Regolamento (UE) 2025/12

Raccolta e trasferimento delle informazioni anticipate sui passeggeri (API)

Il regolamento introduce un sistema armonizzato dell’Unione per la raccolta, il trasferimento e la trasmissione delle informazioni anticipate sui passeggeri da parte dei vettori aerei operanti voli verso l’Unione. La finalità dichiarata è rafforzare e velocizzare le verifiche di frontiera alle frontiere esterne, migliorando al contempo il contrasto all’immigrazione illegale. Il legislatore evidenzia, nei considerando, la necessità di sostituire il precedente quadro frammentato della direttiva 2004/82/CE con regole uniformi, tecnologicamente aggiornate e compatibili con i diritti fondamentali.

Ambito di applicazione e definizioni

Il regolamento si applica ai vettori aerei che operano voli verso l’Unione, ossia voli provenienti da un paese terzo o da uno Stato membro al quale il regolamento non si applica e diretti a uno o più Stati membri cui esso si applica. Restano fuori dal perimetro le operazioni aeronautiche non riconducibili a tale schema, come scuole di volo, voli medici, di emergenza e militari, ferme restando eventuali raccolte di dati previste dal diritto nazionale compatibile con il diritto dell’Unione.

L’articolo 3 definisce i principali concetti utilizzati dal testo: vettore aereo, verifiche di frontiera, voli verso l’Unione, valico di frontiera, volo di linea e non di linea, autorità di frontiera competente, passeggero, dati API, router e dati sul traffico aereo in tempo reale. Le definizioni sono rilevanti per l’identificazione degli obblighi soggettivi e per la delimitazione delle informazioni da trattare.

Contenuto dei dati API e raccolta da parte dei vettori

L’articolo 4 circoscrive in modo tassativo il contenuto dei dati API. Per ciascun passeggero devono essere raccolti solo i dati anagrafici essenziali, i dati del documento di viaggio, il numero identificativo del PNR usato dal vettore, eventuali informazioni sul posto a sedere, sui bagagli e un codice che indichi il metodo di raccolta e convalida. Le informazioni di volo comprendono, tra l’altro, numero del volo, aeroporto di arrivo e di partenza, primo punto di imbarco, date e ore locali, dati di contatto del vettore e formato di trasferimento. I dati biometrici sono espressamente esclusi.

L’articolo 5 impone che la raccolta avvenga in modo da garantire esattezza, completezza e aggiornamento. In via generale, i dati del documento di viaggio di cui all’articolo 4, paragrafo 2, lettere da a) a d), devono essere raccolti con mezzi automatizzati leggendo meccanicamente il documento di viaggio. Se il vettore offre l’accettazione online, deve consentire ai passeggeri di inserire i dati con mezzi automatizzati; chi non effettua il check-in online deve poterli fornire in aeroporto tramite dispositivo self-service o assistenza del personale. Solo se l’uso dei mezzi automatizzati è tecnicamente impossibile, la raccolta manuale è ammessa in via eccezionale.

Il regolamento prevede anche un periodo transitorio durante il quale i passeggeri possono fornire manualmente i dati durante il check-in online, con obbligo per il vettore di utilizzare tecniche di verifica dei dati. La Commissione può porre fine a tale periodo mediante atto delegato a partire da quattro anni dopo l’entrata in funzione del router, sulla base di una valutazione della disponibilità e accessibilità dei mezzi automatizzati.

Trasferimento dei dati al router e tempistiche

L’articolo 6 disciplina il trasferimento dei dati API al router. Il trasferimento deve avvenire con mezzi automatizzati e in forma cifrata. Per ciascun passeggero, i dati devono essere trasferiti al momento dell’accettazione, ma non prima delle 48 ore precedenti l’orario di partenza previsto; i dati di tutti i passeggeri imbarcati devono inoltre essere trasferiti immediatamente dopo la chiusura del volo.

Il regolamento affida alla Commissione il compito di adottare atti delegati per stabilire protocolli comuni, formati di dati supportati e requisiti di sicurezza, in modo da garantire che i vettori trasmettano dati con la stessa struttura e lo stesso contenuto.

Trattamento da parte delle autorità di frontiera e garanzie sostanziali

Le autorità di frontiera competenti possono trattare i dati API esclusivamente per migliorare e agevolare le verifiche di frontiera alle frontiere esterne e contrastare l’immigrazione illegale. Il testo vieta espressamente l’uso dei dati per finalità di profilazione ai sensi dell’articolo 22 del regolamento (UE) 2016/679 e per discriminazioni fondate sui motivi vietati dall’articolo 21 della Carta.

Sono inoltre richiamati, nei considerando e nel dispositivo, il principio di limitazione delle finalità, la necessità di evitare trattamenti sproporzionati e l’obbligo di rispettare la dignità umana, i diritti fondamentali e, in particolare, il diritto alla vita privata e alla protezione dei dati personali.

Conservazione, cancellazione e rettifica dei dati

L’articolo 8 stabilisce che i vettori conservano i dati API per 48 ore dal momento del ricevimento da parte del router e li cancellano immediatamente e definitivamente allo scadere del termine, salva la possibilità di mantenerli e usarli per esigenze operative nel rispetto del diritto applicabile. Le autorità di frontiera conservano i dati trasmessi per 48 ore dal ricevimento; in casi eccezionali possono conservarli per ulteriori 48 ore, ma solo se riferiti a passeggeri che non si siano presentati a un valico di frontiera nel primo periodo.

L’articolo 9 disciplina i casi di trattamento illecito, inesattezza, incompletezza o obsolescenza dei dati. Se il vettore rileva che i dati sono trattati illecitamente o non costituiscono dati API, deve cancellarli e, se già trasferiti, informare immediatamente eu-LISA, che a sua volta comunica l’informazione all’autorità di frontiera interessata. Se i dati sono inesatti, incompleti o non aggiornati, il vettore deve rettificarli, integrarli o aggiornarli e, se necessario, ritrasmetterli al router.

Router centralizzato, ruolo di eu-LISA e flusso tecnico

Il cuore del sistema è il router di cui all’articolo 11, progettato, sviluppato, ospitato e gestito tecnicamente da eu-LISA. Il router è composto da infrastruttura centrale, canali di comunicazione sicuri con vettori e autorità di frontiera e canale per i dati sul traffico aereo in tempo reale. Il sistema deve riutilizzare, ove tecnicamente possibile, componenti già esistenti di altri sistemi UE, in particolare il servizio web dell’EES, il portale per i vettori dell’ETIAS e il portale per i vettori del sistema VIS.

Il router deve inoltre estrarre automaticamente dati statistici e renderli disponibili al CRRS, e tutti i trasferimenti devono avvenire con cifratura end-to-end durante il transito. L’articolo 12 ne limita l’uso esclusivamente ai vettori aerei e alle autorità di frontiera competenti per le finalità del regolamento.

Verifiche automatiche, notifica degli errori e trasmissione alle autorità competenti

L’articolo 13 attribuisce al router il compito di verificare automaticamente, sulla base dei dati sul traffico aereo in tempo reale, se i dati API siano stati trasferiti e se rispettino i formati supportati. Se i dati non sono stati trasferiti o non sono conformi, il router avvisa immediatamente il vettore e le autorità di frontiera competenti interessate, imponendo al vettore un ulteriore trasferimento immediato.

L’articolo 14 prevede che, completate le verifiche, il router trasmetta i dati alle autorità di frontiera competenti dello Stato membro di ingresso indicato nei dati stessi, o agli Stati membri interessati se il volo atterra in più aeroporti. Gli Stati membri devono designare le autorità competenti, notificarne i dati di contatto entro la data di applicazione del regolamento e garantire che il personale autorizzato e formato sia il solo ad avere accesso ai dati. La Commissione pubblica l’elenco delle autorità notificate.

Cancellazione dal router e gestione delle impossibilità tecniche

L’articolo 15 dispone che i dati restino nel router solo per il tempo strettamente necessario alla trasmissione e siano cancellati in modo immediato, definitivo e automatizzato dopo la conferma di ricezione da parte delle autorità di frontiera.

L’articolo 16 disciplina tre ipotesi di impossibilità tecnica: guasto del router, guasto dei sistemi o infrastrutture dello Stato membro e guasto dei sistemi o infrastrutture del vettore. In ciascun caso, eu-LISA o il soggetto interessato devono informare immediatamente le controparti, adottare misure correttive e, durante il guasto, i vettori devono conservare i dati fino al ripristino. Se i dati sono ricevuti più di 96 ore dopo l’orario di partenza, il router li cancella senza trasmissione. In circostanze eccezionali, le autorità possono chiedere l’uso di mezzi alternativi appropriati e sicuri; una volta risolta l’impossibilità tecnica, eventuali dati ricevuti con tali mezzi devono essere cancellati se la trasmissione ordinaria è stata completata. Il vettore coinvolto in un guasto del proprio sistema deve inoltre presentare una relazione all’autorità nazionale di controllo delle API.

Protezione dei dati personali, informazioni ai passeggeri e sicurezza

Il capo 4 contiene le garanzie privacy e security. L’articolo 17 impone la creazione di registrazioni delle operazioni di trattamento, con contenuto limitato ai soli elementi necessari per l’identificazione del personale e conservazione per un anno, salvo procedure in corso. Tali registrazioni possono essere usate solo per verificare sicurezza, integrità e liceità del trattamento.

L’articolo 18 ripartisce le responsabilità privacy: i vettori aerei sono titolari del trattamento per raccolta e trasferimento; ciascuno Stato membro designa un’autorità competente che diviene contitolare del trattamento nel router; eu-LISA è responsabile del trattamento per il trattamento tramite il router. La Commissione deve adottare atti di esecuzione per definire le rispettive responsabilità dei contitolari e del responsabile.

L’articolo 19 impone ai vettori di informare i passeggeri, in forma scritta e facilmente accessibile, al momento della prenotazione e dell’accettazione, sulle finalità, sulle categorie di dati, sui destinatari e sui mezzi per esercitare i diritti dell’interessato. L’articolo 20 dettaglia gli obblighi di sicurezza, imponendo a eu-LISA, autorità e vettori di cooperare per assicurare la protezione e la cifratura dei dati, con specifici piani di sicurezza, continuità operativa e disaster recovery.

Controlli, audit e responsabilità interne

L’articolo 21 impone a vettori e autorità di frontiera competenti di verificare internamente il rispetto dei propri obblighi, con attenzione particolare al trattamento dei dati personali. L’articolo 22 prevede audit almeno quadriennali da parte delle autorità di controllo indipendenti sui trattamenti delle autorità di frontiera e audit annuali del Garante europeo della protezione dei dati su eu-LISA. Gli Stati membri devono garantire risorse e competenze adeguate alle autorità di controllo.

Connessione dei sistemi, ruolo di eu-LISA e supporto operativo

Gli articoli 23 e 24 impongono agli Stati membri e ai vettori aerei di connettere e integrare i propri sistemi con il router, in modo che il trasferimento e le comunicazioni avvengano in modo lecito, sicuro, efficace e rapido. La Commissione adotta le specifiche tecniche e procedurali dettagliate per connessioni, integrazione e requisiti di sicurezza.

Gli articoli 25, 26 e 27 descrivono i compiti di eu-LISA: progettazione dell’architettura fisica, sviluppo del router, test, hosting nei siti tecnici, gestione tecnica continua 24/7, manutenzione, aggiornamenti e supporto a vettori e autorità, compresa la formazione e le prove di trasferimento. Il personale di eu-LISA non deve avere accesso ai dati API, salvo la misura strettamente necessaria alla manutenzione e gestione tecnica, ed è soggetto a obblighi di riservatezza.

Governance, organismi di coordinamento e costi

Il capo 6 istituisce una governance articolata. L’articolo 28 prevede un consiglio di gestione del programma, da istituire entro il 28 gennaio 2025, composto da 10 membri, con funzioni di supervisione della progettazione e dello sviluppo del router e senza poteri decisionali. L’articolo 29 disciplina il gruppo consultivo API-PNR, che assiste eu-LISA e il consiglio di gestione del programma. L’articolo 30 istituisce il gruppo di contatto API-PNR, per la comunicazione tecnica tra autorità e vettori, mentre l’articolo 31 istituisce il gruppo di esperti API, dedicato alle questioni politiche, incluse le sanzioni.

L’articolo 32 stabilisce che i costi di eu-LISA per l’istituzione e il funzionamento del router sono a carico del bilancio generale dell’Unione; analogamente, i costi degli Stati membri per l’attuazione, soprattutto per la connessione e integrazione, sono finanziati dal bilancio UE secondo le regole di ammissibilità e cofinanziamento applicabili. Le spese del Garante europeo della protezione dei dati sono anch’esse a carico del bilancio UE, mentre quelle delle autorità nazionali di controllo restano a carico degli Stati membri.

L’articolo 33 introduce una responsabilità per danni arrecati al router in caso di inosservanza degli obblighi previsti, secondo il diritto nazionale o dell’Unione applicabile, salvo prova del mancato adozione di misure ragionevolmente idonee da parte di altri soggetti coinvolti.

Uso volontario del router prima dell’applicazione generale

L’articolo 35 consente un uso volontario del router, in applicazione della direttiva 2004/82/CE, per il trasferimento delle informazioni previste da tale direttiva, a condizione che lo Stato membro interessato vi consenta e ne stabilisca la data di decorrenza. Il vettore che inizi tale uso deve proseguirlo fino alla data di applicazione del regolamento, salvo interruzione per ragioni oggettive decisa dallo Stato membro. Lo Stato membro deve consultare eu-LISA, consentire al vettore di presentare osservazioni sull’eventuale interruzione e informare immediatamente eu-LISA e Commissione.

Autorità nazionali di controllo, sanzioni e statistiche

L’articolo 36 impone agli Stati membri di designare una o più autorità nazionali di controllo delle API con compiti di monitoraggio e poteri di indagine ed esecuzione; tali autorità possono imporre sanzioni e devono operare con adeguate garanzie. L’articolo 37 richiede sanzioni effettive, proporzionate e dissuasive per le violazioni del regolamento; in particolare, il reiterato mancato trasferimento dei dati API al router deve essere sanzionabile con multe fino al 2 % del fatturato globale del vettore aereo dell’esercizio precedente.

L’articolo 38 attribuisce a eu-LISA il compito di pubblicare statistiche trimestrali sul funzionamento del router e sull’osservanza degli obblighi, oltre a una relazione annuale. Il CRRS riceve automaticamente i dati statistici necessari, che includono variabili come cittadinanza, sesso, anno di nascita, itinerario, documento di viaggio, numero di passeggeri, tipo di volo, tempestività del trasferimento e mezzi tecnici utilizzati. Le statistiche e i dati conservati non possono consentire l’identificazione dei passeggeri e non possono essere usati per profilazione o combinazione con dati personali.

L’articolo 39 prevede un manuale pratico della Commissione, redatto in cooperazione con autorità e operatori, con orientamenti, raccomandazioni e buone prassi per l’attuazione del regolamento, anche su diritti fondamentali e sanzioni.

Rapporto con altri atti, modifiche e abrogazione

L’articolo 40 abroga la direttiva 2004/82/CE a decorrere dalla data di applicazione del regolamento. Gli articoli 41 e 42 modificano il regolamento (UE) 2018/1726 e il regolamento (UE) 2019/817 per attribuire a eu-LISA i compiti relativi al router e integrare il CRRS con le statistiche API. In particolare, eu-LISA deve svolgere i compiti relativi al router nel sito tecnico di Strasburgo; il CRRS deve raccogliere anche i dati e le statistiche provenienti dal router.

Adozione, entrata in vigore e applicazione nel tempo

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. In via generale si applica a decorrere da due anni dopo l’entrata in funzione del router, data fissata dalla Commissione con atto di esecuzione ai sensi dell’articolo 34, entro 30 giorni dalla comunicazione di eu-LISA sul collaudo generale positivo.

Alcune disposizioni si applicano già dal 28 gennaio 2025, tra cui quelle relative alla delega e ad alcuni aspetti di governance e preparazione del sistema; altre si applicano dalla data di entrata in funzione del router, tra cui le regole centrali su uso, cancellazione, responsabilità privacy, sicurezza e uso volontario del router. Il regolamento è direttamente applicabile in tutti gli Stati membri, fermo restando il diverso statuto di Danimarca, Irlanda, Islanda, Norvegia, Svizzera, Liechtenstein e Cipro secondo i rispettivi strumenti Schengen richiamati nel testo.