni del vettore e sanzioni già applicate da altre autorità. Il mancato trasferimento reiterato delle API è sanzionabile con sanzioni pecuniarie fino al 2% del fatturato globale del vettore aereo dell’esercizio precedente.

Statistiche, reportistica e monitoraggio

L’articolo 39 prevede statistiche trimestrali sul funzionamento del router e sull’osservanza degli obblighi, statistiche annuali di eu-LISA e statistiche specifiche richieste dalla Commissione. Il CRRS riceve automaticamente dal router dati statistici anonimizzati su API e altri dati PNR, da conservare per cinque anni. Le statistiche non devono consentire l’identificazione delle persone fisiche né essere usate per profilazione o confronto con dati personali. L’articolo 44 prevede relazioni sullo sviluppo del router entro il 29 gennaio 2026 e annualmente durante lo sviluppo, e una valutazione globale del regolamento entro il 29 gennaio 2029 e poi ogni quattro anni, con attenzione a diritti fondamentali, esperienza di viaggio, competitività del settore e qualità/prestazioni del router.

Manuale pratico e modifica del regolamento (UE) 2019/818

L’articolo 40 prevede che la Commissione, in cooperazione con i soggetti interessati, rediga e renda pubblico un manuale pratico con orientamenti e buone prassi. L’articolo 41 modifica il regolamento (UE) 2019/818 per includere il supporto del CRRS agli obiettivi del regolamento 2025/13 e per consentire a eu-LISA di raccogliere e ospitare i dati/statistiche provenienti dal router.

Atti delegati, esecuzione e tempistica di applicazione

L’articolo 43 disciplina la delega quinquennale alla Commissione, dal 28 gennaio 2025, per gli atti delegati relativi a requisiti tecnici, formati di dati, raccolta automatizzata/manuale e correzione/aggiornamento delle API. L’articolo 42 disciplina la procedura di comitato per gli atti di esecuzione. L’articolo 45 stabilisce l’entrata in vigore al ventesimo giorno dalla pubblicazione e un’applicazione differita: per le API due anni dopo l’entrata in funzione del router; per gli altri dati PNR quattro anni dopo. Alcune disposizioni si applicano dal 28 gennaio 2025, altre dalla data di entrata in funzione del router.