ACTO DEL CONSEJO de 3 de noviembre de 1998 por el que se adoptan normas sobre protección del secreto aplicables a la información de Europol (1999/C 26/02)

EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Convenio, basado en el artículo K.3 del Tratado de la Unión Europea, por el que se crea una Oficina Europea de Policía (Convenio Europol) (1) y, en particular, el apartado 1 de su artículo 31,

Visto el proyecto de normas presentado por el Consejo de administración,

Considerando que corresponde al Consejo adoptar por unanimidad una normativa pertinente sobre protección del secreto de las informaciones confidenciales que se recopilen en Europol o intercambien con Europol en virtud del Convenio Europol,

ADOPTA LAS NORMAS SIGUIENTES:

CAPÍTULO I

DEFINICIONES Y ÁMBITO DE APLICACIÓN

Artículo 1 Definiciones

A los efectos de las presentes normas se entenderá por:

a) «tratamiento de la información» («tratamiento»): cualquier operación o conjunto de operaciones, efectuada o no mediante procedimientos automatizados y aplicadas a datos personales o no personales, como la recogida, registro, organización, almacenamiento, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, así como su bloqueo, eliminación o destrucción;

b) «tercero»: un tercer Estado o un organismo tercero con arreglo al apartado 4 del artículo 10 del Convenio Europol;

c) «comisión de seguridad de Europol»: la comisión compuesta por representantes de los Estados miembros y de Europol contemplada en el artículo 3;

d) «coordinador de seguridad de Europol»: el director adjunto de Europol a quien el director, de conformidad con el apartado 2 del artículo 29 del Convenio Europol, encomienda, junto con sus otras tareas, las funciones de coordinación y de control en materia de seguridad;

e) «responsable de seguridad de Europol»: el agente de Europol nombrado por el director de Europol y responsable en materia de seguridad con arreglo al artículo 5;

f) «manual de seguridad»: el manual de aplicación de las presentes normas, que se elaborará con arreglo al artículo 6;

g) «nivel de seguridad»: un marcado de protección 1, 2 o 3 atribuido a los documentos tratados por Europol o a través de Europol, como se menciona en el artículo 8;

h) «batería de seguridad»: una combinación específica de medidas de seguridad que se aplicarán a la información en función del nivel de seguridad de Europol mencionado en el artículo 8;

i) «nivel básico de protección»: el nivel de protección aplicado a toda la información tratada por Europol o a través de Europol, salvo la que esté marcada expresamente como información pública o que pueda reconocerse claramente como tal, como se menciona en el apartado 1 del artículo 8.

Artículo 2 Ámbito de aplicación

1. Las presentes normas establecen las medidas de seguridad a las cuales estará sometida toda la información tratada por Europol o a través de Europol dentro de su organización.

2. Los Estados miembros se comprometen a garantizar que esa información recibirá, en su territorio, un nivel de protección equivalente al nivel de protección ofrecido por las citadas medidas.

3. Las conexiones electrónicas entre Europol y las unidades nacionales de los Estados miembros deberán tener un nivel de protección equivalente al que ofrecen las citadas medidas. La comisión de seguridad aprobará por unanimidad una norma común para dichas conexiones electrónicas, previa consulta a los servicios competentes de los Estados miembros.

4. En el anexo de las presentes normas se expone una presentación de conjunto de los niveles de seguridad de Europol a que se refiere el artículo 8, y de la clasificación equivalente que aplican actualmente los Estados miembros a la información sometida a dichos niveles de seguridad. Cuando un Estado miembro comunique a los demás Estados miembros y a Europol las modificaciones de sus disposiciones nacionales sobre los niveles de seguridad o sobre la clasificación equivalente, Europol elaborará una versión revisada de la presentación de conjunto mencionada anteriormente. La comisión de seguridad de Europol comprobará, al menos una vez al año, si dicha presentación de conjunto está o no actualizada.

CAPÍTULO II

RESPONSABILIDADES DE SEGURIDAD

Artículo 3 Comisión de seguridad de Europol

1. Se crea una comisión de seguridad de Europol, compuesta por representantes de los Estados miembros y de Europol, que se reunirá como mínimo una vez al año.

2. La comisión de seguridad de Europol tendrá como misión asesorar al Consejo de administración y al director de Europol en los temas relativos a las normas de seguridad y, entre ellos, a la aplicación del manual de seguridad.

3. La comisión de seguridad de Europol establecerá su reglamento interno. Las reuniones de la comisión de seguridad de Europol estarán presididas por el coordinador de seguridad.

Artículo 4 Coordinador de seguridad

1. El coordinador de seguridad asumirá la responsabilidad general de todas las cuestiones relativas a la seguridad, entre ellas las medidas de seguridad establecidas en las presentes normas y en el manual de seguridad. Supervisará la aplicación de las normas de seguridad e informará de todos los quebrantamientos de la seguridad al director, quien a su vez informará al Consejo de administración en los casos graves. Si dichos quebrantamientos amenazan con poner en peligro los intereses de un Estado miembro, éste deberá ser informado también.

2. El coordinador de seguridad será directamente responsable ante el director de Europol.

Artículo 5 Responsable de seguridad

1. La responsabilidad de la ejecución práctica de las medidas de seguridad establecidas en las presentes normas y en el manual de seguridad incumbirá al responsable de seguridad de Europol, quien rendirá cuentas directamente al coordinador de seguridad. El cometido específico del responsable de seguridad consistirá en:

a) dirigir la unidad de seguridad de Europol;

b) dar instrucciones y facilitar ayuda y asesoramiento al personal de Europol y a los funcionarios de enlace en lo referente a sus deberes de acuerdo con las presentes normas y el manual de seguridad;

c) garantizar el cumplimiento de las normas de seguridad, investigar el incumplimiento de dichas normas e informar de ello con la mayor brevedad al coordinador de seguridad;

d) comprobar permanentemente si las medidas de seguridad son adecuadas en función de la evaluación de la amenaza. A estos efectos, informará al coordinador de seguridad, por norma general una vez al mes, y en circunstancias excepcionales, cuando se considere necesario, y efectuará observaciones y recomendaciones;

e) las tareas que se le asignen con arreglo a las presentes normas o al manual de seguridad;

f) otras tareas que le asigne el coordinador de seguridad.

2. El responsable de seguridad deberá tener una habilitación de seguridad al máximo nivel con arreglo a la reglamentación aplicable en el Estado miembro del que sea nacional.

Artículo 6 Manual de seguridad: procedimiento y contenido

1. El Consejo de administración aprobará el manual de seguridad previa consulta a la comisión de seguridad.

2. El manual de seguridad incluirá:

a) normas de desarrollo de las medidas de seguridad que deberán aplicarse dentro de Europol, que proporcionen el nivel básico de protección mencionado en el apartado 1 del artículo 8 de las presentes normas, basadas en el artículo 25 y en el apartado 2 del artículo 32 del Convenio Europol y que tengan en cuenta el apartado 3 del artículo 31 de dicho Convenio;

b) normas de desarrollo de las medidas de seguridad relacionadas con los distintos niveles de seguridad de Europol y las correspondientes baterías de seguridad mencionadas en los apartados 2 y 3 del artículo 8.

3. Las modificaciones del manual de seguridad se aprobarán con arreglo al procedimiento expuesto en el apartado 1.

4. Respecto al sistema informático de Europol y a cualesquiera otros sistemas empleados en Europol para el tratamiento de la información con marcado de protección, se adoptará y modificará, de conformidad con el procedimiento previsto en el apartado 1, un requisito de seguridad específico del sistema (RSES). Este requisito se ajustará a las disposiciones pertinentes del manual de seguridad.

Artículo 7 Observancia

Todo el personal y los funcionarios de enlace de Europol, así como toda persona sujeta a una determinada obligación de reserva o confidencialidad acatarán las medidas de seguridad establecidas en las presentes normas y en el manual de seguridad.

CAPÍTULO III

PRINCIPIOS GENERALES

Artículo 8 Nivel básico de protección, niveles de seguridad y baterías de seguridad

1. Toda la información tratada por Europol o a través de Europol, excepto la información indicada expresamente o reconocible claramente como pública, estará sometida a un nivel básico de protección en la organización de Europol y en los Estados miembros. La información sometida solamente a un nivel básico de protección no necesitará una indicación específica ni un nivel de seguridad de Europol, pero deberá ser designada como información de Europol.

2. De conformidad con el apartado 2 del artículo 2, los Estados miembros garantizarán la aplicación del nivel básico de protección mencionado en el apartado 1, mediante una serie de medidas con arreglo a las normas legales y administrativas nacionales, incluida la obligación de reserva y confidencialidad, la limitación del acceso a la información al personal autorizado, los requisitos de protección de los datos personales y las medidas generales técnicas y de procedimiento para salvaguardar la seguridad de la información, que tengan en cuenta el apartado 2 del artículo 25 del Convenio Europol.

3. La información que exija medidas de seguridad adicionales estará sometida a un nivel de seguridad de Europol y llevará un marcado específico en tal sentido. La atribución de ese nivel de seguridad a una información se hará sólo en caso estrictamente necesario y durante el plazo necesario.

4. Los niveles de seguridad de Europol irán numerados como «nivel Europol 1 a 3»:

>SITIO PARA UN CUADRO>

Cada uno de los niveles de seguridad de Europol remitirá a una batería de seguridad específica, que deberá aplicarse en la organización Europol. Las baterías de seguridad ofrecerán distintos niveles de protección, de acuerdo con el contenido de la información y teniendo en cuenta los efectos perjudiciales que el acceso, la difusión o la utilización no autorizados de la información pudieran tener para los intereses de los Estados miembros o de Europol. Por lo que se refiere a las medidas de seguridad que deberán aplicarse, los niveles Europol 1 a 3 corresponderán en la medida de lo posible a las pautas internacionales existentes.

Cuando se reúna información con marcado de protección de distintos niveles, el nivel de seguridad que se aplique será, como mínimo, tan alto como el de la información protegida en el nivel más alto. En cualquier caso, un conjunto de datos podrá ser sometido a un nivel de protección superior al de cada una de sus partes.

Las traducciones de los documentos con marcado de protección se someterán a la misma protección que los originales.

5. Las baterías de seguridad consistirán en diversas medidas de carácter técnico, organizativo o administrativo establecidas en el manual de seguridad. Abarcarán la utilización autorizada de los datos dentro del cumplimiento del artículo 17 del Convenio Europol, desde el uso no sujeto a limitación hasta la prohibición de utilización sin el consentimiento del expedidor.

Artículo 9 Elección del nivel de seguridad

1. El Estado miembro que suministre información a Europol será responsable de la elección del nivel de seguridad apropiado para dicha información, de conformidad con el artículo 8. Cuando sea necesario, el Estado miembro consignará en la información, al suministrarla a Europol, el marcado del nivel de seguridad de Europol, según se menciona en el apartado 4 del artículo 8.

2. Para la elección del nivel de seguridad, los Estados miembros tendrán en cuenta la clasificación de la información de acuerdo con su reglamentación nacional, así como la flexibilidad operativa que exige el funcionamiento adecuado de Europol.

3. En caso de que Europol, basándose en la información que ya posea, llegue a la conclusión de que hay que modificar la atribución de un nivel de seguridad (por ejemplo, la supresión o adición de dicho nivel, incluida la atribución de un nivel de seguridad a un documento previamente sujeto al nivel básico de protección), lo hará saber al Estado miembro interesado y tratará de llegar a un acuerdo sobre un nivel de seguridad apropiado. Europol no especificará, modificará, añadirá ni suprimirá un nivel de seguridad sin este acuerdo.

4. Cuando la información producida por Europol se base en información o contenga información facilitada por un Estado miembro, Europol determinará, de acuerdo con los Estados miembros interesados, si el nivel básico de protección será suficiente o si será necesario aplicar un nivel de seguridad de Europol.

5. Cuando la información esté producida por la propia Europol y no se base en información ni contenga información suministrada por un Estado miembro, Europol determinará el nivel de seguridad apropiado para dicha información mediante criterios establecidos por la comisión de seguridad. En caso necesario, Europol colocará en dicha información el marcado correspondiente.

6. Cuando la información afecte también a los intereses esenciales de otro Estado miembro, los Estados miembros y Europol consultarán a dicho Estado miembro acerca de la necesidad de aplicar a dicha información algún nivel de seguridad y, en caso afirmativo, cuál.

Artículo 10 Modificación de los niveles de seguridad

1. Un Estado miembro que haya suministrado información a Europol podrá exigir, en cualquier momento, que se modifique el nivel de seguridad elegido, lo que incluye una posible supresión o adición de dicho nivel. Europol tendrá la obligación de suprimir, modificar o añadir el nivel de seguridad de acuerdo con los deseos del Estado miembro.

2. Tan pronto como las circunstancias lo permitan, el Estado miembro interesado solicitará que se rebaje el nivel de seguridad a uno inferior o se suprima.

3. Un Estado miembro que suministre información a Europol podrá especificar el plazo durante el cual será válido el nivel de seguridad elegido, así como las posibles modificaciones del nivel de seguridad una vez transcurrido dicho plazo.

4. En los casos en que Europol haya determinado el nivel de protección o de seguridad básico con arreglo a lo dispuesto en el apartado 4 del artículo 9, Europol sólo introducirá una modificación en el nivel de protección básico con el acuerdo de los Estados miembros interesados.

5. En los casos en que Europol haya determinado el nivel de seguridad con arreglo a lo dispuesto en el apartado 5 del artículo 9, Europol podrá modificar o suprimir el nivel de seguridad en cualquier momento si lo estima necesario.

6. Cuando la información cuyo nivel de seguridad se modifique de acuerdo con el presente artículo se haya facilitado ya a otros Estados miembros, Europol estará obligada a informar a los receptores de la modificación del nivel de seguridad.

Artículo 11 Tratamiento, acceso y habilitación de seguridad

1. El acceso a la información y su posesión estarán limitados en el seno de Europol a las personas que, con motivo de sus deberes y obligaciones, necesiten tener conocimiento de dicha información o manejarla. Las personas habilitadas para tratar información se habrán sometido a la investigación de seguridad necesaria y recibirán además una formación especial.

2. Todas aquellas personas que puedan tener acceso a información tratada por Europol que esté sometida a un nivel de seguridad se someterán a una investigación de seguridad de acuerdo con lo dispuesto en el apartado 2 del artículo 31 del Convenio Europol y en el manual de seguridad. A propuesta del responsable de seguridad y respetando las disposiciones del manual de seguridad, el coordinador de seguridad concederá una autorización a aquellas personas que hayan recibido una habilitación a nivel nacional y que, con motivo de sus deberes y obligaciones, necesiten tener conocimiento de información sometida a un nivel de seguridad de Europol. El coordinador de seguridad también será responsable de la aplicación del apartado 3.

3. Ninguna persona tendrá acceso a la información sometida a un nivel de seguridad sin haber obtenido antes una habilitación de seguridad del nivel apropiado. No obstante, el coordinador de seguridad podrá, excepcionalmente y previa consulta al responsable de seguridad, conceder una autorización específica y limitada a las personas que hayan recibido una habilitación de seguridad en el nivel 1 o 2 para que tengan acceso a determinada información de un nivel superior si, con motivo de sus deberes y obligaciones, en un caso específico, necesitan tener conocimiento de información sometida a un nivel de seguridad superior.

4. Dicha autorización no se concederá cuando un Estado miembro, al aportar la información de que se trate, haya especificado que en relación con esa información no ha de ejercerse la discreción que otorga el apartado 3 al coordinador de seguridad.

Artículo 12 Terceros

Al celebrar acuerdos con terceros sobre la protección del secreto, de conformidad con el apartado 6 del artículo 18 del Convenio Europol, o acuerdos de conformidad con el artículo 42 del mismo, Europol tendrá en cuenta los principios establecidos en las presentes normas y en el manual de seguridad, que deberán aplicarse de manera análoga a la información intercambiada con esos terceros.

CAPÍTULO IV

DISPOSICIONES FINALES

Artículo 13 Entrada en vigor

Las presentes normas entrarán en vigor el 1 de enero de 1999.

Artículo 14 Revisión de las normas

Toda propuesta de modificación de las presentes normas será estudiada por el Consejo de administración con vistas a su adopción por el Consejo de conformidad con el procedimiento previsto en el apartado 1 del artículo 31 del Convenio Europol.

Hecho en Bruselas, el 3 de noviembre de 1998.

Por el Consejo

El Presidente

B. PRAMMER

(1) DO C 316 de 27.11.1995, p. 1.

ANEXO

Cuadro de equivalencias entre las clasificaciones nacionales y las clasificaciones de Europol correspondientes

El cuadro siguiente es ilustrativo: la obligación de los Estados miembros es aportar un nivel de protección equivalente al de Europol, y no asignar una denominación particular.

>SITIO PARA UN CUADRO>

NOTA

Según se menciona en el apartado 4 del artículo 2, Europol elaborará una versión revisada de la presente presentación de conjunto si se le notifica algún cambio de las disposiciones nacionales. Por lo menos una vez al año, la comisión de seguridad de Europol comprobará si la presentación de conjunto está actualizada. Cualquier dificultad que surja en la aplicación del concepto de equivalencia de los niveles de protección se debatirá entre los Estados miembros y Europol o, colectivamente, en la comisión de seguridad. De igual modo, ésta estudiará las repercusiones en el cuadro de cualquier ajuste de las baterías de seguridad de Europol, como establece el manual de seguridad.