RECHTSAKT DES RATES vom 3. November 1998 über die Geheimschutzregelung für Europol-Informationen (1999/C 26/02)

DER RAT DER EUROPÄISCHEN UNION -

gestützt auf das Übereinkommen aufgrund von Artikel K.3 des Vertrags über die Europäische Union über die Errichtung eines Europäischen Polizeiamts (Europol-Übereinkommen) (1), insbesondere auf Artikel 31 Absatz 1,

aufgrund des vom Verwaltungsrat vorgelegten Entwurfs einer Geheimschutzregelung,

in der Erwägung, daß der Rat eine geeignete Geheimschutzregelung für Informationen, die auf der Grundlage des Europol-Übereinkommens von Europol erstellt oder mit Europol ausgetauscht werden, einstimmig zu erlassen hat -

HAT FOLGENDE REGELUNG ERLASSEN:

KAPITEL I

BEGRIFFSBESTIMMUNGEN UND GELTUNGSBEREICH

Artikel 1 Begriffsbestimmungen

Im Sinne dieser Regelung bezeichnet der Ausdruck

a) "Verarbeitung personenbezogener Daten" ("Verarbeitung") jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten;

b) "dritte Partei" einen Drittstaat oder eine Einrichtung im Sinne des Artikels 10 Absatz 4 des Europol-Übereinkommens;

c) "Europol-Sicherheitsausschuß" den Ausschuß, der sich aus den Vertretern der Mitgliedstaaten und Europols gemäß Artikel 3 zusammensetzt;

d) "Europol-Sicherheitskoordinator" den stellvertretenden Direktor, dem der Direktor von Europol gemäß Artikel 29 Absatz 2 des Europol-Übereinkommens neben dessen sonstigen Aufgaben auch die Koordinierung und Kontrolle in Sicherheitsfragen überträgt;

e) "Europol-Sicherheitsbeauftragter" den vom Direktor von Europol bestellten Europol-Bediensteten, der gemäß Artikel 5 für Sicherheitsfragen zuständig ist;

f) "Sicherheitshandbuch" das Handbuch zur Durchführung dieser Regelung, das gemäß Artikel 6 zu erstellen ist;

g) "Geheimhaltungsgrad" die Kennzeichnung eines von oder über Europol verarbeiteten Dokuments mit den Europol-Geheimhaltungsgraden 1, 2, 3 gemäß Artikel 8;

h) "Sicherheitsmaßnahmenpaket" die spezielle Kombination von Sicherheitsmaßnahmen, die auf Informationen anzuwenden sind, die in einen Europol-Geheimhaltungsgrad gemäß Artikel 8 eingestuft sind;

i) "Grundschutzgrad" den Schutzgrad gemäß Artikel 8 Absatz 1, der allen von oder über Europol verarbeiteten Informationen - mit Ausnahme der ausdrücklich als öffentlich zugänglich gekennzeichneten oder als solche eindeutig erkennbaren Informationen - zugrunde gelegt wird.

Artikel 2 Geltungsbereich

(1) Diese Regelung legt die Sicherheitsmaßnahmen fest, die für alle Informationen gelten, die von oder über Europol innerhalb der Organisation verarbeitet werden.

(2) Die Mitgliedstaaten verpflichten sich, sicherzustellen, daß diese Informationen innerhalb ihres Hoheitsgebiets ein Schutzniveau erhalten, das demjenigen dieser Sicherheitsmaßnahmen entspricht.

(3) Für elektronische Verbindungen zwischen Europol und den nationalen Stellen der Mtgliedstaaten ist ein Schutzniveau vorzusehen, das dem durch diese Maßnahmen gebotenen Schutzniveau entspricht. Ein gemeinsamer Standard für diese elektronischen Verbindungen ist vom Sicherheitsausschuß nach Konsultation der zuständigen Behörden der Mitgliedstaaten einstimmig anzunehmen.

(4) Der Anhang zu dieser Regelung enthält eine Übersicht über die Europol-Geheimhaltungsgrade gemäß Artikel 8 und die entsprechenden Kennzeichnungen, die die Mitgliedstaaten derzeit für unter diese Geheimhaltungsgrade fallende Informationen verwenden. Unterrichtet ein Mitgliedstaat die anderen Mitgliedstaaten und Europol über Änderungen der nationalen Bestimmungen über die Geheimhaltungsgrade oder der entsprechenden Kennzeichnungen, erstellt Europol eine überarbeitete Fassung dieser Übersicht. Der Europol-Sicherheitsausschuß vergewissert sich mindestens einmal im Jahr, ob die Übersicht auf dem neuesten Stand ist.

KAPITEL II

ZUSTÄNDIGKEITEN FÜR SICHERHEITSFRAGEN

Artikel 3 Europol-Sicherheitsausschuß

(1) Es wird ein Europol-Sicherheitsausschuß eingesetzt, der sich aus Vertretern der Mitgliedstaaten und Europols zusammensetzt und der mindestens einmal im Jahr zusammentritt.

(2) Aufgabe des Europol-Sicherheitsausschusses ist es, den Verwaltungsrat und den Direktor von Europol in Fragen der Sicherheit, einschließlich der Anwendung des Sicherheitshandbuchs, zu beraten.

(3) Der Europol-Sicherheitsausschuß gibt sich eine Geschäftsordnung. Den Vorsitz im Ausschuß führt der Sicherheitskoordinator.

Artikel 4 Sicherheitskoordinator

(1) Der Sicherheitskoordinator hat die allgemeine Verantwortung für alle Sicherheitsfragen, einschließlich der in dieser Regelung und im Sicherheitshandbuch festgelegten Sicherheitsmaßnahmen. Er überwacht die Durchführung der Sicherheitsbestimmungen und meldet alle Verstöße gegen diese Bestimmungen dem Direktor, der in schwerwiegenden Fällen den Verwaltungsrat zu unterrichten hat. Besteht die Gefahr, daß durch einen solchen Verstoß die Interessen eines Mitgliedstaats beeinträchtigt werden, wird auch dieser unterrichtet.

(2) Der Sicherheitskoordinator ist dem Direktor von Europol direkt unterstellt.

Artikel 5 Sicherheitsbeauftragter

(1) Der Sicherheitsbeauftragte von Europol hat die Verantwortung für die praktische Durchführung der Sicherheitsmaßnahmen, die in dieser Regelung und im Sicherheitshandbuch vorgesehen sind; er ist dem Sicherheitskoordinator direkt unterstellt. Der Sicherheitsbeauftragte hat die folgenden besonderen Aufgaben:

a) Leitung der Sicherheitsstelle von Europol;

b) Belehrung, Unterstützung und Beratung des Europol-Personals und der Verbindungsbeamten in bezug auf ihre Pflichten im Rahmen dieser Regelung und des Sicherheitshandbuchs;

c) Durchführung der Sicherheitsbestimmungen, Führung von Ermittlungen bei Verstößen gegen diese Bestimmungen und möglichst rasche Unterrichtung des Sicherheitskoordinators über diese Verstöße;

d) ständige Überprüfung der Angemessenheit der Sicherheitsmaßnahmen auf der Grundlage von Gefahrenbewertungen. Zu diesem Zweck erstattet er dem Sicherheitskoordinator in der Regel mindestens einmal im Monat und im Ausnahmefall so oft, wie dies erforderlich erscheint, Bericht und gibt Bemerkungen und Vorschläge ab;

e) die ihm in dieser Regelung oder im Sicherheitshandbuch übertragenen Aufgaben;

f) sonstige ihm vom Sicherheitskoordinator übertragene Aufgaben.

(2) Der Sicherheitsbeauftragte muß bis einschließlich zur höchsten Geheimhaltungsstufe sicherheitsüberprüft sein, die in den Bestimmungen des Mitgliedstaats, dessen Staatsangehörigkeit er besitzt, vorgesehen ist.

Artikel 6 Sicherheitshandbuch, Verfahren und Inhalt

(1) Das Sicherheitshandbuch wird vom Verwaltungsrat nach Anhörung des Sicherheitsausschusses verabschiedet.

(2) Das Sicherheitshandbuch enthält:

a) ausführliche Bestimmungen über die innerhalb von Europol anzuwendenden Sicherheitsmaßnahmen, die einen Grundschutz im Sinne des Artikels 8 Absatz 1 dieser Regelung nach Maßgabe der Artikel 25 und 32 Absatz 2 des Europol-Übereinkommens und unter Berücksichtigung des Artikels 31 Absatz 3 dieses Übereinkommens sicherstellen;

b) ausführliche Bestimmungen über die mit den verschiedenen Europol-Geheimhaltungsgraden verbundenen Sicherheitsmaßnahmen und die entsprechenden Sicherheitsmaßnahmenpakete nach Artikel 8 Absätze 2 und 3.

(3) Änderungen des Sicherheitshandbuchs werden im Verfahren nach Absatz 1 angenommen.

(4) Für das Europol-Computersystem und andere Computersysteme, die bei Europol für die Verarbeitung von als schutzbedürftig gekennzeichneten Informationen eingesetzt werden, wird eine "Systemspezifische Sicherheitsauflage" (SSSA) festgelegt und im Verfahren nach Absatz 1 geändert. Diese Systemspezifische Sicherheitsauflage muß den einschlägigen Bestimmungen des Sicherheitshandbuchs entsprechen.

Artikel 7 Anwendung der Maßnahmen

Die in dieser Regelung und im Sicherheitshandbuch festgelegten Sicherheitsmaßnahmen sind vom gesamten Europol-Personal und von den Verbindungsbeamten sowie von allen anderen Personen, die zur Verschwiegenheit und Geheimhaltung besonders verpflichtet worden sind, anzuwenden.

KAPITEL III

ALLGEMEINE GRUNDSÄTZE

Artikel 8 Grundschutzgrad, Geheimhaltungsgrade und Sicherheitsmaßnahmenpakete

(1) Mit Ausnahme der ausdrücklich als öffentlich zugänglich gekennzeichneten oder als solche eindeutig erkennbaren Informationen, erhalten alle Informationen, die von oder über Europol verarbeitet werden, einen Grundschutzgrad, der innerhalb von Europol sowie in den Mitgliedstaaten gilt. Informationen, für die nur der Grundschutzgrad gilt, bedürfen keiner besonderen Kennzeichnung mit einem Europol-Geheimhaltungsgrad, müssen aber als Europol-Informationen bezeichnet werden.

(2) Die Mitgliedstaaten gewährleisten gemäß Artikel 2 Absatz 2 durch verschiedene Maßnahmen entsprechend den einzelstaatlichen Rechtsvorschriften und Regelungen die Anwendung des in Absatz 1 genannten Grundschutzgrades; hierzu gehören die Verpflichtung zur Verschwiegenheit und Geheimhaltung, die Beschränkung des Zugangs zu den Informationen auf das befugte Personal, Datenschutzauflagen für personenbezogene Daten sowie allgemeine technische und Verfahrensmaßnahmen zur Gewährleistung der Informationssicherheit, wobei Artikel 25 Absatz 2 des Europol-Übereinkommens Rechnung zu tragen ist.

(3) Informationen, die zusätzliche Sicherheitsmaßnahmen erfordern, werden in einen Europol-Geheimhaltungsgrad eingestuft und entsprechend gekennzeichnet. Informationen sind in einen solchen Geheimhaltungsgrad nur in unbedingt notwendigen Fällen und nur für den jeweils erforderlichen Zeitraum einzustufen.

(4) Die Europol-Geheimhaltungsgrade erhalten die Nummern 1 bis 3:

>PLATZ FÜR EINE TABELLE>

Jeder Europol-Geheimhaltungsgrad ist mit einem spezifischen Sicherheitsmaßnahmenpaket verbunden, das innerhalb von Europol anzuwenden ist. Die Sicherheitsmaßnahmenpakete bieten unterschiedliche Schutzniveaus, und zwar je nach dem Inhalt der Informationen und unter Berücksichtigung der nachteiligen Folgen, die ein unbefugter Zugang zu den Informationen oder eine unbefugte Verbreitung oder Verwendung dieser Informationen für die Interessen der Mitgliedstaaten oder die Interessen von Europol haben könnten. Die Europol-Geheimhaltungsgrade 1 bis 3 entsprechen - in Anbetracht der anzuwendenden Sicherheitsmaßnahmen - soweit wie möglich den geltenden internationalen Normen.

Werden mit unterschiedlichen Geheimhaltungsgraden gekennzeichnete Informationen zusammengestellt, ist mindestens der Geheimhaltungsgrad anzuwenden, der für die in den höchsten Geheimhaltungsgrad eingestufte Information gilt. Auf jeden Fall kann eine Zusammenstellung von Informationen in einen höheren Geheimhaltungsgrad als ihre jeweiligen Teile eingestuft werden.

Für die Übersetzung von als schutzbedürftig gekennzeichneten Dokumenten gilt derselbe Schutz wie für die Originale.

(5) Die Sicherheitsmaßnahmenpakete bestehen aus verschiedenen Maßnahmen technischer, organisatorischer oder administrativer Art, die im Sicherheitshandbuch festgelegt sind. Diese Maßnahmen betreffen unter anderem die zulässige Verwendung der Daten gemäß Artikel 17 des Europol-Übereinkommens, die von uneingeschränkter Verwendung bis hin zur Verwendung nur nach Zustimmung der herausgebenden Stelle reicht.

Artikel 9 Wahl des Geheimhaltungsgrads

(1) Der Mitgliedstaat, der Europol Informationen übermittelt, ist gemäß Artikel 8 für die Wahl eines geeigneten Geheimhaltungsgrads für diese Informationen verantwortlich. Er kennzeichnet die Informationen anläßlich ihrer Übermittlung an Europol gegebenenfalls mit einem Europol-Geheimhaltungsgrad gemäß Artikel 8 Absatz 4.

(2) Bei der Wahl eines Geheimhaltungsgrads berücksichtigen die Mitgliedstaaten die Einstufung der jeweiligen Informationen nach ihren nationalen Regelungen sowie das Erfordernis der operativen Flexibilität als Voraussetzung für ein reibungsloses Funktionieren von Europol.

(3) Gelangt Europol - anhand der ihm bereits vorliegenden Informationen - zu dem Schluß, daß ein gewählter Geheimhaltungsgrad zu ändern ist (z. B. etwaige Aufhebung eines Geheimhaltungsgrades oder Wahl eines höheren Geheimhaltungsgrades, einschließlich der Einstufung eines zuvor dem Grundschutzgrad unterliegenden Dokuments in einen Geheimhaltungsgrad), unterrichtet Europol den betreffenden Mitgliedstaat und versucht, Einvernehmen über einen geeigneten Geheimhaltungsgrad zu erzielen. Ohne ein solches Einvernehmen werden von Europol keine Geheimhaltungsgrade festgelegt, geändert, erhöht oder aufgehoben.

(4) Stützen sich von Europol erarbeitete Informationen auf von einem Mitgliedstaat übermittelte Informationen oder enthalten sie derartige Informationen, legt Europol im Einvernehmen mit dem betreffenden Mitgliedstaat fest, ob der Grundschutzgrad ausreichend ist oder ob die Einstufung in einem Europol-Geheimhaltungsgrad erforderlich ist.

(5) Werden die Informationen von Europol selbst erarbeitet und stützen sie sich nicht auf Informationen, die von einem Mitgliedstaat übermittelt worden sind, oder enthalten sie derartige Informationen nicht, bestimmt Europol anhand der vom Sicherheitsausschuß festgelegten Kriterien einen geeigneten Geheimhaltungsgrad für diese Informationen. Erforderlichenfalls werden die Informationen von Europol entsprechend gekennzeichnet.

(6) Die Mitgliedstaaten und Europol konsultieren in Fällen, in denen Informationen auch die wesentlichen Interessen eines anderen Mitgliedstaats betreffen, diesen Mitgliedstaat zu der Frage, ob die Informationen in einen Geheimhaltungsgrad eingestuft werden sollen und welcher Geheimhaltungsgrad gegebenenfalls in Frage kommt.

Artikel 10 Änderung des Geheimhaltungsgrads

(1) Der Mitgliedstaat, der Europol Informationen übermittelt hat, kann jederzeit eine Änderung eines gewählten Geheimhaltungsgrads, einschließlich einer etwaigen Aufhebung oder Erhöhung, verlangen. Europol ist verpflichtet, einen Geheimhaltungsgrad entsprechend den Wünschen des betreffenden Mitgliedstaats aufzuheben, zu ändern oder zu erhöhen.

(2) Der betreffende Mitgliedstaat beantragt die Einstufung in einen niedrigeren Geheimhaltungsgrad oder die Aufhebung der Geheimhaltung, sobald es die Umstände gestatten.

(3) Ein Mitgliedstaat, der Europol Informationen übermittelt, kann den Zeitraum, für den ein gewählter Geheimhaltungsgrad gelten soll, und etwaige Änderungen des Geheimhaltungsgrads nach diesem Zeitraum angeben.

(4) Ist der Grundschutzgrad oder der Geheimhaltungsgrad von Europol gemäß Artikel 9 Absatz 4 bestimmt worden, kann eine Änderung des Grundschutzgrads oder des Geheimhaltungsgrads durch Europol nur im Einvernehmen mit den betreffenden Mitgliedstaaten erfolgen.

(5) Ist der Geheimhaltungsgrad von Europol gemäß Artikel 9 Absatz 5 bestimmt worden, kann Europol den Geheimhaltungsgrad jederzeit aufheben oder ändern, sofern dies für notwendig erachtet wird.

(6) Sind Informationen, deren Geheimhaltungsgrad gemäß diesem Artikel geändert worden ist, bereits an andere Mitgliedstaaten übermittelt worden, ist Europol verpflichtet, die Empfänger der Informationen von der Änderung des Geheimhaltungsgrads in Kenntnis zu setzen.

Artikel 11 Verarbeitung, Zugriff und Ermächtigung

(1) Innerhalb von Europol sind der Zugriff auf die Informationen und ihr Besitz auf die Personen beschränkt, die aufgrund ihrer dienstlichen Obliegenheiten von diesen Informationen Kenntnis haben oder mit ihnen arbeiten müssen. Die Personen, die mit der Verarbeitung von Daten betraut werden, müssen hierzu entsprechend ermächtigt sein und werden besonders geschult.

(2) Alle Personen, die Zugriff auf von Europol verarbeitete und in einen Geheimhaltungsgrad eingestufte Informationen haben, werden gemäß Artikel 31 Absatz 2 des Europol-Übereinkommens und nach Maßgabe des Sicherheitshandbuchs einer Sicherheitsüberprüfung unterzogen. Der Sicherheitskoordinator erteilt auf Vorschlag des Sicherheitsbeauftragten und unter Berücksichtigung der Bestimmungen des Sicherheitshandbuchs den Personen, die aufgrund ihrer dienstlichen Obliegenheiten von den in einen Europol-Geheimhaltungsgrad eingestuften Informationen Kenntnis haben müssen, eine ihrer nationalen Ermächtigung entsprechende Genehmigung. Er hat ferner sicherzustellen, daß Absatz 3 durchgeführt wird.

(3) Keinen Zugriff auf die in einen Geheimhaltungsgrad eingestuften Informationen haben Personen, die nicht die für den jeweiligen Geheimhaltungsgrad erforderliche Ermächtigung besitzen. Der Sicherheitskoordinator kann jedoch in Ausnahmefällen nach Anhörung des Sicherheitsbeauftragten Personen, die eine Ermächtigung für die Geheimhaltungsgrade 1 und 2 besitzen, eine spezifische und begrenzte Genehmigung für den Zugriff auf bestimmte, höher eingestufte Informationen erteilen, wenn sie aufgrund ihrer dienstlichen Obliegenheiten im Einzelfall Kenntnis von Informationen haben müssen, die in einen höheren Europol-Geheimhaltungsgrad eingestuft sind.

(4) Diese Genehmigung wird nicht erteilt, wenn ein Mitgliedstaat bei der Übermittlung der betreffenden Informationen angibt, daß der Sicherheitskoordinator seine Ermessensfreiheit nach Absatz 3 in bezug auf diese Informationen nicht ausüben kann.

Artikel 12 Dritte Parteien

Beim Abschluß von Geheimschutzabkommen mit dritten Parteien gemäß Artikel 18 Absatz 6 des Europol-Übereinkommens oder Vereinbarungen gemäß Artikel 42 des Europol-Übereinkommens trägt Europol den in dieser Regelung und im Sicherheitshandbuch festgelegten Grundsätzen Rechnung, die entsprechend für die mit dritten Parteien ausgetauschten Informationen gelten sollten.

KAPITEL IV

SCHLUSSBESTIMMUNGEN

Artikel 13 Inkrafttreten

Diese Regelung tritt am 1. Januar 1999 in Kraft.

Artikel 14 Änderung der Regelung

Vorschläge für Änderungen dieser Regelung werden vom Verwaltungsrat im Hinblick auf ihre Annahme durch den Rat im Verfahren nach Artikel 31 Absatz 1 des Europol-Übereinkommens geprüft.

Geschehen zu Brüssel am 3. November 1998.

Im Namen des Rates

Der Präsident

B. PRAMMER

(1) ABl. C 316 vom 27.11.1995, S. 1.

ANHANG

Äquivalenztabelle der nationalen Geheimhaltungsgrade und der Europol-Geheimhaltungsgrade

Die folgende Tabelle dient der Veranschaulichung: Die Mitgliedstaaten sind verpflichtet, für ein dem Europol-Niveau gleichwertiges Schutzniveau Sorge zu tragen, statt eine besondere Kennzeichnung der Dokumente vorzusehen.

>PLATZ FÜR EINE TABELLE>

HINWEIS

Nach Artikel 2 Absatz 4 erstellt Europol eine überarbeitete Fassung dieser Tabelle, wenn Änderungen der nationalen Bestimmungen mitgeteilt werden. Der Europol-Sicherheitsausschuß überprüft mindestens einmal im Jahr, ob die Tabelle auf dem neuesten Stand ist. Probleme bei der Anwendung des Konzepts "Gleichwertigkeit der Schutzniveaus" werden zwischen den Mitgliedstaaten und Europol oder aber insgesamt vom Sicherheitsausschuß geprüft. Ebenso wird der Sicherheitsausschuß die Auswirkungen prüfen, die sich durch Änderungen an den im Sicherheitshandbuch beschriebenen Sicherheitsmaßnahmenpaketen von Europol für die Tabelle ergeben.