DECYZJA TRYBUNAŁU OBRACHUNKOWEGO nr 41/2021

w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE

EUROPEJSKI TRYBUNAŁ OBRACHUNKOWY,

uwzględniając art. 13 Traktatu o Unii Europejskiej,

uwzględniając art. 287 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE),

uwzględniając art. 257 rozporządzenia Parlamentu Europejskiego i Rady (UE, Euratom) 2018/1046 z dnia 18 lipca 2018 r. w sprawie zasad finansowych mających zastosowanie do budżetu ogólnego Unii,

uwzględniając art. 1 ust. 6 decyzji Trybunału Obrachunkowego nr 21/2021 ustanawiającej przepisy wykonawcze do regulaminu Trybunału Obrachunkowego,

uwzględniając przepisy bezpieczeństwa dotyczące ochrony informacji niejawnych UE obowiązujące w innych instytucjach, agencjach i organach UE,

uwzględniając politykę Trybunału dotyczącą bezpieczeństwa informacji (dokument DEC 127/15 FINAL) oraz politykę klasyfikacji informacji (komunikat do personelu nr 123/2020),

a także mając na uwadze, co następuje:

Zgodnie z art. 287 ust. 3 TFUE Trybunał Obrachunkowy ma prawo uzyskać dostęp do wszelkich dokumentów i informacji niezbędnych w jego mniemaniu do wykonania powierzonych mu uprawnień, w tym do informacji niejawnych UE (EUCI), przy czym należy zapewnić pełne przestrzeganie zasady lojalnej współpracy między instytucjami i zasady przyznania kompetencji, a także mając na uwadze, że prawo dostępu do EUCI zagwarantowane postanowieniami TFUE nie może być kwestionowane przez wytwórcę takich informacji, choć Trybunał Obrachunkowy może zostać poproszony o wprowadzenie i przestrzeganie określonych środków bezpieczeństwa, które bardziej szczegółowo omówiono w niniejszym dokumencie.

Ze względu na poufny charakter EUCI korzystanie z tych informacji wymaga, by przestrzeganie obowiązku zachowania poufności zagwarantowano przez odpowiednie środki bezpieczeństwa zapewniające wysoki poziom ochrony tych informacji, równoważne środkom wprowadzonym na mocy zasad dotyczących ochrony EUCI przyjętych przez inne instytucje, agencje i organy Unii, przy czym jeśli Trybunał uzna, że jakikolwiek z tych środków bezpieczeństwa nie jest uzasadniony w kontekście charakteru i rodzaju danych EUCI, zastrzega sobie prawo do zgłoszenia uwag, które uzna za stosowne, przestrzegając jednocześnie klauzuli tajności przyznanej określonym EUCI.

Należy zapewnić Trybunałowi Obrachunkowemu dostęp do informacji niejawnych w oparciu o zasadę wiedzy koniecznej, tak aby umożliwić mu wykonywanie zadań powierzonych na mocy Traktatów i aktów prawnych przyjętych na podstawie Traktatów.

Instytucja musi zagwarantować, iż niniejsza decyzja zostanie wdrożona zgodnie z wszystkimi obowiązującymi przepisami, w szczególności przepisami dotyczącymi ochrony danych osobowych, bezpieczeństwa fizycznego osób, budynków i systemów informatycznych oraz publicznego dostępu do dokumentów,

STANOWI:

6. O ile nie wskazano inaczej, przepisy dotyczące EUCI stosują się w jednakowy sposób do informacji niejawnych, o których mowa w ust. 2 lit. b) i c) niniejszego artykułu.

5. Z wyjątkiem przypadków, gdy dany przepis dotyczy konkretnych grup pracowników, niniejsza decyzja ma zastosowanie do członków Trybunału Obrachunkowego, pracowników Trybunału Obrachunkowego objętych regulaminem pracowniczym i warunkami zatrudnienia innych pracowników Unii Europejskiej (2) , ekspertów krajowych oddelegowanych do Trybunału Obrachunkowego, dostawców usług i ich pracowników, stażystów oraz do wszystkich innych osób mających dostęp do budynków i innych aktywów Trybunału Obrachunkowego lub do informacji przetwarzanych przez Trybunał Obrachunkowy.

4. Niniejszą decyzję stosuje się do wszystkich działów i obiektów składających się na siedzibę Trybunału Obrachunkowego.

3. Trybunał Obrachunkowy przetwarza informacje opatrzone klauzulą tajności RESTREINT UE/EU RESTRICTED w swojej siedzibie i w tym celu stosuje wszelkie niezbędne środki ochrony. Na potrzeby pracowników Trybunału Obrachunkowego, którzy muszą uzyskać dostęp do EUCI opatrzonych wyższą klauzulą tajności, wypracowane zostaną odpowiednie rozwiązania, tak aby mogli oni zapoznać się z tymi informacjami w odpowiednich obiektach innych instytucji, organów lub agencji UE.

c)

RESTREINT UE/EU RESTRICTED: informacje i materiały, których nieuprawnione ujawnienie mogłoby być niekorzystne dla interesów Unii Europejskiej lub co najmniej jednego państwa członkowskiego;

CONFIDENTIEL UE/EU CONFIDENTIAL: informacje i materiały, których nieuprawnione ujawnienie mogłoby zaszkodzić podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego,

SECRET UE/EU SECRET: informacje i materiały, których nieuprawnione ujawnienie mogłoby poważnie zaszkodzić podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego,

TRÈS SECRET UE/EU TOP SECRET: informacje i materiały, których nieuprawnione ujawnienie mogłoby wyrządzić wyjątkowo poważną szkodę podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego,

2. Do celów decyzji informacje niejawne oznaczają dowolny lub wszystkie z wymienionych niżej rodzajów informacji:

„organ do spraw akredytacji bezpieczeństwa” oznacza Dyrektora Dyrekcji ds. Kadr, Finansów i Usług Ogólnych Trybunału Obrachunkowego.

„organ do spraw bezpieczeństwa fizycznego” oznacza szefa służb ochrony Trybunału Obrachunkowego, który jest odpowiedzialny za wdrożenie środków i procedur w zakresie bezpieczeństwa fizycznego niezbędnych do zapewnienia ochrony EUCI;

„zaświadczenie potwierdzające posiadanie poświadczenia bezpieczeństwa osobowego” (ZPBO) oznacza zaświadczenie wydane przez Dyrektora Dyrekcji ds. Kadr, Finansów i Usług Ogólnych Trybunału Obrachunkowego, potwierdzające, że dana osoba posiada ważne poświadczenie bezpieczeństwa lub upoważnienie w zakresie bezpieczeństwa, oraz zawierające informację o poziomie klauzuli tajności EUCI, do których dana osoba może uzyskać dostęp (CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższy), okresie ważności danego poświadczenia bezpieczeństwa lub upoważnienia w zakresie bezpieczeństwa oraz dacie ważności samego zaświadczenia;

„poświadczenie bezpieczeństwa osobowego” (PBO) oznacza zaświadczenie właściwego organu państwa członkowskiego wydawane po zakończeniu postępowania sprawdzającego prowadzonego przez właściwe organy państwa członkowskiego. Stanowi ono potwierdzenie, że dana osoba – o ile ustalono potrzeby dostępu tej osoby w ramach zasady wiedzy koniecznej i została ona odpowiednio poinstruowana o zakresie swoich obowiązków – może uzyskać dostęp do EUCI do określonego poziomu klauzuli tajności (CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższego) aż do określonej daty;

„wytwórca” oznacza instytucję, organ lub agencję UE, państwo członkowskie, państwo trzecie lub organizację międzynarodową, w ramach właściwości której wytworzono informacje lub wprowadzono je do struktur UE;

„organ do spraw bezpieczeństwa informacji” oznacza urzędnika Trybunału Obrachunkowego do spraw bezpieczeństwa informacji, który może delegować w całości lub części, realizację zadań określonych w niniejszej decyzji;

„korzystanie” z EUCI oznacza wszelkie możliwe działania, jakim mogą być poddawane EUCI w całym cyklu życia, i obejmuje tworzenie, rejestrowanie, przetwarzanie, przenoszenie, obniżenie odnośnej klauzuli tajności, zniesienie klauzuli tajności i zniszczenie informacji. W odniesieniu do systemów teleinformatycznych pojęcie to obejmuje również gromadzenie, wyświetlanie, przesyłanie i przechowywanie EUCI;

„świadectwo bezpieczeństwa przemysłowego” oznacza wydane w trybie administracyjnym oświadczenie właściwego organu do spraw bezpieczeństwa, że z punktu widzenia bezpieczeństwa dany obiekt jest w stanie zapewnić odpowiedni poziom ochrony EUCI na określonym poziomie klauzuli tajności;

c)

„upoważnienie do dostępu do EUCI” oznacza decyzję Dyrektora Dyrekcji ds. Kadr, Finansów i Usług Ogólnych Trybunału Obrachunkowego podjętą na podstawie zapewnienia udzielonego przez właściwy organ państwa członkowskiego, że dany urzędnik Trybunału Obrachunkowego, inny pracownik lub oddelegowany ekspert krajowy – o ile ustalono jego potrzeby dostępu w ramach zasady wiedzy koniecznej i został on odpowiednio poinformowany o ciążących na nim obowiązkach – może uzyskać dostęp do EUCI do określonego poziomu klauzuli tajności (CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższego) i aż do określonej daty. O osobie takiej mówi się, że jest „upoważniona w zakresie bezpieczeństwa”;

Do celów niniejszej decyzji:

Artykuł 3

Środki służące ochronie EUCI

1. Trybunał Obrachunkowy zapewnia ochronę wszystkich przekazanych mu informacji niejawnych współmierną do klauzuli tajności określonej przez wytwórcę tych informacji i zgodnie z niniejszą decyzją.

2. W tym celu Trybunał Obrachunkowy obejmuje korzystanie z EUCI odpowiednimi środkami w zakresie bezpieczeństwa fizycznego i – w stosownych przypadkach – osobowego, w tym upoważnieniami do dostępu przyznawanymi osobom wskazanym z imienia i nazwiska oraz środkami służącymi ochronie systemów teleinformatycznych. Środki te opisano w art. 4–6 niniejszej decyzji. Mają one zastosowanie na wszystkich etapach cyklu życia EUCI. Środki te są współmierne do klauzuli tajności przyznanej danym EUCI, formy i ilości informacji lub materiałów, lokalizacji i konstrukcji obiektów, w których EUCI są przechowywane, oraz wyników oceny ryzyka dotyczącej tego, czy w danym miejscu mogą być podejmowane działania w złych zamiarach lub działalność przestępcza, w tym działalność szpiegowska, sabotażowa lub terrorystyczna.

3. EUCI są chronione za pomocą środków w zakresie bezpieczeństwa fizycznego, natomiast informacje opatrzone klauzulą tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższą są chronione dodatkowo za pomocą środków w zakresie bezpieczeństwa osobowego.

4. EUCI mogą być udostępniane w obrębie instytucji wyłącznie osobom, którym są one potrzebne zgodnie z zasadą wiedzy koniecznej. Posiadacz jakiegokolwiek elementu EUCI jest zobowiązany zapewnić jego stosowną ochronę zgodnie z niniejszą decyzją.

5. EUCI nie można ujawniać ustnie ani na piśmie. Opracowane przez Trybunał uwagi wstępne, sprawozdania, opinie, komunikaty prasowe oraz inne publikacje, strona internetowa i intranetowa Trybunału, wypowiedzi ustne przedstawicieli Trybunału i odpowiedzi na wnioski o dostęp do dokumentów (3), a także nagrania głosowe i wideo nie mogą zawierać EUCI bądź fragmentów EUCI ani zawierać odniesień do tychże. Niemniej jeśli wytwórca opublikował dokumenty lub informacje zawierające odniesienie do danych EUCI, można wspomnieć o tym odniesieniu.

6. Bez uszczerbku dla przepisów ust. 5 Trybunał Obrachunkowy i wytwórca informacji mogą uzgodnić, że w odniesieniu do konkretnej kontroli Trybunał Obrachunkowy może przedstawić lub wykorzystać elementy EUCI w dokumencie. W takim przypadku dokument sporządzony przez Trybunał Obrachunkowy jest w pierwszej kolejności przesyłany do wytwórcy danych EUCI przed rozpoczęciem lub w trakcie postępowania kontradyktoryjnego. Następnie Trybunał Obrachunkowy i wytwórca informacji uzgadniają, czy dokument opracowany przez Trybunał powinien zostać opatrzony klauzulą tajności. Jeśli członek sprawozdawca Trybunału Obrachunkowego uzna za konieczne, by przesłać całość lub część sprawozdania z kontroli, które zostało opatrzone klauzulą tajności, określonym odbiorcom w Parlamencie Europejskim i Radzie – po uwzględnieniu wszystkich środków bezpieczeństwa wynikających z niniejszej decyzji – takie przesłanie sprawozdania wymaga zgody ze strony wytwórcy danych informacji niejawnych. Odnośne ramy prawne i procedurę wymiany takich dokumentów określono w art. 7.

7. W przypadku gdy wykonanie zadań powierzonych Trybunałowi Obrachunkowemu wymaga, by pewne elementy dokumentów lub informacji niejawnych zostały udostępnione szerszemu gronu odbiorców, Trybunał – po należytym uwzględnieniu przyznanej klauzuli tajności – zasięga opinii wytwórcy tych informacji, a następnie podejmuje decyzję o ewentualnym wykorzystaniu tych elementów lub informacji, jeśli uzna, że takie postępowanie jest zgodne z nadrzędnym interesem publicznym. Informacje można wykorzystać w sprawozdaniu wyłącznie w taki sposób, który nie może zaszkodzić interesom wytwórcy informacji. Przed taką szkodą można się odpowiednio zabezpieczyć, zwracając się do wytwórcy informacji o przedstawienie uwag w celu osiągnięcia porozumienia co do sposobu anonimizacji, streszczenia, uogólnienia itd. przedmiotowych informacji przy jednoczesnym poszanowaniu interesów tych podmiotów, których te publikowane informacje w pierwszym rzędzie dotyczą.

8. Trybunał Obrachunkowy nie udostępnia EUCI innej instytucji, agencji, organowi lub jednostce organizacyjnej UE, państwu członkowskiemu, państwu trzeciemu lub organizacji międzynarodowej, nie zasięgnąwszy uprzednio opinii wytwórcy tych informacji i nie otrzymawszy wyraźnej pisemnej zgody.

9. O ile wytwórca dokumentu opatrzonego klauzulą tajności SECRET UE/EU SECRET lub niższą nie nałożył ograniczeń w zakresie powielania lub tłumaczenia, dokumenty takie mogą być powielane lub tłumaczone na wniosek posiadacza i zgodnie z praktycznymi instrukcjami dotyczącymi sposobu pracy przyjętymi przez organ do spraw bezpieczeństwa informacji w Trybunale Obrachunkowym. Środki bezpieczeństwa, które mają zastosowanie do oryginalnego dokumentu, mają również zastosowanie do jego kopii i tłumaczeń.