DECISIONE n. 41/2021 DELLA CORTE DEI CONTI

sulle norme di sicurezza per proteggere le informazioni classificate UE (ICUE)

LA CORTE DEI CONTI EUROPEA,

visto l’articolo 13 del trattato sull’Unione europea,

visto l’articolo 287 del trattato sul funzionamento dell’Unione europea (TFUE),

visto l’articolo 257 del regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del Consiglio, del 18 luglio 2018, che stabilisce le regole finanziarie applicabili al bilancio generale dell’Unione,

Visto l’articolo 1, paragrafo 6, della decisione n. 21/2021 della Corte dei conti recante modalità di applicazione del regolamento interno della Corte dei conti,

viste le norme di sicurezza per proteggere le informazioni classificate UE delle altre istituzioni, agenzie e organismi dell’UE,

viste le politiche della Corte dei conti in materia di sicurezza delle informazioni (DEC 127/15 FINAL) e di classificazione delle informazioni (COMPERS 123/2020),

considerando quanto segue:

Ai sensi dell’articolo 287, paragrafo 3, del TFUE, la Corte dei conti ha il diritto di accedere a tutti i documenti e informazioni, comprese le informazioni classificate UE (ICUE), pertinenti e necessari, a suo giudizio, all’espletamento del suo mandato, che va eseguito nel pieno rispetto del principio di leale cooperazione tra le istituzioni e del principio delle attribuzioni conferite; il diritto di accesso alle ICUE, garantito dal TFUE, non può essere rimesso in discussione dal loro originatore, sebbene alla Corte dei conti possa essere chiesto di porre in essere e rispettare determinate misure di sicurezza, come di seguito specificato;

Data la loro natura sensibile, il trattamento delle ICUE comporta che il rispetto dell’obbligo di riservatezza sia assicurato mediante adeguate misure di sicurezza in grado di garantire un livello elevato di protezione per tali informazioni e che siano equivalenti a quelle stabilite dalla norma sulla protezione delle ICUE adottate da altre istituzioni, agenzie e organismi dell’UE, inteso che la Corte dei conti, qualora considera una siffatta misura di sicurezza ingiustificata alla luce della natura e del tipo di ICUE, si riserva il diritto di formulare le osservazioni che riterrà opportune, seppur in osservanza del livello di classifica delle ICUE;

Le misure di sicurezza per proteggere la riservatezza, l’integrità e la disponibilità delle informazioni comunicate alla Corte dei conti devono essere adeguate alla natura e al tipo di informazioni in causa;

L’istituzione deve far sì che la presente decisione sia attuata nel rispetto di tutte le norme applicabili, in particolare delle disposizioni sulla protezione dei dati personali, sulla sicurezza materiale delle persone, degli edifici e delle risorse informatiche, nonché sull’accesso pubblico ai documenti,

DECIDE:

6. Salvo indicazione contraria, le disposizioni relative alle ICUE si applicano in modo equivalente alle informazioni classificate di cui al paragrafo 2, lettere b) e c), del presente articolo.

RESTREINT UE/EU RESTRICTED: informazioni e materiali la cui divulgazione non autorizzata potrebbe essere pregiudizievole per gli interessi dell’Unione europea o di uno o più Stati membri.

«certificato di nulla osta di sicurezza del personale» (PSCC), un certificato rilasciato dal direttore di Risorse umane, finanze e servizi generali presso la Corte dei conti attestante che una persona ha ottenuto il nulla osta di sicurezza o possiede un’autorizzazione di accesso alle ICUE in corso di validità, in cui figura il livello di ICUE cui detta persona può accedere (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), il periodo di validità di tale nulla osta o autorizzazione e la data di scadenza del certificato stesso;

«autorità competente per la sicurezza delle informazioni», il responsabile della sicurezza delle informazioni presso la Corte dei conti, che può delegare, in tutto o in parte, i compiti di cui alla presente decisione;

«nulla osta di sicurezza delle imprese», una decisione amministrativa di un’autorità competente per la sicurezza, secondo la quale un’impresa è in grado, sotto il profilo della sicurezza, di offrire un adeguato livello di protezione alle ICUE di un determinato livello di classifica di sicurezza;

«autorizzazione di accesso alle ICUE», una decisione adottata dal direttore di Risorse umane, finanze e servizi generali della Corte dei conti sulla base dell’assicurazione data da un’autorità competente di uno Stato membro in base alla quale un funzionario o altro agente o END della Corte dei conti può, quando sia stata accertata la sua necessità di conoscere e una volta istruito sulle proprie responsabilità, avere accesso alle ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore) e fino a una data stabilita; la persona in questione è indicata come in possesso del «nulla osta di sicurezza»;

9. Fatto salvo il caso in cui l’originatore di un documento classificato di livello di classifica SECRET UE/EU SECRET o inferiore abbia imposto restrizioni alla sua duplicazione o traduzione, tali documenti possono essere duplicati o tradotti su richiesta del detentore e conformemente alle istruzioni operative pratiche dell’autorità competente per la sicurezza delle informazioni presso la Corte dei conti. Le misure di sicurezza applicabili al documento originale si applicano anche alle copie e alle traduzioni.

7. Se per l’esercizio del suo mandato è necessaria una più ampia condivisione di taluni elementi di un documento o informazione classificati, la Corte dei conti consulta l’originatore, tenendo in debito conto il contrassegno di classifica di sicurezza, prima di decidere di utilizzare tali elementi o informazioni, qualora ritenga che vi sia un interesse pubblico prevalente a farlo. Le informazioni sono utilizzate nella relazione soltanto in modo tale da non poter ledere gli interessi dell’originatore. Ciò potrebbe essere adeguatamente garantito chiedendo all’originatore di formulare osservazioni al fine di concordare le modalità di anonimizzazione, la condensazione o generalizzazione delle informazioni ecc. e rispettare, al contempo, gli interessi dei soggetti principalmente toccati dalle informazioni pubblicate.

6. In deroga al paragrafo 5, la Corte dei conti e l’originatore possono convenire che, nel caso di un audit specifico, la Corte dei conti può riprodurre o utilizzare elementi di ICUE in un documento. In tale evenienza, il documento della Corte dei conti è presentato in via preliminare all’originatore delle ICUE di cui trattasi, prima o durante la procedura in contraddittorio. In tali circostanze, la Corte dei conti e l’originatore decidono se classificare il documento prodotto dalla Corte dei conti stessa. Qualora un membro relatore della Corte dei conti ritenga necessario comunicare una relazione di audit in tutto o in parte classificata a determinati destinatari presso il Parlamento europeo o il Consiglio, conto tenuto di tutte le misure di sicurezza associate alla presente decisione, occorre ottenere il consenso dell’originatore delle informazioni classificate. Il quadro giuridico e la procedura per lo scambio di tali documenti sono definiti all’articolo 7.

5. Le ICUE non devono essere divulgate né a voce né per iscritto. Le osservazioni preliminari, le relazioni, i pareri, i comunicati stampa e altri prodotti della Corte dei conti, il suo sito Internet e Intranet, gli interventi orali, le risposte alle domande di accesso ai documenti (3) e le registrazioni vocali o video non devono contenere o fare riferimento a ICUE o a loro estratti. Tuttavia, se l’originatore ha pubblicato documenti o informazioni un riferimento alle ICUE, tale riferimento può essere riportato.

2. A tal fine, la Corte dei conti sottopone il trattamento delle ICUE a misure di sicurezza materiale e, ove opportuno, del personale, comprese autorizzazioni di accesso per le persone e le misure individuate per la protezione dei sistemi di comunicazione e informazione. Queste misure sono descritte agli articoli da 4 a 6 e si applicano per tutto il ciclo di vita delle ICUE. Sono commisurate alla classifica di sicurezza delle ICUE, alla forma e al volume delle informazioni o dei materiali, all’ubicazione e alla tipologia di costruzione delle strutture in cui sono conservate le ICUE e alla valutazione a livello locale della minaccia di attività dolose e/o criminose, compreso lo spionaggio, il sabotaggio e il terrorismo.

7. Chi è in possesso di ICUE senza debita autorizzazione e/o senza una comprovata necessità di sapere deve riportare la situazione all’autorità competente per la sicurezza delle informazioni quanto prima e provvedere affinché le ICUE siano protette conformemente alla presente decisione.

6. I servizi della Corte dei conti che sono responsabili dell’organizzazione di riunioni in cui vanno trattate informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore comunicano in tempo utile all’autorità competente per la sicurezza delle informazioni le date, gli orari e i luoghi delle riunioni, con le liste dei partecipanti.

5. Solo i soggetti in possesso dell’autorizzazione di cui al precedente paragrafo 2, punto iii), e i membri della Corte dei conti ai sensi del precedente paragrafo 1 possono partecipare a riunioni in cui sono trattate informazioni di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore. La Corte dei conti e l’originatore stabiliscono caso per caso le modalità pratiche di tali riunioni.

4. Il direttore di Risorse umane, finanze e servizi generali della Corte dei conti può rilasciare PSCC in cui è specificato il livello di classifica per il quale i soggetti possono avere accesso a ICUE (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), il periodo di validità della corrispondente autorizzazione di accesso e la data di scadenza del PSCC.

3. La procedura per determinare se un funzionario o un altro membro del personale della Corte dei conti possa essere autorizzato ad accedere a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, conto tenuto della lealtà, integrità e affidabilità del soggetto in questione, e dopo aver ricevuto dalle autorità competenti di uno Stato membro la garanzia di cui all’articolo 2, lettera n), viene stabilita in una decisione delegata adottata in conformità dell’articolo 10, paragrafo 10. La decisione di concedere l’autorizzazione di accesso è presa dal direttore di Risorse umane, finanze e servizi generali della Corte dei conti.

sia stato istruito sulle norme di sicurezza per la protezione delle ICUE, nonché sulle norme e gli orientamenti di sicurezza pertinenti, e abbia riconosciuto per iscritto la propria responsabilità di proteggere tali informazioni;

1. In virtù delle proprie funzioni, i membri della Corte dei conti sono autorizzati ad accedere a tutte le ICUE e a partecipare a riunioni in cui sono trattate ICUE. I membri sono informati dei loro obblighi in materia di sicurezza per quanto riguarda la protezione delle ICUE e riconoscono per iscritto la propria responsabilità di proteggere tali informazioni.

Articolo 5

Misure di sicurezza materiale per la protezione di informazioni classificate

1. Per «sicurezza materiale» si intende il ricorso a misure di protezione materiali e tecniche volte a impedire l’accesso non autorizzato alle ICUE.

2. Le misure di sicurezza materiale sono intese a impedire a intrusi l’ingresso fraudolento o con la forza, a scoraggiare, ostacolare e scoprire azioni non autorizzate e a consentire la segregazione del personale per quanto riguarda il loro accesso alle ICUE in base al principio della necessità di conoscere. Tali misure sono stabilite sulla base di una procedura di gestione del rischio, ai sensi della presente decisione.

3. Le zone in cui sono trattate o conservate le ICUE sono sottoposte a ispezioni periodiche da parte dell’autorità competente per la sicurezza della Corte dei conti.

4. Per trattare e conservare le ICUE si utilizzano solo le apparecchiature o i dispositivi conformi alle norme applicabili in seno alle istituzioni, agenzie od organismi dell’UE per proteggere le ICUE.

5. Il personale della Corte dei conti può accedere a ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, oppure di livello equivalente, in zone protette al di fuori dei locali della Corte dei conti.

6. La Corte dei conti può concludere un accordo sul livello dei servizi con un’altra istituzione dell’UE a Lussemburgo al fine di poter trattare e conservare informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore in una zona protetta di tale istituzione. Salvo accordo specifico dell’originatore, tali ICUE non sono trattate o conservate nei locali della Corte dei conti e non sono duplicate o tradotte dalla Corte dei conti.

7. Le informazioni di livello RESTREINT UE/EU RESTRICTED ricevute sono iscritte nell’apposito registro dalla Corte dei conti. La consultazione di informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, oppure di livello equivalente, al di fuori dei locali della Corte dei conti è iscritta nell’apposito registro a fini di sicurezza.

8. Le ICUE classificate di livello RESTREINT UE/EU RESTRICTED possono essere conservate in idonei mobili da ufficio chiusi a chiave, in una zona amministrativa o in una zona protetta. Le ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET sono conservate, nell’ambito di un accordo sul livello dei servizi, in un contenitore di sicurezza in una zona protetta di un’altra istituzione delle UE a Lussemburgo.

9. Al di fuori dell’ufficio di registrazione, le ICUE sono trasferite tra i servizi e i locali come segue: a) di norma, le ICUE sono trasmesse con mezzi elettronici protetti mediante prodotti crittografici approvati conformemente all’articolo 6, paragrafo 8; b) se non sono trasmesse secondo le modalità descritte al punto a), le ICUE sono trasferite utilizzando un supporto dati (ad esempio, una chiave USB, CD, disco rigido) protetto da prodotti crittografici approvati a norma dell’articolo 6, paragrafo 8, oppure come copia cartacea in una busta sigillata opaca.

10. Le informazioni di livello RESTREINT UE/EU RESTRICED possono essere distrutte dal detentore, fatte salve le norme di archiviazione applicabili presso la Corte dei conti. Le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono distrutte soltanto dal funzionario responsabile del controllo delle registrazioni su richiesta del detentore oppure da un’autorità competente conformemente alle norme di archiviazione applicabili presso la Corte dei conti. I documenti classificati di livello SECRET UE/EU SECRET sono distrutti in presenza di un testimone con nulla osta di sicurezza corrispondente almeno al livello di classifica del documento da distruggere. Il responsabile del controllo delle registrazioni e il testimone, ove ne sia richiesta la presenza, firmano un certificato di distruzione che è archiviato presso l’ufficio di registrazione. Il responsabile del controllo delle registrazioni conserva gli atti della distruzione di documenti di livello CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET per almeno cinque anni.

11. L’autorità competente per la sicurezza materiale e l’autorità competente per la sicurezza delle informazioni redigono un piano congiunto, che tenga conto delle circostanze locali, per salvaguardare le ICUE in tempi di crisi, in cui sono compresi all’occorrenza piani per la loro distruzione o rimozione in caso di emergenza. Impartiscono le istruzioni che ritengono opportune per impedire che le ICUE cadano nelle mani di persone non autorizzate.

12. Qualora le ICUE debbano essere trasportate fisicamente, la Corte dei conti osserva le misure imposte dall’originatore per proteggerle dalla divulgazione non autorizzata durante il trasporto.