OVEREENKOMST

tussen de Europese Unie en het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland inzake beveiligingsprocedures voor de uitwisseling en bescherming van gerubriceerde gegevens

De Europese Unie (“de Unie”),

en

het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland (“het Verenigd Koninkrijk”),

gezamenlijk “de Partijen” genoemd,

OVERWEGENDE HETGEEN VOLGT:

— de Partijen stellen zich beide ten doel hun eigen veiligheid op alle mogelijke manieren te versterken;

— de Partijen zijn het erover eens dat onderlinge samenwerking over aangelegenheden van gemeenschappelijk belang op het gebied van de beveiliging van gegevens geboden is;

— in dit verband bestaat er een voortdurende behoefte aan uitwisseling van gerubriceerde gegevens tussen de Partijen;

ONDERKENNENDE dat volledige en doeltreffende samenwerking en raadpleging kan vergen dat gerubriceerde gegevens en gerubriceerd materiaal van de Partijen worden ingezien en uitgewisseld;

ZICH ERVAN BEWUST dat die inzage en uitwisseling van gerubriceerde gegevens en gerubriceerd materiaal vereisen dat er passende beveiligingsmaatregelen worden genomen;

ERKENNENDE dat deze overeenkomst een aanvullende overeenkomst vormt bij de handels- en samenwerkingsovereenkomst tussen de Europese Unie en de Europese Gemeenschap voor Atoomenergie, enerzijds, en het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland, anderzijds (hierna “handels- en samenwerkingsovereenkomst” genoemd),

ZIJN HET VOLGENDE OVEREENGEKOMEN:

Artikel 1 1. Ter verwezenlijking van de doelstelling om de veiligheid van elke Partij op alle mogelijke manieren te versterken, is deze overeenkomst van toepassing op gerubriceerde gegevens of gerubriceerd materiaal in welke vorm dan ook, verstrekt door de ene Partij aan de andere Partij of uitgewisseld tussen de Partijen. 2. Elke Partij beschermt de van de andere Partij ontvangen gerubriceerde gegevens tegen ongeoorloofde openbaarmaking of verlies, volgens het bepaalde in deze overeenkomst en conform de respectieve wet- en regelgeving van de Partijen. 3. Deze overeenkomst vormt geen grondslag om de Partijen tot verstrekking of uitwisseling van gerubriceerde gegevens te verplichten.

Artikel 2 In deze overeenkomst wordt onder “gerubriceerde gegevens” verstaan gegevens of materiaal, ongeacht de vorm, de aard of de wijze van doorgifte: a) met betrekking waartoe door een Partij is bepaald dat deze/dit bescherming behoeven/behoeft tegen ongeoorloofde openbaarmaking of verlies die de belangen van het Verenigd Koninkrijk, de belangen van de Unie of de belangen van een of meer van haar lidstaten in meerdere of mindere mate zou kunnen schaden, aantasten of benadelen, en b) die/dat als zodanig zijn/is gewaarmerkt met een beveiligingsrubricering als bedoeld in artikel 7.

Artikel 3 1. De instellingen en entiteiten van de Unie waarop deze overeenkomst van toepassing is, zijn: de Europese Raad, de Raad, de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid, de Europese Dienst voor extern optreden (“de EDEO”), de Europese Commissie en het secretariaat-generaal van de Raad. 2. Deze instellingen en entiteiten van de Unie kunnen gerubriceerde gegevens die uit hoofde van deze overeenkomst zijn ontvangen delen met andere instellingen en entiteiten van de Unie, onder voorbehoud van voorafgaande schriftelijke toestemming van de verstrekkende Partij en onder passende garanties dat de ontvangende instelling of entiteit de gegevens adequaat zal beschermen.

Artikel 4 Elke Partij zorgt ervoor dat zij beschikt over passende beveiligingssystemen en -maatregelen, gebaseerd op de grondbeginselen en minimumnormen voor beveiliging die zijn vastgesteld in haar wet- of regelgeving, en die worden weerspiegeld in de in artikel 12 bedoelde uitvoeringsregeling, opdat er een gelijkwaardig beschermingsniveau geldt voor de onder deze overeenkomst vallende gerubriceerde gegevens.

Artikel 5 1. Elke Partij doet met betrekking tot de uit hoofde van deze overeenkomst verstrekte of uitgewisselde gerubriceerde gegevens, het volgende: a) zij beschermt, conform haar eigen wet- en regelgeving, deze gerubriceerde gegevens op een beschermingsniveau dat gelijkwaardig is aan dat van de eigen gerubriceerde gegevens met de overeenkomstige rubriceringsgraad, zoals bepaald in artikel 7; b) zij draagt er zorg voor dat deze gerubriceerde gegevens de beveiligingsrubricering behouden die door de verstrekkende Partij daaraan is toegekend en geen lagere rubriceringsgraad krijgen of worden gederubriceerd zonder de voorafgaande schriftelijke toestemming van de verstrekkende Partij; de ontvangende Partij beschermt deze gerubriceerde gegevens overeenkomstig de voorschriften van haar eigen toepasselijke wet- en regelgeving inzake gegevens met een gelijkwaardige beveiligingsrubricering, zoals gespecificeerd in artikel 7; c) zij gebruikt deze gerubriceerde gegevens niet voor andere doeleinden dan die welke door de opsteller zijn vastgesteld of waarvoor de gegevens zijn verstrekt of uitgewisseld, tenzij de verstrekkende Partij daarvoor vooraf schriftelijk toestemming heeft gegeven; d) zij maakt deze gerubriceerde gegevens niet openbaar aan een derde of stelt deze gerubriceerde gegevens niet beschikbaar aan het publiek zonder de voorafgaande schriftelijke toestemming van de verstrekkende Partij, zulks onverminderd de voorwaarden genoemd in lid 2 van dit artikel; e) zij staat de toegang van personen tot deze gerubriceerde gegevens niet toe tenzij deze van de betrokken gegevens kennis moeten nemen (“need to know”) en een veiligheidsmachtiging hebben gekregen of anderszins bevoegd of gemachtigd zijn overeenkomstig de toepasselijke wet- en regelgeving van de ontvangende Partij; f) zij waarborgt dat deze gerubriceerde gegevens worden verwerkt en opgeslagen in inrichtingen die adequaat worden beveiligd, gecontroleerd en beschermd conform haar wet- en regelgeving, en g) zij waarborgt dat alle personen die toegang hebben tot gerubriceerde gegevens, op de hoogte zijn van hun verantwoordelijkheden om die gegevens te beschermen overeenkomstig de toepasselijke wet- en regelgeving. 2. De ontvangende Partij: a) neemt, overeenkomstig haar wet- en regelgeving, alle nodige maatregelen om te voorkomen dat gerubriceerde gegevens die uit hoofde van deze overeenkomst worden verstrekt, beschikbaar worden gesteld aan het publiek of aan derden; indien er een verzoek wordt gedaan om uit hoofde van deze overeenkomst verstrekte gerubriceerde gegevens beschikbaar te stellen aan het publiek of aan derden, stelt de ontvangende Partij de verstrekkende Partij daarvan onmiddellijk schriftelijk in kennis, en plegen beide Partijen schriftelijk overleg voordat er een besluit inzake de openbaarmaking van die gegevens wordt genomen; b) stelt de verstrekkende Partij in kennis van elk verzoek van een rechterlijke autoriteit, ook in het kader van een gerechtelijke procedure, of van een wetgevende autoriteit die optreedt in een onderzoekende hoedanigheid, tot verkrijging van gerubriceerde gegevens die uit hoofde van deze overeenkomst zijn ontvangen van de verstrekkende Partij; bij de beoordeling van een dergelijk verzoek houdt de ontvangende Partij zo veel mogelijk rekening met de standpunten van de verstrekkende Partij; indien dat verzoek, gezien de wet- en regelgeving van de ontvangende Partij, inhoudt dat de gerubriceerde gegevens worden doorgegeven aan de verzoekende wetgevende autoriteit of rechterlijke autoriteit, ook in het kader van een gerechtelijke procedure, doet de ontvangende Partij al het mogelijke om ervoor te zorgen dat de gegevens afdoende worden beschermd, ook tegen openbaarmaking aan andere autoriteiten of derden.

Artikel 6 1. Gerubriceerde gegevens worden openbaar gemaakt of vrijgegeven overeenkomstig het beginsel van toestemming van de opsteller. 2. De ontvangende Partij besluit, met inachtneming van artikel 5, lid 1, onder d), en per geval tot openbaarmaking of vrijgave van de gerubriceerde gegevens aan andere ontvangers dan de Partijen, zulks afhankelijk van de voorafgaande schriftelijke toestemming van de verstrekkende Partij en overeenkomstig het beginsel van toestemming van de opsteller. 3. Algemene vrijgave is alleen mogelijk indien tussen de Partijen procedures inzake bepaalde categorieën van gegevens zijn overeengekomen die beantwoorden aan hun specifieke behoeften. 4. Gerubriceerde gegevens die onder deze overeenkomst vallen, mogen alleen met de voorafgaande schriftelijke toestemming van de verstrekkende Partij worden verstrekt aan een aannemer of potentiële aannemer. Alvorens gerubriceerde gegevens aan een aannemer of potentiële aannemer openbaar te maken, vergewist de ontvangende Partij zich ervan dat de aannemer of potentiële aannemer zijn inrichtingen heeft beveiligd en de gerubriceerde gegevens kan beschermen overeenkomstig de toepasselijke wet- en regelgeving, en dat de aannemer of potentiële aannemer beschikt over de vereiste veiligheidsmachtiging voor de inrichtingen en, indien van toepassing, voor zichzelf alsook over de passende veiligheidsmachtigingen voor zijn personeelsleden die toegang moeten hebben tot gerubriceerde gegevens.

Artikel 7 1. Met het oog op een gelijkwaardig niveau van bescherming voor door de Partijen verstrekte of tussen de Partijen uitgewisselde gerubriceerde gegevens komen de beveiligingsrubriceringen als volgt overeen: EU Verenigd Koninkrijk TRES SECRET UE/EU TOP SECRET UK TOP SECRET SECRET UE/EU SECRET UK SECRET CONFIDENTIEL UE/EU CONFIDENTIAL Geen equivalent — zie lid 2 RESTREINT UE/EU RESTRICTED UK OFFICIAL-SENSITIVE 2. Tenzij de Partijen onderling anders overeenkomen, biedt het Verenigd Koninkrijk voor als CONFIDENTIEL UE/EU CONFIDENTIAL gerubriceerde gegevens een beschermingsniveau dat gelijkwaardig is aan het beschermingsniveau voor als UK SECRET gerubriceerde gegevens. 3. Tenzij het Verenigd Koninkrijk de Unie er schriftelijk van in kennis heeft gesteld dat het zijn als UK CONFIDENTIAL gerubriceerde bestaande gegevens een lagere rubriceringsgraad heeft toegekend of heeft gederubriceerd, biedt de Unie voor deze gegevens een beschermingsniveau dat gelijkwaardig is aan het beschermingsniveau voor als CONFIDENTIEL UE/EU CONFIDENTIAL gerubriceerde gegevens, en tenzij het Verenigd Koninkrijk de Unie er schriftelijk van in kennis heeft gesteld dat het zijn als UK RESTRICTED gerubriceerde bestaande gegevens een lagere rubriceringsgraad heeft toegekend of heeft gederubriceerd, biedt de Unie voor alle als UK RESTRICTED gerubriceerde bestaande gegevens een beschermingsniveau dat gelijkwaardig is aan het beschermingsniveau voor als RESTREINT UE/EU RESTRICTED gerubriceerde gegevens.

Artikel 8 1. De Partijen dragen er zorg voor dat alle personen die bij het vervullen van hun officiële werkzaamheden toegang moeten hebben tot of wier werkzaamheden of taken hen in staat stellen toegang te krijgen tot uit hoofde van deze overeenkomst verstrekte of uitgewisselde gegevens die als CONFIDENTIEL UE/EU CONFIDENTIAL of UK SECRET of hoger zijn gerubriceerd, naargelang van het geval aan een veiligheidsonderzoek worden onderworpen of anderszins bevoegd of gemachtigd zijn conform de toepasselijke wet- en regelgeving van de ontvangende Partij, voordat deze personen toegang krijgen tot dergelijke gerubriceerde gegevens, en dat aan het vereiste inzake de noodzaak van kennisneming (“need to know”) van artikel 5, lid 1, onder e), is voldaan. 2. De procedures voor veiligheidsonderzoek zijn van dien aard, dat kan worden bepaald of een persoon, gelet op zijn loyaliteit en betrouwbaarheid, toegang kan krijgen tot gerubriceerde gegevens.

Artikel 9 Voor de toepassing van deze overeenkomst: a) worden alle gerubriceerde gegevens die uit hoofde van deze overeenkomst aan de Unie worden vrijgegeven, toegezonden via: i) de centrale griffie van het secretariaat-generaal van de Raad indien deze gegevens bestemd zijn voor de Europese Raad, de Raad of het secretariaat-generaal van de Raad; ii) de griffie van het secretariaat-generaal van de Europese Commissie indien deze gegevens bestemd zijn voor de Europese Commissie; iii) de griffie van de Europese Dienst voor extern optreden indien deze gegevens bestemd zijn voor de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid of de Europese Dienst voor extern optreden; b) worden alle gerubriceerde gegevens die uit hoofde van deze overeenkomst aan het Verenigd Koninkrijk worden vrijgegeven, via de missie van het Verenigd Koninkrijk bij de Unie toegezonden aan het Verenigd Koninkrijk; c) kunnen de Partijen onderling passende methoden overeenkomen om een efficiënte uitwisseling van gerubriceerde gegevens te waarborgen, in overeenstemming met de in onder a) en b) vermelde regelingen.

Artikel 10 De elektronische doorgifte van gerubriceerde gegevens tussen de Unie en het Verenigd Koninkrijk en de elektronische doorgifte van gerubriceerde gegevens tussen het Verenigd Koninkrijk en de Unie worden versleuteld overeenkomstig de voorschriften van de vrijgevende Partij zoals vastgesteld in haar wet- en regelgeving; in de in artikel 12 bedoelde uitvoeringsregeling worden de voorwaarden vastgesteld waaronder elke Partij de door de andere Partij verstrekte gerubriceerde gegevens in haar interne netwerken mag doorgeven, opslaan of verwerken.

Artikel 11 De secretaris-generaal van de Raad, het voor beveiligingsvraagstukken bevoegde lid van de Europese Commissie, de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid en de nationale veiligheidsautoriteit bij het kabinet van het Verenigd Koninkrijk houden toezicht op de uitvoering van deze overeenkomst.

Artikel 12 1. Ter uitvoering van deze overeenkomst wordt een uitvoeringsregeling opgesteld tussen de hieronder aangewezen bevoegde veiligheidsautoriteiten van de instellingen van de Unie, die elk handelen namens hun eigen organisatieautoriteit, en de nationale veiligheidsautoriteit bij het kabinet van het Verenigd Koninkrijk, teneinde de normen voor de wederzijdse bescherming van gerubriceerde gegevens in het kader van deze overeenkomst vast te stellen: a) het directoraat Veiligheid en Beveiliging van het secretariaat-generaal van de Raad; b) het directoraat Beveiliging van het directoraat-generaal Personele Middelen en Veiligheid van de Europese Commissie (DG.HR.DS), en c) het directoraat Beveiliging en Infrastructuur van de EDEO. 2. Alvorens gerubriceerde gegevens worden verstrekt of uitgewisseld uit hoofde van deze overeenkomst, besluiten de in lid 1 bedoelde bevoegde beveiligingsautoriteiten dat de ontvangende Partij in staat is deze gegevens conform de uitvoeringsregeling te beschermen.

Artikel 13 De Partijen werken, voor zover redelijkerwijs haalbaar, samen op het gebied van de beveiliging van de onder deze overeenkomst vallende gerubriceerde gegevens en kunnen elkaar bijstand verlenen bij aangelegenheden van gemeenschappelijk belang op het gebied van de beveiliging van gegevens. De in artikel 12, lid 1, bedoelde bevoegde veiligheidsautoriteiten overleggen met elkaar over beveiligingsaangelegenheden en leggen onderling evaluatiebezoeken af, teneinde de doeltreffendheid van de onder hun verantwoordelijkheid ressorterende beveiligingsregelingen te beoordelen. De Partijen besluiten gezamenlijk hoe vaak en wanneer dit overleg en deze evaluatiebezoeken plaatsvinden.

Artikel 14 1. De in artikel 12, lid 1, bedoelde bevoegde veiligheidsautoriteit van een Partij stelt de bevoegde veiligheidsautoriteit van de andere Partij onverwijld op de hoogte van elk bewezen of vermoedelijk geval van ongeoorloofde openbaarmaking of verlies van gerubriceerde gegevens die door die Partij zijn verstrekt. De bevoegde veiligheidsautoriteit van de relevante Partij stelt een onderzoek in, indien nodig met assistentie van de andere Partij, en rapporteert de resultaten aan de andere Partij. 2. De in artikel 12, lid 1, bedoelde bevoegde veiligheidsautoriteiten stellen de procedures vast die in die gevallen moeten worden gevolgd.

Artikel 15 Elke Partij draagt de kosten die zij ter uitvoering van deze overeenkomst heeft gemaakt.

Artikel 16 1. Niets in deze overeenkomst doet afbreuk aan bestaande overeenkomsten of regelingen tussen de Partijen noch aan overeenkomsten of regelingen tussen het Verenigd Koninkrijk en een of meer lidstaten. 2. Deze overeenkomst belet de Partijen niet andere overeenkomsten betreffende de verstrekking of uitwisseling van gerubriceerde gegevens die onder deze overeenkomst vallen te sluiten, mits deze overeenkomsten niet onverenigbaar zijn met de verplichtingen uit hoofde van deze overeenkomst.

Artikel 17 Elke Partij stelt de andere Partij in kennis van eventuele wijzigingen in haar wet- en regelgeving die gevolgen zouden kunnen hebben voor de bescherming van de in deze overeenkomst bedoelde gerubriceerde gegevens.

Artikel 18 De Partijen lossen twistpunten die voortkomen uit de interpretatie of de toepassing van deze overeenkomst in onderling overleg op.

Artikel 19 1. Deze overeenkomst treedt in werking op dezelfde datum als de datum waarop de handels- en samenwerkingsovereenkomst in werking treedt, mits de Partijen elkaar vóór die datum ervan in kennis hebben gesteld dat zij hun respectieve interne voorschriften en procedures voor de vaststelling van hun instemming om te worden gebonden, hebben voltooid. 2. Deze overeenkomst is van toepassing vanaf de datum van toepassing van de handels- en samenwerkingsovereenkomst of vanaf de datum waarop de Partijen elkaar ervan in kennis hebben gesteld dat zij hun respectieve interne voorschriften en procedures voor de vrijgave van gerubriceerde gegevens uit hoofde van deze overeenkomst hebben voltooid, naargelang welke datum de laatste is. Als de Partijen uiterlijk op de datum waarop de voorlopige toepassing van de handels- en samenwerkingsovereenkomst eindigt, elkaar niet in kennis hebben gesteld van de voltooiing van hun respectieve interne voorschriften en procedures voor de vaststelling van hun instemming om door deze overeenkomst te worden gebonden, houdt deze overeenkomst op van toepassing te zijn. 3. Deze overeenkomst kan, op verzoek van een Partij, ter overweging van mogelijke wijzigingen opnieuw in behandeling worden genomen. 4. Wijzigingen van deze overeenkomst komen uitsluitend schriftelijk en in onderlinge overeenstemming tussen de Partijen tot stand.

Artikel 20 1. Krachtens artikel 779 van de handels- en samenwerkingsovereenkomst wordt deze overeenkomst beëindigd bij beëindiging van de handels- en samenwerkingsovereenkomst. 2. Beëindiging van deze overeenkomst heeft geen gevolgen voor verplichtingen die reeds zijn aangegaan op grond van deze overeenkomst. Met name blijven alle uit hoofde van deze overeenkomst verstrekte of uitgewisselde gerubriceerde gegevens onderworpen aan bescherming volgens het bepaalde in deze overeenkomst.

Artikel 21 Deze overeenkomst is opgesteld in twee exemplaren in de Bulgaarse, de Deense, de Duitse, de Engelse, de Estse, de Finse, de Franse, de Griekse, de Hongaarse, de Ierse, de Italiaanse, de Kroatische, de Letse, de Litouwse, de Maltese, de Nederlandse, de Poolse, de Portugese, de Roemeense, de Sloveense, de Slowaakse, de Spaanse, de Tsjechische en de Zweedse taal. Uiterlijk op 30 april 2021 worden alle taalversies van de overeenkomst onderworpen aan een juridisch-taalkundige revisie. Niettegenstaande de vorige zin wordt de laatste juridisch-taalkundige revisie voor de Engelse versie van de overeenkomst uiterlijk voltooid op de in artikel 19, lid 1, bedoelde dag als die dag vóór 30 april 2021 valt. De taalversies die het resultaat zijn van bovengenoemde laatste juridisch-taalkundige revisie, vervangen de ondertekende versies van de overeenkomst ab initio en worden als authentiek en definitief vastgesteld door de uitwisseling van diplomatieke nota’s tussen de Partijen.