Atto del Consiglio 99-C 26-02

Atto del Consiglio 99/C 26/02
che adotta le norme sulla protezione del segreto delle informazioni dell'Europol

Gazzetta ufficiale n. C 026 del 30 gennaio 1999

Unione europea

1999

Informazioni sulla fonte del testo

IL CONSIGLIO DELL'UNIONE EUROPEA,

vista la convenzione basata sull'articolo K.3 del trattato sull'Unione europea che istituisce un ufficio europeo di polizia (convenzione Europol) (1), in particolare l'articolo 31, paragrafo 1,

visto il progetto di norme presentato dal consiglio di amministrazione,

considerando che spetta al Consiglio adottare, all'unanimità, un'adeguata normativa in materia di protezione del segreto delle informazioni raccolte in applicazione della convenzione Europol o scambiate nell'ambito dell'Europol,

HA ADOTTATO LE SEGUENTI NORME:

Articolo 1 Definizioni

Ai fini delle presenti norme si intendono per:

a) «Trattamento delle informazioni» («trattamento»), qualsiasi operazione, o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l'organizzazione, la conservazione, l'elaborazione o la modifica, l'estrazione, la consultazione, l'impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, nonché il congelamento, la cancellazione o la distruzione;

b) «Terzi», Stati terzi, ovvero organizzazioni o organismi di cui all'articolo 10, paragrafo 4, della convenzione Europol;

c) «Comitato di sicurezza Europol», il comitato composto di rappresentanti degli Stati membri e dell'Europol descritto nell'articolo 3;

d) «Coordinatore della sicurezza Europol», il vicedirettore a cui il direttore dell'Europol - a norma dell'articolo 29, paragrafo 2, della convenzione Europol - affida, accanto agli altri compiti di sua competenza, funzioni di coordinamento e controllo in materia di sicurezza;

e) «Responsabile della sicurezza Europol», l'agente dell'Europol nominato dal direttore dell'Europol, incaricato delle questioni di sicurezza ai sensi dell'articolo 5;

f) «Manuale di sicurezza», il manuale di applicazione delle presenti norme, che sarà elaborato conformemente all'articolo 6;

g) «Livello di sicurezza», il marchio di sicurezza Europol 1, 2 o 3 attribuito a un documento trattato dall'Europol o mediante esso, come previsto all'articolo 8;

h) «Pacchetto di sicurezza», l'insieme di misure specifiche in materia di sicurezza che devono essere applicate alle informazioni oggetto di uno dei livelli di sicurezza dell'Europol, come previsto all'articolo 8;

i) «Livello di protezione minimo», il livello di protezione che sarà applicato a tutte le informazioni trattate dall'Europol o mediante esso, salvo quelle cui è stata espressamente apposta l'indicazione distintiva di informazioni pubbliche o che sono palesemente riconoscibili come tali, come previsto all'articolo 8, paragrafo 1.

Articolo 2 Campo di applicazione

1. Le presenti norme stabiliscono le misure di sicurezza che devono essere applicate a tutte le informazioni elaborate dall'Europol all'interno della sua struttura o mediante la sua organizzazione.

2. Gli Stati membri si impegnano ad assicurare che, nei rispettivi territori, tali informazioni ricevano un livello di protezione equivalente a quello garantito da queste misure.

3. I collegamenti elettronici tra l'Europol e le unità nazionali degli Stati membri assicurano un livello di protezione equivalente a quello garantito da queste misure. Uno standard comune per questi collegamenti elettronici verrà approvato all'unanimità dal comitato di sicurezza previa consultazione delle autorità competenti degli Stati membri.

4. L'allegato alle presenti norme riporta una descrizione sintetica dei livelli di sicurezza Europol, come previsto all'articolo 8, e le corrispondenti indicazioni distintive attualmente applicate dagli Stati membri alle informazioni classificate. Quando uno Stato membro informa gli altri Stati membri e l'Europol circa eventuali modifiche delle disposizioni nazionali in materia di livelli di sicurezza o delle corrispondenti indicazioni distintive, l'Europol elabora una versione riveduta della suddetta descrizione sintetica. Almeno una volta l'anno il comitato di sicurezza Europol verifica se la descrizione sintetica è aggiornata.

Articolo 3 Comitato di sicurezza Europol

1. È istituito un «Comitato di sicurezza Europol», composto di rappresentanti degli Stati membri e dell'Europol che si riunisce almeno una volta all'anno.

2. Il comitato di sicurezza svolge funzioni di consulenza per il consiglio di amministrazione e per il direttore dell'Europol su questioni inerenti alla politica di sicurezza, inclusa l'applicazione del manuale di sicurezza.

3. Il comitato di sicurezza stabilisce il suo regolamento interno. Le riunioni del comitato sono presiedute dal coordinatore della sicurezza.

Articolo 4 Coordinatore della sicurezza

1. Il coordinatore della sicurezza ha competenze generali per tutte le questioni inerenti alla sicurezza, comprese le pertinenti misure previste nelle presenti norme e nel manuale di sicurezza. Egli controlla l'applicazione delle norme di sicurezza e comunica tutte le violazioni verificatesi in questo ambito al direttore, il quale nei casi più gravi riferisce al consiglio di amministrazione. Qualora siffatte violazioni siano tali da pregiudicare gli interessi di uno Stato membro, quest'ultimo ne viene ugualmente informato.

2. Il coordinatore della sicurezza risponde direttamente al direttore dell'Europol.

Articolo 5 Responsabile della sicurezza

1. Il responsabile della sicurezza Europol è competente per l'attuazione pratica di tutte le misure di sicurezza previste nelle presenti norme e nel manuale di sicurezza. Egli risponde direttamente al coordinatore della sicurezza. Il responsabile della sicurezza è incaricato di:

a) gestire l'Unità sicurezza dell'Europol;

b) istruire, assistere e consigliare gli agenti dell'Europol e gli ufficiali di collegamento sui rispettivi compiti ai sensi delle presenti norme e del manuale di sicurezza;

c) applicare le disposizioni in materia di sicurezza, indagare sull'inottemperanza a tali disposizioni e informarne al più presto il coordinatore della sicurezza;

d) verificare regolarmente l'adeguatezza delle misure di sicurezza in base alla valutazione della minaccia: a tal fine il responsabile della sicurezza informa il coordinatore della sicurezza in linea di massima almeno una volta al mese e - in casi eccezionali - ove ritenuto necessario, e formula osservazioni e suggerimenti;

e) svolgere i compiti che gli sono assegnati ai sensi delle presenti norme e del manuale di sicurezza;

f) svolgere altri compiti che gli sono assegnati dal coordinatore della sicurezza.

2. Il responsabile della sicurezza deve avere il livello di autorizzazione di sicurezza più elevato previsto dai regolamenti applicabili nello Stato membro di cui è cittadino.

Articolo 6 Manuale di sicurezza

procedura e contenuto

1. Il manuale di sicurezza è adottato dal consiglio di amministrazione, previa consultazione del comitato di sicurezza.

2. Il manuale di sicurezza contiene:

a) regole precise per le misure di sicurezza da applicare all'interno dell'organizzazione Europol, che contemplino un livello di protezione minimo come previsto all'articolo 8, paragrafo 1, delle presenti norme, in base all'articolo 25 e all'articolo 32, paragrafo 2, della convenzione Europol, e tenuto conto dell'articolo 31, paragrafo 3, della stessa;

b) regole precise per le misure di sicurezza connesse ai diversi livelli di sicurezza Europol e ai corrispondenti pacchetti di sicurezza come previsto all'articolo 8, paragrafi 2 e 3.

3. Le modifiche del manuale di sicurezza sono adottate secondo la procedura di cui al paragrafo 1.

4. Per il sistema informatico Europol e per ogni altro sistema informatico utilizzato presso l'Europol per il trattamento di informazioni recanti l'indicazione distintiva che le classifica come protette, si adotta un requisito di sicurezza specifico del sistema, modificato secondo la procedura di cui al paragrafo 1. Detto requisito è conforme alle pertinenti norme del manuale di sicurezza.

Articolo 7 Osservanza

Le misure di sicurezza previste dalle presenti norme e dal manuale di sicurezza sono osservate da tutti gli agenti dell'Europol e dagli ufficiali di collegamento, nonché dalle persone particolarmente vincolate al segreto e alla riservatezza.

Articolo 8 Livello di protezione minimo, livelli di sicurezza e pacchetti di sicurezza

1. A tutte le informazioni trattate dall'Europol o mediante esso, salvo quelle cui è stata espressamente apposta l'indicazione distintiva di informazioni pubbliche o che palesemente sono riconoscibili come tali, è attribuito un livello di protezione minimo all'interno dell'organizzazione Europol e negli Stati membri. Le informazioni cui è stato attribuito solo il livello di protezione minimo non richiedono un'indicazione distintiva specifica di un livello di sicurezza Europol, ma sono classificate come informazioni Europol.

2. Ai sensi dell'articolo 2, paragrafo 2, gli Stati membri assicurano l'applicazione del livello di protezione minimo di cui al paragrafo 1 con varie misure conformemente alle normative e regolamentazioni nazionali, tra cui l'obbligo del segreto e della riservatezza, la limitazione dell'accesso alle informazioni al personale autorizzato, i requisiti di protezione dei dati per i dati di carattere personale e le misure generali di ordine tecnico e procedurale per tutelare la sicurezza delle informazioni, tenuto conto dell'articolo 25, paragrafo 2, della convenzione Europol.

3. Alle informazioni che richiedano ulteriori misure di sicurezza è attribuito un livello di sicurezza Europol con la relativa indicazione distintiva specifica. Tale livello di sicurezza è attribuito soltanto se ciò è indispensabile e per il tempo necessario.

4. I livelli di sicurezza Europol sono distinti in «livelli Europol» numerati da 1 a 3.

Ad ognuno dei livelli di sicurezza Europol corrispondono pacchetti di sicurezza specifici da applicare all'interno dell'organizzazione Europol. I pacchetti di sicurezza offrono gradi diversi di protezione, a seconda del contenuto delle informazioni e del danno che l'accesso, la diffusione o l'uso non autorizzati di tali informazioni potrebbero arrecare agli interessi degli Stati membri o dell'Europol. I livelli Europol da 1 a 3, per quanto riguarda le misure di sicurezza da applicare, corrispondono per quanto possibile alle categorie di classificazione esistenti a livello internazionale.

Qualora vengano raggruppate informazioni recanti l'indicazione distintiva che le classifica come protette a diversi livelli, il livello di sicurezza da attribuire è pari almeno a quello riferito all'informazione della categoria di protezione più elevata. In ogni caso, a un gruppo di informazioni può essere attribuito un livello di protezione superiore rispetto a quello di ciascuno dei suoi elementi.

La traduzione di documenti recanti l'indicazione distintiva che li classifica come protetti è sottoposta ad una protezione analoga a quella degli originali.

5. I pacchetti di sicurezza comprendono un insieme di misure tecniche, organizzative e amministrative, come previsto dal manuale di sicurezza. Essi includono le norme di utilizzazione dei dati ai sensi dell'articolo 17 della convenzione Europol, dall'uso senza restrizioni all'uso che richiede la previa autorizzazione dell'originatore.

Articolo 9 Scelta del livello di sicurezza

1. Gli Stati membri che forniscono informazioni all'Europol sono responsabili dell'attribuzione di un adeguato livello di sicurezza conformemente all'articolo 8. Se necessario, gli Stati membri corredano le informazioni che forniscono di un'indicazione distintiva Europol corrispondente ad un determinato livello di sicurezza Europol, quale previsto all'articolo 8, paragrafo 4.

2. Nell'attribuzione di un livello di sicurezza gli Stati membri tengono conto della classificazione delle informazioni prevista dalle rispettive legislazioni nazionali, nonché della flessibilità operativa necessaria per il corretto funzionamento dell'Europol.

3. Se l'Europol appura, in base alle informazioni già in suo possesso, che l'attribuzione di un livello di sicurezza richiede una modifica - ad esempio l'eventuale soppressione o aggiunta di tale livello, compresa l'attribuzione di un livello di sicurezza superiore a un documento oggetto in precedenza del livello di protezione minimo - ne informa lo Stato membro interessato e cerca di concertare con quest'ultimo un adeguato livello di sicurezza. In mancanza di tale accordo l'Europol non attribuisce, modifica, aggiunge o sopprime un livello di sicurezza.

4. Qualora le informazioni elaborate dall'Europol contengano informazioni fornite da uno Stato membro o siano basate su tali informazioni, l'Europol stabilisce di concerto con lo Stato membro interessato se sia sufficiente il livello di protezione minimo o se sia necessaria l'attribuzione di un livello di sicurezza Europol.

5. Qualora le informazioni siano elaborate dall'Europol e non contengano informazioni fornite da uno Stato membro né siano basate su di esse, l'Europol stabilisce un adeguato livello di sicurezza per tali informazioni utilizzando criteri stabiliti dal comitato di sicurezza. Se del caso, l'Europol appone su tali informazioni le corrispondenti indicazioni distintive.

6. Quando le informazioni riguardano anche gli interessi fondamentali di un altro Stato membro, gli Stati membri e l'Europol lo consultano in merito al fatto se si debba attribuire un livello di sicurezza a tali informazioni e, in caso affermativo, in merito all'entità di tale livello.

Articolo 10 Modifica dei livelli di sicurezza

1. Gli Stati membri che hanno fornito informazioni all'Europol possono sempre esigere di modificare un livello di sicurezza attribuito ed eventualmente di sopprimerlo o di attribuirne uno superiore. L'Europol ha l'obbligo di procedere a tali modifiche conformemente alle richieste degli Stati membri interessati.

2. Gli Stati membri interessati, non appena le circostanze lo consentano, chiedono di modificare un livello di sicurezza al grado inferiore, oppure di sopprimerlo.

3. Gli Stati membri che forniscono informazioni all'Europol possono specificare il periodo di validità di un livello di sicurezza attribuito e qualsiasi modifica possibile trascorso tale periodo.

4. Se il livello di protezione minimo o il livello di sicurezza è stato attribuito dall'Europol ai sensi dell'articolo 9, paragrafo 4, una modifica di tale livello può essere apportata soltanto dall'Europol di concerto con lo Stato membro interessato.

5. Se il livello di sicurezza è stato attribuito dall'Europol ai sensi dell'articolo 9, paragrafo 5, l'Europol può modificarlo o sopprimerlo in qualsiasi momento qualora lo ritenga necessario.

6. Qualora siano già state fornite ad altri Stati membri informazioni di cui si è modificato nel frattempo il livello di sicurezza in conformità del presente articolo, l'Europol ha l'obbligo di notificare ai riceventi la modifica apportata.

Articolo 11 Trattamento, accesso e autorizzazione di sicurezza

1. L'accesso alle informazioni e il loro possesso è limitato all'interno dell'organizzazione Europol alle persone che devono conoscerle o elaborarle nello svolgimento delle loro funzioni. Le persone addette al trattamento delle informazioni, dopo essere state sottoposte alle necessarie indagini di sicurezza, ricevono una formazione specifica.

2. Tutte le persone che possono avere accesso alle informazioni soggette ad un livello di sicurezza ed elaborate dall'Europol sono sottoposte ad indagini di sicurezza conformemente all'articolo 31, paragrafo 2, della convenzione Europol e al manuale di sicurezza. Il coordinatore della sicurezza, deliberando su proposta del responsabile della sicurezza e fatte salve le disposizioni del manuale di sicurezza, concede un'autorizzazione alle persone, previamente autorizzate in seguito ad indagini svolte a un livello nazionale corrispondente, che, nello svolgimento delle loro funzioni, devono essere a conoscenza di informazioni soggette ad un determinato livello di sicurezza Europol. Egli è altresì competente a garantire l'applicazione delle disposizioni di cui al paragrafo 3.

3. Non hanno accesso alle informazioni soggette ad un determinato livello di sicurezza coloro che sono sprovvisti dell'autorizzazione di sicurezza per il livello corrispondente. Tuttavia, in linea eccezionale, il coordinatore della sicurezza, previa consultazione con il responsabile della sicurezza, può dare a persone che si sono sottoposte ad indagini per il livello 1 o 2 un'autorizzazione specifica e limitata per accedere a determinate informazioni di livello più elevato se, nello svolgimento delle loro funzioni, in un caso specifico, tali persone devono essere a conoscenza di informazioni soggette ad un livello maggiore di sicurezza Europol.

4. Tale autorizzazione non viene concessa qualora uno Stato membro, all'atto della trasmissione dell'informazione in questione, abbia specificato che il potere discrezionale attribuito al coordinatore della sicurezza dal paragrafo 3 non deve essere esercitato per quanto concerne tale informazione.

Articolo 12 Terzi

Nella conclusione di accordi sulla protezione del segreto con terzi, conformemente all'articolo 18, paragrafo 6, della convenzione Europol o di accordi conformemente all'articolo 42 della stessa, l'Europol tiene conto dei principi stabiliti nelle presenti norme e nel manuale di sicurezza, che saranno applicati di conseguenza alle informazioni scambiate con essi.

Articolo 13 Entrata in vigore

Il presente regolamento entra in vigore il 1° gennaio 1999.

Articolo 14 Revisione della normativa

Le proposte di modifica delle presenti norme sono esaminate dal consiglio di amministrazione per essere adottate dal Consiglio in conformità della procedura di cui all'articolo 31, paragrafo 1, della convenzione Europol.

Fatto a Bruxelles, addì 3 novembre 1998.

Per il Consiglio

Il Presidente

B. PRAMMER

(1) GU C 316 del 27.11.1995, pag. 1.

Tabella di equivalenza tra le classificazioni nazionali e la corrispondente classificazione Europol

La seguente tabella è illustrativa: gli Stati membri hanno l'obbligo di prevedere un livello di protezione equivalente a quello fornito dall'Europol, più che quello di attribuire una classificazione particolare.

Come previsto all'articolo 2, paragrafo 4, l'Europol elabora una versione riveduta della descrizione sintetica quando gli siano notificate eventuali modifiche di disposizioni nazionali. Almeno una volta l'anno il comitato di sicurezza Europol verifica se la descrizione sintetica è aggiornata. Eventuali difficoltà nell'applicazione del concetto di equivalenza tra i livelli di protezione sono discusse tra gli Stati membri e l'Europol oppure, collettivamente, dal comitato di sicurezza. Analogamente, il comitato di sicurezza esamina le implicazioni, per la tabella, di eventuali adeguamenti dei pacchetti di sicurezza Europol quali stabiliti nel manuale di sicurezza.