RÅDETS RETSAKT af 3. november 1998 om vedtagelse af bestemmelser om sikkerhedsbeskyttelse af Europol-oplysninger (1999/C 26/02)

RÅDET FOR DEN EUROPÆISKE UNION HAR -

under henvisning til konventionen, udarbejdet på grundlag af artikel K.3 i traktaten om Den Europæiske Union, om oprettelse af en europæisk politienhed (Europol-konventionen) (1), særlig artikel 31, stk. 1,

under henvisning til det af styrelsesrådet forelagte udkast til bestemmelser, og

ud fra følgende betragtning:

Det tilkommer Rådet enstemmigt at vedtage passende bestemmelser for sikkerhedsbeskyttelse af oplysninger, som tilvejebringes på grundlag af Europol-konventionen eller udveksles med Europol -

VEDTAGET FØLGENDE BESTEMMELSER:

KAPITEL I

Definitioner og anvendelsesområde

Artikel 1 Definitioner

I forbindelse med disse bestemmelser forstås ved:

a) »behandling af oplysninger« (»behandling«): enhver operation eller række af operationer med eller uden brug af elektronisk databehandling, som personoplysninger eller andre oplysninger gøres til genstand for, såsom indsamling, registrering, organisation, lagring, bearbejdning eller ændring, fremfinding, søgning, anvendelse, videregivelse, formidling eller enhver anden form for tilrådighedsstillelse af oplysningerne, matching eller samkøring samt blokering, sletning eller tilintetgørelse

b) »tredjepart«: et tredjeland eller en ekstern organisation som omhandlet i Europol-konventionens artikel 10, stk. 4

c) »Europols Sikkerhedsudvalg«: det udvalg bestående af repræsentanter for medlemsstaterne og Europol, der er beskrevet i artikel 3

d) »Europols sikkerhedskoordinator«: den vicedirektør, til hvem direktøren for Europol - i overensstemmelse med Europol-konventionens artikel 29, stk. 2 - ud over hans øvrige opgaver, overdrager koordinations- og kontrolfunktionen på sikkerhedsområdet

e) »Europols sikkerhedsrådgiver«: den Europol-ansatte, der udpeges af direktøren for Europol, og som er ansvarlig for sikkerhedsspørgsmål i overensstemmelse med artikel 5

f) »sikkerhedshåndbog«: den håndbog til gennemførelse af disse bestemmelser, der skal udarbejdes i overensstemmelse med artikel 6

g) »klassifikationsniveau«: en sikkerhedsmærkning, benævnt Europol-niveau 1, 2 eller 3, som anføres på et dokument, der behandles af eller gennem Europol, jf. artikel 8

h) »sikkerhedskompleks«: en bestemt kombination af sikkerhedsforanstaltninger, som skal anvendes på oplysninger, som er undergivet et Europol-klassifikationsniveau jf. artikel 8

i) »grundlæggende beskyttelsesniveau«: det beskyttelsesniveau, der gælder for alle oplysninger, der behandles af eller gennem Europol, undtagen oplysninger, der udtrykkeligt er mærket eller klart genkendelige som offentligt tilgængelige, jf. artikel 8, stk. 1.

Artikel 2 Anvendelsesområde

1. Disse bestemmelser fastlægger, hvilke sikkerhedsforanstaltninger der skal anvendes på alle de oplysninger, der behandles af eller gennem Europol inden for organisationen.

2. Medlemsstaterne forpligter sig til at sikre, at sådanne oplysninger på deres område tildeles et beskyttelsesniveau svarende til det beskyttelsesniveau, som disse sikkerhedsforanstaltninger giver.

3. Elektroniske forbindelser mellem Europol og medlemsstaternes nationale enheder skal have et beskyttelsesniveau svarende til det niveau, som disse sikkerhedsforanstaltninger giver. En fælles standard for disse elektroniske forbindelser skal godkendes enstemmigt af sikkerhedsudvalget efter høring af medlemsstaternes kompetente myndigheder.

4. Bilaget til disse bestemmelser indeholder en sammenlignende oversigt mellem Europol-klassifikationsniveauerne som omhandlet i artikel 8 og de hertil svarende mærkninger, som medlemsstaterne på nuværende tidspunkt anvender på oplysninger, der er undergivet disse klassifikationsniveauer. Når en medlemsstat giver de øvrige medlemsstater samt Europol underretning om ændringer af de nationale bestemmelser vedrørende klassifikationsniveauerne eller de tilsvarende mærkninger, udarbejder Europol en revideret udgave af ovennævnte oversigt. Europols Sikkerhedsudvalg undersøger mindst én gang om året, om oversigten er ajourført.

KAPITEL II

SIKKERHEDSANSVAR

Artikel 3 Europols Sikkerhedsudvalg

1. Der nedsættes et sikkerhedsudvalg under Europol, som skal bestå af repræsentanter for medlemsstaterne og for Europol, og som skal holde møde mindst én gang om året.

2. Europols Sikkerhedsudvalg har til opgave at rådgive Europols Styrelsesråd og direktør om spørgsmål vedrørende sikkerhedspolitikken, herunder anvendelse af sikkerhedshåndbogen.

3. Europols Sikkerhedsudvalg fastsætter selv sin forretningsorden. Sikkerhedskoordinatoren leder møderne i Europols Sikkerhedsudvalg.

Artikel 4 Sikkerhedskoordinatoren

1. Sikkerhedskoordinator har det overordnede ansvar for alle spørgsmål vedrørende sikkerhed, herunder de sikkerhedsforanstaltninger, der er fastsat i disse bestemmelser og i sikkerhedshåndbogen. Han overvåger håndhævelsen af sikkerhedsforskrifterne og underretter direktøren om alle brud på sikkerheden; i alvorlige tilfælde underretter direktøren styrelsesrådet. Såfremt et sådant brud på sikkerheden medfører fare for en medlemsstats interesser, underrettes denne medlemsstat ligeledes.

2. Sikkerhedskoordinatoren er direkte ansvarlig over for Europols direktør.

Artikel 5 Sikkerhedsrådgiver

1. Europols sikkerhedsrådgiver, som er direkte ansvarlig over for sikkerhedskoordinatoren, har ansvaret for den praktiske gennemførelse af de sikkerhedsforanstaltninger, der er fastsat i disse bestemmelser og i sikkerhedshåndbogen. Sikkerhedsrådgiverens specifikke opgaver er

a) at lede Europols sikkerhedsenhed

b) at instruere, bistå og rådgive Europols personale og forbindelsesofficerer vedrørende deres opgaver i henhold til disse bestemmelser og sikkerhedshåndbogen

c) at håndhæve sikkerhedsforskrifterne, undersøge overtrædelser af disse forskrifter og underrette sikkerhedskoordinatoren herom så hurtigt som muligt

d) løbende at undersøge, om sikkerhedsforanstaltningerne er tilstrækkelige på grundlag af trusselsvurderinger. Med henblik herpå skal han aflægge rapport til sikkerhedskoordinatoren mindst en gang om måneden og - i særlige tilfælde - hver gang det skønnes at være nødvendigt, ligesom han skal fremsætte bemærkninger og forslag

e) at udføre de opgaver, der pålægges ham i henhold til disse bestemmelser og sikkerhedshåndbogen

f) at udføre andre opgaver, der pålægges ham af sikkerhedskoordinatoren.

2. Sikkerhedsrådgiveren skal sikkerhedsgodkendes på højeste niveau i henhold til de bestemmelser, der gælder i den medlemsstat, hvor han er statsborger.

Artikel 6 Sikkerhedshåndbog; procedure og indhold

1. Sikkerhedshåndbogen vedtages af styrelsesrådet efter høring af sikkerhedsudvalget.

2. Sikkerhedshåndbogen skal indeholde

a) detaljerede regler vedrørende de sikkerhedsforanstaltninger, som skal anvendes inden for Europol-organisationen med henblik på at sikre et grundlæggende beskyttelsesniveau som nævnt i artikel 8, stk. 1, i disse bestemmelser, baseret på Europol-konventionens artikel 25 og artikel 32, stk. 2, og under hensyn til Europol-konventionens artikel 31, stk. 3

b) detaljerede regler vedrørende de sikkerhedsforanstaltninger, der er forbundet med de forskellige Europol-klassifikationsniveauer, og de tilsvarende sikkerhedskomplekser, som nævnt i artikel 8, stk. 2 og 3.

3. Ændringer til sikkerhedshåndbogen vedtages i overensstemmelse med proceduren i stk. 1.

4. Europols edb-system og ethvert andet edb-system, der anvendes i Europol til behandling af klassificerede oplysninger, skal være omfattet af systemspecifikke sikkerhedsforanstaltninger (SSSR), som vedtages og ændres efter proceduren i stk. 1. De systemspecifikke sikkerhedsforanstaltninger skal være i overensstemmelse med sikkerhedshåndbogens relevante bestemmelser.

Artikel 7 Overholdelse

De sikkerhedsforanstaltninger, der er fastsat i disse bestemmelser og i sikkerhedshåndbogen, skal overholdes af hele Europols personale og alle forbindelsesofficererne samt af enhver anden person, som er underlagt særlig tavshedspligt.

KAPITEL III

GENERELLE PRINCIPPER

Artikel 8 Grundlæggende beskyttelsesniveau, klassifikationsniveauer og sikkerhedskomplekser

1. Alle oplysninger, der behandles af eller gennem Europol, undtagen oplysninger, der udtrykkeligt er mærket eller let genkendelige som offentligt tilgængelige, skal være undergivet et grundlæggende beskyttelsesniveau inden for Europol-organisationen samt i medlemsstaterne. Oplysninger, som kun er undergivet det grundlæggende beskyttelsesniveau, kræver ikke særlig angivelse af et Europol-klassifikationsniveau, men det skal anføres, at det drejer sig om Europol-oplysninger.

2. I overensstemmelse med artikel 2, stk. 2, skal medlemsstaterne sikre, at det grundlæggende beskyttelsesniveau, jf. stk. 1, overholdes ved hjælp af en række foranstaltninger i overensstemmelse med national lovgivning og nationale bestemmelser, herunder tavshedspligt, begrænsning af adgangen til oplysninger til autoriseret personale, krav til databeskyttelse med hensyn til personoplysninger, og generelle tekniske og proceduremæssige foranstaltninger med henblik på at sikre beskyttelsen af oplysningerne, jf. Europol-konventionens artikel 25, stk. 2.

3. Oplysninger, der kræver yderligere sikkerhedsforanstaltninger, skal være undergivet et Europol-klassifikationsniveau, der angives ved en særlig mærkning. Oplysningerne må kun undergives et sådant klassifikationsniveau, hvis det er strengt nødvendigt, og kun for det nødvendige tidsrum.

4. Europol-klassifikationsniveauerne benævnes »Europol 1, 2 og 3«:

>TABELPOSITION>

Hvert Europol-klassifikationsniveau henviser til et bestemt sikkerhedskompleks, der skal anvendes inden for Europol-organisationen. Sikkerhedskomplekserne giver forskellige beskyttelsesniveauer alt efter oplysningernes indhold og under hensyn til den skade, som uautoriseret adgang, formidling eller anvendelse af oplysningerne vil kunne tilføje medlemsstaternes eller Europols interesser. Europolniveau 1-3 skal med hensyn til de sikkerhedsforanstaltninger, der skal anvendes, så vidt muligt svare til eksisterende internationale standarder.

Når der indsamles oplysninger, som er undergivet forskellige niveauer, skal det klassifikationsniveau, som skal anvendes, være mindst lige så højt som det niveau, som de højst klassificerede oplysninger er undergivet. Under alle omstændigheder kan en gruppe af oplysninger klassificeres på et højere niveau end de enkelte oplysninger hver for sig.

Oversatte klassificerede dokumenter skal undergives samme beskyttelse som originalerne.

5. Sikkerhedskomplekserne består af forskellige tekniske, organisatoriske eller administrative foranstaltninger som fastsat i sikkerhedshåndbogen. De omfatter tilladt anvendelse af oplysninger i henhold til Europol-konventionens artikel 17, lige fra ubegrænset anvendelse til ingen anvendelse uden samtykke fra den, som oplysningerne hidrører fra.

Artikel 9 Valg af klassifikationsniveau

1. Den medlemsstat, der videregiver oplysninger til Europol, er ansvarlig for valget af et passende klassifikationsniveau for disse oplysninger i overensstemmelse med artikel 8. Medlemsstaten anfører om nødvendigt et Europol-klassifikationsniveau, jf. artikel 8, stk. 4, når den videregiver oplysninger til Europol.

2. Medlemsstaterne skal ved valg af klassifikationsniveau tage hensyn til såvel klassifikationen af oplysningerne i henhold til deres nationale bestemmelser som den operationelle fleksibilitet, der er påkrævet for, at Europol kan fungere tilfredsstillende.

3. Hvis Europol - på grundlag af oplysninger, som den allerede er i besiddelse af - kommer til den konklusion, at et klassifikationsniveau må ændres (f.eks. at et klassifikationsniveau skal ophæves eller tilføjes, eller at der skal tilføjes et klassifikationsniveau til et dokument, der tidligere er blevet undergivet det grundlæggende beskyttelsesniveau), underretter Europol den berørte medlemsstat og forsøger at nå til enighed med denne om et passende klassifikationsniveau. Europol må hverken fastlægge, ændre, tilføje eller ophæve et klassifikationsniveau uden at have opnået denne enighed.

4. Når oplysninger, der udarbejdes af Europol, bygger på eller indeholder oplysninger, som er videregivet af en medlemsstat, skal Europol i forståelse med den berørte medlemsstat afgøre, om det grundlæggende beskyttelsesniveau er tilstrækkeligt, eller om der skal anvendes et Europol-klassifikationsniveau.

5. Når oplysninger udarbejdes af Europol selv, og disse oplysninger hverken bygger på eller indeholder oplysninger, som er videregivet af en medlemsstat, fastlægger Europol et passende klassifikationsniveau for sådanne oplysninger under anvendelse af kriterier, som fastlægges af sikkerhedsudvalget. Om nødvendigt skal Europol mærke oplysningerne i overensstemmelse hermed.

6. Når oplysninger også vedrører en anden medlemsstats væsentlige interesser, skal medlemsstaterne og Europol rådføre sig med denne medlemsstat om, hvorvidt oplysningerne skal klassificeres, og i bekræftende fald, hvilket klassifikationsniveau der skal anvendes.

Artikel 10 Ændring af klassifikationsniveau

1. En medlemsstat, der har videregivet oplysninger til Europol, kan når som helst kræve et klassifikationsniveau ændret, f.eks. at et sådant klassifikationsniveau skal ophæves eller tilføjes. Europol har pligt til at ophæve, ændre eller tilføje et klassifikationsniveau i overensstemmelse med den berørte medlemsstats ønsker.

2. Den berørte medlemsstat skal, så snart omstændighederne tillader det, anmode om, at et klassifikationsniveau ændres til et lavere niveau eller ophæves.

3. En medlemsstat, der videregiver oplysninger til Europol, kan angive, i hvor lang tid et klassifikationsniveau skal gælde, og hvilke ændringer der eventuelt vil skulle foretages deri efter denne periode.

4. Når Europol har fastlagt det grundlæggende beskyttelsesniveau eller klassifikationsniveau i overensstemmelse med artikel 9, stk. 4, kan Europol kun ændre dette niveau efter aftale med de berørte medlemsstater.

5. Når Europol har fastlagt klassifikationsniveauet i overensstemmelse med artikel 9, stk. 5, kan Europol når som helst ændre eller ophæve det, hvis det skønnes nødvendigt.

6. Såfremt oplysninger, hvis klassifikationsniveau ændres i overensstemmelse med denne artikel, allerede er givet videre til andre medlemsstater, skal Europol underrette modtagerne om ændringen af klassifikationsniveauet.

Artikel 11 Behandling af og adgang til oplysninger samt sikkerhedsgodkendelse

1. Adgang til og besiddelse af oplysninger inden for Europol-organisationen er begrænset til de personer, der i kraft af deres stilling eller af tjenstlige grunde har behov for at gøre sig bekendt med eller behandle sådanne oplysninger. Personer, der har til opgave at behandle oplysninger, skal sikkerhedsgodkendes på passende vis og desuden gennemgå en særlig uddannelse.

2. Alle personer, der har adgang til klassificerede oplysninger, som behandles af Europol, skal sikkerhedsgodkendes i overensstemmelse med Europol-konventionens artikel 31, stk. 2, og sikkerhedshåndbogen. Sikkerhedskoordinatoren giver på forslag af sikkerhedsrådgiveren og i henhold til sikkerhedshåndbogens bestemmelser tilladelse til de personer, der er sikkerhedsgodkendt på passende nationalt niveau, og som i kraft af deres stilling eller af tjenstlige grunde har behov for at gøre sig bekendt med Europol-klassificerede oplysninger. Sikkerhedskoordinatoren er også ansvarlig for at sikre gennemførelsen af stk. 3.

3. Ingen må få adgang til klassificerede oplysninger uden at være sikkerhedsgodkendt på passende niveau. Sikkerhedskoordinatoren kan dog efter at have rådført sig med sikkerhedsrådgiveren undtagelsesvis give personer, som er sikkerhedsgodkendt på niveau 1 eller 2, særlig og begrænset tilladelse til at få adgang til bestemte oplysninger, som er klassificeret på et højere niveau, såfremt de i kraft af deres stilling eller tjenstlige grunde i et bestemt tilfælde har behov for at gøre sig bekendt med oplysninger, som er klassificeret på et højere niveau.

4. En sådan tilladelse gives ikke, hvis en medlemsstat ved videregivelsen af den pågældende oplysning har bestemt, at den skønsbeføjelse, der er tillagt sikkerhedskoordinatoren i henhold til stk. 3, ikke må udøves i forbindelse med denne oplysning.

Artikel 12 Tredjeparter

Når Europol indgår aftaler med tredjeparter om beskyttelse af klassificerede oplysninger i overensstemmelse med Europol-konventionens artikel 18, stk. 6, eller aftaler i overensstemmelse med denne konventions artikel 42, går den ud fra de principper, der er fastlagt i disse bestemmelser og i sikkerhedshåndbogen, som følgelig bør anvendes på oplysninger, der udveksles med sådanne tredjeparter.

KAPITEL IV

AFSLUTTENDE BESTEMMELSER

Artikel 13 Ikrafttræden

Disse bestemmelser træder i kraft 1. januar 1999.

Artikel 14 Revision af bestemmelserne

Styrelsesrådet tager stilling til eventuelle forslag til ændringer af disse bestemmelser med henblik på Rådets vedtagelse heraf i overensstemmelse med proceduren i Europol-konventionens artikel 31, stk. 1.

Udfærdiget i Bruxelles, den 3. november 1998.

På Rådet vegne

B. PRAMMER

Formand

(1) EFT C 316 af 27.11.1995, s. 1.

BILAG

Sammenlignende oversigt mellem nationale klassifikationer og tilsvarende Europol-klassifikationsniveauer

Følgende oversigt tjener som eksempel: Det er medlemsstaternes pligt at sikre et beskyttelsesniveau, der svarer til Europols, frem for at anvende en særlig betegnelse.

>TABELPOSITION>

BEMÆRKNING

Som nævnt i artikel 2, stk. 4, skal Europol udarbejde en revideret udgave af denne oversigt, hvis der gives underretning om ændringer i de nationale bestemmelser. Mindst en gang om året undersøger Europols Sikkerhedsudvalg, om oversigten er ajourført. Alle problemer i forbindelse med anvendelsen af den sammenlignende oversigt vil blive drøftet indbyrdes mellem medlemsstaterne og Europol eller samlet af sikkerhedsudvalget. Desuden vil sikkerhedsudvalget overveje, hvilke konsekvenser ændringer i Europols sikkerhedskomplekser vil få for oversigten, jf. sikkerhedshåndbogen.