DÉCISION (UE, Euratom) 2019/1962 DE LA COMMISSION

du 17 octobre 2019

fixant les modalités d’application relatives au traitement des informations RESTREINT UE/EU RESTRICTED

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 249,

vu le traité instituant la Communauté européenne de l’énergie atomique, et notamment son article 106,

vu la décision (UE, Euratom) 2015/443 de la Commission du 13 mars 2015 relative à la sécurité au sein de la Commission (1),

vu la décision (UE, Euratom) 2015/444 de la Commission du 13 mars 2015 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne (2),

vu la décision (UE, Euratom) 2017/46 de la Commission du 10 janvier 2017 sur la sécurité des systèmes d’information et de communication au sein de la Commission européenne (3),

considérant ce qui suit:

(1) La décision (UE, Euratom) 2015/444 s’applique à tous les services de la Commission et dans l’ensemble des locaux de la Commission.

(2) Les mesures de sécurité pour la protection des informations classifiées de l’Union européenne (ICUE) tout au long de leur cycle de vie doivent être proportionnées en particulier à leur classification de sécurité.

(3) L’article 4, paragraphe 3, l’article 19, paragraphe 1, point c) et l’article 22 de la décision (UE, Euratom) 2015/444 disposent que des dispositions plus détaillées visant à compléter et à appuyer l’application de la décision doivent être énoncées dans les modalités d’application qui régissent des questions telles qu’un guide de la classification, des mesures compensatoires pour le traitement des ICUE en dehors d’une zone sécurisée ou d’une zone administrative et les responsabilités de l’autorité d’origine.

(4) Le cas échéant, les modalités d’application en complément ou à l’appui de la décision (UE, Euratom) 2015/444 doivent être adoptées conformément à l’article 60 de ladite décision.

(5) Les mesures de sécurité prises pour mettre en œuvre la présente décision doivent être conformes aux principes en matière de sécurité au sein de la Commission énoncés à l’article 3 de la décision (UE, Euratom) 2015/443.

(6) Le Conseil, la Commission et la haute représentante de l’Union pour les affaires étrangères et la politique de sécurité ont convenu de garantir une cohérence maximale dans l’application des règles de sécurité relatives à la protection des ICUE tout en tenant compte des besoins institutionnels et organisationnels qui leur sont propres, conformément aux déclarations jointes au compte rendu de la session du Conseil au cours de laquelle la décision 2013/488/UE du Conseil (4) a été adoptée.

(7) Le 4 mai 2016, la Commission a adopté une décision (5) qui habilite le membre de la Commission chargé des questions de sécurité à adopter, au nom de la Commission et sous sa responsabilité, les modalités d’application prévues par l’article 60 de la décision (UE, Euratom) 2015/444,

A ADOPTÉ LA PRÉSENTE DÉCISION:

CHAPITRE 1

DISPOSITIONS GÉNÉRALES

Article premier Objet et champ d’application 1. La présente décision établit les conditions de traitement des informations classifiées de l’Union européenne (ICUE) de niveau RESTREINT UE/EU RESTRICTED (6), conformément à la décision (UE, Euratom) 2015/444. 2. La présente décision s’applique à tous les services de la Commission et dans l’ensemble des locaux de la Commission.

Article 2 Critères d’accès aux informations RESTREINT UE/EU RESTRICTED 1. L’accès aux informations classifiées RESTREINT UE/EU RESTRICTED peut être accordé: a) après avoir établi la nécessité pour une personne d’accéder à certaines informations RESTREINT UE/EU RESTRICTED en vue d’exercer une fonction ou une tâche professionnelle pour la Commission européenne; b) après avoir informé la personne des règles ainsi que des normes et lignes directrices correspondantes en matière de sécurité pour la protection des informations RESTREINT UE/EU RESTRICTED; et c) après que la personne a reconnu les responsabilités qui lui incombent en matière de protection des informations concernées. 2. Il ne peut être confié aux stagiaires de la Commission des tâches qui leur imposent d’avoir accès aux informations RESTREINT UE/EU RESTRICTED. 3. L’accès est refusé ou autorisé aux autres catégories de personnel conformément au tableau figurant à l’annexe.

CHAPITRE 2

CRÉATION D’INFORMATIONS RESTREINT UE/EU RESTRICTED

Article 3 Autorité d’origine Bien que l’autorité d’origine, au sens de l’article 1er de la décision (UE, Euratom) 2015/444, soit l’institution, l’organe ou l’agence de l’Union, l’État membre, l’État tiers ou l’organisation internationale sous l’autorité duquel/de laquelle les informations classifiées ont été créées et/ou introduites dans les structures de l’Union, elle ne correspond pas nécessairement au rédacteur des informations RESTREINT UE/EU RESTRICTED.

Article 4 Attribution d’un niveau de classification 1. Le personnel chargé de rédiger un document à partir d’informations au sens de l’article 1er examine toujours s’il y a lieu de classifier ce document. La classification d’un document comme ICUE implique une évaluation et une décision de l’autorité d’origine visant à déterminer si la divulgation du document à des personnes non autorisées porterait préjudice aux intérêts de l’Union européenne ou d’un ou de plusieurs États membres. Si les rédacteurs éprouvent un doute quant à la question de savoir si le document qu’ils rédigent justifie d’être classifié RESTREINT UE/EU RESTRICTED, ils doivent consulter le chef d’unité ou le directeur responsable. 2. Un document est au moins classifié RESTREINT UE/EU RESTRICTED si sa divulgation non autorisée peut, entre autres: a) influer négativement sur les relations diplomatiques; b) causer de grandes difficultés aux particuliers; c) rendre plus difficile le maintien de l’efficacité ou de la sécurité opérationnelle du personnel déployé des États membres ou d’autres contributeurs; d) enfreindre des engagements concernant le maintien de la confidentialité d’informations communiquées par des tiers; e) entraver l’investigation d’une infraction ou en faciliter l’accomplissement; f) être défavorable à l’Union européenne ou aux États membres dans des négociations commerciales ou politiques avec des tiers; g) entraver le développement efficace ou le fonctionnement des politiques de l’Union; h) porter préjudice à la bonne gestion de l’Union et à ses missions en général; ou i) conduire à la découverte d’informations classifiées à un niveau supérieur. 3. Les autorités d’origine peuvent décider d’attribuer un niveau de classification standard aux catégories d’information qu’elles créent régulièrement. Cependant, elles veillent à ce que les différents éléments d’informations soient dotés du niveau de classification approprié.

Article 5 Traitement des projets 1. Les informations sont classifiées dès qu’elles sont produites. Les notes personnelles, les avant-projets ou les messages contenant des informations qui justifient une classification au niveau RESTREINT UE/EU RESTRICTED sont marqués comme tels dès le départ et sont produits et traités conformément à la présente décision. 2. Si le document final ne justifie plus le niveau de classification RESTREINT UE/EU RESTRICTED, il est déclassifié.

Article 6 Enregistrement des sources Afin de permettre l’exercice du contrôle de l’autorité d’origine conformément à l’article 13, les autorités d’origine de documents RESTREINT UE/EU RESTRICTED tiennent, dans la mesure du possible, un registre de toute source classifiée utilisée pour produire des documents classifiés, y compris des informations sur les sources provenant d’États membres de l’Union européenne, d’organisations internationales ou de pays tiers. Le cas échéant, les informations classifiées agrégées sont marquées de façon à préserver l’identification des autorités d’origine des sources classifiées utilisées.

Article 7 Classification de parties d’un document 1. Conformément à l’article 22, paragraphe 6 de la décision (UE, Euratom) 2015/444, le niveau général de classification d’un document est au moins aussi élevé que celui de sa partie portant la classification la plus élevée. Lorsqu’il rassemble des informations provenant de plusieurs sources, le document final agrégé est examiné pour en fixer le niveau général de classification de sécurité car il peut requérir un niveau de classification supérieur à celui de chacune des parties qui le composent. 2. Les documents contenant des parties classifiées et non classifiées sont structurés et marqués de manière que les éléments ayant des niveaux de classification et/ou de sensibilité différents puissent au besoin être aisément identifiés et séparés des autres. Chaque partie peut ainsi être traitée de manière appropriée lorsqu’elle est séparée des autres éléments.

Article 8 Marquage de classification en toutes lettres 1. Les informations qui justifient une classification sont marquées et traitées en tant que telles, quelle que soit leur forme physique. Le niveau de classification est clairement communiqué aux destinataires, soit par un marquage de classification si les informations sont transmises sous forme écrite, que ce soit en format papier, sur un support de données amovible ou dans un système d’information et de communication (SIC), soit par une annonce si les informations sont transmises sous forme orale, par exemple dans une conversation ou une présentation. Les documents classifiés sont physiquement marqués de manière à faciliter l’identification de leur classification de sécurité. 2. Sur les documents, le marquage de classification en toutes lettres RESTREINT UE/EU RESTRICTED est rédigé intégralement en français et en anglais (en français d’abord), en lettres capitales, conformément au paragraphe 3. Le marquage ne doit pas être traduit dans d’autres langues. 3. Le marquage de classification RESTREINT UE/EU RESTRICTED est apposé de la manière suivante: a) centré en haut et en bas de chaque page du document; b) le marquage de classification complet sur une seule ligne, sans espace avant et après la barre oblique; c) en lettres capitales, noir, police Times New Roman 16, gras et entouré d’une bordure sur chaque côté. 4. Lors de la création d’un document RESTREINT UE/EU RESTRICTED: a) sur chaque page figure un marquage indiquant clairement le niveau de classification; b) chaque page est numérotée; c) le document porte un numéro de référence et un sujet qui n’est pas lui-même une information classifiée, sauf s’il s’est vu apposer un marquage à ce titre; d) toutes les annexes et pièces jointes sont énumérées, si possible sur la première page; et e) le document porte la date de sa création.

Article 9 Marquage de classification abrégé R-UE/EU-R L’abréviation R-UE/EU-R peut être utilisée pour préciser le niveau de classification de différentes parties d’un document RESTREINT UE/EU RESTRICTED ou lorsque le marquage de classification en toutes lettres ne peut être inséré, par exemple sur un petit support de stockage amovible. Elle peut être utilisée dans le corps d’un texte où l’utilisation répétée du marquage de classification en toutes lettres est fastidieuse. L’abréviation ne peut pas être utilisée à la place du marquage de classification en toutes lettres dans l’en-tête et le pied de page du document.

Article 10 Autres identifiants de sécurité 1. Les documents RESTREINT UE/EU RESTRICTED peuvent porter d’autres marquages ou «identifiants de sécurité» qui précisent, par exemple, le domaine auquel le document se rapporte, ou indiquent une diffusion particulière en fonction du besoin d’en connaître. Exemple: COMMUNICABLE AU LIECHTENSTEIN 2. Les documents RESTREINT UE/EU RESTRICTED peuvent comporter une réserve de sécurité qui donne des instructions spécifiques sur la façon de traiter et gérer les documents. 3. Dans la mesure du possible, les indications relatives à la déclassification sont apposées sur la première page du document lors de sa création. Le marquage suivant peut par exemple être utilisé: RESTREINT UE/EU RESTRICTED jusqu’au [jj.mm.aaaa]

Article 11 Traitement électronique 1. Les documents RESTREINT UE/EU RESTRICTED sont créés par voie électronique dans la mesure du possible. 2. Le personnel de la Commission utilise un SIC homologué pour la création d’informations de niveau RESTREINT UE/EU RESTRICTED. Le personnel consulte son responsable local de la sécurité (LSO) en cas de doute sur le SIC pouvant être utilisé. En consultation avec l’autorité de sécurité de la Commission, des procédures spécifiques peuvent être appliquées en cas d’urgence ou dans le cadre de configurations techniques spécifiques. 3. Conformément à l’article 5, les documents RESTREINT UE/EU RESTRICTED, y compris les projets, ne sont pas envoyés au moyen de courriers électroniques ordinaires non sécurisés, imprimés ou scannés sur des imprimantes ou des scanners standards ou traités sur les dispositifs personnels des membres du personnel. Seules les imprimantes ou photocopieuses connectées à des ordinateurs autonomes ou à un système agréé sont utilisées pour imprimer les documents RESTREINT UE/EU RESTRICTED.

Article 12 Diffusion L’expéditeur de documents RESTREINT UE/EU RESTRICTED décide à qui il diffuse les informations, selon le besoin d’en connaître des destinataires. Le cas échéant, une liste de diffusion est établie pour renforcer le principe du besoin d’en connaître.

CHAPITRE 3

TRAVAILLER AVEC DES INFORMATIONS RESTREINT UE/EU RESTRICTED EXISTANTES

Article 13 Contrôle de l’autorité d’origine 1. L’autorité d’origine exerce le «contrôle de l’autorité d’origine» sur les informations RESTREINT UE/EU RESTRICTED qu’elle a créées. Le consentement préalable écrit de l’autorité d’origine est sollicité avant que les informations puissent être: a) déclassifiées; b) utilisées à d’autres fins que celles qui sont fixées par l’autorité d’origine; c) communiquées à un pays tiers ou à une organisation internationale; d) divulguées à un tiers extérieur à la Commission, mais au sein de l’Union européenne; ou e) divulguées à un contractant ou à contractant potentiel situé dans un pays tiers. 2. L’accès aux informations classifiées a été accordé aux détenteurs d’informations RESTREINT UE/EU RESTRICTED pour leur permettre d’exercer leurs fonctions. Ils ont la responsabilité du traitement, du stockage et de la protection adéquats de ces informations conformément à la décision (UE, Euratom) 2015/444. Contrairement aux autorités d’origine des informations classifiées, les détenteurs ne sont pas autorisés à décider de déclassifier ou de communiquer ultérieurement les informations RESTREINT UE/EU RESTRICTED à des pays tiers ou à des organisations internationales. 3. Si l’autorité d’origine d’une information RESTREINT UE/EU RESTRICTED ne peut être identifiée, le service de la Commission qui détient ces informations classifiées exerce le contrôle de l’autorité d’origine. Le groupe d’experts sécurité de la Commission est consulté avant la communication d’informations RESTREINT UE/EU RESTRICTED à un pays tiers ou une organisation internationale.

Article 14 SIC conformes pour le traitement des informations RESTREINT UE/EU RESTRICTED Les informations RESTREINT UE/EU RESTRICTED sont traitées et transmises par voie électronique dans la mesure du possible. Seuls les SIC et les équipements agréés par l’autorité d’homologation de sécurité de la Commission peuvent être utilisés.

Article 15 Mesures spécifiques pour les informations RESTREINT UE/EU RESTRICTED sur des supports de stockage amovibles 1. L’utilisation des supports de stockage amovibles est contrôlée et comptabilisée. Seuls les supports de stockage amovibles fournis par la Commission et cryptés au moyen d’un produit agréé par l’autorité de sécurité de la Commission sont utilisés. Les supports de stockage amovibles personnels et ceux librement distribués lors de conférences, séminaires, etc. ne sont pas utilisés pour transférer des informations classifiées. Dans la mesure du possible, des supports de stockage amovibles protégés par la sécurité Tempest devraient être utilisés, conformément aux recommandations de l’autorité de sécurité de la Commission. 2. Lorsqu’un document classifié est traité ou conservé électroniquement sur des supports de stockage amovibles, comme des clés USB, des CD ou des cartes à mémoire, le marquage de classification est clairement visible sur les informations affichées elles-mêmes, ainsi que dans le nom du fichier et sur le support de stockage amovible. 3. Le personnel garde à l’esprit que lorsque de grandes quantités d’informations classifiées sont conservées sur des supports de stockage amovibles, il peut s’avérer nécessaire de conférer un niveau de classification supérieur au dispositif. 4. Seuls les SIC dûment homologués sont utilisés pour transférer des informations RESTREINT UE/EU RESTRICTED sur des supports de stockage amovibles ou à partir de ceux-ci. 5. Lorsque des informations RESTREINT UE/EU RESTRICTED sont téléchargées sur des supports de stockage amovibles, il convient de veiller particulièrement à ce que ces supports ne contiennent pas de virus ou de logiciels malveillants avant le transfert des données. 6. Le cas échéant, les supports de stockage amovibles sont traités conformément aux procédures d’exploitation de sécurité relatives au système de cryptage utilisé. 7. Les documents présents sur les supports de stockage amovibles qui ne sont plus nécessaires ou qui ont été transférés sur un SIC approprié sont supprimés ou effacés en toute sécurité au moyen de produits ou de méthodes agréés. À moins d’être stockés dans un mobilier de bureau verrouillé approprié, les supports de stockage amovibles sont détruits lorsqu’ils ne sont plus nécessaires. Toute destruction ou suppression est réalisée au moyen d’une méthode conforme aux règles de sécurité de la Commission. Un inventaire des supports amovibles est conservé et leur destruction est enregistrée.

Article 16 Traitement et stockage des informations RESTREINT UE/EU RESTRICTED 1. Conformément à l’article 19, paragraphe 1, points a) et b) de la décision (UE, Euratom) 2015/444, les informations RESTREINT UE/EU RESTRICTED peuvent être traitées dans une zone administrative ou une zone sécurisée (7) de la manière suivante: — le personnel ferme la porte du bureau lors du traitement des informations RESTREINT UE/EU RESTRICTED, — le personnel met de côté ou cache toute information RESTREINT UE/EU RESTRICTED s’il reçoit un visiteur, — le personnel ne laisse pas d’informations RESTREINT UE/EU RESTRICTED visibles lorsque le bureau est inoccupé, — les écrans affichant des informations RESTREINT UE/EU RESTRICTED ne sont jamais tournés vers les fenêtres et les portes pour éviter les potentiels regards indiscrets. 2. Conformément à l’article 19, paragraphe 1, point c) de la décision (UE, Euratom) 2015/444, les informations RESTREINT UE/EU RESTRICTED peuvent être traitées en dehors d’une zone sécurisée ou d’une zone administrative si le détenteur s’est engagé à se conformer aux mesures compensatoires pour empêcher que des personnes non autorisées y aient accès. Les mesures compensatoires incluent au moins ce qui suit: — les informations RESTREINT UE/EU RESTRICTED ne doivent pas être lues dans des lieux publics, — les ICUE restent à tout moment sous le contrôle personnel du détenteur, — les documents sont rangés dans des meubles verrouillés appropriés lorsqu’ils ne sont pas lus ou discutés, — les portes de la salle sont fermées lorsque le document est lu ou discuté, — le contenu du document n’est pas abordé au téléphone sur une ligne non sécurisée ou dans un courrier électronique non crypté, — le document ne peut être photocopié ou scanné que sur un équipement autonome ou agréé, — le document ne peut être traité et temporairement conservé en dehors d’une zone administrative ou sécurisée que pendant le temps minimal nécessaire, — le détenteur ne jette pas le document classifié, mais le restitue pour qu’il soit conservé dans une zone administrative ou sécurisée ou s’assure qu’il est détruit dans une déchiqueteuse agréée. 3. Les exemplaires papier des informations RESTREINT UE/EU RESTRICTED sont conservés dans un mobilier de bureau verrouillé dans une zone administrative ou une zone sécurisée. Ils peuvent être temporairement conservés en dehors d’une zone sécurisée ou d’une zone administrative si le détenteur s’est engagé à se conformer aux mesures compensatoires. 4. Des conseils supplémentaires peuvent être obtenus auprès du responsable local de sécurité (LSO) du service pertinent de la Commission. 5. Tout incident de sécurité réel ou suspecté impliquant le document est signalé dès que possible au LSO.

Article 17 Duplication et traduction d’informations RESTREINT UE/EU RESTRICTED 1. Les informations RESTREINT UE/EU RESTRICTED peuvent être dupliquées ou traduites sur instruction du détenteur si l’autorité d’origine n’a pas imposé de restrictions. Cependant, le nombre de copies ne doit pas dépasser ce qui est strictement nécessaire. 2. Lorsque seule une partie d’un document classifié est reproduite, les conditions qui s’appliquent sont les mêmes que pour la duplication de l’intégralité du document. Les extraits sont également classifiés RESTREINT UE/EU RESTRICTED, sauf si l’autorité d’origine a apposé un marquage spécifique indiquant qu’ils ne sont pas classifiés. 3. Les mesures de sécurité applicables aux informations originales s’appliquent également aux copies et traductions de celles-ci.

Article 18 Principes généraux applicables au transport d’informations RESTREINT UE/EU RESTRICTED 1. Dans la mesure du possible, les informations RESTREINT UE/EU RESTRICTED devant être transportées en dehors des zones sécurisées ou des zones administratives sont envoyées par voie électronique à l’aide de moyens dûment homologués et/ou de produits cryptographiques agréés. 2. Selon les moyens disponibles ou les circonstances particulières, les informations RESTREINT UE/EU RESTRICTED peuvent être physiquement transportées à la main sous la forme de documents papier ou sur des supports de stockage amovibles. L’utilisation de supports de stockage amovibles est préférable à l’envoi de documents papier pour le transfert d’informations RESTREINT UE/EU RESTRICTED. 3. Seuls les supports de stockage amovibles cryptés au moyen d’un produit agréé par l’autorité de sécurité de la Commission peuvent être utilisés. Les informations RESTREINT UE/EU RESTRICTED sur des supports de stockage amovibles non protégés par un produit de cryptage agréé par l’autorité de sécurité de la Commission sont traitées de la même manière qu’une copie papier. 4. Un envoi peut contenir plusieurs informations RESTREINT UE/EU RESTRICTED dès lors que le principe du besoin d’en connaître est respecté. 5. L’emballage utilisé garantit que le contenu n’est pas visible. Les informations RESTREINT UE/EU RESTRICTED sont transportées dans un emballage opaque tel qu’une enveloppe, un classeur opaque ou une mallette. L’extérieur de l’emballage ne comporte aucune indication sur la nature ou le niveau de classification de son contenu. S’il est utilisé, l’emballage intérieur porte la mention RESTREINT UE/EU RESTRICTED. Les deux emballages indiquent le nom, la profession et l’adresse du destinataire prévu ainsi qu’une adresse de retour si la livraison ne peut être effectuée. 6. Tout incident de sécurité impliquant des informations RESTREINT UE/EU RESTRICTED transportées par le personnel ou par des transporteurs est signalé en vue d’une enquête ultérieure à la direction de la sécurité de la direction générale des ressources humaines, par l’intermédiaire du LSO du service pertinent de la Commission.

Article 19 Transport par porteur des supports de stockage amovibles 1. Les supports de stockage amovibles utilisés pour transporter les informations RESTREINT UE/EU RESTRICTED sont accompagnés d’une déclaration d’expédition donnant des détails sur les supports de stockage amovibles qui contiennent les informations classifiées, ainsi que tous les fichiers qui y figurent, afin de permettre au destinataire d’effectuer les vérifications nécessaires. 2. Seuls les documents à remettre sont stockés sur ces supports. Toutes les informations classifiées sur une seule clé USB, par exemple, devraient avoir un unique destinataire. L’expéditeur garde à l’esprit que le stockage de grandes quantités d’informations classifiées sur des dispositifs de ce type peut requérir un niveau de classification plus élevé pour le dispositif dans son ensemble. 3. Seuls les supports de stockage amovibles portant le marquage de classification approprié sont utilisés pour transporter des informations RESTREINT UE/EU RESTRICTED.

Article 20 Transport de documents RESTREINT UE/EU RESTRICTED au sein des bâtiments de la Commission 1. Le personnel peut transporter des documents RESTREINT UE/EU RESTRICTED au sein d’un bâtiment de la Commission, pour autant que le porteur ne se sépare pas des documents et que ceux-ci ne soient pas lus en public. 2. Les documents RESTREINT UE/EU RESTRICTED peuvent être envoyés par courrier interne à d’autres bureaux de la Commission européenne dans une seule enveloppe opaque ordinaire, mais sans porter d’indication extérieure sur la classification du contenu. Des documents RESTREINT UE/EU RESTRICTED peuvent également être envoyés de la même manière à d’autres institutions ou organes de l’Union européenne directement desservis par le système de courrier interne de la Commission.

Article 21 Transport de documents RESTREINT UE/EU RESTRICTED au sein de l’Union 1. Les informations RESTREINT UE/EU RESTRICTED peuvent être transportées par le personnel ou les transporteurs de la Commission partout dans l’Union dès lors qu’ils respectent les instructions suivantes: a) une enveloppe ou un emballage opaque est utilisé pour transmettre les informations RESTREINT UE/EU RESTRICTED. L’extérieur ne porte pas d’indication sur la nature ou le niveau de classification de son contenu; b) le porteur ne se sépare pas des informations RESTREINT UE/EU RESTRICTED; et c) l’enveloppe ou l’emballage n’est pas ouvert pendant le transport et les informations ne sont pas lues dans des lieux publics. 2. Le personnel qui souhaite envoyer des informations RESTREINT UE/EU RESTRICTED vers d’autres sites de l’Union peut faire en sorte qu’elles soient transmises par l’un des moyens suivants: — par des services postaux nationaux qui suivent l’envoi ou certains services de courrier commercial qui garantissent le transport par porteur personnel, dès lors qu’ils respectent les exigences établies à l’article 23 de la présente décision, — par courrier militaire, gouvernemental ou diplomatique, en coordination avec le personnel du greffe.

Article 22 Transport d’informations RESTREINT UE/EU RESTRICTED vers le territoire d’un pays tiers, ou en provenance de celui-ci 1. Les informations classifiées RESTREINT UE/EU RESTRICTED peuvent être transportées à la main par le personnel entre le territoire de l’Union et le territoire d’un pays tiers. 2. Le personnel du greffe peut prévoir l’un ou l’autre de ces types de transport: — le transport par des services postaux qui suivent l’envoi ou par des services de courrier commercial qui garantissent le transport par porteur personnel, — le transport par courrier militaire ou diplomatique. 3. Lorsque le personnel transporte à la main des documents papier ou des supports de stockage amovibles classifiés RESTREINT UE/EU RESTRICTED, il respecte toutes les mesures supplémentaires suivantes: — Lorsqu’il utilise les transports publics, les informations classifiées sont placées dans une mallette ou un sac qui reste sous la garde personnelle du porteur. Elles ne peuvent être consignées dans une soute à bagages. — Les informations RESTREINT UE/EU RESTRICTED sont transportées sous double emballage. L’emballage intérieur porte un scellé officiel indiquant qu’il s’agit d’un envoi officiel qui ne doit pas faire l’objet d’un contrôle de sécurité. — Le porteur transporte un certificat de courrier qui certifie que le porteur est autorisé à transporter l’envoi RESTREINT UE/EU RESTRICTED, délivré par le greffe du service pertinent.

Article 23 Transport par des courriers commerciaux 1. Aux fins de la présente décision, les «courriers commerciaux» incluent les services postaux nationaux et les sociétés de courrier commercial qui proposent un service où les informations sont livrées contre paiement et sont soit personnellement transportées à la main, soit suivies. 2. Les courriers commerciaux peuvent avoir recours aux services d’un sous-traitant. Cependant, la responsabilité de respecter la présente décision incombe à la société de courrier. 3. Si le destinataire prévu est en dehors de l’Union européenne, l’envoi se fait sous double emballage. Lors de la préparation d’envois classifiés, l’expéditeur garde à l’esprit que les services de courrier commercial ne livrent les envois RESTREINT UE/EU RESTRICTED qu’au destinataire prévu, à un remplaçant dûment autorisé, à l’agent contrôleur, à son remplaçant dûment autorisé ou à un réceptionniste. Afin d’atténuer le risque que l’envoi n’atteigne pas le destinataire prévu, l’emballage extérieur et, le cas échéant, l’emballage intérieur portent une adresse de retour. 4. Les services fournis par les courriers commerciaux proposant une transmission électronique des documents envoyés par courrier recommandé ne sont pas utilisés pour des informations RESTREINT UE/EU RESTRICTED.

Article 24 Autres conditions de traitement spécifiques 1. Toutes les conditions de transport définies dans un accord sur la sécurité de l’information ou dans des arrangements administratifs doivent être respectées. En cas de doute, les membres du personnel consultent leur greffe respectif ou la direction de la sécurité de la direction générale des ressources humaines et de la sécurité. 2. L’exigence du double emballage peut être levée pour les informations classifiées protégées au moyen de produits cryptographiques agréés. Cependant, à des fins d’adressage, et du fait également que le support de stockage amovible porte un marquage de classification de sécurité explicite, le support est transporté au minimum dans une enveloppe ordinaire, mais des mesures de protection physiques supplémentaires peuvent s’avérer nécessaires, telles que des enveloppes en papier bulle.

CHAPITRE 4

RÉUNIONS CLASSIFIÉES

Article 25 Préparation d’une réunion RESTREINT UE/EU RESTRICTED 1. Les réunions au cours desquelles des informations RESTREINT UE/EU RESTRICTED doivent être examinées sont uniquement tenues dans une salle de réunion agréée au niveau approprié ou à un niveau supérieur. Lorsque ces salles ne sont pas disponibles, le personnel sollicite l’avis de l’autorité de sécurité de la Commission. 2. En règle générale, les ordres du jour ne sont pas classifiés. Si l’ordre du jour d’une réunion mentionne des documents classifiés, l’ordre du jour lui-même n’est pas automatiquement classifié. Les points de l’ordre du jour sont formulés de façon à éviter de compromettre la protection des intérêts de l’Union ou d’un ou de plusieurs de ses États membres. 3. Si des fichiers électroniques contenant des informations RESTREINT UE/EU RESTRICTED sont joints à l’ordre du jour, leur protection par des produits cryptographiques agréés par l’autorité Crypto de la Commission est obligatoire. 4. Les organisateurs de la réunion rappellent aux participants que les commentaires envoyés sur un point de l’ordre du jour RESTREINT UE/EU RESTRICTED ne doivent pas l’être au moyen de courriers électroniques ordinaires non sécurisés ou par d’autres moyens qui n’ont pas été dûment agréés conformément à l’article 11 de la présente décision. 5. Les organisateurs de la réunion s’efforcent de regrouper à la suite les points RESTREINT UE/EU RESTRICTED dans l’ordre du jour afin de faciliter le bon fonctionnement de la réunion. Seules les personnes qui ont un besoin d’en connaître peuvent être présentes lorsque les points classifiés sont discutés. 6. L’invitation elle-même prévient les participants que la réunion portera sur des sujets classifiés et que les mesures de sécurité correspondantes s’appliqueront. 7. L’invitation ou la note sur l’ordre du jour elle-même rappelle aux participants que les appareils électroniques portatifs doivent être éteints pendant la discussion des points RESTREINT UE/EU RESTRICTED. 8. Les organisateurs de la réunion préparent une liste complète des participants externes avant la réunion.

Article 26 Équipements électroniques dans une salle de réunion RESTREINT UE/EU RESTRICTED 1. Seuls les systèmes informatiques agréés conformément à l’article 11 de la présente décision peuvent être utilisés lorsque des informations classifiées sont transmises, par exemple pour faire une présentation qui affiche des informations RESTREINT UE/EU RESTRICTED ou pour les vidéoconférences. 2. Le président veille à ce que les appareils électroniques portatifs non autorisés soient éteints.

Article 27 Procédures à suivre au cours d’une réunion RESTREINT UE/EU RESTRICTED 1. Au début d’une discussion classifiée, le président annonce aux participants que la réunion passe en mode classifié. Les portes et stores doivent être fermés. 2. Seul le nombre nécessaire de documents est distribué aux participants et aux interprètes, le cas échéant, au début de la discussion. Les documents RESTREINT UE/EU RESTRICTED ne sont pas laissés sans surveillance pendant les pauses de la réunion. 3. À la fin de la réunion, il est rappelé aux participants et aux interprètes de ne laisser aucun document classifié ni aucune note classifiée qu’ils auraient pu prendre sans surveillance dans la salle. Les documents ou notes classifié(e)s qui n’ont pas été emporté(e)s par les participants à la fin de la réunion sont récupéré(e)s par les organisateurs de la réunion et déchiqueté(e)s dans des déchiqueteuses appropriées. 4. La liste des participants et un résumé des informations classifiées partagées avec les États membres et communiquées oralement à des pays tiers ou à des organisations internationales sont établis pendant la réunion en vue d’être consignés dans les résultats des travaux.

Article 28 Interprètes et traducteurs Seuls les interprètes et traducteurs soumis au statut des fonctionnaires ou au régime applicable aux autres agents de l’Union européenne ou qui ont un lien contractuel avec la Commission ont accès aux informations RESTREINT UE/EU RESTRICTED.

CHAPITRE 5

PARTAGE ET ÉCHANGE D’INFORMATIONS RESTREINT UE/EU RESTRICTED

Article 29 Consentement de l’autorité d’origine Si la Commission n’est pas l’autorité d’origine des informations classifiées à communiquer ou partager, ou des sources qu’elles peuvent contenir, le service de la Commission qui détient ces informations classifiées demande au préalable le consentement écrit de l’autorité d’origine. Si l’autorité d’origine ne peut être identifiée, le service de la Commission qui détient ces informations classifiées exerce le contrôle de l’autorité d’origine.

Article 30 Partage d’informations RESTREINT UE/EU RESTRICTED avec d’autres entités de l’Union 1. Les informations RESTREINT UE/EU RESTRICTED ne sont partagées avec une autre institution, une autre agence, un autre organe ou un autre organisme de l’Union que si le destinataire a un besoin d’en connaître et si cette entité a un accord juridique correspondant avec la Commission. 2. Au sein de la Commission, le bureau d’ordre pour les ICUE géré par le secrétariat général représente, en règle générale, le principal point d’entrée et de sortie des échanges d’informations classifiées avec d’autres institutions, agences, organes et organismes de l’Union. Les informations RESTREINT UE/EU RESTRICTED peuvent toutefois être partagées directement avec les destinataires prévus.

Article 31 Échange d’informations RESTREINT UE/EU RESTRICTED avec des États membres 1. Les informations RESTREINT UE/EU RESTRICTED peuvent être partagées avec d’autres États membres si le destinataire a un besoin d’en connaître. 2. Les informations classifiées des États membres qui portent un marquage de classification national (8) équivalent et qui ont été fournies à la Commission ont le même niveau de protection que les informations RESTREINT UE/EU RESTRICTED.

Article 32 Échange d’informations RESTREINT UE/EU RESTRICTED avec des pays tiers et des organisations internationales 1. Les informations RESTREINT UE/EU RESTRICTED ne sont communiquées à un pays tiers ou à une organisation internationale que si le destinataire a un besoin d’en connaître et que le pays ou l’organisation internationale dispose d’un cadre juridique ou administratif approprié, par exemple un accord sur la sécurité de l’information ou un arrangement administratif avec la Commission. Les dispositions d’un tel accord ou d’un tel arrangement prévalent sur les dispositions de la présente décision. 2. Le bureau d’ordre pour les ICUE géré par le secrétariat général représente, en règle générale, le principal point d’entrée et de sortie de toutes les informations classifiées RESTREINT UE/EU RESTRICTED échangées entre la Commission et des États tiers ou des organisations internationales. L’autorité de sécurité de la Commission est consultée lorsque, pour des raisons de sécurité, d’organisation ou de fonctionnement, il est plus approprié que des bureaux d’ordre pour les ICUE servent de point d’entrée et de sortie pour tous les sujets qui relèvent de la compétence du service concerné. 3. Afin de garantir la traçabilité, les informations RESTREINT UE/EU RESTRICTED sont enregistrées: — lorsqu’elles arrivent dans une entité organisationnelle ou la quittent, et — lorsqu’elles arrivent dans un SIC ou le quittent. 4. Ces enregistrements peuvent être effectués sur papier ou dans des journaux de bord électroniques. 5. Les procédures d’enregistrement des informations classifiées traitées dans un SIC homologué peuvent être mises en œuvre au moyen de processus intervenant au sein du SIC même. Dans ce cas, le SIC inclut des mesures permettant de garantir l’intégrité des journaux de bord. 6. Les informations classifiées reçues des pays tiers ou des organisations internationales bénéficient du même niveau de protection que les ICUE portant le marquage de classification équivalent, tel que défini dans l’accord sur la sécurité de l’information ou l’arrangement administratif respectif.

Article 33 Communication ad hoc exceptionnelle d’informations RESTREINT UE/EU RESTRICTED 1. Lorsque la Commission ou l’un de ces services estime qu’il est nécessaire, à titre exceptionnel, de communiquer des informations RESTREINT UE/EU RESTRICTED à un pays tiers, une organisation internationale ou une entité de l’Union européenne, mais qu’il n’existe aucun accord sur la sécurité de l’information ou arrangement administratif, la procédure de communication ad hoc exceptionnelle est suivie. 2. Les services de la Commission contactent l’autorité de sécurité de la Commission qui consulte le groupe d’experts sécurité de la Commission. 3. Après avoir consulté le groupe d’experts sécurité de la Commission, la Commission peut, sur proposition du membre de la Commission chargé des questions de sécurité, autoriser la communication des informations concernées.

CHAPITRE 6

FIN DE VIE DES INFORMATIONS RESTREINT UE/EU RESTRICTED

Article 34 Quand déclassifier 1. Les informations ne restent classifiées que tant qu’elles nécessitent une protection. La déclassification signifie que les informations ne sont plus considérées comme classifiées. Au moment de la création du document classifié, l’autorité d’origine indique, si possible, si les ICUE qui y figurent peuvent ou non être déclassifiées à une date donnée ou après un événement spécifique. À défaut, l’autorité d’origine examine régulièrement les informations RESTREINT UE/EU RESTRICTED en vue de déterminer si la classification est encore appropriée. 2. Les informations classifiées RESTREINT UE/EU RESTRICTED dont la Commission est l’auteur sont automatiquement déclassifiées à l’issue d’une période de trente ans, conformément au règlement (CEE, Euratom) no 354/83 modifié par le règlement (CE, Euratom) no 1700/2003 du Conseil (9) et conformément à l’article 59, paragraphe 2, point a), de la décision (UE, Euratom) 2015/444. 3. Les documents de la Commission peuvent également être déclassifiés sur une base ad hoc, par exemple à la suite d’une demande d’accès du public.

Article 35 Responsabilité en matière de déclassification 1. Les informations RESTREINT UE/EU RESTRICTED ne sont pas déclassifiées sans la permission de l’autorité d’origine. 2. Le service de la Commission qui crée un document classifié est responsable de la décision relative à sa déclassification. Au sein de la Commission, toutes les demandes de déclassification font l’objet d’une consultation du chef d’unité ou du directeur du service auteur. Si le service a compilé des informations classifiées à partir de diverses sources, il sollicite tout d’abord le consentement de toutes les autres parties ayant fourni des sources, y compris les États membres, les autres organes de l’Union européenne, les pays tiers ou les organisations internationales. 3. Lorsque le service de la Commission auteur n’existe plus et que ses responsabilités ont été reprises par un autre service, la décision de déclassifier est prise par ce service. Lorsque le service auteur n’existe plus et que ses responsabilités n’ont pas été reprises par un autre service, la décision de déclassifier est prise conjointement par les chefs d’unité ou les directeurs des directions générales destinataires.

Article 36 Informations sensibles non classifiées Lorsque l’examen d’un document entraîne une décision de déclassifier, il convient d’examiner si le document doit porter un marquage de diffusion «informations sensibles non classifiées» au sens de l’article 9 de la décision (UE, Euratom) 2015/443.

Article 37 Comment indiquer qu’un document a été déclassifié 1. Le marquage de classification d’origine figurant en haut et en bas de chaque page est biffé de manière visible (et non supprimé) en utilisant la fonction «strikethrough» pour les formats électroniques, ou biffé manuellement pour les impressions. 2. La première page (de couverture) du document est revêtue d’un cachet de déclassification et complétée avec les références de l’autorité responsable de la déclassification et la date correspondante. 3. Les destinataires initiaux des informations RESTREINT UE/EU RESTRICTED sont informés de la déclassification. Il incombe aux destinataires initiaux d’en informer tous les destinataires successifs auxquels ils ont fait suivre l’original ou une copie des informations RESTREINT UE/EU RESTRICTED. 4. Le service des archives historiques de la Commission est informé de toutes les décisions de déclassification. 5. Toutes les traductions des informations classifiées sont soumises aux mêmes procédures de déclassification que la version linguistique originale.

Article 38 Déclassification partielle des informations RESTREINT UE/EU RESTRICTED 1. Une déclassification partielle est également possible (par exemple, les annexes, quelques paragraphes seulement). La procédure est identique à celle de la déclassification d’un document complet. 2. Lors de la déclassification partielle («nettoyage») d’informations RESTREINT UE/EU RESTRICTED, un extrait déclassifié est produit. 3. Les parties qui restent classifiées sont remplacées par: PARTIE À NE PAS DÉCLASSIFIER soit dans le corps du texte lui-même, si la partie qui reste classifiée fait partie d’un paragraphe, soit en tant que paragraphe, si la partie qui reste classifiée constitue un paragraphe spécifique ou plus d’un paragraphe. 4. Une mention spécifique est ajoutée dans le texte si une annexe complète ne peut être déclassifiée et a alors été retirée de l’extrait.

Article 39 Destruction et suppression régulières d’informations RESTREINT UE/EU RESTRICTED 1. La Commission ne doit pas accumuler de grandes quantités d’informations classifiées. 2. Les services d’origine examinent régulièrement de petites quantités d’informations pour les détruire ou les supprimer à intervalles rapprochés. Ces examens se déroulent à intervalles réguliers tant pour les informations stockées sur papier que pour les informations stockées dans les SIC. 3. Le personnel détruit ou supprime de manière sécurisée tous les documents RESTREINT UE/EU RESTRICTED qui ne sont plus nécessaires, sous réserve des exigences d’archivage du document d’origine. 4. Les membres du personnel ne sont pas tenus d’informer l’autorité d’origine s’ils détruisent ou suppriment des copies des documents RESTREINT UE/EU RESTRICTED. 5. Les projets de documents contenant des informations classifiées sont soumis aux mêmes méthodes d’élimination que les documents classifiés définitifs. 6. Seules les déchiqueteuses agréées sont utilisées pour détruire les documents RESTREINT UE/EU RESTRICTED. Les déchiqueteuses de niveau 4 de la norme DIN 32757 et de niveau 5 de la norme DIN 66399 sont conformes pour détruire les documents RESTREINT UE/EU RESTRICTED. 7. Les bandes des déchiqueteuses agréées peuvent être éliminées comme des déchets de bureau normaux. 8. Tous les supports et dispositifs contenant des informations RESTREINT UE/EU RESTRICTED sont correctement nettoyés au terme de leur durée de vie. Les données électroniques sont détruites ou supprimées des ressources informatiques et des supports de stockage associés de façon à garantir raisonnablement que les informations sont irrécupérables. Le nettoyage supprime les données du dispositif de stockage ainsi que toutes les étiquettes, tous les marquages et tous les journaux d’activités. 9. Les supports de stockage informatique sont donnés au LSO ou au responsable local de la sécurité informatique et/ou à l’agent contrôleur pour qu’ils soient détruits et éliminés.

Article 40 Évacuation et destruction d’informations RESTREINT UE/EU RESTRICTED en cas d’urgence 1. Le chef de service élabore, approuve et, le cas échéant, active des plans d’évacuation et de destruction d’urgence pour assurer la sauvegarde des informations RESTREINT UE/EU RESTRICTED qui présentent un risque significatif de tomber entre les mains de personnes non autorisées en temps de crise. Par ordre d’importance, et selon la nature de l’urgence, il convient de: 1) déplacer les ICUE vers un autre lieu sûr, si possible une zone administrative ou sécurisée au sein du même bâtiment; 2) évacuer les ICUE vers un autre lieu sûr, si possible une zone administrative ou sécurisée dans un bâtiment différent, si possible un bâtiment de la Commission; 3) détruire les ICUE, si possible par des moyens de destruction agréés. 2. Lorsque les plans d’urgence ont été activés, les informations dont les niveaux sont les plus élevés doivent être déplacées ou détruites en priorité. 3. Les modalités opérationnelles des plans d’évacuation et de destruction d’urgence sont elles-mêmes classifiées RESTREINT UE/EU RESTRICTED.

Article 41 Archivage 1. Les décisions déterminant s’il y a lieu d’archiver et, dans ce cas, à quel moment, ainsi que les mesures pratiques correspondantes à prendre, sont conformes à la politique de la Commission en matière de gestion des documents. 2. Les documents RESTREINT UE/EU RESTRICTED ne doivent pas être envoyés aux archives historiques de l’Union européenne à Florence.

CHAPITRE 7

DISPOSITIONS FINALES

Article 42 Transparence La présente décision est portée à la connaissance du personnel de la Commission et de toutes les personnes auxquelles elle s’applique, et est publiée au Journal officiel de l’Union européenne.

Article 43 Entrée en vigueur La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 17 octobre 2019. Par la Commission, au nom du président, Günther OETTINGER Membre de la Commission

(1) JO L 72 du 17.3.2015, p. 41.

(2) JO L 72 du 17.3.2015, p. 53.

(3) JO L 6 du 11.1.2017, p. 40.

(4) Décision 2013/488/UE du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne (JO L 274 du 15.10.2013, p. 1).

(5) Décision de la Commission du 4 mai 2016 relative à une habilitation en matière de sécurité, C(2016) 2797 final.

(6) Conformément à l’article 3 de la décision (UE, Euratom) 2015/444, on entend par informations RESTREINT UE/EU RESTRICTED les «informations et matériels dont la divulgation non autorisée pourrait être défavorable aux intérêts de l’Union européenne ou d’un ou de plusieurs de ses États membres».

(7) Comme défini à l’article 18 de la décision (UE, Euratom) 2015/444.

(8) Le tableau d’équivalence pour les marquages des États membres est établi à l’annexe I de la décision (UE, Euratom) 2015/444.

(9) Règlement (CE, Euratom) no 1700/2003 du Conseil du 22 septembre 2003 modifiant le règlement (CEE, Euratom) no 354/83 concernant l’ouverture au public des archives historiques de la Communauté économique européenne et de la Communauté européenne de l’énergie atomique (JO L 243 du 27.9.2003, p. 1).