DECISIONE 2009/968/GAI DEL CONSIGLIO

del 30 novembre 2009

che adotta le norme sulla protezione del segreto delle informazioni di Europol

IL CONSIGLIO DELL’UNIONE EUROPEA,

vista la decisione 2009/371/GAI del Consiglio, del 6 aprile 2009, che istituisce l’Ufficio europeo di polizia (Europol) (1) («decisione Europol»), in particolare l’articolo 40,

visto il progetto di norme presentato dal consiglio di amministrazione,

visto il parere del Parlamento europeo,

considerando che a norma della decisione Europol spetta al Consiglio, deliberando a maggioranza qualificata previa consultazione del Parlamento europeo, adottare le norme di attuazione in materia di riservatezza delle informazioni provenienti da Europol o con esso scambiate (le «norme»),

DECIDE:

CAPO I

DEFINIZIONI E AMBITO DI APPLICAZIONE

Articolo 1

Definizioni

Ai fini delle presenti norme si intende per:

Articolo 2

Ambito di applicazione

1.   Le presenti norme stabiliscono le misure di sicurezza che devono essere applicate a tutte le informazioni trattate da Europol o mediante esso.

2.   I canali di comunicazione tra Europol e le unità nazionali degli Stati membri di cui all’articolo 8 della decisone Europol assicurano un livello di protezione equivalente a quello garantito dalle presenti misure. Uno standard comune per questi canali di comunicazione è approvato dal comitato di sicurezza.

3.   L’allegato riporta una descrizione sintetica dei livelli di classifica Europol, di cui all’articolo 10, e i corrispondenti contrassegni attualmente applicati dagli Stati membri alle informazioni soggette a tali livelli di classifica. Quando uno Stato membro informa gli altri Stati membri ed Europol circa eventuali modifiche delle sue disposizioni nazionali in materia di livelli di classifica o corrispondenti contrassegni, Europol elabora una versione riveduta della descrizione sintetica di cui all’allegato. Almeno una volta l’anno il comitato di sicurezza verifica se la descrizione sintetica è aggiornata.

CAPO II

COMPETENZE IN MATERIA DI SICUREZZA

Articolo 3

Competenze degli Stati membri

1.   Gli Stati membri si impegnano ad assicurare che, nei rispettivi territori, le informazioni Europol ricevano un livello di protezione equivalente a quello garantito dalle misure di sicurezza stabilite dalle presenti norme.

2.   Gli Stati membri si impegnano a informare il coordinatore della sicurezza di tutte le violazioni della sicurezza che possono compromettere gli interessi di Europol o di uno Stato membro. In quest’ultimo caso lo Stato membro interessato è informato direttamente anche per il tramite dell’unità nazionale.

Articolo 4

Comitato di sicurezza

1.   È istituito un comitato di sicurezza, composto di rappresentanti degli Stati membri e di Europol che si riunisce almeno due volte all’anno.

2.   Il comitato di sicurezza svolge funzioni di consulenza per il consiglio di amministrazione e per il direttore di Europol su questioni inerenti alla politica di sicurezza, inclusa l’applicazione del manuale di sicurezza.

3.   Il comitato di sicurezza stabilisce il suo regolamento interno. Le riunioni del comitato sono presiedute dal coordinatore della sicurezza.

Articolo 5

Coordinatore della sicurezza

1.   Il coordinatore della sicurezza ha competenze generali per tutte le questioni inerenti alla sicurezza, comprese le pertinenti misure previste nelle presenti norme e nel manuale di sicurezza. Il coordinatore della sicurezza controlla l’applicazione delle disposizioni di sicurezza e comunica tutte le violazioni verificatesi in questo ambito al direttore. Nei casi gravi il direttore riferisce al consiglio di amministrazione. Qualora siffatte violazioni siano tali da pregiudicare gli interessi di uno Stato membro, quest’ultimo ne viene ugualmente informato.

2.   Il coordinatore della sicurezza risponde direttamente al direttore di Europol.

3.   Il coordinatore della sicurezza dispone del nulla osta di sicurezza del livello più elevato in conformità alle disposizioni legislative e regolamentari applicabili nello Stato membro di cui il coordinatore della sicurezza è cittadino.

Articolo 6

Responsabili della sicurezza

1.   I responsabili della sicurezza affiancano il direttore nell’attuazione delle misure di sicurezza previste nelle presenti norme e nel manuale di sicurezza. I responsabili della sicurezza rispondono direttamente al coordinatore della sicurezza. Essi sono incaricati di:

2.   I responsabili della sicurezza dispongono del nulla osta di sicurezza del livello richiesto dai loro compiti in conformità alle disposizioni legislative e regolamentari applicabili negli Stati membri di cui sono cittadini.

Articolo 7

Manuale di sicurezza, procedure e contenuti

1.   Il manuale di sicurezza è adottato dal consiglio di amministrazione, previa consultazione del comitato di sicurezza.

2.   Il manuale di sicurezza fornisce guida e sostegno nella gestione in materia di sicurezza secondo le esigenze operative e delinea l’impostazione di Europol per tale gestione. Il manuale di sicurezza contiene:

3.   Il manuale di sicurezza è esaminato regolarmente o in caso di modifiche significative, per continuare a garantirne l’adeguatezza, la rispondenza e l’efficacia.

4.   Le modifiche del manuale di sicurezza sono adottate secondo la procedura di cui al paragrafo 1.

Articolo 8

Accreditamento di sicurezza dei sistemi

1.   Tutti i sistemi Europol usati per il trattamento di informazioni classificate Europol sono accreditati dal consiglio di amministrazione previa consultazione del comitato di sicurezza e previo accertamento dell’effettiva attuazione delle misure di sicurezza imposte dai requisiti di sicurezza specifici del sistema (RSSS), dal registro dei rischi per le informazioni e altra documentazione pertinente. I sottosistemi e i terminali o postazioni remoti sono accreditati in quanto parte di tutti i sistemi a cui sono collegati.

2.   Il consiglio di amministrazione, previa consultazione del comitato di sicurezza, adotta e modifica gli RSSS. Gli RSSS sono conformi alle disposizioni pertinenti del manuale di sicurezza.

Articolo 9

Osservanza

1.   Le misure di sicurezza previste dalle presenti norme e dal manuale di sicurezza sono osservate da tutte le persone presso l’Europol, nonché dalle persone coinvolte in attività connesse con l’Europol sottoposte ad un obbligo particolare di segreto e riservatezza.

2.   Il direttore, gli uffici di collegamento e le unità nazionali Europol sono responsabili dell’osservanza delle presenti norme e del manuale di sicurezza ai sensi del paragrafo 1.

CAPO III

PRINCIPI GENERALI

Articolo 10

Livello di protezione minimo, livelli di classifica e pacchetti di sicurezza

1.   A tutte le informazioni trattate da Europol o mediante esso, salvo quelle espressamente contrassegnate come informazioni pubbliche o palesemente riconoscibili in quanto tali, è attribuito un livello di protezione minimo all’interno di Europol e negli Stati membri.

2.   Ai sensi dell’articolo 3 gli Stati membri assicurano l’applicazione del livello di protezione minimo di cui al paragrafo 1 con varie misure, conformemente alle disposizioni legislative e regolamentari nazionali, tra cui l’obbligo del segreto e della riservatezza, la limitazione dell’accesso alle informazioni al personale autorizzato, i requisiti di protezione dei dati per i dati personali e le misure generali di ordine tecnico e procedurale per tutelare la sicurezza delle informazioni, tenuto conto dell’articolo 41, paragrafo 2 della decisione Europol.

3.   Alle informazioni che richiedano ulteriori misure di sicurezza è attribuito un livello di classifica Europol con il contrassegno corrispondente. Tale livello di sicurezza è attribuito soltanto se ciò è indispensabile e solo per il tempo necessario.

4.   Sono utilizzati i seguenti livelli di classifica Europol:

a)   «RESTREINT UE/EU RESTRICTED» (Europol riservato): questa classifica si applica alle informazioni e al materiale la cui divulgazione non autorizzata potrebbe essere contraria agli interessi di Europol ovvero di uno o più Stati membri;

b)   «CONFIDENTIEL UE/EU CONFIDENTIAL» (Europol riservatissimo): questa classifica si applica alle informazioni e al materiale la cui divulgazione non autorizzata potrebbe danneggiare gli interessi essenziali di Europol ovvero di uno o più Stati membri;

c)   «SECRET UE/EU SECRET» (Europol segreto): questa classifica si applica esclusivamente alle informazioni e al materiale la cui divulgazione non autorizzata potrebbe gravemente danneggiare gli interessi essenziali di Europol ovvero di uno o più Stati membri.

d)   «TRÈS SECRET UE/EU TOP SECRET» (Europol segretissimo): questa classifica si applica esclusivamente alle informazioni e al materiale la cui divulgazione non autorizzata potrebbe arrecare un pregiudizio eccezionalmente grave agli interessi essenziali di Europol ovvero di uno o più Stati membri.

Tali informazioni e materiali classificati recano, sotto il contrassegno di classifica, un contrassegno aggiuntivo «Europol» per indicare che provengono da Europol.

Ad ognuno dei livelli di classifica Europol corrispondono pacchetti di sicurezza specifici da applicare all’interno di Europol. I pacchetti di sicurezza offrono livelli diversi di protezione, a seconda del contenuto delle informazioni e del danno che l’accesso, la diffusione o l’uso non autorizzati di tali informazioni potrebbero arrecare agli interessi di Europol o degli Stati membri.

Qualora vengano raggruppate informazioni classificate a livelli diversi, il livello di classifica da applicare è almeno pari a quello delle informazioni classificate al livello più elevato. In ogni caso, a un gruppo di informazioni può essere attribuito un livello di protezione superiore a quello di ciascuno dei suoi elementi.

Alla traduzione di un documento classificato sono attribuiti lo stesso livello di classifica e la stessa protezione del documento originale.

5.   Un’avvertenza può essere usata per specificare condizioni aggiuntive, ad esempio la distribuzione delle informazioni limitata a canali specifici di scambio, l’embargo e una distribuzione particolare sulla base del principio della necessità di conoscere. Le avvertenze sono definite nel manuale di sicurezza.

6.   I pacchetti di sicurezza comprendono un insieme di misure materiali, tecniche, organizzative o amministrative, come previsto dal manuale di sicurezza.

Articolo 11

Attribuzione del livello di classifica

1.   Gli Stati membri che forniscono informazioni a Europol sono responsabili dell’attribuzione di un adeguato livello di classifica conformemente all’articolo 10. Allorché le forniscono a Europol gli Stati membri contrassegnano se del caso le informazioni con un livello di classifica Europol di cui all’articolo 10, paragrafo 4.

2.   Nell’attribuire un livello di classifica, gli Stati membri tengono conto della classifica delle informazioni ai sensi delle rispettive legislazioni nazionali, della flessibilità operativa necessaria per il corretto funzionamento di Europol e del requisito secondo cui la classifica delle informazioni relative all’applicazione della legge dovrebbe costituire l’eccezione e secondo cui, se la classifica di tali informazioni è necessaria, dovrebbe essere al livello più basso.

3.   Se Europol accerta, in base alle informazioni già in suo possesso, che l’attribuzione di un livello di classifica deve essere modificata (ad esempio abbassando o aumentando il livello) di classifica di un documento oggetto in precedenza del livello di protezione minimo ne informa lo Stato membro interessato e si adopera per convenire con quest’ultimo un livello di classifica idoneo. In mancanza di tale accordo Europol non specifica, modifica, aumenta o abbassa un livello di classifica.

4.   Qualora le informazioni elaborate da Europol contengano informazioni fornite da uno Stato membro o siano basate su tali informazioni, Europol stabilisce di concerto con lo Stato membro interessato se sia sufficiente il livello di protezione minimo o se sia necessario attribuire un livello di classifica Europol.

5.   Qualora le informazioni siano originate da Europol e non contengano informazioni fornite da uno Stato membro né siano basate su di esse, Europol stabilisce un livello di classifica idoneo per tali informazioni secondo i criteri stabiliti dal comitato di sicurezza. Se del caso, Europol contrassegna di conseguenza tali informazioni.

6.   Quando le informazioni riguardano anche gli interessi fondamentali di un altro Stato membro, gli Stati membri ed Europol lo consultano per appurare se si debba attribuire un livello di classifica a tali informazioni e, in caso affermativo, quale livello di classifica dovrebbe essere attribuito.

Articolo 12

Modifica del livello di classifica

1.   Gli Stati membri che hanno fornito informazioni a Europol possono sempre esigere di modificare il livello di classifica attribuito ed eventualmente di abbassarlo o di aumentarlo. Europol ha l’obbligo di procedere a tali modifiche conformemente alle richieste degli Stati membri interessati.

2.   Gli Stati membri interessati, non appena le circostanze lo consentano, chiedono di ridurre il livello di classifica, oppure di sopprimerlo.

3.   Gli Stati membri che forniscono informazioni a Europol possono specificare il periodo di validità di un livello di classifica attribuito ed eventuali modifiche dello stesso successivamente.

4.   Se il livello di protezione minimo o il livello di classifica è stato attribuito da Europol ai sensi dell’articolo 11, paragrafo 4, una modifica della protezione minima o del livello di classifica può essere apportata da Europol soltanto di concerto con lo Stato membro interessato.

5.   Se il livello di classifica è stato attribuito da Europol ai sensi dell’articolo 11, paragrafo 5, Europol può modificarlo o sopprimerlo in qualsiasi momento qualora lo ritenga necessario.

6.   Qualora siano già state fornite ad altri Stati membri informazioni di cui si è modificato nel frattempo il livello di classifica ai sensi del presente articolo, Europol notifica ai destinatari la modifica del livello di classifica.

Articolo 13

Trattamento, accesso e nulla osta di sicurezza

1.   L’accesso alle informazioni e relativo possesso è limitato all’interno dell’organizzazione Europol alle persone che devono conoscerle o trattarle nello svolgimento delle loro funzioni. Le persone incaricate del trattamento delle informazioni sono in possesso di un idoneo nulla osta di sicurezza e ricevono inoltre una formazione specifica.

2.   Tutte le persone che possono avere accesso alle informazioni soggette ad un livello di classifica ed elaborate da Europol sono sottoposte ad indagini di sicurezza conformemente all’articolo 40, paragrafo 2 della convenzione Europol e al manuale di sicurezza. Il coordinatore della sicurezza, in base all’esito della procedura e fatte salve le disposizioni del manuale di sicurezza, autorizza le persone in possesso di un nulla osta di sicurezza nazionale del livello adeguato, che, nello svolgimento delle loro funzioni, devono essere a conoscenza di informazioni soggette a un livello di classifica Europol. L’autorizzazione è soggetta a riesame periodico da parte del coordinatore della sicurezza. Quest’ultimo può revocarla con effetto immediato se sussistono motivi legittimi per procedervi. Il coordinatore della sicurezza è altresì competente a garantire l’applicazione del paragrafo 3.

3.   Non hanno accesso alle informazioni soggette ad un livello di classifica coloro che sono sprovvisti del nulla osta di sicurezza di livello adeguato. Tuttavia, in casi eccezionali, previa consultazione di un responsabile della sicurezza il coordinatore della sicurezza può:

4.   Tale autorizzazione non è concessa qualora uno Stato membro, allorché trasmette le informazioni in questione, abbia specificato che il potere discrezionale attribuito al coordinatore della sicurezza ai sensi del paragrafo 3 non è esercitato per quanto concerne tali informazioni.

Articolo 14

Terzi

Nella conclusione di accordi di riservatezza con terzi o nella conclusione di accordi conformemente all’articolo 22, paragrafo 4, e all’articolo 23, paragrafo 7 della decisione Europol, Europol tiene conto dei principi stabiliti nelle presenti norme e nel manuale di sicurezza, che dovrebbero essere applicati di conseguenza alle informazioni scambiate con questi terzi.

CAPO IV

DISPOSIZIONI FINALI

Articolo 15

Revisione delle norme

Le proposte di modifica delle presenti norme sono esaminate dal consiglio di amministrazione in vista della loro adozione da parte del Consiglio secondo la procedura di cui all’articolo 40, paragrafo 1 della decisione Europol.

Articolo 16

Entrata in vigore

Le presenti norme entrano in vigore il 1o gennaio 2010.

(1)  GU L 121 del 15.5.2009, pag. 37.