Decisão do Conselho

de 19 de Março de 2001

que aprova as regras de segurança do Conselho

(2001/264/CE)

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado que institui a Comunidade Europeia e, nomeadamente, o n.o 3 do seu do artigo 207.o,

Tendo em conta a Decisão 2000/396/CE, CECA, Euratom do Conselho, de 5 de Junho de 2000, que aprova o Regulamento Interno do Conselho(1) e, nomeadamente, o seu artigo 24.o,

Considerando o seguinte:

(1) A fim de desenvolver as actividades do Conselho em áreas que exigem confidencialidade, é necessário estabelecer um regime geral de segurança que abranja o Conselho, o seu Secretariado-Geral e os Estados-Membros.

(2) Esse regime deverá combinar num texto único as matérias abrangidas por todas as decisões e disposições anteriores nesta matéria.

(3) Na realidade, a maior parte das informações da UE com classificação "CONFIDENTIEL UE" ou superior dirá respeito à política comum de segurança e de defesa.

(4) A fim de salvaguardar a eficácia do regime de segurança assim estabelecido, os Estados-Membros devem ser associados ao seu funcionamento, tomando as medidas nacionais necessárias para que as disposições da presente decisão sejam respeitadas sempre que as suas autoridades competentes e agentes tratem informações classificadas da UE.

(5) O Conselho congratula-se com a intenção da Comissão de introduzir até à data em que a presente decisão passar a ser aplicável um regime global alinhado pelos anexos da presente decisão, com vista a assegurar o bom funcionamento do processo de tomada de decisões a nível da União.

(6) O Conselho sublinha a importância de associar, sempre que preciso, o Parlamento Europeu e a Comissão às regras e normas de confidencialidade necessárias para proteger os interesses da União e dos seus Estados-Membros.

(7) A presente decisão é aprovada sem prejuízo do artigo 255.o do Tratado nem dos instrumentos que o aplicam.

(8) A presente decisão é aprovada sem prejuízo das práticas existentes nos Estados-Membros quanto a informar os Parlamentos nacionais das actividades da União,

DECIDE:

Artigo 1.o

São aprovadas as regras de segurança do Conselho constantes do anexo.

Artigo 2.o

1. O Secretário-Geral/Alto Representante toma as medidas adequadas para assegurar que, no tratamento das informações classificadas da UE, as regras a que se refere o artigo 1.o sejam cumpridas no interior do Secretariado-Geral do Conselho (adiante designado "SGC") pelos funcionários e outros agentes do SGC, por prestadores de serviços ao SGC e pelo pessoal destacado para o SGC, bem como nas instalações do Conselho e nos organismos descentralizados da UE(2).

2. Os Estados-Membros tomam as medidas adequadas, nos termos das disposições nacionais, para assegurar que, quando forem tratadas informações classificadas da UE, as regras a que se refere o artigo 1.o sejam cumpridas nos seus serviços e instalações pelos:

a) Membros das Representações Permanentes dos Estados-Membros junto da União Europeia, bem como pelos membros das delegações nacionais que participem em reuniões do Conselho ou das suas instâncias ou que participem noutras actividades do Conselho;

b) Outros membros das administrações nacionais dos Estados-Membros que tratem informações classificadas da UE, quer exerçam a sua actividade no território dos Estados-Membros quer no estrangeiro;

c) Pessoal, quer prestadores de serviços quer pessoal destacado, dos Estados-Membros que trate informações classificadas da UE.

Os Estados-Membros informam imediatamente o SGC dessas medidas.

3. As medidas a que se referem os n.os 1 e 2 serão tomadas antes de 30 de Novembro de 2000.

Artigo 3.o

Em conformidade com os princípios básicos e com as normas mínimas de segurança contidas na parte I do anexo, o Secretário-Geral/Alto Representante pode tomar medidas nos termos da parte II, secção I, pontos 1 e 2, do anexo.

Artigo 4.o

A presente decisão substitui, a partir da data em que for aplicável:

a) A Decisão 98/319/CE do Conselho, de 27 de Abril de 1998, relativa às modalidades segundo as quais os funcionários e agentes do Secretariado-Geral do Conselho podem ser autorizados a aceder a informações classificadas na posse do Conselho(3);

b) A Decisão do Secretário-Geral/Alto Representante, de 27 de Julho de 2000, relativa às medidas de protecção das informações classificadas aplicáveis ao Secretariado-Geral do Conselho(4);

c) A Decisão n.o 433/97 do Secretário-Geral do Conselho, de 22 de Maio de 1997, relativa ao procedimento de habilitação de segurança dos funcionários encarregados do funcionamento do sistema Cortesy.

Artigo 5.o

1. A presente decisão produz efeitos a partir da data da sua publicação.

2. A presente decisão é aplicável a partir de 1 de Dezembro de 2001.

Feito em Bruxelas, em 19 de Março de 2001.

Pelo Conselho

O Presidente

A. Lindh

(1) JO L 149 de 23.6.2000, p. 21.

(2) Ver conclusões do Conselho de 10 de Novembro de 2000.

(3) JO L 140 de 12.5.1998, p. 12.

(4) JO C 239 de 23.8.2000, p. 1.

ANEXO

REGRAS DE SEGURANÇA DO CONSELHO DA UNIÃO EUROPEIA

SUMÁRIO

>POSIÇÃO NUMA TABELA>

PARTE I

PRINCÍPIOS DE BASE E NORMAS MÍNIMAS DE SEGURANÇA

INTRODUÇÃO

1. As presentes disposições estabelecem os princípios de base e as normas mínimas de segurança que deverão ser respeitadas pelo Conselho, pelo Secretariado-Geral do Conselho (adiante designado "SGC"), pelos Estados-Membros e pelos organismos descentralizados da União Europeia (adiante designados "organismos descentralizados da UE"), de modo a que a segurança seja salvaguardada e possa ser garantida a existência de uma norma comum de protecção.

2. A expressão "informações classificadas da UE" significa qualquer informação ou material cuja divulgação não autorizada possa causar vários graus de prejuízo aos interesses da UE, ou a um ou mais dos seus Estados-Membros, quer essa informação provenha da UE ou de Estados-Membros, Estados terceiros ou organizações internacionais.

3. Em toda a presente regulamentação, entende-se por:

a) "Documento", qualquer carta, nota, minuta, relatório, memorando, sinal/mensagem, esboço, fotografia, diapositivo, filme, mapa, tabela, plano, bloco de notas, stencil, papel químico, máquina de escrever ou fita impressora, fita magnética, cassete, disco de computador, CD-ROM ou outro meio físico no qual tenha sido registada informação;

b) "Material", "documento" tal como definido na alínea a), bem como qualquer peça de equipamento ou de armamento, já fabricada ou em vias de o ser.

4. A segurança tem os seguintes objectivos principais:

a) Salvaguardar as informações classificadas da UE dos riscos de espionagem, fuga ou divulgação não autorizada;

b) Salvaguardar as informações da UE tratadas em sistemas e redes de comunicações e informações das ameaças à sua integridade e disponibilidade;

c) Salvaguardar as instalações que albergam informações da UE dos riscos de sabotagem ou de danos intencionais;

d) No caso de uma falha, avaliar os danos causados, limitar as suas consequências e adoptar as medidas necessárias para as remediar.

5. As bases da boa segurança são:

a) No interior de cada Estado-Membro, uma organização nacional de segurança responsável:

i) pela recolha e registo de informações sobre espionagem, sabotagem, terrorismo e outras actividades subversivas, e

ii) por informar e de aconselhar o seu Governo e, através dele, o Conselho, sobre a natureza das ameaças à segurança e os meios de protecção contra essas ameaças;

b) No interior de cada Estado-Membro, e no interior do SGC, uma autoridade técnica INFOSEC que deverá trabalhar com a autoridade de segurança pertinente a fim de informar e aconselhar sobre ameaças técnicas à segurança e sobre os meios de protecção contra essas ameaças;

c) Uma colaboração regular entre ministérios, organismos e os serviços competentes do SGC, a fim de estabelecer e recomendar, conforme adequado:

i) quais informações, recursos e instalações deverão ser protegidos, e

ii) as normas comuns de protecção.

6. No que respeita à confidencialidade, é necessário cuidado e experiência na selecção das informações e materiais que deverão ser protegidos e na avaliação do grau de protecção que estes requerem. É fundamental que o grau de protecção corresponda à importância securitária de cada elemento de informação ou peça de material a proteger. A fim de assegurar o bom fluxo da informação, deverão ser tomadas medidas para evitar o excesso de classificação. O sistema de classificação constitui o instrumento para pôr em prática estes princípios; deveria ser utilizado um sistema semelhante de classificação no planeamento e organização da luta contra a espionagem, a sabotagem, o terrorismo e outras ameaças, de forma a dar o maior grau de protecção às instalações mais importantes que albergam informações classificadas e aos pontos mais sensíveis no interior destas instalações.

PRINCÍPIOS DE BASE

7. As medidas de segurança devem:

a) Abranger todas as pessoas que tenham acesso a informações classificadas, os suportes que contenham as informações classificadas, os locais que abrigam essas informações e as instalações importantes;

b) Ser concebidas para detectar as pessoas cuja posição pode pôr em perigo a segurança das informações classificadas e das instalações importantes que albergam informações classificadas, e proceder à sua exclusão ou afastamento;

c) Impedir qualquer pessoa não autorizada de aceder a informações classificadas ou a instalações que as contenham;

d) Assegurar que as informações classificadas apenas são difundidas às pessoas que delas devem tomar conhecimento, princípio que é fundamental a todos os aspectos da segurança;

e) Assegurar a integridade (ou seja, prevenir a deturpação, a alteração não autorizada ou a supressão não autorizada) e a disponibilidade (ou seja, assegurar que o acesso não é negado às pessoas que têm necessidade e autorização de acesso) de todas as informações, tanto classificadas como não classificadas, e especialmente das informações armazenadas, tratadas ou transmitidas de forma electromagnética.

ORGANIZAÇÃO DA SEGURANÇA

Normas mínimas comuns

8. O Conselho e cada Estado-Membro deverão assegurar que são cumpridas normas mínimas comuns de segurança em todos os ministérios e/ou serviços administrativos, outras instituições da UE, organismos e prestadores de serviços de forma a que as informações classificadas da UE possam ser transmitidas com a certeza de que serão tratadas com igual cuidado. Estas normas mínimas devem incluir critérios para a habilitação do pessoal em matéria de segurança e procedimentos para a protecção das informações classificadas da UE.

SEGURANÇA DO PESSOAL

Habilitação de segurança

9. Todas as pessoas que necessitam de ter acesso a informações com classificação CONFIDENTIEL UE ou superior deverão ser adequadamente habilitadas a fazê-lo antes de o acesso ser autorizado. Será exigida uma habilitação de segurança semelhante no caso de pessoas cujas funções envolvem o funcionamento técnico ou a manutenção dos sistemas de comunicações e de informação que contenham informações classificadas. Esta habilitação de segurança deverá ser concebida de forma a determinar se esses indivíduos:

a) Têm uma lealdade inquestionável;

b) Possuem carácter e discrição que não deixe dúvidas quanto à sua integridade no tratamento das informações classificadas; ou

c) Podem ser vulneráveis a pressões de fontes estrangeiras ou outras, por exemplo, devido a uma anterior residência ou uma associação anterior que possam constituir um risco para a segurança.

No procedimento de habilitação de segurança, será dada especial atenção às pessoas:

d) Que devem ser autorizadas a aceder às informações classificadas TRÈS SECRET UE/EU TOP SECRET;

e) Que ocupam posições que implicam o acesso regular a um volume considerável de informações SECRET UE;

f) Cujas funções lhes dão especial acesso a sistemas de comunicações ou informações de importância capital para as missões e, por conseguinte, a oportunidade de obter um acesso não autorizado a grandes quantidades de informações classificadas da UE ou de prejudicar seriamente a missão através de actos de sabotagem técnica.

Nas circunstâncias referidas nas alíneas d), e) e f), deverão ser utilizadas ao máximo as possibilidades práticas da técnica de investigação de antecedentes.

10. As pessoas que não possuam uma razão válida para tomar conhecimento de informações classificadas da UE e sejam empregues em funções nas quais possam ter acesso a esse tipo de informações (por exemplo mensageiros, agentes de segurança, pessoal de manutenção e de limpeza, etc.) deverão ser previamente objecto de uma habilitação de segurança adequada.

Registos do pessoal habilitado

11. Todos os serviços, órgãos ou estabelecimentos que tratem informações classificadas da UE ou que alberguem sistemas de comunicações ou informações de importância capital para as missões deverão manter um registo do seu pessoal a quem foi concedida habilitação de segurança. Todas as habilitações deverão ser controladas oportunamente para verificar se são adequadas às funções actuais da pessoa em questão; as habilitações serão reexaminadas com carácter prioritário sempre que haja nova informação que indique que a continuação do seu trabalho com informações classificadas já não é compatível com os interesses da segurança. O registo das habilitações será mantido pelo chefe de segurança do serviço, órgão ou estabelecimento em questão.

Formação do pessoal em matéria de segurança

12. Todo o pessoal empregue em funções nas quais possa ter acesso a informações classificadas receberá uma formação completa ao assumir funções, e a intervalos regulares, sobre a necessidade da segurança e os meios de a implementar. Será útil exigir que todo o pessoal em questão ateste por escrito que compreende inteiramente as regras de segurança pertinentes para as suas funções.

Responsabilidades dos gestores

13. Os gestores deverão saber quais os membros do seu pessoal que trabalham com informações classificadas ou que têm acesso a sistemas de comunicações ou informações de importância capital para as missões, assim como deverão registar e relatar quaisquer incidentes ou aparentes vulnerabilidades susceptíveis de afectar a segurança.

Estatuto de segurança do pessoal

14. Serão definidos procedimentos para garantir que, ao ter conhecimento de informações desfavoráveis relativamente a um indivíduo, se possa saber se esse indivíduo trabalha com informações classificadas ou tem acesso a sistemas de comunicações ou informações de importância capital para as missões, e que seja informada a autoridade competente. Se ficar estabelecido que tal indivíduo constitui um risco para a segurança, a pessoa em questão deverá ser afastada ou proibida de desempenhar funções em que possa pôr em perigo a segurança.

SEGURANÇA FÍSICA

Necessidade de protecção

15. O grau das medidas de segurança física a aplicar para assegurar a protecção das informações classificadas da UE deverá ser proporcional à classificação, ao volume e às ameaças para as informações ou para o material existente. Por conseguinte, haverá que evitar com cuidado tanto a sobreclassificação como a sub-classificação, bem como rever regularmente a classificação. Todos os detentores de informações classificadas da UE deverão seguir práticas uniformes em matéria de classificação dessas informações e respeitar normas comuns de protecção em matéria de armazenagem, envio e eliminação de informações e material que necessitem de protecção.

Controlo das instalações

16. Antes de abandonar os locais que contêm informações classificadas da UE, as pessoas responsáveis pela sua guarda devem assegurar que estas informações se encontram guardadas em condições de segurança e que todos os dispositivos de segurança foram activados (fechaduras, alarmes, etc.). Deverão ser efectuados outros controlos independentes após as horas de serviço.

Segurança dos edifícios

17. Os edifícios que albergam informações classificadas da UE ou sistemas de comunicações e de informação de importância capital para as missões devem ser protegidos contra o acesso não autorizado. A natureza da protecção concedida às informações classificadas da UE, por exemplo janelas com grades, fechaduras nas portas, guardas nas entradas, sistemas automatizados de controlo de acesso, controlos e patrulhas de segurança, sistemas de alarme, sistemas de detecção de intrusos e cães de guarda, dependerão:

a) Da classificação, volume e localização no interior do edifício das informações e material a proteger;

b) Da qualidade dos contentores de segurança para estas informações e material; e

c) Da natureza física e localização do edifício.

18. A natureza da protecção concedida aos sistemas de comunicações e de informação deverá igualmente depender de uma avaliação do que é necessário proteger e dos danos potenciais caso haja uma falha na segurança, consoante a natureza física e a localização do edifício em que o sistema se encontra, e consoante a localização do sistema no interior do edifício.

Planos de emergência

19. Deverão ser elaborados previamente planos pormenorizados para a protecção das informações classificadas durante uma emergência local ou nacional.

SEGURANÇA DAS INFORMAÇÕES (INFOSEC)

20. A INFOSEC diz respeito à identificação e aplicação das medidas de segurança destinadas a proteger as informações tratadas, armazenadas ou enviadas através de sistemas de comunicações e informações ou de outros sistemas electrónicos contra a perda de confidencialidade, integridade ou disponibilidade, quer acidental quer intencional. Deverão ser tomadas contramedidas adequadas para impedir o acesso às informações da UE por utentes não autorizados, para impedir a recusa de acesso às informações da UE aos utentes autorizados, e para impedir a deturpação, a alteração ou a supressão não autorizadas de informações da UE.

MEDIDAS DE LUTA CONTRA A SABOTAGEM E CONTRA OUTRAS FORMAS DE DANOS INTENCIONAIS

21. As precauções físicas de protecção de instalações importantes que albergam informações classificadas constituem a melhor salvaguarda contra a sabotagem e contra danos intencionais, e a habilitação de segurança do pessoal não constitui por si só uma alternativa eficaz. O órgão nacional competente deverá recolher informações relativas às actividades de espionagem, sabotagem, terrorismo ou outras actividades subversivas.

DIVULGAÇÃO DE INFORMAÇÕES CLASSIFICADAS A PAÍSES TERCEIROS OU ORGANIZAÇÕES INTERNACIONAIS

22. A decisão de divulgar informações classificadas da UE provenientes do Conselho a um país terceiro ou uma organização internacional será tomada pelo Conselho. Se a origem da informação que se deseja divulgar não for o Conselho, este último deverá obter o consentimento da entidade de origem para a sua divulgação. Se não for possível identificar a entidade de origem, o Conselho assumirá a responsabilidade em seu lugar.

23. Se o Conselho receber informações classificadas de países terceiros e de organizações internacionais ou de terceiros, essas informações beneficiarão da protecção adequada à sua classificação, que será equivalente às normas definidas na presente regulamentação para as informações classificadas da UE, ou a normas mais elevadas que sejam eventualmente solicitadas pelo terceiro que divulgue a informação. Deverão ser previstos controlos mútuos.

24. Os princípios acima enunciados serão postos em prática segundo as disposições de aplicação constantes da parte II.

PARTE II

SECÇÃO I

ORGANIZAÇÃO DA SEGURANÇA NO CONSELHO DA UNIÃO EUROPEIA

Secretário-Geral/Alto Representante

1. O Secretário-Geral/Alto Representante:

a) Executa a política de segurança do Conselho;

b) Estuda os problemas de segurança que lhe forem submetidos pelo Conselho ou pelas suas instâncias competentes;

c) Analisa as questões que envolvam alterações da política de segurança do Conselho, em estreita ligação com as autoridades nacionais de segurança (ou outras autoridades competentes) dos Estados-Membros (adiante designadas "ANS"). O apêndice 1 contém uma lista destas autoridades.

2. Em especial, o Secretário-Geral/Alto Representante é responsável:

a) Pela coordenação de todos os aspectos da segurança relacionados com as actividades do Conselho;

b) Por solicitar a cada Estado-Membro a criação de um registo central TRÈS SECRET UE/EU TOP SECRET e exigir que seja igualmente criado um registo deste tipo, se necessário, nos organismos descentralizados da UE;

c) Por dirigir às autoridades designadas dos Estados-Membros pedidos para que as ANS procedam à habilitação de segurança do pessoal empregue no SGC, nos termos da secção VI;

d) Por investigar ou mandar investigar qualquer fuga de informações classificadas da UE que, segundo os indícios evidentes, tenha ocorrido no SGC ou em qualquer dos organismos descentralizados da UE;

e) Por solicitar às autoridades de segurança competentes que iniciem investigações quando se afigure que houve fuga de informações classificadas da UE fora do SGC ou dos organismos descentralizados da UE, e coordenar as investigações quando se encontrar envolvida mais do que uma autoridade de segurança;

f) Por efectuar, juntamente e de acordo com a ANS competente, exames periódicos das disposições de segurança destinadas à protecção de informações classificadas da UE nos Estados-Membros;

g) Por manter uma ligação estreita com todas as autoridades de segurança competentes, a fim de alcançar uma coordenação global da segurança;

h) Por proceder a uma constante revisão da política e dos procedimentos de segurança do Conselho e, se necessário, pela elaboração de recomendações adequadas. Neste sentido, deverá apresentar ao Conselho o plano anual de inspecção elaborado pelo Serviço de Segurança do SGC.

Comité de Segurança do Conselho

3. Deve ser criado um Comité de Segurança. Este Comité é composto por representantes das ANS de cada Estado-Membro e é presidido pelo Secretário-Geral/Alto Representante ou por um seu delegado. Os representantes dos organismos descentralizados da UE podem também ser convidados a participar nas reuniões quando forem tratadas questões que lhes digam respeito.

4. O Comité de Segurança reúne-se conforme as instruções do Conselho, a pedido do Secretário-Geral/Alto Representante ou de uma ANS. Compete ao comité analisar e avaliar todas as questões de segurança relacionadas com os procedimentos do Conselho, e apresentar recomendações ao Conselho, se necessário. Relativamente à actividade do SGC, compete ao comité fazer recomendações sobre questões de segurança ao Secretário-Geral/Alto Representante.

Serviço de Segurança do Secretariado-Geral do Conselho

5. Para o cumprimento das responsabilidades referidas nos n.os 1 e 2, o Secretário-Geral/Alto Representante tem à sua disposição o Serviço de Segurança do SGC para a coordenação, supervisão e implementação das medidas de segurança.

6. O chefe do Serviço de Segurança do SGC é o principal conselheiro do Secretário-Geral/Alto Representante em questões de segurança e desempenha as funções de secretário do Comité de Segurança. Neste sentido, dirige a actualização das regras de segurança e coordena as medidas de segurança com as autoridades competentes dos Estados-Membros e, se necessário, com organizações internacionais ligadas ao Conselho por acordos de segurança. Para o efeito, age como oficial de ligação.

7. O chefe do Serviço de Segurança do SGC é responsável pela aprovação das redes e sistemas informáticos no SGC. O chefe do Serviço de Segurança e a ANS competente decidem em conjunto, sempre que necessário, a aprovação de redes e sistemas informáticos que envolvam o SGC, os Estados-Membros, os organismos descentralizados da UE e/ou terceiros (Estados ou organizações internacionais).

Organismos descentralizados da UE

8. Cada director de um organismo descentralizado da UE é responsável pela implementação da segurança no seu organismo. Normalmente, deverá nomear um membro do seu pessoal como responsável deste domínio perante si. Este membro do pessoal será designado como oficial de segurança.

Estados-Membros

9. Cada Estado-Membro deve designar uma ANS responsável pela segurança das informações classificadas da UE(1).

10. No âmbito de cada Estado-Membro, a ANS correspondente é responsável:

a) Pela segurança das informações classificadas da UE na posse de qualquer serviço, órgão ou organismo nacional, público ou privado, quer dentro quer fora do país;

b) Por autorizar a criação de registos TRÈS SECRET UE/EU TOP SECRET (esta autoridade pode ser delegada no oficial de controlo de um registro central TRÈS SECRET UE/EU TOP SECRET);

c) Pela inspecção periódica das disposições de segurança para a protecção das informações classificadas da UE;

d) Por garantir que todos os nacionais e estrangeiros empregues nos serviços, órgãos ou organismos nacionais que possam ter acesso a informações da UE classificadas de TRÈS SECRET UE/UE TOP SECRET, SECRET UE e CONFIDENTIEL UE foram objecto de uma habilitação de segurança;

e) Por elaborar os planos de segurança considerados necessários para impedir que as informações classificadas da UE possam ser comunicadas a pessoas não autorizadas.

Inspecções mútuas de segurança

11. O Serviço de Segurança do SGC e as ANS competentes deverão efectuar conjuntamente e de comum acordo inspecções periódicas das disposições de segurança para a protecção das informações classificadas da UE no SGC e nas respectivas Representações Permanentes dos Estados-Membros junto da União Europeia, bem como nas instalações dos Estados-Membros nos edifícios do Conselho(2).

12. O Serviço de Segurança do SGC ou, a pedido do Secretário-Geral, a ANS do Estado-Membro de acolhimento efectuarão inspecções periódicas das disposições de segurança para a protecção das informações classificadas da UE nos organismos descentralizados da UE.

SECÇÃO II

CLASSIFICAÇÕES E MARCAÇÕES

NÍVEIS DE CLASSIFICAÇÃO(3)

A informação será classificada aos seguintes níveis:

1. TRÈS SECRET UE/EU TOP SECRET: esta classificação apenas se aplica a informações e material cuja divulgação não autorizada possa prejudicar de forma excepcionalmente grave os interesses essenciais da União Europeia ou de um ou vários dos seus Estados-Membros.

2. SECRET UE: esta classificação apenas se aplica a informações e material cuja divulgação não autorizada possa prejudicar seriamente os interesses essenciais da União Europeia ou de um ou vários dos seus Estados-Membros.

3. CONFIDENTIEL UE: esta classificação apenas se aplica a informações e material cuja divulgação não autorizada possa prejudicar os interesses essenciais da União Europeia ou de um ou vários dos seus Estados-Membros.

4. RESTREINT UE: esta classificação apenas se aplica a informações e material cuja divulgação não autorizada possa ser desvantajosa para os interesses da União Europeia ou de um ou vários dos seus Estados-Membros.

MARCAÇÕES

5. Poderá ser utilizada uma marcação de aviso para indicar o domínio abrangido pelo documento ou uma distribuição específica com base no princípio da "necessidade de ter conhecimento".

6. A marcação ESDP/PESD será aposta nos documentos e respectivas cópias que digam respeito à segurança e defesa da União ou de um ou vários dos seus Estados-Membros, ou que digam respeito à gestão militar ou civil das crises.

7. Certos documentos, nomeadamente os relacionados com sistemas informáticos podem ostentar uma marcação adicional com medidas suplementares de segurança definidas na regulamentação adequada.

APOSIÇÃO DA CLASSIFICAÇÃO E DAS MARCAÇÕES

8. A classificação e as marcações serão apostas do seguinte modo:

a) Nos documentos RESTREINT UE, por meios mecânicos/electrónicos;

b) Nos documentos CONFIDENTIEL UE, por meios mecânicos e manualmente ou por impressão em papel pré-impresso, consignado num registo;

c) Nos documentos SECRET UE e TRÈS SECRET UE/EU TOP SECRET, por meios mecânicos e manualmente.

SECÇÃO III

GESTÃO DAS CLASSIFICAÇÕES

1. As informações apenas serão classificadas em caso de necessidade. A classificação deverá ser indicada de forma clara e correcta e apenas deverá ser mantida enquanto as informações necessitarem de protecção.

2. A responsabilidade pela classificação das informações ou por qualquer subsequente desgraduação ou desclassificação(4) incumbe exclusivamente à entidade de origem.

Os funcionários e outros agentes do SGC só poderão proceder à classificação, desgraduação ou desclassificação das informações mediante instruções do seu director-geral, ou com o acordo deste.

3. Os procedimentos pormenorizados para o tratamento dos documentos classificados devem ser concebidos de forma a garantir que estes estarão sujeitos a uma protecção adequada às informações que contêm.

4. O número de pessoas autorizadas a produzir documentos TRÈS SECRET UE/EU TOP SECRET deverá ser o mais reduzido possível, e os seus nomes deverão constar de uma lista elaborada pelo SGC, por cada um dos Estados-Membros e, se necessário, por cada organismo descentralizado da UE.

APLICAÇÃO DAS CLASSIFICAÇÕES

5. A classificação de um documento será determinada pelo nível de sensibilidade do seu conteúdo, conforme a definição constante dos pontos 1 a 4 da secção II. É importante que a classificação seja utilizada de forma correcta e comedida. Esta última disposição aplica-se especialmente à classificação TRÈS SECRET UE/EU TOP SECRET.

6. O autor de um documento a classificar deverá ter em mente as disposições atrás indicadas e abster-se de proceder a uma sobre ou sub classificação.

Embora uma alta classificação pareça, à primeira vista, capaz de garantir mais protecção a um documento, uma rotina de sobreclassificação pode dar lugar a uma perda de confiança na validade do sistema de classificação.

Por outro lado, não se deverão subclassificar documentos com o fim de evitar as restrições relacionadas com a protecção.

Consta do apêndice 3 um guia prático para a classificação.

7. Cada uma das páginas, parágrafos, secções, anexos, apêndices, adendas e contentores de um determinado documento pode exigir diferentes classificações, devendo ser marcadas em conformidade. A classificação do documento no seu todo deverá ser a da sua parte mais altamente classificada.

8. A classificação de uma carta ou nota de envio será tão elevada quanto a mais alta classificação do seu anexo. O autor deverá indicar claramente a que nível deverá ser classificada tal carta ou nota quando separada do anexo.

DESGRADUAÇÃO E DESCLASSIFICAÇÃO

9. Os documentos classificados da UE só podem ser desgraduados ou desclassificados com a autorização do autor e, se necessário, após discussão com as outras partes interessadas. A desgraduação ou a desclassificação deverão ser confirmadas por escrito. A entidade de origem - Instituição, Estado-Membro, serviço, organização sucessora ou autoridade superior - terá a responsabilidade de informar os seus destinatários da alteração, sendo estes por seu turno responsáveis por informar dessa alteração quaisquer destinatários subsequentes a quem tenham enviado uma cópia do documento.

10. Se possível, a entidade de origem deverá especificar nos documentos classificados a data ou período após o qual o seu conteúdo pode ser objecto de uma desgraduação ou desclassificação. Caso contrário, deverá passar em revista os documentos de cinco em cinco anos, no máximo, a fim de verificar se é necessário manter a classificação original.

SECÇÃO IV

SEGURANÇA FÍSICA

GERAL

1. O principal objectivo das medidas de segurança física consiste em impedir o acesso de pessoas não autorizadas às informações e /ou material classificados da UE.

REQUISITOS DE SEGURANÇA

2. Todas as instalações, áreas, edifícios, escritórios, salas, sistemas de comunicações e de informações, etc., onde estejam armazenados e/ou sejam tratados informações e material classificados da UE deverão ser protegidos por medidas adequadas de segurança física.

3. Ao decidir o grau de segurança física necessário, deverão ser tomados em consideração todos os factores relevantes tais como:

a) A classificação das informações e/ou do material;

b) A quantidade e a forma (por exemplo cópias em papel, suportes digitais) das informações armazenadas;

c) A avaliação local da ameaça que constituem os serviços de espionagem que têm como alvo a UE, os Estados-Membros e/ou outras instituições ou terceiros detentores de informações classificadas da UE, os actos de sabotagem, o terrorismo e outras actividades subversivas e/ou criminosas.

4. As medidas de segurança física aplicadas deverão ser concebidas por forma a:

a) Impedir a entrada sub-reptícia ou forçada de intrusos;

b) Dissuadir, impedir e detectar acções por parte de funcionários desleais ("o espião interno");

c) Impedir o acesso às informações classificadas da UE aos funcionários e outros agentes do SGC, de ministérios e outros serviços dos Estados-Membros e/ou de outras instituições ou terceiros que não têm necessidade de tomar conhecimento das mesmas.

MEDIDAS DE SEGURANÇA FÍSICA

Áreas de segurança

5. As áreas onde são tratadas e armazenadas informações com a classificação CONFIDENTIEL UE ou superior deverão ser organizadas e estruturadas de modo a corresponder a uma das seguintes categorias:

a) Área de segurança de classe I: uma área onde as informações com a classificação CONFIDENTIEL UE ou superior são tratadas e armazenadas de tal modo que a entrada nessa área constitui, para todos os efeitos práticos, acesso a informações classificadas. Essa área deverá ter:

i) um perímetro claramente definido e protegido com controlo de todas as entradas e saídas,

ii) um sistema de controlo de entrada que admita apenas as pessoas devidamente habilitadas e especialmente autorizadas a entrar nessa área,

iii) uma indicação da classificação das informações normalmente tratadas ou armazenadas nessa área, ou seja, às quais a entrada dá acesso;

b) Área de segurança de classe II: uma área onde as informações com a classificação CONFIDENTIEL UE ou superior são tratadas e armazenadas de tal modo que possam ser protegidas contra o acesso por pessoas não autorizadas através de meios de controlo estabelecidos internamente, ou seja, instalações que contenham gabinetes nos quais são regularmente tratadas ou armazenadas informações com a classificação CONFIDENTIEL UE ou superior. Essa área deverá ter:

i) um perímetro claramente definido e protegido com controlo de todas as entradas e saídas,

ii) um sistema de controlo de entrada que admita sem escolta apenas as pessoas devidamente habilitadas e especialmente autorizadas a entrar nessa área. Para todas as outras pessoas, deverão ser previstas escoltas ou controlos equivalentes que impeçam o acesso não autorizado às informações classificadas da UE e a entrada sem controlo nas áreas sujeitas a inspecções técnicas de segurança.

As áreas não ocupadas por pessoal em serviço 24 horas por dias deverão ser inspeccionadas imediatamente após as horas normais de serviço, para verificar que as informações classificadas da UE estão devidamente protegidas.

Áreas administrativas

6. Poderão ser estabelecidas áreas administrativas de menor segurança adjacentes ou envolventes das áreas de segurança da classe I ou II. Essas áreas administrativas deverão ter um perímetro visivelmente definido que permita o controlo do pessoal e dos veículos. Nas áreas administrativas só poderão ser tratadas e armazenadas informações com a classificação RESTREINT UE.

Controlos de entradas e saídas

7. A entrada nas áreas de segurança da classe I e II deverá ser controlada através de um passe ou de um sistema de reconhecimento de pessoas aplicável ao pessoal permanente. Deverá também ser criado um sistema de controlo dos visitantes concebido para impedir o acesso não autorizado às informações classificadas da UE. Os sistemas de passes poderão basear-se numa identificação automatizada, que deverá ser considerada como um complemento mas não como um substituto total do pessoal de vigilância. Qualquer alteração do nível de ameaça poderá implicar um reforço das medidas de controlo de entradas e saídas, por exemplo, durante a visita de altas personalidades.

Patrulhas de guardas

8. As patrulhas das áreas de segurança da classe I e II deverão ter lugar fora das horas normais de serviço, com o objectivo de proteger os bens da UE contra fugas, danos ou perdas. A frequência das patrulhas será determinada pelas circunstâncias locais mas, de um modo geral, estas deverão ter lugar de duas em duas horas.

Contentores de segurança e casas-fortes

9. Serão utilizados três tipos de contentores para guardar as informações classificadas da UE:

- classe A: contentores aprovados a nível nacional para guardar informações classificadas TRÈS SECRET UE/EU TOP SECRET nas áreas de segurança da classe I ou II,

- classe B: contentores aprovados a nível nacional para guardar informações classificadas SECRET UE e CONFIDENTIEL UE nas áreas de segurança da classe I ou II,

- classe C: mobiliário de escritório adequado para guardar informações classificadas RESTREINT UE.

10. As paredes, chãos, tectos, portas e fechaduras das casas-fortes construídas nas áreas de segurança da classe I ou II, e de todas as áreas de segurança da classe I onde são guardadas em prateleiras abertas ou apresentadas em quadros, mapas, etc., informações com classificação CONFIDENTIEL UE ou superior deverão ser certificadas por uma ANS como possuindo um grau de protecção equivalente à classe do contentor de segurança aprovado para guarda de informações com a mesma classificação.

Fechaduras

11. As fechaduras utilizadas nos contentores de segurança e nas casas-fortes em que são guardadas informações classificadas da UE deverão cumprir as seguintes normas:

- grupo A: contentores aprovados a nível nacional para a classe A,

- grupo B: contentores aprovados a nível nacional para a classe B,

- grupo C: mobiliário de escritório apenas adequado para a classe C.

Controlo das chaves e das fechaduras de segredo

12. As chaves dos contentores de segurança não deverão ser levadas para fora do edifício. As combinações dos contentores de segurança deverão ser memorizadas pelas pessoas que precisam de as conhecer. Em caso de emergência, o oficial de segurança do organismo em questão deverá possuir duplos das chaves e um registo escrito de cada combinação; estes últimos serão guardados em envelopes separados, opacos e fechados. As chaves habituais, os duplos das chaves e as combinações deverão ser mantidos em contentores de segurança distintos. Estas chaves e as combinações deverão ser objecto de uma protecção de segurança pelo menos equivalente à do material ao qual dão acesso.

13. As combinações dos contentores de segurança apenas deverão ser conhecidas pelo número mais restrito possível de pessoas. As combinações deverão ser mudadas:

a) Sempre que for recebido um novo contentor;

b) Sempre que haja uma mudança de pessoal;

c) Sempre que tenha ocorrido ou haja suspeita de ter ocorrido uma fuga;

d) De preferência de seis em seis meses, ou, pelo menos, uma vez por cada período de 12 meses.

Dispositivos de detecção de intrusos

14. Quando forem utilizados sistemas de alarme, circuitos fechados de televisão ou outros dispositivos eléctricos para proteger as informações classificadas da UE, deverá existir uma central eléctrica de emergência capaz de garantir o funcionamento contínuo do sistema em caso de interrupção no fornecimento de energia. Outro requisito básico é o de que o mau funcionamento ou o manuseamento não autorizado desses sistemas ponha em funcionamento um alarme ou outro dispositivo de aviso fiável que advirta o pessoal de vigilância.

Equipamento aprovado

15. As ANS deverão manter, a partir dos seus próprios recursos ou de fontes bilaterais, listas actualizadas por tipo e modelo do equipamento de segurança que aprovaram em várias circunstâncias e condições específicas para a protecção directa ou indirecta de informações classificadas. O Serviço de Segurança do SGC deverá manter uma lista similar baseada, nomeadamente, nas informações prestadas pelas ANS. Os organismos descentralizados da UE deverão consultar o Serviço de Segurança dos SGC e, se necessário, a ANS do seu Estado-Membro de acolhimento antes de adquirirem equipamento de segurança.

Protecção física das fotocopiadoras e dos fax

16. As fotocopiadoras e os fax deverão ser fisicamente protegidos de modo a garantir que só são utilizados por pessoas autorizadas para o fazer e que todos os produtos classificados estão sujeitos aos controlos adequados.

PROTECÇÃO CONTRA VISÃO E ESCUTA NÃO AUTORIZADAS

Visão não autorizada

17. Deverão ser tomadas todas as medidas, tanto de dia como de noite, para assegurar que as informações classificadas da UE não são vistas, mesmo acidentalmente, por qualquer pessoa não autorizada para o fazer.

Escuta não autorizada

18. Os gabinetes e as áreas em que são regularmente debatidas informações com classificação SECRET UE ou superior deverão ser protegidos contra actos passivos e activos de escuta não autorizada, sempre que o risco assim o justifique. A avaliação do risco destes actos deverá ser da responsabilidade da autoridade competente de segurança após consulta, se necessário, com as ANS.

19. A fim de definir as medidas de protecção que deverão ser tomadas nas instalações sensíveis à escuta passiva (por exemplo, isolamento das paredes, portas, chãos e tectos, medida dos níveis sonoros comprometedores) bem como às escutas activas (por exemplo, busca de microfones), o Serviço de Segurança do SGC poderá pedir assistência de peritos das ANS. Os oficiais de segurança dos organismos descentralizados da UE podem solicitar que sejam efectuadas inspecções técnicas pelo Serviço de Segurança do SGC e/ou a assistência de peritos das ANS.

20. Do mesmo modo, sempre que as circunstâncias o exigirem, o equipamento de telecomunicações e o equipamento de escritório eléctrico ou electrónico de qualquer tipo utilizado durante as reuniões a nível SECRET UE ou a um nível superior poderão ser verificados por especialistas técnicos de segurança das ANS, a pedido do oficial de segurança competente.

ÁREAS TECNICAMENTE SEGURAS

21. Certas áreas poderão ser designadas como áreas tecnicamente seguras. Será feito um controlo especial das entradas nessas áreas, que deverão estar fechadas por um método aprovado quando não estiverem ocupadas, devendo as chaves ser tratadas como chaves de segurança. Essas áreas deverão ser sujeitas a inspecções físicas regulares, que também serão feitas depois de qualquer entrada não autorizada ou de suspeita dessa possibilidade.

22. Será mantido um inventário pormenorizado do equipamento e mobiliário a fim de controlar os respectivos movimentos. Não será introduzido nessa área nenhuma peça de mobiliário ou de equipamento que não tenha sido objecto de uma inspecção cuidadosa por pessoal de segurança especialmente treinado, com o objectivo de detectar quaisquer dispositivos de escuta. Como regra geral, deverá ser evitada a instalação de linhas de comunicação nas áreas tecnicamente seguras.

SECÇÃO V

REGRAS GERAIS SOBRE O PRINCÍPIO DA NECESSIDADE DE TER CONHECIMENTO E SOBRE HABILITAÇÃO DE SEGURANÇA

1. O acesso a informações classificadas da UE só será autorizado às pessoas que dela devem tomar conhecimento para o desempenho das suas tarefas ou missões. O acesso às informações classificadas TRÈS SECRET UE/EU TOP SECRET, SECRET UE e CONFIDENTIEL UE só será autorizado às pessoas que tenham habilitação de segurança adequada.

2. A responsabilidade por determinar quem deve tomar conhecimento incumbirá ao SGC, aos organismos descentralizados da UE e ao ministério ou serviço de um Estado-Membro onde a pessoa em questão deverá trabalhar, conforme os requisitos da tarefa.

3. A habilitação de segurança será da responsabilidade do empregador do funcionário, com base nos procedimentos relevantes aplicáveis. No que se refere aos funcionários e outros agentes do SGC, o procedimento para a habilitação de segurança é o previsto na secção VI.

A habilitação de segurança dará lugar à emissão de um "certificado de segurança", que indicará o nível de informações classificadas ao qual a pessoa habilitada poderá ter acesso e a data da sua expiração.

O certificado de segurança para uma dada classificação poderá conferir ao seu detentor acesso a informações com classificação inferior.

4. As pessoas que não sejam funcionários nem outros agentes do SGC ou dos Estados-Membros, por exemplo Membros, funcionários ou agentes de Instituições da UE com quem seja necessário debater, ou a quem seja necessário dar conhecimento de informações classificadas da UE devem possuir uma habilitação de segurança para efeitos de informações classificadas da UE e ser informados da suas responsabilidades em matéria de segurança. A mesma regra se deverá aplicar, em circunstâncias similares, aos prestadores de serviços, aos peritos ou aos consultores.

REGRAS ESPECÍFICAS SOBRE O ACESSO ÀS INFORMAÇÕES CLASSIFICADAS TRÈS SECRET UE/EU TOP SECRET

5. Todas as pessoas que devam ter acesso a informações classificadas TRÈS SECRET UE/EU TOP SECRET deverão ser previamente sujeitas a um inquérito de segurança tendo em vista o acesso a essas informações.

6. Todas as pessoas que devem ter acesso a informações classificadas TRÈS SECRET UE/EU TOP SECRET deverão ser designadas pelo chefe do seu serviço e os seus nomes deverão ser mantidos no registo adequado TRÈS SECRET UE/EU TOP SECRET.

7. Antes de terem acesso a informações classificadas TRÈS SECRET UE/EU TOP SECRET, todas as pessoas devem assinar uma declaração de que tomaram conhecimento dos procedimentos de segurança do Conselho e reconhecem inteiramente a sua especial responsabilidade pela salvaguarda de informações classificadas TRÈS SECRET UE/EU TOP SECRET, bem como as consequências previstas na regulamentação da UE e na legislação ou regulamentação administrativa nacionais no caso de a informação classificada ser facultada a pessoas não autorizadas, quer intencionalmente quer por negligência.

8. No caso das pessoas que têm acesso a informações classificadas TRÈS SECRET UE/EU TOP SECRET em reuniões, etc., o oficial de controlo competente do serviço ou órgão em que essa pessoa trabalha deverá notificar o organismo responsável pela reunião de que as pessoas em questão estão autorizadas a fazê-lo.

9. Os nomes de todas as pessoas que deixam de ser empregues em tarefas que exigem acesso a informações classificadas TRÈS SECRET UE/EU TOP SECRET deverão ser removidos da lista TRÈS SECRET UE/EU TOP SECRET. Além disso, deverá ser chamada a atenção de todas essas pessoas para a sua especial responsabilidade pela salvaguarda de informações classificadas TRÈS SECRET UE/EU TOP SECRET. Devem igualmente assinar uma declaração de que não utilizarão nem divulgarão informações classificadas TRÈS SECRET UE/EU TOP SECRET que estejam na sua posse.

REGRAS ESPECÍFICAS SOBRE O ACESSO ÀS INFORMAÇÕES CLASSIFICADAS SECRET UE E CONFIDENTIEL UE

10. Todas as pessoas que têm acesso a informações classificadas SECRET EU ou CONFIDENTIEL UE devem ser objecto de um inquérito de segurança ao nível adequado.

11. Todas as pessoas que devem ter acesso a informações classificadas SECRET EU ou CONFIDENTIEL UE devem ter conhecimento da regulamentação de segurança adequada e devem estar conscientes das consequências de uma eventual negligência.

12. No caso das pessoas que têm acesso a informações classificadas de SECRET EU ou CONFIDENTIEL UE em reuniões, etc., o oficial de segurança do órgão em que essa pessoa trabalha deverá notificar o organismo responsável pela reunião de que as pessoas em questão estão autorizadas a fazê-lo.

REGRAS ESPECÍFICAS SOBRE O ACESSO ÀS INFORMAÇÕES CLASSIFICADAS RESTREINT UE

13. Deve ser dado conhecimento das presentes regras de segurança do Conselho adequado e das consequências de eventuais actos de negligência às pessoas que têm acesso a informações classificadas RESTREINT UE.

TRANSFERÊNCIAS

14. Quando um membro do pessoal é transferido de um lugar que envolva o tratamento de material classificado da UE, o registo deverá controlar a transferência adequada desse material do funcionário que parte para o funcionário que o substitui.

INSTRUÇÕES ESPECIAIS

15. As pessoas que têm de tratar informações classificadas da UE devem, ao assumir as suas funções e posteriormente de forma periódica, ser informadas:

a) Dos perigos para a segurança decorrentes de conversas indiscretas;

b) Das precauções a tomar nas suas relações com a imprensa;

c) Da ameaça das actividades dos serviços de espionagem que têm por alvo a UE e os Estados-Membros no que se refere às informações classificadas e às actividades da UE;

d) Da obrigação de relatar imediatamente às autoridades de segurança competentes qualquer abordagem ou manobra que dê lugar a suspeitas de uma actividade de espionagem ou de quaisquer circunstâncias pouco usuais em matéria de segurança.

16. Todas as pessoas que normalmente estão expostas a contactos frequentes com representantes de países cujos serviços de espionagem visam as informações classificadas e as actividades da UE e dos seus Estados-Membros deverão ser informadas das técnicas habitualmente empregues pelos vários serviços de espionagem.

17. Não existem regras de segurança do Conselho em matéria de viagens de carácter privado para qualquer destino, por parte do pessoal habilitado a aceder a informações classificadas da UE. Todavia, as autoridades competentes em matéria de segurança darão a conhecer aos funcionários e outros agentes sob a sua responsabilidade as regras de viagem a que podem estar sujeitos. Incumbirá aos oficiais de segurança organizar reuniões de funcionários para actualizar estas instruções especiais.

SECÇÃO VI

PROCEDIMENTO PARA A HABILITAÇÃO DE SEGURANÇA DOS FUNCIONÁRIOS E OUTROS AGENTES DO SGC

1. Só terão acesso a informações classificadas na posse do Conselho os funcionários e outros agentes do SGC, ou pessoas que trabalhem no SGC, que, devido às suas funções e conforme as necessidades do serviço, precisam de ter conhecimento ou de utilizar tais informações.

2. Para terem acesso às informações classificadas TRÈS SECRET UE/EU TOP SECRET, SECRET UE e CONFIDENTIEL UE, as pessoas referidas no ponto 1 devem ser autorizadas nos termos dos pontos 4 e 5.

3. A autorização apenas será concedida às pessoas que foram objecto de um inquérito de segurança pelas autoridades nacionais competentes dos Estados-Membros (ANS), nos termos dos pontos 6 a 10.

4. A autoridade investida do poder de nomeação na acepção do primeiro parágrafo do artigo 2.o do Estatuto dos Funcionários será responsável por conceder as autorizações referidas nos pontos 1, 2 e 3.

A autoridade investida do poder de nomeação concederá a autorização após ter obtido o parecer das autoridades nacionais competentes dos Estados-Membros, no âmbito do inquérito de segurança efectuado nos termos dos pontos 6 a 12.

5. A autorização, que será válida por um período de cinco anos, não poderá exceder a duração das tarefas com base nas quais é concedida. Poderá ser renovada pela autoridade investida do poder de nomeação nos termos do ponto 4.

A autorização será retirada pela autoridade investida do poder de nomeação sempre que esta considerar que existem motivos fundamentados para o fazer. Qualquer decisão de retirar uma autorização deverá ser notificada à pessoa em questão, que poderá pedir para ser ouvida pela autoridade investida do poder de nomeação, e à autoridade nacional competente.

6. O objectivo do inquérito de segurança será o de estabelecer que não existem objecções a autorizar a pessoa em questão a ter acesso a informações classificadas na posse do Conselho.

7. O inquérito de segurança deverá ser efectuado, com a assistência da pessoa interessada e a pedido da autoridade investida do poder de nomeação, pelas autoridades nacionais competentes do Estado-Membro cuja nacionalidade tem a pessoa em questão. No caso de esta residir no território de outro Estado-Membro, as autoridades nacionais competentes poderão solicitar a cooperação das autoridades do Estado de residência.

8. No âmbito do inquérito de segurança, a pessoa em questão deverá preencher um formulário de informação pessoal.

9. A autoridade investida do poder de nomeação deverá especificar no seu pedido o tipo e o nível de informações classificadas a que terá acesso a pessoa em questão, para que as autoridades nacionais competentes possam proceder ao inquérito de segurança e dar o seu parecer quanto ao nível de autorização que será adequado conferir a essa pessoa.

10. Todo o processo de inquérito de segurança, juntamente com os resultados obtidos, estarão sujeitos às regras e regulamentos pertinentes em vigor no Estado-Membro em questão, incluindo aqueles em matéria de recurso.

11. Quando as autoridades nacionais competentes do Estado-Membro derem um parecer positivo, a autoridade investida do poder de nomeação poderá conceder a autorização à pessoa em questão.

12. O parecer negativo das autoridades nacionais competentes será notificado à pessoa em questão, que poderá pedir para ser ouvida pela autoridade investida do poder de nomeação. Caso o considere necessário, esta autoridade poderá pedir às autoridades nacionais competentes qualquer esclarecimento adicional que estas possam fornecer. Se o parecer negativo for confirmado, não será concedida a autorização.

13. Todas as pessoas a quem for concedida uma autorização na acepção dos pontos 4 e 5 deverá receber as instruções necessárias sobre a protecção de informações classificadas e os meios de assegurar essa protecção, no momento em que lhe for concedida a autorização e posteriormente a intervalos regulares. Estas pessoas deverão assinar uma declaração de que confirmam ter recebido as instruções e se comprometem a respeitá-las.

14. A autoridade investida do poder de nomeação deverá tomar todas as medidas necessárias para pôr em prática a presente secção, em especial no que diz respeito às regras que regem o acesso à lista das pessoas autorizadas.

15. Excepcionalmente, e por necessidades de serviço, a autoridade investida do poder de nomeação poderá conceder uma autorização temporária por um período que não exceda seis meses, sujeita aos resultados do inquérito de segurança referido no ponto 7, depois de ter notificado as autoridades nacionais competentes e na condição de não ter obtido resposta sua no prazo de um mês.

16. As autorizações temporárias assim concedidas não darão acesso às informações classificadas TRÈS SECRET UE/EU TOP SECRET; este acesso será limitado aos funcionários que foram aprovados num inquérito de segurança, nos termos do ponto 7. Na pendência dos resultados do inquérito, os funcionários para quem foi pedida habilitação ao nível TRÈS SECRET UE/EU TOP SECRET poderão ser autorizados de forma temporária e provisória a aceder a informações classificadas até ao grau de TRÈS SECRET UE/EU TOP SECRET, inclusive.

SECÇÃO VII

ELABORAÇÃO, DISTRIBUIÇÃO, TRANSMISSÃO, ARMAZENAGEM E DESTRUIÇÃO DE MATERIAL CLASSIFICADO DA UE

Sumário

>POSIÇÃO NUMA TABELA>

Disposições gerais

A presente secção diz respeito à preparação, distribuição, transmissão, armazenagem e destruição de documentos classificados da UE tais como se encontram definidos na alínea a) do ponto 3 dos princípios de base e normas mínimas de segurança apresentados na parte I do presente anexo. Estas disposições servirão como referência quando as mesmas medidas forem adaptadas a outro material classificado da UE, consoante o seu tipo e numa base caso a caso.

Capítulo I

Elaboração e distribuição de documentos classificados da UE

ELABORAÇÃO

1. As classificações e marcações UE serão aplicadas conforme o estabelecido na secção II e deverão ser apostas no topo e no fundo de cada página, centradas, devendo ainda todas as páginas ser numeradas. Todos os documentos classificados da UE deverão ostentar um número de referência e uma data. No caso dos documentos TRÈS SECRET UE/EU TOP SECRET e SECRET UE, esse número de referência deverá aparecer em cada página. Caso devam ser distribuídos em várias cópias, cada uma destas deverá ostentar um número de cópia, que deverá ser aposto na primeira página, juntamente com a indicação do número total de páginas. Os documentos CONFIDENTIEL UE ou com classificação superior deverão ostentar na primeira página uma enumeração de todos os anexos ou apêndices que os acompanhem.

2. Os documentos CONFIDENTIEL UE ou com classificação superior só poderão ser dactilografados, traduzidos, armazenados, fotocopiados, reproduzidos magneticamente ou microfilmados por pessoas que estejam habilitadas a aceder a informações classificadas da UE pelo menos até ao nível adequado de classificação de segurança do documento em questão, excepto no caso especial descrito no ponto 27 da presente secção.

Constam da secção XI as disposições relativas à produção informática de documentos classificados.

DISTRIBUIÇÃO

3. As informações classificadas da UE só serão distribuídas às pessoas que precisam de tomar conhecimento delas e que possuem uma habilitação de segurança adequada. A distribuição inicial será indicada pela entidade de origem.

4. Os documentos TRÈS SECRET UE/EU TOP SECRET serão distribuídos através dos registos TRÈS SECRET UE/EU TOP SECRET (ver secção VIII). No caso das mensagens TRÈS SECRET UE/EU TOP SECRET, o registo competente poderá autorizar o chefe do centro de comunicações a produzir o número de cópias indicado na lista dos destinatários.

5. Os documentos SECRET UE ou com classificação inferior poderão ser redistribuídos pelo destinatário original a outros destinatários, com base no princípio da "necessidade de ter conhecimento". As entidades de origem deverão, todavia, indicar claramente quaisquer advertências que desejem impor. Sempre que sejam impostas estas advertências, os destinatários só podem redistribuir os documentos com a autorização da entidade de origem.

6. Todos os documentos CONFIDENTIEL UE ou com classificação superior deverão, ao entrar ou sair de um serviço ou organismo ser averbados no seu registo. As indicações a registar (referências, data e, se for caso disso, o número da cópia) deverão permitir identificar os documentos e deverão ser averbadas num livro de registo ou num meio informático especialmente protegido.

Capítulo II

Transmissão de documentos classificados da UE

EXPEDIÇÃO

7. Os documentos CONFIDENTIEL UE ou com classificação superior deverão ser transmitidos em envelopes duplos, resistentes e opacos. O envelope interior deverá ostentar a adequada classificação de segurança da UE bem como, se possível, indicações pormenorizadas quanto às funções, título e endereço do destinatário.

8. O envelope interior só poderá ser aberto por um oficial de controlo do registo, ou por um seu substituto, que deverá acusar a recepção dos documentos juntos, excepto se o envelope for endereçado a um indivíduo. Nesse caso, deverá ser averbada no registo adequado a chegada do envelope, e somente o indivíduo a quem este é endereçado poderá abrir o envelope interior e acusar a recepção do documento que ele contém.

9. No envelope interior será colocado um formulário de aviso de recepção. O aviso de recepção, que não será classificado, deverá ostentar o número de referência, a data e o número de cópia do documento, mas nunca o seu assunto.

10. O envelope interior deverá ser inserido num envelope exterior que ostente um número de expedição para efeitos de recepção. A classificação de segurança nunca deverá ser aposta no envelope exterior, seja em que circunstâncias for.

11. No caso de documentos CONFIDENTIEL UE ou com classificação superior, os mensageiros ou estafetas deverão obter recibos da entrega, dos quais deverão constar os respectivos números de expedição.

TRANSMISSÃO NO INTERIOR DE UM EDIFÍCIO OU DE UM GRUPO DE EDIFÍCIOS

12. No interior de um dado edifício ou grupo de edifícios, os documentos classificados poderão ser transportados num envelope selado que ostente apenas o nome do destinatário, desde que esse envelope seja transportado por uma pessoa com habilitação de segurança do mesmo nível dos documentos.

TRANSMISSÃO DE DOCUMENTOS DA UE NO INTERIOR DE UM PAÍS

13. No interior de um país, os documentos TRÈS SECRET UE/EU TOP SECRET deverão apenas ser enviados através de um serviço oficial de estafetas ou transportados por pessoas habilitadas a aceder a informações TRÈS SECRET UE/EU TOP SECRET.

14. Sempre que seja utilizado um serviço de estafetas para a transmissão de um documento TRÈS SECRET UE/EU TOP SECRET fora do perímetro de um edifício ou de um grupo de edifícios, será necessário respeitar as disposições em matéria de expedição e recepção constantes do presente capítulo. Os serviços de entrega deverão ser estruturados de molde a assegurar que as embalagens que contêm documentos TRÈS SECRET UE/EU TOP SECRET estão permanentemente sob controlo directo de um funcionário responsável.

15. Excepcionalmente, os documentos TRÈS SECRET UE/EU TOP SECRET podem ser transportados por funcionários, que não os estafetas, fora do perímetro de um edifício ou de um grupo de edifícios para uso local em reuniões e debates, desde que:

a) O portador esteja habilitado para o acesso a esses documentos TRÈS SECRET UE/EU TOP SECRET;

b) O modo de transporte satisfaça as regras nacionais em matéria de transmissão de documentos nacionais classificados MUITO SECRETO;

c) O funcionário não deixe, em nenhumas circunstâncias, os documentos TRÈS SECRET UE/EU TOP SECRET sem guarda;

d) Sejam tomadas disposições para que uma lista dos documentos assim transportados fique no registo TRÈS SECRET UE/EU TOP SECRET que tem a guarda de tais documentos e seja averbada num livro de registo, devendo o seu retorno ser controlado por tal averbamento.

16. No interior de um país, os documentos SECRET UE e CONFIDENTIEL UE poderão ser enviados quer pelo correio, se esse envio for permitido pela regulamentação nacional e conforme com as suas disposições, quer por um serviço de estafetas ou por pessoas habilitadas para o acesso a informações classificadas da UE.

17. Cada Estado-Membro ou cada organismo descentralizado da UE deverá elaborar instruções sobre o transporte pessoal de documentos classificados da UE, com base nas presentes regras. O portador deverá ler e assinar essas instruções. Em especial, as instruções deverão indicar claramente que em nenhumas circunstâncias os documentos poderão:

a) Deixar de estar na posse do portador, salvo se forem guardados de forma segura, segundo o disposto na secção IV;

b) Ser deixados sem guarda em transportes públicos ou veículos privados, ou em locais como restaurantes ou hotéis; também não poderão ser guardados em cofres de hotéis nem deixados sem guarda em quartos de hotel;

c) Ser lidos em locais públicos como aeronaves ou comboios.

TRANSMISSÃO DE UM ESTADO-MEMBRO PARA OUTRO

18. O material com classificação CONFIDENTIEL UE ou superior deverá ser enviado de um Estado-Membro para outro por mala diplomática ou por serviços de estafetas militares.

19. Todavia, poderá ser autorizado o transporte pessoal de material SECRET UE ou CONFIDENTIEL UE, se as disposições em matéria de transporte forem de molde a garantir que este não poderá chegar às mãos de pessoas não autorizadas.

20. As ANS podem autorizar o transporte pessoal quando não estejam disponíveis nem a mala diplomática nem os serviços de estafetas militares, ou a utilização destes tipos de transporte possa resultar num atraso susceptível de prejudicar as operações da UE, e quando o material for urgentemente preciso no destinatário previsto. Cada Estado-Membro deverá elaborar instruções que abranjam o transporte internacional pessoal de material classificado até ao nível SECRET UE, inclusive, por pessoas que não sejam correios diplomáticos nem militares. Estas instruções deverão estipular que:

a) O portador tenha a habilitação de segurança adequada concedida pelos Estados-Membros;

b) Todo o material assim transportado esteja averbado num registo ou serviço competente;

c) As embalagens ou sacos com material da UE ostentem um selo oficial para impedir ou desencorajar a inspecção pelos serviços aduaneiros, e rótulos com identificação e instruções para as pessoas que os possam eventualmente encontrar;

d) O portador disponha de um certificado de correio e/ou de uma ordem de missão, reconhecida por todos os Estados-Membros da UE, que o autorize a transportar a embalagem assim identificada;

e) Não sejam atravessados nem o território nem as fronteiras de um Estado não membro da UE, por via terrestre, a menos que o Estado de envio receba garantia específica daquele Estado;

f) As condições de viagem do portador, no tocante aos destinos, rotas a seguir e meios de transporte a utilizar, sejam conformes com a regulamentação da UE ou - se a regulamentação nacional para o efeito for mais restritiva - conformes com essa regulamentação;

g) O material não deixe de estar na posse do portador excepto se for guardado de forma segura segundo o disposto na secção IV;

h) O material não seja deixado sem guarda em transportes públicos ou veículos privados, nem em locais como restaurantes ou hotéis; também não deve ser guardado em cofres de hotéis nem deixado sem guarda em quartos de hotel;

i) Se o material a transportar contiver documentos, estes não sejam lidos em locais públicos (por exemplo, aeronaves, comboios, etc.).

A pessoa designada para transportar o material classificado deve ler e assinar uma informação de segurança que contenha, no mínimo, as instruções acima enumeradas e os procedimentos a seguir em caso de emergência ou no caso de a embalagem com material classificado ser inspeccionada pelos serviços aduaneiros ou funcionários de segurança dos aeroportos.

TRANSMISSÃO DE DOCUMENTOS CLASSIFICADOS RESTREINT UE

21. Não são estabelecidas disposições especiais para o transporte de documentos RESTREINT UE, excepto que será necessário assegurar que tais documentos não caiam em mãos de pessoas não autorizadas para o fazer.

SEGURANÇA DO PESSOAL QUE TRANSPORTA DOCUMENTOS

22. Todos os mensageiros e estafetas que transportam documentos SECRET UE e CONFIDENTIEL UE deverão possuir uma habilitação de segurança adequada.

Capítulo III

Meios técnicos de transmissão, eléctricos e outros

23. As medidas de segurança das comunicações serão concebidas de modo a assegurar a transmissão segura de informações classificadas da UE. As regras de aplicação em matéria de transmissão de tais informações constam da secção XI.

24. Apenas poderão transmitir informações com classificação CONFIDENTIEL UE e SECRET UE os centros e redes e/ou os terminais e sistemas de comunicações aprovados.

Capítulo IV

Cópias, traduções e extractos de documentos classificados da UE

25. Apenas a entidade de origem poderá autorizar a cópia ou a tradução de documentos TRÈS SECRET UE/EU TOP SECRET.

26. Se houver pessoas sem habilitação de segurança para o nível TRÈS SECRET UE/EU TOP SECRET que precisem de informações que não tenham essa classificação embora contidas num documento TRÈS SECRET UE/EU TOP SECRET, o chefe do registo TRÈS SECRET UE/EU TOP SECRET poderá ser autorizado a produzir o necessário número de extractos de tal documento. Simultaneamente, deverá tomar as medidas necessárias para garantir que seja atribuída a esses extractos uma classificação de segurança adequada.

27. Os documentos SECRET UE ou com classificação inferior poderão ser reproduzidos e traduzidos pelo destinatário, no âmbito da regulamentação nacional de segurança e na condição de ser respeitado estritamente o princípio da "necessidade de ter conhecimento". As medidas de segurança aplicáveis ao documento original devem igualmente ser aplicáveis às reproduções e/ou às traduções do mesmo. Os organismos descentralizados da UE deverão seguir as presentes regras de segurança.

Capítulo V

Inventários e verificações, armazenagem e destruição de documentos classificados da UE

INVENTÁRIOS E VERIFICAÇÕES

28. Todos os anos, cada um dos registos TRÈS SECRET UE/EU TOP SECRET a que é feita referência na secção VIII deverá fazer um inventário exaustivo dos documentos TRÈS SECRET UE/EU TOP SECRET, segundo as regras previstas nos pontos 9 a 11 da secção VIII. Os documentos TRÈS SECRET UE/EU TOP SECRET ou com classificação inferior deverão ser objecto de verificações internas segundo as orientações nacionais e, no caso do SGC ou dos organismos descentralizados da UE, segundo as instruções do Secretário-Geral/Alto Representante.

Estas operações deverão permitir que os detentores dos documentos possam dar a sua opinião sobre:

a) A possibilidade de desgraduar ou desclassificar certos documentos;

b) Documentos a destruir.

ARQUIVAGEM DE INFORMAÇÕES CLASSIFICADAS DA UE

29. A fim de reduzir os problemas de armazenagem, os oficiais de controlo de todos os registos deverão ser autorizados a arquivar documentos TRÈS SECRET UE/EU TOP SECRET, SECRET UE e CONFIDENTIEL UE sob a forma de microfilmes ou gravação em meios magnéticos ou ópticos, desde que:

a) O processo de microfilmagem/gravação seja realizado por pessoal com uma habilitação de segurança correspondente ao nível de classificação do material tratado;

b) O microfilme/suporte de gravação possua o mesmo grau de segurança que os documentos originais;

c) A microfilmagem/gravação de qualquer documento TRÈS SECRET UE/EU TOP SECRET seja comunicada à entidade de origem;

d) Cada um dos rolos de filme ou outros suportes contenha apenas documentos com o mesmo grau de classificação;

e) A microfilmagem/gravação de um documento TRÈS SECRET UE/EU TOP SECRET ou SECRET UE seja claramente indicada no registo utilizado para o inventário anual;

f) Os documentos originais passados para microfilme ou gravados noutros suportes sejam destruídos, conforme as regras estabelecidas nos pontos 31 a 36.

30. Estas regras são também aplicáveis a qualquer outra forma de gravação autorizada pelas ANS, tais como meios electromagnéticos e disco óptico.

DESTRUIÇÃO ROTINEIRA DE DOCUMENTOS CLASSIFICADOS DA UE

31. A fim de impedir a desnecessária acumulação dos documentos classificados da UE, aqueles que forem considerados pelo chefe do organismo detentor como desactualizados ou excedentários deverão ser destruídos logo que possível, da seguinte maneira:

a) Os documentos TRÈS SECRET UE/EU TOP SECRET só serão destruídos pelo registo central responsável pelos mesmos. Cada documento destruído será enumerado num certificado de destruição, assinado pelo oficial de controlo TRÈS SECRET UE/EU TOP SECRET e pelo funcionário que testemunhar a destruição, devendo este último possuir habilitação de segurança ao nível TRÈS SECRET UE/EU TOP SECRET. Será averbada no livro de registo uma nota neste sentido;

b) O registo manterá durante um período de dez anos os certificados de destruição e as folhas de distribuição. Só serão enviadas cópias à entidade de origem ou ao registo central adequado quando estas forem explicitamente solicitadas;

c) Os documentos TRÈS SECRET UE/EU TOP SECRET, incluindo todos os resíduos classificados resultantes da preparação de documentos TRÈS SECRET UE/EU TOP SECRET tais como cópias estragadas, rascunhos, notas dactilografadas e papel químico, serão destruídos sob o controlo de um funcionário TRÈS SECRET UE/EU TOP SECRET através de combustão, redução a pasta, retalhamento ou outro processo que os reduza a uma forma irreconhecível e não reconstituível.

32. Os documentos SECRET UE serão destruídos pelo registo responsável por esses documentos, sob o controlo de uma pessoa com habilitação de segurança, utilizando os processos indicados na alínea c) do ponto 31. Os documentos SECRET UE destruídos serão enumerados em certificados de destruição assinados que deverão ser mantidos pelo registo, juntamente com as listas de distribuição, pelo menos durante três anos.

33. Os documentos CONFIDENTIEL UE serão destruídos pelo registo responsável por esses documentos, sob o controlo de uma pessoa com habilitação de segurança, utilizando os processos indicados na alínea c) do ponto 31. A sua destruição será registada nos termos da regulamentação nacional e, no caso do SGC ou dos organismos descentralizados da UE, segundo as instruções do Secretário-Geral/Alto Representante.

34. Os documentos RESTREINT UE serão destruídos pelo registo responsável por esses documentos ou pelo utilizador, nos termos da regulamentação nacional e, no caso do SGC ou dos organismos descentralizados da UE, segundo as instruções do Secretário-Geral/Alto Representante.

DESTRUIÇÃO EM CASOS DE EMERGÊNCIA

35. O SGC, os Estados-Membros e os organismos descentralizados da UE deverão elaborar, com base nas condições locais, planos para a salvaguarda do material classificado da UE em situação de crise, incluindo, se necessário, a destruição de emergência e planos de evacuação; no âmbito das respectivas estruturas, deverão publicar as instruções consideradas necessárias para impedir que as informações classificadas da UE possam chegar às mãos de pessoas não autorizadas.

36. As disposições para a salvaguarda e/ou destruição de material SECRET UE e CONFIDENTIEL UE numa situação de crise não deverão prejudicar em nenhum caso a salvaguarda ou a destruição do material classificado de TRÈS SECRET UE/EU TOP SECRET, incluindo o equipamento de cifragem, cujo tratamento terá prioridade sobre todas as outras tarefas. As medidas a adoptar para a salvaguarda e a destruição do equipamento de cifragem em caso de emergência deverão ser objecto de instruções ad hoc.

Capítulo VI

Regras específicas aplicáveis aos documentos destinados ao Conselho

37. No interior do SGC, um "Serviço das Informações Classificadas" deverá controlar as informações classificadas como SECRET UE ou CONFIDENTIEL UE contida nos documentos destinados ao Conselho.

Sob a autoridade do director-geral do Pessoal e da Administração, este serviço deverá:

a) Gerir as operações relativas ao registo, reprodução, tradução, transmissão e destruição dessas informações;

b) Actualizar a lista das indicações específicas relativas às informações classificadas;

c) Analisar periodicamente a necessidade de manter a classificação das informações;

d) Definir, em colaboração com o Serviço de Segurança, as condições práticas de classificação e desclassificação das informações;

38. O Serviço das Informações Classificadas deverá manter um registo dos seguintes elementos específicos:

a) A data de elaboração das informações classificadas;

b) O nível de classificação;

c) A data em que expira a classificação;

d) O nome e a designação do serviço do autor;

e) O destinatário ou destinatários, com o respectivo número de série;

f) O assunto;

g) O número;

h) O número de cópias distribuídas;

i) A elaboração de inventários das informações classificadas apresentadas ao Conselho;

j) O registo das desclassificações e das desgraduações de informações classificadas.

39. As regras gerais previstas nos capítulos I a V da presente secção são aplicáveis ao Serviço das Informações Classificadas do SGC, excepto quando alteradas pelas regras específicas estabelecidas no presente capítulo.

SECÇÃO VIII

REGISTOS TRÈS SECRET UE/EU TOP SECRET

1. Os registos TRÈS SECRET UE/EU TOP SECRET destinam-se a assegurar o arquivo, o tratamento e a distribuição de documentos TRÈS SECRET UE/EU TOP SECRET em conformidade com as regras de segurança. O chefe do registo TRÈS SECRET UE/EU TOP SECRET em cada Estado-Membro, no SGC e, se for caso disso, nos organismos descentralizados da UE, será o oficial de controlo TRÈS SECRET UE/EU TOP SECRET.

2. Os registos centrais constituirão a principal autoridade de recepção e despacho nos Estados-Membros, no SGC e nos organismos descentralizados da UE, nos quais tenham sido criados, bem como, se for caso disso, noutras instituições da UE, em organizações internacionais e em países terceiros com os quais o Conselho tenha acordos sobre procedimentos de segurança para o intercâmbio de informações classificadas.

3. Sempre que necessário, serão criados sub-registos responsáveis pela gestão interna de documentos TRÈS SECRET UE/EU TOP SECRET; esses sub-registos manterão registos actualizados da circulação de cada documento a seu cargo.

4. Os sub-registos TRÈS SECRET UE/EU TOP SECRET serão criados segundo o disposto na secção I em resposta a necessidades de longo prazo e dependerão de um registo central TRÈS SECRET UE/EU TOP SECRET. Se apenas for necessário consultar documentos TRÈS SECRET UE/EU TOP SECRET temporária ou ocasionalmente, tais documentos poderão ser disponibilizados sem que seja necessário criar um sub-registo TRÈS SECRET UE/EU TOP SECRET, na condição de serem definidas regras para assegurar que os documentos permanecem sob o controlo do registo TRÈS SECRET UE/EU TOP SECRET adequado e que são cumpridas todas as medidas de segurança física e pessoal.

5. Os sub-registos não podem enviar documentos TRÈS SECRET UE/EU TOP SECRET directamente a outros sub-registos do mesmo registo central TRÈS SECRET UE/EU TOP SECRET sem a aprovação expressa deste último.

6. Todos os intercâmbios de documentos TRÈS SECRET UE/EU TOP SECRET entre sub-registos que não dependam do mesmo registo central deverão ser encaminhados através dos registos centrais.

REGISTOS CENTRAIS TRÈS SECRET UE/EU TOP SECRET

7. Na sua qualidade de oficial de controlo, o chefe de um registo central TRÈS SECRET UE/EU TOP SECRET será responsável:

a) Pela transmissão de documentos TRÈS SECRET UE/EU TOP SECRET segundo as regras definidas na secção VII;

b) Por manter uma lista de todos os sub-registos que dependem do seu registo central, juntamente com os nomes e as assinaturas dos oficiais de controlo nomeados e dos seus substitutos autorizados;

c) Por obter dos vários registos recibos para todos os documentos TRÈS SECRET UE/EU TOP SECRET distribuídos pelo registo central;

d) Por manter um registo dos documentos TRÈS SECRET UE/EU TOP SECRET arquivados e distribuídos;

e) Por manter uma lista actualizada de todos os registos centrais TRÈS SECRET UE/EU TOP SECRET com os quais normalmente trabalha, juntamente com os nomes e as assinaturas dos respectivos oficiais de controlo e seus substitutos autorizados;

f) Pela salvaguarda física de todos os documentos TRÈS SECRET UE/EU TOP SECRET arquivados no registo, segundo as regras contidas na secção IV.

SUB-REGISTOS TRÈS SECRET UE/EU TOP SECRET

8. Na sua qualidade de oficial de controlo, o chefe de um sub-registo TRÈS SECRET UE/EU TOP SECRET será responsável:

a) Pela transmissão de documentos TRÈS SECRET UE/EU TOP SECRET segundo as regras contidas na secção VII e nos pontos 5 e 6 da secção VIII;

b) Por manter uma lista actualizada de todas as pessoas autorizadas a aceder às informações TRÈS SECRET UE/EU TOP SECRET sob o seu controlo;

c) Pela distribuição de documentos TRÈS SECRET UE/EU TOP SECRET segundo as instruções da entidade de origem ou segundo o princípio de "necessidade de ter conhecimento", devendo verificar previamente se o destinatário possui a necessária habilitação de segurança;

d) Por manter um registo actualizado de todos os documentos TRÈS SECRET UE/EU TOP SECRET arquivados ou que circulam sob o seu controlo ou que tenham sido enviados a outros registos TRÈS SECRET UE/EU TOP SECRET, e pela guarda de todos os recibos correspondentes;

e) Por manter uma lista actualizada dos registos TRÈS SECRET UE/EU TOP SECRET com os quais está autorizado a fazer intercâmbio de documentos TRÈS SECRET UE/EU TOP SECRET, juntamente com os nomes e assinaturas dos respectivos oficiais do controlo e seus substitutos autorizados;

f) Pela salvaguarda física de todos os documentos TRÈS SECRET UE/EU TOP SECRET arquivados no sub-registo, segundo as regras estabelecidas na secção IV.

INVENTÁRIOS

9. De doze em doze meses, cada registo TRÈS SECRET UE/EU TOP SECRET fará um inventário exaustivo de todos os documentos TRÈS SECRET UE/EU TOP SECRET dos quais é responsável. Considerar-se-á que foram dadas contas do documento se ele estiver fisicamente inscrito no registo, ou se este último possuir um recibo do registo TRÈS SECRET UE/EU TOP SECRET para o qual o documento foi transferido, um certificado de destruição do documento ou uma ordem para a sua desgraduação ou desclassificação.

10. Os sub-registos deverão enviar os resultados do seu inventário anual ao registo central de que dependem, numa data indicada por este.

11. As ANS, bem como as instituições da UE, as organizações internacionais e os organismos descentralizados da UE onde tenha sido criado um registo central TRÈS SECRET UE/EU TOP SECRET deverão enviar os resultados dos inventários anuais efectuados em tais registos ao Secretário-Geral/Alto Representante, o mais tardar em 1 de Abril de cada ano.

SECÇÃO IX

MEDIDAS DE SEGURANÇA A APLICAR POR OCASIÃO DE REUNIÕES ESPECÍFICAS REALIZADAS FORA DAS INSTALAÇÕES DO CONSELHO E QUE ENVOLVAM QUESTÕES DE ALTA SENSIBILIDADE

DISPOSIÇÕES GERAIS

1. Quando forem realizadas sessões do Conselho Europeu ou do Conselho, reuniões ministeriais ou outras reuniões importantes fora das instalações do Conselho em Bruxelas ou no Luxemburgo e sempre que tal se justifique devido aos requisitos especiais de segurança relacionados com a alta sensibilidade das questões ou das informações tratadas, deverão ser tomadas as medidas de segurança seguidamente descritas. Estas medidas dizem apenas respeito à protecção das informações classificadas da UE; poderá ser necessário planear outras medidas de segurança.

RESPONSABILIDADES

Estado-Membro de acolhimento

2. O Estado-Membro em cujo território tem lugar a reunião (o Estado-Membro de acolhimento) será responsável, em cooperação com o Serviço de Segurança do SGC, pela segurança do Conselho Europeu, do Conselho, da reunião ministerial ou outras reuniões importantes, e pela segurança física dos principais delegados e respectivo pessoal.

Em matéria de segurança, o Estado-Membro de acolhimento deverá especialmente assegurar que:

a) Sejam elaborados planos para fazer face às ameaças à segurança e aos incidentes relacionados com a segurança, os quais devem abranger em especial a guarda segura dos documentos classificados da UE em gabinetes;

b) Sejam tomadas medidas para facultar o acesso ao sistema de comunicações do Conselho para a recepção e transmissão de mensagens classificadas da UE. O Estado-Membro de acolhimento deverá igualmente fornecer acesso, se necessário, a sistemas telefónicos seguros.

Estados-Membros

3. As autoridades dos Estados-Membros devem tomar as medidas necessárias para assegurar que:

a) Seja fornecido um certificado adequado de habilitação de segurança aos seus delegados nacionais, se necessário por sinalização ou por fax, quer directamente ao oficial de segurança da reunião ou através do Serviço de Segurança do SGC;

b) Qualquer ameaça específica seja comunicada às autoridades do Estado-Membro de acolhimento e, se for caso disso, ao Serviço de Segurança do SGC, para que possam ser tomadas as medidas apropriadas.

Oficial de segurança da reunião

4. Deverá ser nomeado um oficial de segurança como responsável pela preparação geral e controlo das medidas gerais de segurança interna e pela coordenação com as outras autoridades competentes em matéria de segurança. As medidas tomadas devem em geral dizer respeito:

a) i) Às medidas de protecção no local da reunião destinadas a garantir que esta se processa sem qualquer incidente que possa comprometer a segurança de qualquer informação classificada da UE que aí seja utilizada,

ii) ao controlo do pessoal a quem é permitido aceder ao local da reunião, áreas das delegações e salas de conferência, e à verificação de todo o equipamento,

iii) à constante coordenação com as autoridades competentes do Estado-Membro de acolhimento e com o Serviço de Segurança do SGC;

b) À inclusão de instruções de segurança no dossier da reunião, tendo em conta as exigências das presentes regras de segurança e quaisquer outras instruções de segurança consideradas necessárias.

Serviço de Segurança do SGC

5. O Serviço de Segurança do SGC deverá agir como consultor em matéria de segurança para a preparação da reunião; deverá estar representado no local a fim de ajudar e aconselhar o oficial de segurança da reunião e as delegações, consoante as necessidades.

6. Cada uma das delegações a uma reunião deverá designar um seu oficial de segurança, que será responsável por tratar das questões de segurança no interior da sua delegação e por manter o contacto com o oficial de segurança da reunião e com o representante do Serviço de Segurança do SGC, consoante as necessidades.

MEDIDAS DE SEGURANÇA

Áreas de segurança

7. Deverão ser criadas as seguintes áreas de segurança:

a) Uma área de segurança da classe II, constituída por uma sala de redacção, os gabinetes e equipamento de reprografia do SGC, e os gabinetes das delegações, conforme as necessidades;

b) Uma área de segurança da classe I, constituída pela sala de conferência e pelos gabinetes dos intérpretes e dos técnicos de som;

c) Áreas administrativas, constituídas pela área de imprensa e pelas instalações utilizadas para a administração, a restauração e o alojamento, bem como a área imediatamente adjacente ao Centro de Imprensa e ao local da reunião.

Passes

8. O oficial de segurança da reunião deverá fornecer cartões adequados, conforme os pedidos das delegações, e segundo as suas necessidades. Quando necessário, deverá ser feita uma distinção no que toca ao acesso às várias áreas de segurança.

9. As instruções de segurança para a reunião devem exigir que todas as pessoas abrangidas ostentem de forma visível os seus cartões sempre que estejam dentro do local de reunião, de forma a poderem ser controladas pelo pessoal de segurança, na medida do necessário.

10. Além dos participantes que possuem um cartão, o número de pessoas a admitir no local de reunião deverá ser o mais reduzido possível. As delegações nacionais que desejem receber visitantes durante a reunião devem notificar o oficial de segurança da reunião. Deve ser dado um cartão de visitante a cada visitante. Deverá igualmente ser preenchido um passe de entrada do visitante, com o seu nome e com o nome da pessoa que este visita. Os visitantes devem ser acompanhados em todas as ocasiões por um guarda de segurança ou pela pessoa que estes visitam. O passe do visitante deve ser transportado pela pessoa que o acompanha e devolvido ao pessoal encarregado da segurança, quando o visitante sai do local de reunião.

Controlo do equipamento fotográfico e de som

11. Não poderá dar entrada em nenhuma área de segurança da classe I qualquer equipamento audiovisual, com excepção do equipamento utilizado pelos fotógrafos e pelos técnicos de som devidamente autorizados pelo oficial de segurança da reunião.

Controlo das pastas, computadores portáteis e embrulhos

12. Os detentores de um passe com acesso autorizado a uma área de segurança podem normalmente transportar as suas pastas e computadores portáteis (com a sua própria fonte de energia) sem que estes devam ser controlados. No caso dos embrulhos destinados às delegações, estas podem recebê-los, mas devem ser quer inspeccionados pelo oficial de segurança da delegação, quer visionados em equipamento especial, quer abertos pelo pessoal de segurança para inspecção. Se o oficial de segurança da reunião o considerar necessário, poderão ser estabelecidas medidas mais restritivas para a inspecção das pastas e embrulhos.

Segurança técnica

13. Uma equipa de segurança técnica deve tornar a sala de reunião tecnicamente segura, podendo igualmente efectuar uma vigilância electrónica durante a reunião.

Documentos das delegações

14. As delegações devem ser responsáveis por transportar consigo documentos classificados da UE tanto para dentro como para fora das reuniões. Devem igualmente ser responsáveis pela verificação e pela segurança desses documentos durante a sua utilização nas instalações que lhes forem atribuídas. Pode ser solicitado o auxílio do Estado-Membro de acolhimento para o transporte de documentos classificados para dentro e para fora do local da reunião.

Guarda segura dos documentos

15. Se o SGC, a Comissão ou as delegações não estiverem em condições de guardar os seus documentos classificados em conformidade com as normas aprovadas, poderão introduzir esses documentos em envelopes selados e entregá-los ao oficial de segurança da reunião, mediante recibo, para que este os possa guardar segundo as normas aprovadas.

Inspecção dos gabinetes

16. O oficial de segurança da reunião deve providenciar para que os gabinetes do SGC e das delegações sejam inspeccionados no fim de cada dia de trabalho, por forma a garantir que todos os documentos classificados da UE são guardados em local seguro; caso contrário, deverão ser tomadas as medidas necessárias.

Remoção de resíduos de documentos classificados da UE

17. Todos os resíduos devem ser tratados como resíduos classificados da UE, e todos os cestos ou sacos de lixo de papel devem ser entregues ao SGC ou às delegações para remoção. Antes de abandonar as instalações que lhes foram atribuídas, o SGC e as delegações devem entregar os seus resíduos ao oficial de segurança da reunião, que deverá providenciar para a sua destruição segundo a regulamentação.

18. No fim da reunião, todos os documentos na posse do SGC ou das delegações mas que já não sejam necessários deverão ser tratados como resíduos. Antes de levantar as medidas de segurança tomadas para a reunião, deverá ser feita uma busca exaustiva das instalações ocupadas pelo SGC e pelas delegações. Na medida do possível, os documentos para os quais tenha sido assinado um recibo devem ser destruídos conforme se encontra previsto na secção VII.

SECÇÃO X

QUEBRAS DE SEGURANÇA E FUGAS DE INFORMAÇÕES CLASSIFICADAS DA UE

1. Uma quebra de segurança é o resultado de um acto ou uma omissão contrários a uma regra de segurança do Conselho ou a uma regra nacional de segurança, susceptível de pôr em perigo as informações classificadas da UE ou propiciar a sua fuga.

2. Uma fuga de informações classificadas da UE ocorre quando estas caem no todo ou em parte nas mãos de pessoas não autorizadas, ou seja, pessoas que não possuem a habilitação de segurança adequada ou que não precisam de tomar conhecimento dessas informações, ou quando há a probabilidade de tal ter acontecido.

3. Pode haver fuga de informações classificadas da UE como resultado de descuido, negligência ou indiscrição, bem como em resultado das actividades de serviços de espionagem que têm por alvo a UE ou os seus Estados-Membros visando as informações classificadas e as actividades da UE, ou das actividades de organizações de carácter subversivo.

4. É importante que todas as pessoas que devam tratar informações classificadas da UE tenham recebido instruções completas sobre os procedimentos de segurança, os perigos de conversas indiscretas e as suas relações com a imprensa. Essas pessoas deverão estar conscientes da importância de relatar imediatamente qualquer quebra de segurança de que possam ter tido conhecimento à autoridade de segurança do Estado-Membro, da Instituição ou do organismo que as emprega.

5. Quando uma autoridade de segurança descobrir ou for informada da ocorrência de uma quebra de segurança relacionada com informações classificadas da UE ou com a perda ou desaparecimento de material classificado da UE, deverá tomar imediatamente medidas para:

a) Determinar os factos ocorridos;

b) Avaliar e reduzir os danos verificados;

c) Impedir que tal volte a acontecer;

d) Notificar as autoridades adequadas dos efeitos da quebra de segurança.

Neste contexto, serão fornecidos os seguintes elementos:

i) uma descrição das informações em causa, incluindo a sua classificação, números de referência e de cópia, data, entidade de origem, assunto e âmbito,

ii) uma breve descrição das circunstâncias da quebra de segurança, incluindo a data e o período durante o qual as informações estiveram expostas à fuga,

iii) uma declaração de que a entidade de origem foi ou não informada.

6. Incumbe a cada autoridade de segurança, imediatamente depois de lhe ter sido notificada a ocorrência de uma quebra de segurança, relatar o facto imediatamente, utilizando o seguinte procedimento: o sub-registo TRÈS SECRET UE/EU TOP SECRET deverá informar o Serviço de Segurança do SGC através do seu registo central TRÈS SECRET UE/EU TOP SECRET; no caso de fuga de informações classificadas da UE no âmbito da competência de um Estado-Membro, essa ocorrência será relatada ao Serviço de Segurança do SGC, tal como se encontra previsto no ponto 5, através da ANS competente.

7. Só será necessário relatar os casos que envolvam informações classificadas de RESTREINT UE quando estes apresentarem características pouco usuais.

8. Ao ser informado da ocorrência de uma quebra de segurança, o Secretário-Geral/Alto Representante deverá:

a) Notificar a entidade de origem das informações classificadas em questão;

b) Solicitar às autoridades de segurança competentes que procedam a um inquérito;

c) Coordenar os inquéritos, quando estiver envolvida mais do que uma autoridade de segurança;

d) Obter um relatório das circunstâncias da quebra de segurança, o período durante o qual poderá ter ocorrido e a data em que foi descoberta, juntamente com uma descrição pormenorizada do conteúdo e da classificação do material em causa. Deverão igualmente ser relatados os danos causados aos interesses da UE ou de um ou vários dos seus Estados-Membros e tomadas medidas para impedir que tal volte a acontecer.

9. A entidade de origem deverá informar os destinatários e deverá emitir instruções adequadas.

10. Qualquer indivíduo que seja responsável por uma fuga de informações classificadas da UE será passível de acção disciplinar segundo as regras e regulamentos pertinentes. Essa acção disciplinar não será impeditiva de qualquer acção em justiça.

SECÇÃO XI

PROTECÇÃO DAS INFORMAÇÕES TRATADAS EM SISTEMAS INFORMÁTICOS E DE COMUNICAÇÃO

Sumário

>POSIÇÃO NUMA TABELA>

Capítulo I

Introdução

ASPECTOS GERAIS

1. A política e os requisitos de segurança da presente secção aplicar-se-ão a todos os sistemas e redes de comunicação e de informação (adiante designados por SISTEMAS) que tratem informações com a classificação CONFIDENTIEL UE ou superior.

2. Os SISTEMAS que tratem informações com classificação RESTREINT UE necessitam igualmente de medidas de segurança para proteger a confidencialidade dessas informações. Todos os SISTEMAS necessitam de medidas de segurança para proteger a sua integridade e disponibilidade, bem como a das informações que contêm. As medidas de segurança a aplicar a esses sistemas serão determinadas pela Autoridade de Acreditação de Segurança (AAS) competente, serão proporcionais aos riscos avaliados e serão conformes com a política definida nas presentes regras de segurança.

3. A protecção dos sensores de sistemas que contenham SISTEMAS informáticos integrados será determinada e definida no contexto geral dos sistemas a que pertencem, utilizando, na medida do possível, as disposições aplicáveis da presente secção.

AMEAÇAS AOS SISTEMAS E SUA VULNERABILIDADE

4. Em termos gerais, é possível definir uma ameaça como uma quebra potencial, quer acidental quer deliberada, da segurança. No caso dos SISTEMAS, essa quebra envolve a perda de uma ou várias características de confidencialidade, integridade e disponibilidade. A vulnerabilidade pode ser definida como uma fraqueza ou falta de controlo que possa facilitar ou permitir uma ameaça contra um bem ou contra um alvo específico. A vulnerabilidade pode consistir numa omissão ou pode estar relacionada com uma deficiência na intensidade, na exaustividade ou na coerência do controlo; ela pode ser de carácter técnico, processual ou operacional.

5. O tratamento de informações classificadas e desclassificadas da UE em SISTEMAS de uma forma concentrada concebida para permitir a sua rápida localização, comunicação e utilização é vulnerável a vários riscos. Estes incluem o acesso à informação por utentes não autorizados ou, em sentido inverso, a recusa do acesso aos utentes autorizados. Existem igualmente riscos de divulgação, corrupção, alteração ou supressão não autorizadas da informação. Além disso, os equipamentos complexos e muitas vezes frágeis são onerosos e frequentemente de difícil reparação ou substituição. Esses SISTEMAS constituem por conseguinte alvos atractivos para operações de espionagem e de sabotagem, especialmente se as medidas de segurança forem consideradas ineficazes.

MEDIDAS DE SEGURANÇA

6. O principal objectivo das medidas de segurança enumeradas na presente secção é fornecer protecção contra a divulgação não autorizada (a perda de confidencialidade) e contra a perda de integridade ou disponibilidade das informações. Para alcançar um nível adequado de protecção de segurança de um SISTEMA que trate informações classificadas da UE, há que especificar normas adequadas de segurança convencional, juntamente com procedimentos e técnicas de segurança especiais e adequados, particularmente concebidos para cada SISTEMA.

7. Será definido e posto em prática um conjunto equilibrado de medidas de segurança a fim de criar um ambiente seguro para o funcionamento do SISTEMA. O âmbito de aplicação destas medidas abrange elementos físicos, o pessoal, procedimentos não técnicos e procedimentos operacionais informáticos e de comunicações.

8. As medidas de segurança informática [características de segurança do material (hardware) e dos logiciais (software)] deverão respeitar o princípio de quem deve tomar conhecimento e deverão impedir ou detectar a divulgação não autorizada das informações. Saber em que medida será possível confiar nas medidas de segurança informática é um elemento a definir durante o processo de elaboração dos requisitos de segurança. O processo de acreditação deverá determinar a existência de um nível adequado de segurança capaz de justificar esta confiança nas medidas de segurança informática.

LISTA DOS REQUISITOS DE SEGURANÇA ESPECÍFICOS DO SISTEMA (RSES)

9. A Autoridade Operacional do Sistema Informático (AOSI) deverá elaborar uma lista dos requisitos de segurança específicos do SISTEMA (RSES) para cada um dos sistemas que tratem informações com a classificação CONFIDENTIEL UE ou superior, em colaboração e com assistência, se necessário, da equipa de projecto e da Autoridade INFOSEC, lista essa que deverá ser aprovada pela AAS. Também será necessária uma lista RSES sempre que a AAS considerar que é de importância capital a disponibilidade e integridade de informações RESTREINT UE ou não classificadas.

10. A lista RSES será elaborada o mais cedo possível no processo de concepção do projecto e será desenvolvida e aperfeiçoada à medida que o projecto for evoluindo, desempenhando papéis diferentes em fases diferentes do ciclo de vida do projecto e do SISTEMA.

11. A lista RSES constituirá o acordo vinculativo entre a autoridade responsável pelo funcionamento do sistema informático e a AAS, e servirá de referência para a acreditação do SISTEMA.

12. A lista RSES constitui uma enumeração completa e explícita dos princípios de segurança a observar e dos requisitos pormenorizados de segurança a cumprir. Tem por base a política de segurança e a avaliação de riscos do Conselho, ou será balizada por parâmetros que incluam o ambiente operacional, o mais baixo nível de habilitação de segurança do pessoal, a mais alta classificação das informações tratadas, o modo seguro de funcionamento ou os requisitos dos utentes. A lista RSES faz parte integrante da documentação de projecto apresentada às autoridades competentes para efeitos de aprovação técnica, orçamental e de segurança. Na sua forma final, a lista RSES constitui uma enumeração completa dos parâmetros de segurança do SISTEMA.

MODOS SEGUROS DE FUNCIONAMENTO

13. Todos os SISTEMAS que tratem informações com a classificação CONFIDENTIEL UE ou superior deverão ser acreditados para funcionar num ou, se for caso disso e em períodos diferentes, em vários dos seguintes modos seguros de funcionamento,