17.12.2009

FR

Journal officiel de l'Union européenne

L 332/17

---

DÉCISION 2009/968/JAI DU CONSEIL

du 30 novembre 2009

portant adoption des règles relatives à la confidentialité des informations d’Europol

LE CONSEIL DE L’UNION EUROPÉENNE,

vu la décision 2009/371/JAI du Conseil du 6 avril 2009 portant création de l’Office européen de police (Europol) (1) (ci-après dénommée «décision Europol»), et notamment son article 40,

vu le projet de règles présenté par le conseil d’administration,

vu l’avis du Parlement européen,

considérant que, conformément à la décision Europol, il appartient au Conseil, statuant à la majorité qualifiée après consultation du Parlement européen, d’arrêter les dispositions d’exécution relatives à la confidentialité des informations obtenues par Europol ou échangées avec l’Office (ci-après dénommées les «règles»),

DÉCIDE:

CHAPITRE I

DÉFINITIONS ET CHAMP D’APPLICATION

Article premier

Définitions

Aux fins des présentes règles, on entend par:

a)

«traitement des informations» ou «traitement», toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel ou non, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction;

b)	«tierce partie», une entité visée à l’article 22, paragraphe 1, et à l’article 23, paragraphe 1, de la décision Europol;

c)	«comité de sécurité», le comité composé de représentants des États membres et d’Europol, tel que défini à l’article 4;

d)	«coordinateur de la sécurité», le directeur adjoint à qui le directeur — conformément à l’article 38, paragraphe 2, de la décision Europol — confie, à côté de ses autres tâches, les fonctions de coordination et de contrôle en matière de sécurité;

e)	«responsables de la sécurité», le personnel d’Europol désigné par le directeur et chargé des questions de sécurité conformément à l’article 6;

f)	«manuel de sécurité», le manuel relatif à l’application des présentes règles, à établir conformément à l’article 7;

g)	«niveau de classification», un marquage de sécurité attribué à un document traité par Europol ou par son intermédiaire, tel que visé à l’article 10;

h)	«ensemble de mesures de sécurité», un ensemble précis de mesures de sécurité à appliquer aux informations auxquelles est attribué un niveau de classification Europol visé à l’article 10;

i)

«niveau de protection minimal», le niveau de protection qui est appliqué à toutes les informations traitées par Europol ou par son intermédiaire, à l’exception des informations expressément marquées ou clairement identifiables comme étant accessibles au public, conformément à l’article 10, paragraphe 1;

j)	«personnel», les agents temporaires et contractuels au sens de l’article 39, paragraphe 4, de la décision Europol;

k)

«informations classifiées Europol», toute information et tout matériel sous quelque forme que ce soit, dont la divulgation non autorisée pourrait porter atteinte, à des degrés divers, aux intérêts essentiels d’Europol ou d’un ou de plusieurs États membres et qui nécessitent l’application des mesures de sécurité appropriées prévues à l’article 7, paragraphe 2, point b).

Article 2

Champ d’application

1.   Les présentes règles établissent les mesures de sécurité à appliquer à toutes les informations qui sont traitées par Europol ou par son intermédiaire.

2.   Les voies de communication entre Europol et les unités nationales des États membres, visées à l’article 8 de la décision Europol, offrent un niveau de protection équivalent à celui qui est offert par ces mesures. Le comité de sécurité adopte une norme commune pour ces voies de communication.

3.   L’annexe donne un aperçu des niveaux de classification Europol visés à l’article 10 et des marquages équivalents actuellement appliqués par les États membres aux informations auxquelles ces niveaux de classification sont attribués. Lorsqu’un État membre informe les autres États membres et Europol de changements éventuellement intervenus dans ses dispositions nationales relatives aux niveaux de classification ou aux marquages correspondants, Europol établit une version révisée de l’aperçu reproduit à l’annexe. Au moins une fois par an, le comité de sécurité vérifie si cet aperçu est à jour.

CHAPITRE II

RESPONSABILITÉS EN MATIÈRE DE SÉCURITÉ

Article 3

Responsabilités des États membres

1.   Les États membres s’engagent à veiller à ce que, sur leur territoire, les informations Europol bénéficient d’un niveau de protection équivalent au niveau de protection assuré par les mesures de sécurité établies en vertu des présentes règles.

2.   Les États membres s’engagent à signaler au coordinateur de la sécurité toute infraction à la sécurité susceptible de compromettre les intérêts d’Europol ou d’un État membre. Dans ce dernier cas, l’État membre concerné est aussi informé directement par l’unité nationale.

Article 4

Comité de sécurité

1.   Il est institué un comité de sécurité, composé de représentants des États membres et d’Europol, qui se réunit au moins deux fois par an.

2.   Le comité de sécurité est chargé de conseiller le conseil d’administration et le directeur d’Europol pour les questions relatives à la politique de sécurité, y compris l’application du manuel de sécurité.

3.   Le comité de sécurité établit son règlement intérieur. Ses réunions sont présidées par le coordinateur de la sécurité.

Article 5

Coordinateur de la sécurité

1.   Le coordinateur de la sécurité est responsable, d’une manière générale, de toutes les questions touchant à la sécurité, et notamment des mesures de sécurité établies dans les présentes règles et dans le manuel de sécurité. Le coordinateur de la sécurité veille au respect des règles de sécurité et informe le directeur de toute infraction à la sécurité. Dans les cas graves, le directeur en informe le conseil d’administration. Si une telle infraction risque de compromettre les intérêts d’un État membre, celui-ci en est également informé.

2.   Le coordinateur de la sécurité répond directement de ses actes devant le directeur d’Europol.

3.   Le coordinateur de la sécurité fait l’objet du plus haut niveau d’habilitation de sécurité selon les dispositions législatives et réglementaires applicables dans l’État membre dont il est ressortissant.

Article 6

Responsables de la sécurité

1.   Les responsables de la sécurité assistent le directeur dans l’application des mesures de sécurité établies dans les présentes règles et dans le manuel de sécurité. Les responsables de la sécurité répondent directement de leurs actes devant le coordinateur de la sécurité. Les tâches spécifiques des responsables de la sécurité sont les suivantes:

a)

instruire toute personne au sein d’Europol, ainsi que toute autre personne associée à des activités liées à Europol et soumise à une obligation particulière de réserve ou de confidentialité, de leurs devoirs au titre des présentes règles et du manuel de sécurité, ainsi que les aider et les conseiller à ce sujet;

b)	veiller à l’application des règles de sécurité, enquêter sur les infractions à ces règles et en informer immédiatement le coordinateur de la sécurité;

c)

réexaminer à intervalles réguliers l’adéquation des mesures de sécurité sur la base d’évaluations des risques; à cet effet, ils présentent un rapport au coordinateur de la sécurité, en règle générale au moins une fois par mois et exceptionnellement — chaque fois que cela est jugé nécessaire, et formulent les recommandations et les conseils appropriés;

d)	s’acquitter des tâches qui leur incombent en vertu des présentes règles ou du manuel de sécurité; et

e)	s’acquitter des autres tâches qui leur sont confiées par le coordinateur de la sécurité.

2.   Les responsables de la sécurité font l’objet d’une habilitation de sécurité du niveau approprié que requièrent leurs fonctions et conformément aux dispositions législatives et réglementaires applicables dans les États membres dont ils sont ressortissants.

Article 7

Manuel de sécurité, procédure et contenu

1.   Le manuel de sécurité est adopté par le conseil d’administration, après consultation du comité de sécurité.

2.   Le manuel de sécurité fournit à la direction des orientations et un soutien pour la sécurité, en fonction des besoins opérationnels, et énonce l’approche d’Europol en matière de gestion de la sécurité. Le manuel de sécurité contient:

a)

des règles précises concernant les mesures de sécurité à appliquer au sein d’Europol en vue d’assurer le niveau de protection minimal visé à l’article 10, paragraphe 1, des présentes règles, de telles mesures étant fondées sur l’article 35 et l’article 41, paragraphe 2, de la décision Europol et tenant compte de son article 40, paragraphe 3; et

b)	des règles précises concernant les mesures de sécurité liées aux différents niveaux de classification Europol et les ensembles de mesures de sécurité correspondants visés à l’article 10, paragraphes 2 et 3; le manuel de sécurité tient également compte de l’article 46 de la décision Europol.

3.   Le manuel de sécurité est réexaminé à intervalles réguliers ou en cas de changements importants, afin de continuer à en garantir la pertinence, l’adéquation, et l’efficacité.

4.   Les modifications du manuel de sécurité sont arrêtées conformément à la procédure indiquée au paragraphe 1.

Article 8

Homologation de sécurité des systèmes

1.   Tout système d’Europol traitant des informations classifiées Europol est homologué par le conseil d’administration qui a au préalable consulté le comité de sécurité et obtenu l’assurance que sont effectivement mises en œuvre les mesures de sécurité requises par les exigences de sécurité spécifiques au système (ESSS), le registre des risques concernant les informations et tout autre document pertinent. Les sous-systèmes et les terminaux ou postes de travail à distance sont homologués dans le cadre de l’ensemble des systèmes auxquels ils sont connectés.

2.   Les ESSS sont adoptées et modifiées par le conseil d’administration qui a au préalable consulté le comité de sécurité. Ces ESSS sont conformes aux dispositions pertinentes du manuel de sécurité.

Article 9

Respect des mesures de sécurité

1.   Les mesures de sécurité établies dans les présentes règles et dans le manuel de sécurité sont respectées par toute personne au sein d’Europol ainsi que par toute autre personne associée à des activités liées à Europol et soumise à une obligation particulière de réserve ou de confidentialité.

2.   Il incombe au directeur, aux bureaux de liaison et aux unités nationales d’Europol de veiller au respect des présentes règles et du manuel de sécurité conformément au paragraphe 1.

CHAPITRE III

PRINCIPES GÉNÉRAUX

Article 10

Niveau de protection minimal niveaux de classification et ensembles de mesures de sécurité

1.   Toutes les informations traitées par Europol ou par son intermédiaire, à l’exception des informations expressément marquées ou clairement identifiables comme étant accessibles au public, sont assorties d’un niveau de protection minimal au sein d’Europol ainsi que dans les États membres.

2.   Conformément à l’article 3, les États membres veillent à l’application du niveau de protection minimal visé au paragraphe 1 par toute une série de mesures conformes à la législation et à la réglementation nationales, parmi lesquelles l’obligation de réserve et de confidentialité, la restriction de l’accès à l’information aux personnel autorisé, des exigences en matière de protection des données pour les données à caractère personnel et des mesures générales techniques et de procédure pour préserver la sécurité des informations, en tenant compte de l’article 41, paragraphe 2, de la décision Europol.

3.   Les informations qui requièrent des mesures de sécurité supplémentaires sont assorties d’un niveau de classification Europol, qui est indiqué par un marquage spécifique. Les informations ne sont assorties d’un tel niveau de classification qu’en cas de stricte nécessité et que pour la durée nécessaire.

4.   Les niveaux de classification Europol suivants sont utilisés:

a)   «RESTREINT UE/EU RESTRICTED»: cette classification s’applique aux informations et matériels dont la divulgation non autorisée pourrait être défavorable aux intérêts d’Europol, de l’Union européenne ou d’un ou de plusieurs États membres;

b)   «CONFIDENTIEL UE/EU CONFIDENTIAL»: cette classification s’applique aux informations et matériels dont la divulgation non autorisée pourrait nuire aux intérêts essentiels d’Europol, de l’Union européenne ou d’un ou de plusieurs États membres;

c)   «SECRET UE/EU SECRET»: cette classification s’applique aux informations et matériels dont la divulgation non autorisée pourrait nuire gravement aux intérêts essentiels d’Europol, de l’Union européenne ou d’un ou de plusieurs États membres;

d)   «TRÈS SECRET UE/EU TOP SECRET»: cette classification s’applique aux informations et matériels dont la divulgation non autorisée pourrait causer un préjudice exceptionnellement grave aux intérêts essentiels d’Europol, de l’Union européenne ou d’un ou de plusieurs États membres

Ces informations et matériels classifiés portent un marquage supplémentaire («EUROPOL») sous le marquage indiquant le niveau de classification, afin de signaler qu’ils proviennent d’Europol.

Chaque niveau de classification Europol correspond à un ensemble de mesures de sécurité spécifique à appliquer au sein d’Europol. Les ensembles de mesures de sécurité offrent des niveaux de protection qui diffèrent selon le contenu de l’information et tiennent compte des conséquences négatives que pourrait avoir pour les intérêts des États membres ou d’Europol l’accès non autorisé à l’information, sa diffusion ou son utilisation non autorisée.

Lorsque des informations classifiées de différents niveaux sont regroupées, le niveau de classification à appliquer est au moins aussi élevé que celui des informations assorties du niveau de protection le plus élevé. En tout état de cause, un groupe d’informations peut bénéficier d’un niveau de protection plus élevé que celui de chacune de ses parties.

La traduction d’un document classifié se voit attribuer le même niveau de classification et bénéficie de la même protection que le document original.

5.   Un marquage restrictif peut être utilisé pour préciser des conditions supplémentaires telles que la diffusion d’informations limitée à des canaux spécifiques d’échange d’informations, la mise sous embargo et une diffusion particulière fondée sur le besoin d’en connaître. De tels marquages restrictifs sont définis dans le manuel de sécurité.

6.   Les ensembles de mesures de sécurité consistent en diverses mesures de caractère physique, technique, organisationnel ou administratif, prévues dans le manuel de sécurité.

Article 11

Choix du niveau de classification

1.   L’État membre qui fournit des informations à Europol est responsable du choix du niveau de classification approprié pour ces informations conformément à l’article 10. Le cas échéant, lorsqu’il communique les informations à Europol, l’État membre en question les marque d’un niveau de classification Europol prévu à l’article 10, paragraphe 4.

2.   Dans le choix du niveau de classification, les États membres tiennent compte de la classification attribuée aux informations en vertu de leur réglementation nationale, de la souplesse d’exploitation nécessaire au bon fonctionnement d’Europol et de l’exigence selon laquelle la classification d’informations judiciaires devrait être exceptionnelle et, si de telles informations doivent être classifiées, le niveau le plus bas possible devrait leur être attribué.

3.   Si Europol, sur la base des informations déjà en sa possession, parvient à la conclusion qu’il convient de modifier un niveau de classification choisi (par exemple, en abaissant ou en augmentant le niveau de classification d’un document auquel avait été précédemment attribué le niveau de protection minimal), il en informe l’État membre concerné et s’efforce de convenir d’un niveau de classification approprié. Europol ne spécifie, ne change, n’augmente ni n’abaisse un niveau de classification sans cet accord.

4.   Dans le cas d’informations produites par Europol sur la base d’informations fournies par un État membre, ou contenant de telles informations, Europol détermine, en accord avec l’État membre concerné, si le niveau de protection minimal est suffisant ou s’il est nécessaire d’appliquer un niveau de classification Europol.

5.   Dans le cas d’informations produites par Europol, qui ne sont pas établies sur la base d’informations fournies par un État membre et qui ne contiennent pas de telles informations, Europol détermine le niveau de classification approprié pour ces informations en utilisant les critères arrêtés par le comité de sécurité. Europol assortit, au besoin, ces informations du marquage correspondant.

6.   Au cas où des informations concernent également les intérêts essentiels d’un autre État membre, les États membres et Europol consultent cet autre État membre sur le point de savoir si un niveau de classification doit être appliqué à ces informations et, dans l’affirmative, lequel.

Article 12

Modification du niveau de classification

1.   Un État membre qui a communiqué des informations à Europol peut à tout moment exiger que le niveau de classification choisi soit modifié, éventuellement qu’il soit abaissé ou augmenté. Europol a l’obligation de modifier, augmenter ou abaisser le niveau de classification conformément aux souhaits de l’État membre concerné.

2.   Dès que les circonstances le permettent, l’État membre concerné demande l’abaissement ou la suppression du niveau de classification.

3.   Un État membre qui fournit des informations à Europol peut spécifier la durée pendant laquelle le niveau de classification choisi s’appliquera, et les modifications éventuelles qu’il convient d’y apporter ultérieurement.

4.   Lorsqu’Europol a attribué le niveau de protection minimal ou déterminé le niveau de classification conformément à l’article 11, paragraphe 4, ce niveau de protection minimal ou ce niveau de classification ne peut être modifié par Europol qu’en accord avec l’État membre concerné.

5.   Lorsque le niveau de classification a été déterminé par Europol conformément à l’article 11, paragraphe 5, Europol peut modifier ou supprimer ce niveau de classification à tout moment si cela est jugé nécessaire.

6.   Lorsque les informations dont le niveau de classification est modifié conformément au présent article ont déjà été communiquées à d’autres États membres, Europol informe les destinataires de la modification du niveau de classification.

Article 13

Traitement, accès et habilitation de sécurité

1.   L’accès aux informations et leur détention sont limités au sein des différents organes d’Europol aux personnes qui, en raison de leurs tâches ou de leurs obligations, doivent en prendre connaissance ou les manipuler. Les personnes chargées du traitement d’informations doivent au préalable obtenir une habilitation de sécurité appropriée et, en outre, recevoir une formation spéciale.

2.   Toutes les personnes qui sont susceptibles d’accéder à des informations traitées par Europol auxquelles est attribué un niveau de classification font l’objet d’une habilitation de sécurité conformément à l’article 40, paragraphe 2, de la décision Europol et au manuel de sécurité. Sur la base du résultat de la procédure d’habilitation de sécurité et sous réserve des dispositions du manuel de sécurité, le coordinateur de la sécurité accorde une autorisation aux personnes possédant dans leur État membre d’origine l’habilitation de sécurité du niveau approprié qui, en raison de leurs tâches ou de leurs obligations, doivent prendre connaissance des informations auxquelles est attribué un niveau de classification Europol. L’autorisation fait l’objet d’un réexamen régulier par le coordinateur de la sécurité. Celui-ci peut la retirer immédiatement s’il existe des raisons légitimes pour le faire. Il incombe également au coordinateur de la sécurité de veiller à l’application du paragraphe 3.

3.   Nul n’a accès à des informations auxquelles a été attribué un niveau de classification s’il ne possède pas l’habilitation de sécurité du niveau approprié. Cependant, le coordinateur de la sécurité peut, à titre exceptionnel et après consultation d’un responsable de la sécurité:

a)

accorder une autorisation spéciale et limitée aux personnes possédant l’habilitation du niveau «CONFIDENTIEL UE/EU CONFIDENTIAL» pour accéder à des informations spécifiques classifiées jusqu’au niveau «SECRET UE/EU SECRET» si, en raison de leurs tâches ou de leurs obligations, elles doivent prendre connaissance, dans un cas précis, des informations auxquelles est attribué un niveau de classification Europol supérieur; ou

b)

accorder une autorisation temporaire pour accéder à des informations classifiées pendant une période n’excédant pas six mois, dans l’attente de l’issue de la procédure d’habilitation de sécurité visée au paragraphe 2, lorsque cela est dans l’intérêt d’Europol et après notification des autorités nationales compétentes et pour autant que ces dernières n’aient pas réagi dans un délai de trois mois; le coordinateur de la sécurité informe les autorités nationales compétentes concernées de l’octroi de ladite autorisation temporaire. L’octroi de cette autorisation temporaire ne donne pas accès à des informations classifiées «SECRET UE/EU SECRET» ni aux informations d’un niveau de classification supérieur.

4.   Cette autorisation n’est pas accordée lorsqu’un État membre précise, au moment où il fournit l’information concernée, que le coordinateur de la sécurité ne peut pas exercer dans le cas de cette information le pouvoir de décision qui lui attribué en vertu du paragraphe 3.

Article 14

Tierces parties

Lors de la conclusion d’accords de confidentialité avec des tiers ou de la conclusion d’accords conformément à l’article 22, paragraphe 4, et à l’article 23, paragraphe 7, de la décision Europol, Europol tient compte des principes établis dans les présentes règles et dans le manuel de sécurité, qu’il convient d’appliquer en conséquence aux informations échangées avec ces tierces parties.

CHAPITRE IV

DISPOSITIONS FINALES

Article 15

Révision des règles

Toute proposition de modification des présentes règles est examinée par le conseil d’administration en vue de son adoption par le Conseil conformément à la procédure prévue à l’article 40, paragraphe 1, de la décision Europol.

Article 16

Entrée en vigueur

Les présentes règles entrent en vigueur le 1er janvier 2010.

---

(1)  JO L 121 du 15.5.2009, p. 37.

---

---