1. Les transporteurs aériens établissent des registres de toutes les opérations de traitement liées aux données API et effectuées au titre du présent règlement, en utilisant les moyens automatisés visés à l’article 5, paragraphe 2. Ces registres indiquent la date, l’heure et le lieu du transfert des données API. Ces registres ne contiennent aucune donnée à caractère personnel autre que les informations nécessaires pour identifier le membre du personnel concerné du transporteur aérien.
2. L’eu-LISA tient des registres de toutes les opérations de traitement liées au transfert et à la transmission de données API par l’intermédiaire du routeur au titre du présent règlement. Ces registres indiquent:
a) le transporteur aérien qui a transféré les données API au routeur;
b) les autorités frontalières compétentes auxquelles les données API ont été transmises par l’intermédiaire du routeur;
c) la date et l’heure du transfert ou de la transmission visés aux points a) et b), ainsi que le lieu de ce transfert ou de cette transmission;
d) tout accès du personnel de l’eu-LISA nécessaire à la maintenance du routeur, comme visé à l’article 26, paragraphe 3;
e) toute autre information relative à ces opérations de traitement qui est nécessaire pour contrôler la sécurité et l’intégrité des données API ainsi que la licéité de ces opérations de traitement.
Ces registres ne contiennent aucune donnée à caractère personnel autre que les informations nécessaires pour identifier le membre du personnel concerné de l’eu-LISA visé au premier alinéa, point d).
3. Les registres visés aux paragraphes 1 et 2 du présent article ne peuvent servir qu’à garantir la sécurité et l’intégrité des données API ainsi que la licéité du traitement, en particulier en ce qui concerne le respect des exigences énoncées dans le présent règlement, y compris les procédures de sanction en cas de violation de ces exigences conformément aux articles 36 et 37.
4. Les transporteurs aériens et l’eu-LISA prennent des mesures appropriées pour protéger les registres qu’ils ont créés conformément aux paragraphes 1 et 2, respectivement, contre un accès non autorisé et d’autres risques pour la sécurité.
5. L’autorité nationale de contrôle des API visée à l’article 36 et les autorités frontalières compétentes ont accès aux registres pertinents visés au paragraphe 1 du présent article lorsque cela est nécessaire aux fins visées au paragraphe 3 du présent article.
6. Les transporteurs aériens et l’eu-LISA conservent les registres qu’ils ont créés conformément aux paragraphes 1 et 2, respectivement, pendant un délai d’un an à compter de la date de leur création. Ils suppriment lesdits registres, immédiatement et de manière définitive, à l’expiration de ce délai.
Toutefois, si ces registres sont nécessaires aux procédures destinées à contrôler ou à garantir la sécurité et l’intégrité des données API ou la licéité des opérations de traitement, ainsi qu’il est mentionné au paragraphe 3, et si ces procédures ont déjà commencé à la date d’expiration du délai visé au premier alinéa du présent paragraphe, l’eu-LISA et les transporteurs aériens conservent ces registres aussi longtemps que nécessaire aux fins de ces procédures. Dans ce cas, ils suppriment immédiatement lesdits registres lorsqu’ils ne sont plus nécessaires aux fins de ces procédures.