Overeenkomst tussen de Europese Unie en de Verenigde Staten inzake de beveiliging van gerubriceerde gegevens

Deze overeenkomst heeft tot doel de veiligheid van de Verenigde Staten en de Europese Unie (EU) alsook die van hun respectieve inwoners te versterken. Beide partijen hebben zich verbonden tot een nauwere samenwerking door middel van de uitwisseling van gerubriceerde gegevens. Voor deze uitwisseling dienen passende veiligheidsmaatregelen te worden genomen. Daarom zijn in dit besluit verscheidene bepalingen opgenomen die tot doel hebben de gerubriceerde gegevens te beveiligen.

BESLUIT

Besluit 2007/274/JBZ van de Raad van 23 april 2007 betreffende de sluiting van de overeenkomst tussen de Europese Unie en de Regering van de Verenigde Staten van Amerika inzake de beveiliging van gerubriceerde gegevens.

SAMENVATTING

De Verenigde Staten en de Europese Unie hebben zich verbonden tot een nauwere samenwerking inzake veiligheidsvraagstukken van algemeen belang en uitwisseling van gerubriceerde gegevens. Om een dergelijke samenwerking doeltreffend te laten verlopen, moeten deze gerubriceerde gegevens toegankelijk zijn. Voor een dergelijke uitwisseling dienen evenwel passende veiligheidsmaatregelen te worden genomen.

De gerubriceerde gegevens kunnen in mondelinge, visuele, elektronische, magnetische of documentaire vorm zijn, dan wel in de vorm van materiaal, uitrusting of technologie. Onder "gerubriceerde gegevens" wordt verstaan, gegevens

• waarvan de openbaarmaking zonder machtiging de belangen van beide partijen zou kunnen benadelen;
• die in verband met veiligheidsbelangen van de Verenigde Staten en de EU moeten worden beschermd tegen openbaarmaking zonder machtiging;
• waaraan een van de partijen een veiligheidsrubricering heeft toegekend.

De naam van de uitgevende instelling en de beveiligingsrubricering worden op alle gerubriceerde gegevens vermeld. In de Verenigde Staten worden volgende rubriceringen gebruikt: "top secret", "secret" of "confidential". In de Europese Unie worden de volgende rubriceringen gebruikt: "très secret UE", "EU top secret", "secret UE", "confidentiel UE" of "restreint UE".

Beschermingsmaatregelen

Beide partijen dienen:

• over een beveiligingssysteem te beschikken van een hoog en gelijkwaardig niveau;
• aan elkaar informatie over hun respectieve beveiligingsnormen, -procedures en -praktijken te verstrekken;
• een hoog beschermingsniveau toe te kennen aan de verstrekte en ontvangen gegevens.

De ontvangende partij:

• gebruikt noch geeft toestemming voor het gebruik van gerubriceerde gegevens voor andere doeleinden dan waarvoor zij zijn verstrekt, zonder voorafgaande toestemming te hebben gekregen van de verstrekkende partij;
• gaat niet over tot openbaarmaking van ontvangen gegevens;
• neemt alle beperkingen inzake de vrijgave van de gegevens in acht die door de verstrekkende partij zijn gespecificeerd;
• zorgt ervoor dat het recht op informatie, de intellectuele-eigendomsrechten, de auteursrechten of fabrieksgeheimen, naar behoren worden beschermd.

Persoonlijke veiligheidsmachtiging

Enkel personen waaraan een veiligheidsmachtiging is verleend en personen waarvoor deze toegang bij het vervullen van hun officiële werkzaamheden noodzakelijk is, hebben toegang tot de gerubriceerde gegevens. De partijen dragen er zorg voor dat deze personen naar behoren aan een veiligheidsonderzoek worden onderworpen voordat zij toegang krijgen tot dergelijke gegevens. Bovendien zien zij erop toe dat deze personen in kennis zijn gesteld van de verantwoordelijkheden die aan hen worden toevertrouwd.

Elke partij beschikt over alle beschikbare informatie over de loyaliteit, integriteit en betrouwbaarheid van de betrokkene vooraleer een persoonlijke veiligheidsmachtiging wordt verleend. De veiligheidsmachtigingen zijn gebaseerd op een voldoende grondig onderzoek om de zekerheid te verstrekken dat de betrokkene aan deze criteria voldoet.

Overdracht

De verstrekkende partij zorgt ervoor dat alle gerubriceerde gegevens naar behoren beschermd worden totdat de bewaring van de gegevens wordt overgedragen aan de ontvangende partij. De ontvangende partij zorgt ervoor dat alle gerubriceerde gegevens van de andere partij naar behoren beschermd worden zodra zij de aan haar verstrekte gegevens in bewaring heeft.

Wat de EU betreft, worden alle schriftelijke gerubriceerde gegevens gezonden aan het hoofd postregistratie van de Raad van de Europese Unie. Al dergelijke gegevens worden door het hoofd postregistratie van de Raad doorgestuurd aan de lidstaten en aan de Commissie. Wat de regering van de Verenigde Staten betreft, worden alle schriftelijke gerubriceerde gegevens verzonden via de missie van de Verenigde Staten van Amerika bij de Europese Unie.

De elektronische transmissie van gerubriceerde gegevens wordt geëncrypteerd overeenkomstig de voorschriften van de verstrekkende partij. Bij de transmissie, de opslag en de verwerking van gerubriceerde gegevens wordt voldaan aan deze voorschriften van de verstrekkende partij.

Technische beveiligingsregeling

Elke partij zorgt voor de veiligheid van de inrichtingen en gebouwen waarin de gegevens worden bewaard. De verstrekkende partij kan de doeltreffendheid van de maatregelen beoordelen door controlebezoeken. De gastpartij staat de bezoekende beveiligingsvertegenwoordigers bij. Voordat de partijen elkaar gerubriceerde gegevens verstrekken of deze uitwisselen, moeten de verantwoordelijke beveiligingsautoriteiten overeenkomen dat de ontvangende partij in staat is de gegevens te beschermen en te beveiligen.

Van de andere partij ontvangen gerubriceerde gegevens mogen, na voorafgaande schriftelijke toestemming van de verstrekkende partij, worden verstrekt aan een aannemer. De ontvangende partij vergewist zich ervan dat die aannemer in staat is om de gegevens te beschermen.

Er wordt een technische beveiligingsregeling ingesteld om de normen vast te stellen voor de wederzijdse beveiliging van gegevens die in het kader van deze overeenkomst worden uitgewisseld. Volgende instanties worden belast met de ontwikkeling van deze technische beveiligingsregeling:

• het ministerie van Buitenlandse Zaken van de Verenigde Staten;
• het Bureau beveiliging van het secretariaat-generaal van de Raad (EU);
• het directoraat Beveiliging van de Europese Commissie (Wat de EU betreft, is de regeling onderworpen aan goedkeuring door het Beveiligingscomité van de Raad.).

Bijzondere gevallen

Indien de partijen overeenkomen dat de gerubriceerde gegevens niet langer bescherming behoeven, worden deze gegevens gederubriceerd. De verstrekkende partij beslist in volstrekte vrijheid over de lagere rubricering of derubricering van zijn eigen gegevens. Zonder een voorafgaande toestemming van de verstrekkende partij kan de ontvangende partij geen lagere rubricering verlenen of gegevens derubriceren.

De ontvangende partij stelt de verstrekkende partij zo snel mogelijk in kennis van verlies of aantasting van gegevens. De ontvangende partij stelt een onderzoek in en de resultaten van het onderzoek worden ter kennis van de verstrekkende partij gebracht.

Laatste wijziging: 11.01.2012