DECISÃO (UE, Euratom) 2019/1962 DA COMISSÃO

de 17 de outubro de 2019

que estabelece regras de execução aplicáveis ao manuseamento de informações com classificação RESTREINT UE/EU RESTRICTED

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 249.o,

Tendo em conta o Tratado que institui a Comunidade Europeia da Energia Atómica, nomeadamente o artigo 106.o,

Tendo em conta a Decisão (UE, Euratom) 2015/443 da Comissão, de 13 de março de 2015, relativa à segurança na Comissão (1),

Tendo em conta a Decisão (UE, Euratom) 2015/444 da Comissão, de 13 de março de 2015, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (2),

Tendo em conta a Decisão (UE, Euratom) 2017/46 da Comissão, de 10 de janeiro de 2017, relativa à segurança dos sistemas de comunicação e de informação na Comissão Europeia (3),

Considerando o seguinte:

(1) A Decisão (UE, Euratom) 2015/444 é aplicável a todos os serviços e em todas as instalações da Comissão.

(2) As medidas de segurança destinadas a proteger as informações classificadas da UE (a seguir designadas ICUE) ao longo do seu ciclo de vida devem ser proporcionais, em particular, à sua classificação de segurança.

(3) O artigo 4.o, n.o 3, o artigo 19.o, n.o 1, alínea c), e o artigo 22.o da Decisão (UE, Euratom) 2015/444 preveem a adoção de disposições mais pormenorizadas para completar e apoiar a aplicação da referida decisão através de regras de execução que regulem questões como o guia de classificação, as medidas de compensação para o manuseamento de ICUE fora de uma Zona de Segurança ou de uma Zona Administrativa e as responsabilidades da entidade de origem.

(4) Se necessário, devem ser adotadas regras de execução para completar ou apoiar a Decisão (UE, Euratom) 2015/444, em conformidade com o artigo 60.o da mesma decisão.

(5) As medidas de segurança adotadas para dar cumprimento à presente decisão devem respeitar os princípios de segurança da Comissão estabelecidos no artigo 3.o da Decisão (UE, Euratom) 2015/443.

(6) O Conselho, a Comissão e a Alta Representante da União para os Negócios Estrangeiros e a Política de Segurança acordaram em assegurar a máxima coerência na aplicação das regras de segurança relativas à proteção das ICUE, tendo em conta as suas necessidades institucionais e organizacionais específicas, em conformidade com as declarações anexadas à ata da sessão do Conselho em que foi adotada a Decisão 2013/488/UE do Conselho (4) relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE.

(7) Em 4 de maio de 2016, a Comissão adotou uma decisão (5) que habilita o membro da Comissão responsável pelas questões de segurança a adotar, em nome da Comissão e sob a sua responsabilidade, as regras de execução previstas no artigo 60.o da Decisão (UE, Euratom) 2015/444 da Comissão,

ADOTOU A PRESENTE DECISÃO:

CAPÍTULO 1

DISPOSIÇÕES GERAIS

Artigo 1.o Objeto e âmbito de aplicação 1. A presente decisão estabelece as condições de manuseamento das informações classificadas da UE (ICUE) de nível RESTREINT UE/EU RESTRICTED (6), em conformidade com a Decisão (UE, Euratom) 2015/444. 2. A presente decisão é aplicável a todos os serviços e em todas as instalações da Comissão.

Artigo 2.o Critérios de acesso às informações com classificação RESTREINT UE/EU RESTRICTED 1. Pode ser concedido acesso a informações com classificação RESTREINT UE/EU RESTRICTED após: a) Ter sido determinada a necessidade de uma pessoa ter acesso a certas informações com classificação RESTREINT UE/EU RESTRICTED para poder desempenhar funções ou realizar tarefas profissionais para a Comissão Europeia; b) A pessoa em causa ter sido informada das regras e das normas de segurança aplicáveis e das orientações para a proteção das informações com classificação RESTREINT UE/EU RESTRICTED; e c) A pessoa em causa ter reconhecido as suas responsabilidades em matéria de proteção das informações em causa. 2. Não devem ser confiadas aos estagiários da Comissão tarefas que requeiram acesso a informações com classificação RESTREINT UE/EU RESTRICTED. 3. O acesso a essas informações por parte de outras categorias de pessoal deve ser recusado ou permitido em conformidade com o quadro constante do anexo.

CAPÍTULO 2

PRODUÇÃO DE INFORMAÇÕES COM CLASSIFICAÇÃO RESTREINT UE/EU RESTRICTED

Artigo 3.o Entidade de origem Embora a entidade de origem, na aceção do artigo 1.o da Decisão (UE, Euratom) 2015/444, seja a instituição, agência ou organismo da União, o Estado-Membro, o Estado terceiro ou a organização internacional sob cuja autoridade tenham sido produzidas e/ou introduzidas nas estruturas da União informações classificadas, o redator de informações com classificação RESTREINT UE/EU RESTRICTED não é necessariamente o mesmo.

Artigo 4.o Atribuição de um nível de classificação 1. O pessoal que elabora um documento com base em informações na aceção do artigo 1.o deve ponderar sempre se o documento precisa de ser classificado. A classificação de um documento como ICUE implica uma avaliação e uma decisão da entidade de origem quanto à questão de saber se a divulgação do documento a pessoas não autorizadas causaria prejuízo aos interesses da União Europeia ou de um ou mais Estados-Membros. Se os autores tiverem dúvidas sobre a necessidade de o documento que estão a redigir receber a classificação RESTREINT UE/EU RESTRICTED, devem consultar o chefe de unidade ou o diretor responsável. 2. Um documento deve ser classificado, no mínimo, no nível RESTREINT UE/EU RESTRICTED se a sua divulgação não autorizada for suscetível de, nomeadamente: a) Prejudicar as relações diplomáticas; b) Causar transtornos substanciais a particulares; c) Dificultar a manutenção da eficácia operacional ou da segurança do pessoal destacado pelos Estados-Membros ou outros contribuintes; d) Violar o compromisso de manter a confidencialidade das informações prestadas por terceiros; e) Prejudicar investigações ou facilitar a criminalidade; f) Pôr a UE ou os Estados-Membros em posição de desvantagem em negociações comerciais ou políticas com outras partes; g) Impedir o desenvolvimento ou o funcionamento efetivo das políticas da União; h) Prejudicar a boa gestão da União e das suas missões em geral; ou i) Levar à descoberta de informações classificadas num nível mais elevado. 3. As entidades de origem podem decidir atribuir um nível de classificação normalizado a categorias de informações que produzem regularmente. Devem, no entanto, assegurar a atribuição do nível de classificação adequado aos elementos de informação.

Artigo 5.o Tratamento dos projetos 1. As informações devem ser classificadas assim que são produzidas. As notas pessoais, os anteprojetos ou as mensagens que contenham informações que justifiquem uma classificação de nível RESTREINT UE/EU RESTRICTED devem ser marcadas como tal desde o início e produzidas e manuseadas em conformidade com o disposto na presente decisão. 2. Se o documento final deixar de justificar o nível de classificação RESTREINT UE/EU RESTRICTED, deve ser desclassificado.

Artigo 6.o Registo do material de referência A fim de permitir o exercício do controlo da entidade de origem, em conformidade com o artigo 13.o, as entidades de origem de documentos com classificação RESTREINT UE/EU RESTRICTED devem, na medida do possível, manter um registo de todas as fontes classificadas utilizadas para a produção de documentos classificados, incluindo dados pormenorizados sobre as fontes provenientes dos Estados-Membros da UE, de organizações internacionais ou de países terceiros. Quando adequado, as informações classificadas agregadas devem ser marcadas de modo a preservar a identificação das entidades de origem dos materiais de referência classificados utilizados.

Artigo 7.o Classificação de partes de um documento 1. Em conformidade com o artigo 22.o, n.o 6, da Decisão (UE, Euratom) 2015/444, a classificação geral de um documento deve ser pelo menos tão elevada como a da parte desse documento classificada ao nível mais elevado. Quando forem coligidas informações provenientes de várias fontes, o documento agregado final deve ser analisado para determinar o seu nível de classificação de segurança global, uma vez que pode justificar uma classificação mais elevada do que a das partes que o compõem. 2. Os documentos que contenham partes classificadas e partes não classificadas devem ser estruturados e marcados de modo que as componentes com níveis de classificação e/ou sensibilidade diferentes possam ser facilmente identificadas e separadas, se necessário. Deste modo, cada parte poderá ser manuseada de forma adequada quando for separada das outras componentes.

Artigo 8.o Marca de classificação completa 1. As informações que justificam uma classificação devem ser marcadas e manuseadas como tal, independentemente da sua forma material. O nível de classificação deve ser comunicado claramente aos destinatários, quer através de uma marca de classificação, se a informação for transmitida por escrito, em papel, em suportes de armazenamento amovíveis ou num sistema de comunicação e informação (SCI), quer por meio de um aviso, se as informações forem transmitidas oralmente, por exemplo numa conversa ou numa apresentação. Os materiais classificados devem ser marcados materialmente de modo a permitir a fácil identificação da sua classificação de segurança. 2. Nos documentos, deve ser escrita a marca de classificação completa RESTREINT UE/EU RESTRICTED em maiúsculas, em francês e inglês (primeiro em francês), em conformidade com o n.o 3. Esta marca não deve ser traduzida para outras línguas. 3. A marca de classificação RESTREINT UE/EU RESTRICTED é aposta do seguinte modo: a) Ao centro nas partes superior e inferior de todas as páginas do documento; b) A marca de classificação completa aparece numa só linha, sem espaços de cada lado da barra oblíqua; c) Em maiúsculas de cor preta, com o tipo de letra «Times New Roman», tamanho 16, em negrito, e com um bordo de cada lado. 4. Ao criar um documento RESTREINT UE/EU RESTRICTED: a) Todas as páginas devem ser marcadas de forma clara com o nível de classificação; b) Todas as páginas devem ser numeradas; c) O documento deve ostentar um número de referência e um assunto, que não constituem por si só informação classificada, a menos que estejam marcados como tal; d) Todos os anexos e apêndices devem ser enumerados, sempre que possível, na primeira página; e e) O documento deve ostentar a data da sua criação.

Artigo 9.o Marca de classificação abreviada R-UE/EU-R Pode ser utilizada a abreviatura «R-UE/EU-R» para indicar o nível de classificação de partes de um documento RESTREINT UE/EU RESTRICTED ou quando não puder ser inserida a marca de classificação completa, por exemplo num suporte de armazenamento amovível com pouca capacidade. Pode ser utilizada igualmente no corpo do texto quando a utilização repetida da marca de classificação por extenso se tornar pesada. A abreviatura não deve ser utilizada em vez da marca de classificação completa no cabeçalho e no rodapé do documento.

Artigo 10.o Outros indicadores de segurança 1. Os documentos RESTREINT UE/EU RESTRICTED podem ostentar outras marcas, ou «indicadores de segurança» que especifiquem, por exemplo, o domínio a que o documento diz respeito, ou indiquem uma distribuição específica baseada no princípio da necessidade de tomar conhecimento. Por exemplo: COMUNICÁVEL AO LISTENSTAINE 2. Os documentos RESTREINT UE/EU RESTRICTED podem conter uma advertência de segurança com instruções específicas sobre a forma de manusear e gerir os documentos. 3. Sempre que possível, qualquer indicação relativa à desclassificação deve ser aposta na primeira página do documento aquando da sua criação. Por exemplo, pode ser utilizada a seguinte marca: RESTREINT UE/EU RESTRICTED até [dd.mm.aaaa]

Artigo 11.o Tratamento eletrónico 1. Os documentos RESTREINT UE/EU RESTRICTED devem ser criados recorrendo a meios eletrónicos, sempre que estejam disponíveis. 2. O pessoal da Comissão deve utilizar sistemas de comunicação e informação acreditados para criar informações de nível RESTREINT UE/EU RESTRICTED. Em caso de dúvida quanto aos sistemas de comunicação e informação que podem ser utilizados, o pessoal deve consultar o seu responsável local de segurança (LSO). Consultando a autoridade de segurança da Comissão, podem ser aplicados procedimentos específicos em situações de emergência ou em caso de configurações técnicas específicas. 3. Como previsto no artigo 5.o, os documentos RESTREINT UE/EU RESTRICTED, incluindo os que estiverem na fase de projeto, não podem ser enviados por correio eletrónico normal não cifrado, impressos ou digitalizados em impressoras ou scâneres normalizados, ou manuseados nos dispositivos pessoais dos membros do pessoal. Só podem ser utilizadas impressoras ou fotocopiadoras ligadas a computadores autónomos ou a um sistema acreditado para imprimir documentos RESTREINT UE/EU RESTRICTED.

Artigo 12.o Distribuição O remetente de documentos RESTREINT UE/EU RESTRICTED deve decidir a quem distribuir as informações, com base na necessidade de tomar conhecimento das mesmas. Se necessário, deve ser elaborada uma lista de distribuição, a fim de aplicar mais rigorosamente o princípio da necessidade de tomar conhecimento.

CAPÍTULO 3

TRABALHAR COM INFORMAÇÕES COM CLASSIFICAÇÃO RESTREINT UE/EU RESTRICTED EXISTENTES

Artigo 13.o Controlo por parte da entidade de origem 1. A entidade de origem tem «controlo da entidade de origem» sobre as informações com classificação RESTREINT UE/EU RESTRICTED que tiver criado. Deve ser solicitado o consentimento prévio, por escrito, da entidade de origem antes de as informações poderem ser: a) Desclassificadas; b) Utilizadas para fins diferentes dos estabelecidos pela entidade de origem; c) Comunicadas a um país terceiro ou organização internacional; d) Divulgadas a uma parte fora da Comissão, mas no interior da UE; ou e) Divulgadas a um contratante ou potencial contratante situado num país terceiro. 2. Os titulares de informações com classificação RESTREINT UE/EU RESTRICTED receberam acesso às informações classificadas para poderem desempenhar as suas funções. São responsáveis pelo seu correto manuseamento, armazenamento e proteção, em conformidade com a Decisão (UE, Euratom) 2015/444. Contrariamente às entidades de origem das informações classificadas, os titulares não são autorizados a tomar decisões sobre a desclassificação ou a ulterior comunicação de informações com classificação RESTREINT UE/EU RESTRICTED a países terceiros ou organizações internacionais. 3. Se não for possível identificar a entidade de origem de uma informação RESTREINT UE/EU RESTRICTED, o serviço da Comissão que tem essa informação classificada exerce o controlo da entidade de origem. O grupo de peritos de segurança da Comissão deve ser consultado antes de as informações com classificação RESTREINT UE/EU RESTRICTED serem comunicadas a um país terceiro ou a uma organização internacional.

Artigo 14.o Sistemas de comunicação e informação adequados para o manuseamento de informações com classificação RESTREINT UE/EU RESTRICTED As informações com classificação RESTREINT UE/EU RESTRICTED devem ser manuseadas e transmitidas através de meios eletrónicos, se disponíveis. Apenas serão utilizados os sistemas de comunicação e informação e os equipamentos que tiverem sido acreditados pela Autoridade de Acreditação de Segurança da Comissão.

Artigo 15.o Medidas específicas aplicáveis às informações com classificação RESTREINT UE/EU RESTRICTED em suportes de armazenamento amovíveis 1. A utilização de suportes de armazenamento amovíveis deve ser controlada e tida em conta. Apenas devem ser utilizados os suportes de armazenamento amovíveis fornecidos pela Comissão e encriptados por um produto aprovado pela autoridade de segurança da Comissão. Os suportes de armazenamento amovíveis pessoais e os suportes distribuídos gratuitamente em conferências, seminários, etc. não devem ser utilizados para transferir informações classificadas. Sempre que possível, devem ser utilizados suportes de armazenamento amovíveis com segurança TEMPEST, em conformidade com as orientações da autoridade de segurança da Comissão. 2. Quando um documento classificado for manuseado ou armazenado eletronicamente em suportes de armazenamento amovíveis, tais como memórias USB, CD ou cartões de memória, a marca de classificação deve ser claramente visível nas próprias informações mostradas, bem como no nome do ficheiro e no suporte de armazenamento amovível. 3. O pessoal deve ter em conta que, sempre que sejam armazenadas grandes quantidades de informações classificadas em suportes de armazenamento amovíveis, o dispositivo pode justificar um nível de classificação mais elevado. 4. Só podem ser utilizados para transferir informações com classificação RESTREINT UE/EU RESTRICTED de ou para suportes de armazenamento amovíveis os sistemas de comunicação e informação que tiverem sido devidamente acreditados. 5. Ao descarregar informações com classificação RESTREINT UE/EU RESTRICTED para suportes de armazenamento amovíveis, devem ser tomadas precauções especiais, antes da transferência dos dados, para assegurar que os referidos suportes não contêm vírus nem software mal-intencionado. 6. Se for caso disso, os suportes de armazenamento amovíveis devem ser manuseados em conformidade com os procedimentos operacionais de segurança correspondentes ao sistema de cifragem utilizado. 7. Os documentos armazenados em suportes de armazenamento amovíveis que já não sejam necessários, ou que tenham sido transferidos para um sistema de comunicação e informação adequado, devem ser retirados ou apagados de forma segura utilizando produtos ou métodos aprovados. A menos que sejam armazenados em mobiliário de escritório apropriado e fechado à chave, os suportes de armazenamento amovíveis devem ser destruídos quando deixarem de ser necessários. As operações de destruição ou apagamento devem recorrer a métodos conformes com as regras de segurança da Comissão. Deve ser mantido um inventário dos suportes de armazenamento amovíveis e a sua destruição deve ser registada.

Artigo 16.o Manuseamento e armazenamento de informações com classificação RESTREINT UE/EU RESTRICTED 1. Nos termos do artigo 19.o, n.o 1, alíneas a) e b), da Decisão (UE, Euratom) 2015/444, as informações com classificação RESTREINT UE/EU RESTRICTED podem ser manuseadas em Zonas de Segurança ou em Zonas Administrativas (7) da seguinte forma: — o pessoal deve fechar a porta do escritório quando manuseia informações com classificação RESTREINT UE/EU RESTRICTED; — o pessoal deve guardar ou ocultar quaisquer informações com classificação RESTREINT UE/EU RESTRICTED quando receber um visitante; — o pessoal não deve deixar visíveis as informações com classificação RESTREINT UE/EU RESTRICTED quando o escritório estiver vazio; — os ecrãs que mostrem informações com classificação RESTREINT UE/EU RESTRICTED devem ser permanentemente afastados de janelas e portas, a fim de prevenir a sua observação não autorizada. 2. Em conformidade com o artigo 19.o, n.o 1, alínea c), da Decisão (UE, Euratom) 2015/444, as informações com classificação RESTREINT UE/EU RESTRICTED podem ser manuseadas fora de Zonas de Segurança ou de Zonas Administrativas desde que o detentor das informações se tenha comprometido a respeitar as medidas de compensação estabelecidas para as proteger do acesso por parte de pessoas não autorizadas. As medidas de compensação devem incluir, pelo menos, as seguintes: — As informações com classificação RESTREINT UE/EU RESTRICTED não podem ser lidas em locais públicos; — As ICUE devem ser mantidas permanentemente sob o controlo pessoal do detentor; — Os documentos devem ser armazenados em mobiliário de escritório apropriado e fechado à chave quando não estiverem a ser lidos ou discutidos; — As portas da sala devem manter-se fechadas durante a leitura ou o debate do documento; — O conteúdo do documento não deve ser discutido ao telefone numa linha não protegida nem numa mensagem de correio eletrónico não encriptada; — O documento só pode ser fotocopiado ou digitalizado em equipamentos autónomos ou acreditados; — O documento só deve ser manuseado e conservado temporariamente fora de uma Zona Administrativa ou de uma Zona de Segurança durante o tempo estritamente necessário; — O detentor não deve deitar fora o documento classificado, mas sim devolvê-lo para armazenamento numa Zona Administrativa ou de Segurança, ou assegurar a sua destruição num triturador autorizado. 3. As cópias impressas de informações com classificação RESTREINT UE/EU RESTRICTED devem ser armazenadas em mobiliário de escritório fechado à chave numa Zona Administrativa ou numa Zona de Segurança. Podem ser armazenadas temporariamente fora de uma Zona de Segurança ou de uma Zona Administrativa desde que o detentor se tenha comprometido a respeitar as medidas de compensação. 4. Pode ser solicitado aconselhamento adicional ao responsável local de segurança (LSO) do serviço competente da Comissão. 5. Devem ser comunicados ao LSO o mais rapidamente possível quaisquer suspeitas ou casos reais de incidentes de segurança relativos ao documento.

Artigo 17.o Cópia e tradução de informações com classificação RESTREINT UE/EU RESTRICTED 1. As informações com classificação RESTREINT UE/EU RESTRICTED podem ser copiadas ou traduzidas a pedido do detentor, desde que a entidade de origem não tenha imposto reservas a esse respeito. No entanto, não podem ser feitas mais cópias do que as estritamente necessárias. 2. Quando apenas for reproduzida uma parte de um documento classificado, aplicam-se as mesmas condições que à cópia integral do documento. Os extratos também devem ser classificados como RESTREINT UE/EU RESTRICTED, a menos que a entidade de origem os tenha marcado especificamente como não classificados. 3. As medidas de segurança aplicáveis às informações originais são igualmente aplicadas às suas cópias e traduções.

Artigo 18.o Princípios gerais aplicáveis ao transporte de informações com classificação RESTREINT UE/EU RESTRICTED 1. Sempre que possível, as informações com classificação RESTREINT UE/EU RESTRICTED que tenham de sair das Zonas de Segurança ou das Zonas Administrativas devem ser enviadas por via eletrónica através de meios devidamente acreditados e/ou protegidas por produtos criptográficos aprovados. 2. Em função dos meios disponíveis ou das circunstâncias, as informações com classificação RESTREINT UE/EU RESTRICTED poderão ser transportadas fisicamente, em mão própria, sob a forma de documentos impressos ou em suportes de armazenamento amovíveis. Deve ser dada preferência à utilização de suportes de armazenamento amovíveis para transferir informações com classificação RESTREINT UE/EU RESTRICTED em relação ao envio de documentos impressos. 3. Apenas devem ser utilizados os suportes de armazenamento amovíveis encriptados por um produto aprovado pela autoridade de segurança da Comissão. As informações com classificação RESTREINT UE/EU RESTRICTED contidas em suportes de armazenamento amovíveis que não estejam protegidos por um produto de cifragem aprovado pela autoridade de segurança da Comissão devem ser manuseadas da mesma forma que as informações impressas. 4. A remessa poderá conter mais de um elemento de informação com classificação RESTREINT UE/EU RESTRICTED, desde que seja respeitado o princípio da necessidade de ter conhecimento. 5. A embalagem utilizada deve assegurar que o conteúdo não é visível. As informações com classificação RESTREINT UE/EU RESTRICTED devem ser transportadas em embalagens opacas, tais como um sobrescrito, uma capa opaca ou uma pasta para documentos. O exterior da embalagem não deve ostentar qualquer indicação da natureza ou do nível de classificação do seu conteúdo. Caso seja utilizada, a capa interna da embalagem deve ostentar a marca RESTREINT UE/EU RESTRICTED. Ambas as capas devem indicar o nome do destinatário, o seu cargo e o seu endereço, bem como um endereço de retorno caso a entrega não possa ser efetuada. 6. Os eventuais incidentes de segurança relativos a informações com classificação RESTREINT UE/EU RESTRICTED que sejam transportadas por membros do pessoal ou estafetas devem ser comunicados para investigação subsequente à Direção de Segurança da Direção-Geral dos Recursos Humanos, através do LSO do serviço competente da Comissão.

Artigo 19.o Transporte em mão própria de suportes de armazenamento amovíveis 1. Os suportes de armazenamento amovíveis destinados a transportar informações com classificação RESTREINT UE/EU RESTRICTED devem ser acompanhados de uma declaração de expedição em que sejam mencionados os suportes de armazenamento amovíveis que contêm as informações classificadas, bem como todos os ficheiros neles contidos, de modo a permitir ao destinatário efetuar as verificações necessárias. 2. Só devem ser armazenados nos suportes de armazenamento amovíveis os documentos a transmitir. Por exemplo, todas as informações classificadas contidas numa única memória USB devem ter o mesmo destinatário. O remetente deve ter em conta que o armazenamento de grandes quantidades de informações classificadas em dispositivos deste tipo poderá justificar a atribuição de um nível de classificação mais elevado ao dispositivo no seu conjunto. 3. Só devem ser utilizados suportes de armazenamento amovíveis com a marca de classificação adequada para o transporte de informações com classificação RESTREINT UE/EU RESTRICTED.

Artigo 20.o Transporte de documentos com classificação RESTREINT UE/EU RESTRICTED dentro dos edifícios da Comissão 1. O pessoal pode transportar documentos com classificação RESTREINT UE/EU RESTRICTED dentro dos edifícios da Comissão, mas esses documentos devem ficar sempre na posse do detentor e não podem ser lidos em público. 2. Os documentos com classificação RESTREINT UE/EU RESTRICTED podem ser enviados por correio interno a outros serviços da Comissão Europeia num único sobrescrito opaco simples, mas sem qualquer indicação no exterior de que o conteúdo está classificado. As outras instituições ou organismos da UE diretamente servidos pelo sistema de correio interno da Comissão também podem receber documentos com classificação RESTREINT UE/EU RESTRICTED da mesma forma.

Artigo 21.o Transporte de documentos com classificação RESTREINT UE/EU RESTRICTED dentro da União 1. As informações com classificação RESTREINT UE/EU RESTRICTED podem ser transportadas por membros do pessoal ou estafetas da Comissão em qualquer lugar da União, desde que respeitem as seguintes instruções: a) Deve ser utilizado um sobrescrito ou uma embalagem opaca para transmitir informações com classificação RESTREINT UE/EU RESTRICTED. O exterior do sobrescrito ou da embalagem não deve ostentar qualquer indicação da natureza ou do nível de classificação do seu conteúdo; b) As informações com classificação RESTREINT UE/EU RESTRICTED devem ficar sempre na posse do portador; e c) O sobrescrito ou embalagem não deve ser aberto durante o percurso, e as informações não devem ser lidas em locais públicos. 2. O pessoal que pretenda enviar informações com classificação RESTREINT UE/EU RESTRICTED para outros locais da União pode providenciar para que sejam transmitidas por um dos seguintes meios: — serviços postais nacionais que garantam o seguimento da remessa ou certos serviços comerciais de correio rápido que garantam o transporte em mão própria, desde que cumpram os requisitos estabelecidos no artigo 23.o da presente decisão; — estafeta militar, correio oficial ou mala diplomática, em coordenação com o pessoal do registo.

Artigo 22.o Transporte de informações com classificação RESTREINT UE/EU RESTRICTED do ou para o território de um país terceiro 1. As informações com classificação RESTREINT UE/EU RESTRICTED podem ser transportadas em mão própria pelo pessoal entre o território da União e o território de um país terceiro. 2. O pessoal responsável pelo registo pode prever um dos seguintes tipos de transporte: — Transporte pelos serviços postais que seguem a remessa ou por serviços comerciais de correio rápido que garantam um transporte em mão própria; — Transporte por estafeta militar ou mala diplomática. 3. Quando transportarem em mão própria documentos impressos ou suportes de armazenamento amovíveis classificados como RESTREINT UE/EU RESTRICTED, os membros do pessoal devem respeitar todas as seguintes medidas adicionais: — Quando se deslocarem em transportes públicos, as informações classificadas devem ser colocadas numa pasta para documentos ou num saco mantido sob a guarda pessoal do portador. Estas informações não podem ser deixadas em nenhum compartimento para bagagem. — As informações com classificação RESTREINT UE/EU RESTRICTED devem ser transmitidas dentro de uma embalagem dupla. A capa interior da embalagem deve ostentar um selo oficial que indique que se trata de uma remessa oficial que não deve ser submetida a um controlo de segurança. — O portador deve possuir um certificado de estafeta que ateste que está autorizado a transportar a remessa com classificação RESTREINT UE/EU RESTRICTED, emitido pelo registo do serviço competente.

Artigo 23.o Transporte por serviços comerciais de correio rápido 1. Para efeitos da presente decisão, por «serviços comerciais de correio rápido» entende-se os serviços postais nacionais e as empresas de correio rápido que oferecem um serviço em que as informações são entregues em troca de pagamento e são transportadas pessoalmente ou seguidas. 2. Os serviços comerciais de correio rápido podem recorrer aos serviços de um subcontratante. No entanto, a responsabilidade pelo cumprimento da presente decisão incumbe à empresa de correio rápido. 3. Se o destinatário estiver localizado fora da UE, deve ser utilizada uma embalagem com capa dupla. Ao preparar as remessas classificadas, o remetente deve ter em conta que os serviços comerciais de correio rápido só entregam as remessas com classificação RESTREINT UE/EU RESTRICTED ao destinatário previsto, ao seu substituto devidamente autorizado, ao agente de controlo do registo ou ao seu substituto devidamente autorizado, ou a um rececionista. Para reduzir o risco de a remessa não chegar ao destinatário previsto, a capa exterior e, se for caso disso, a capa interior da remessa devem indicar um endereço de devolução. 4. Os serviços prestados pelos serviços comerciais de correio rápido que consistam na transmissão eletrónica de documentos enviados por correio registado não podem ser utilizados para as informações com classificação RESTREINT UE/EU RESTRICTED.

Artigo 24.o Outras condições de manuseamento específicas 1. Devem ser respeitadas todas as condições de transporte estabelecidas num acordo de segurança das informações ou em acordos administrativos. Em caso de dúvida, o pessoal deve consultar o respetivo registo ou a Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança. 2. O requisito da dupla embalagem pode ser dispensado no caso das informações classificadas protegidas por produtos criptográficos aprovados. Contudo, para efeitos de expedição, e também pelo facto de o meio de armazenamento amovível ostentar uma marca de classificação de segurança explícita, o meio de armazenamento deve ser transportado pelo menos num sobrescrito comum, mas poderá exigir medidas de proteção material adicionais, como, por exemplo, a utilização de saquetas almofadadas.

CAPÍTULO 4

REUNIÕES CLASSIFICADAS

Artigo 25.o Preparação de reuniões RESTREINT UE/EU RESTRICTED 1. As reuniões em que esteja prevista a discussão de informações com classificação RESTREINT UE/EU RESTREINT só podem ser realizadas em salas de reuniões que tenham sido acreditadas ao nível adequado ou superior. Quando estas salas não estiverem disponíveis, o pessoal deve consultar a autoridade de segurança da Comissão. 2. Regra geral, as ordens de trabalhos não devem ser classificadas. O facto de a ordem de trabalhos de uma reunião mencionar documentos classificados não implica que a ordem de trabalhos deva automaticamente ser classificada. Os pontos da ordem de trabalhos devem ser redigidos de modo a evitar pôr em risco a proteção dos interesses da União ou de um ou mais Estados-Membros. 3. Se à ordem de trabalhos forem anexados ficheiros eletrónicos que contenham informações com classificação RESTREINT UE/EU RESTRICTED, é obrigatório protegê-los com produtos criptográficos aprovados pela autoridade criptográfica da Comissão. 4. Os organizadores das reuniões devem recordar aos participantes que quaisquer observações sobre pontos da ordem de trabalhos com classificação RESTREINT UE/EU RESTRICTED não devem ser enviadas por correio eletrónico normal aberto nem por outros meios que não tenham sido devidamente acreditados em conformidade com o artigo 11.o da presente decisão. 5. Os organizadores das reuniões devem esforçar-se por agrupar de forma consecutiva na ordem de trabalhos os pontos com classificação RESTREINT UE/EU RESTRICTED, a fim de facilitar o bom funcionamento da reunião. Durante os debates dos pontos classificados, só podem estar presentes as pessoas com necessidade de tomar conhecimento. 6. A própria convocatória deve prevenir os participantes de que na reunião serão debatidos temas classificados e que serão aplicadas as medidas de segurança correspondentes. 7. Na convocatória ou numa nota na própria ordem de trabalhos deve ser recordado aos participantes que, durante os debates dos pontos com classificação RESTREINT UE/EU RESTRICTED, devem desligar os dispositivos eletrónicos portáteis. 8. Antes da reunião, os organizadores devem elaborar uma lista completa dos participantes externos.

Artigo 26.o Equipamento eletrónico na sala de reuniões RESTREINT UE/EU RESTRICTED 1. Só podem ser utilizados sistemas informáticos acreditados em conformidade com o artigo 11.o da presente decisão quando forem transmitidas informações classificadas, por exemplo durante uma apresentação em que sejam mostradas informações com classificação RESTREINT UE/EU RESTRICTED ou quando forem organizadas videoconferências. 2. O presidente deve assegurar-se de que os dispositivos eletrónicos portáteis não autorizados foram desligados.

Artigo 27.o Procedimentos a seguir durante uma reunião RESTREINT UE/EU RESTRICTED: 1. No início do debate classificado, o presidente deve anunciar aos presentes que a reunião vai passar para «modo classificado». As portas e as persianas devem ser fechadas. 2. Será entregue aos participantes e aos intérpretes apenas o número necessário de documentos, se for caso disso, no início do debate. Os documentos com classificação RESTREINT UE/EU RESTRICTED não podem ser deixados sem vigilância durante os intervalos da reunião. 3. No final da reunião, deve ser recordado aos participantes e aos intérpretes que não devem deixar sem vigilância na sala quaisquer documentos classificados ou notas que tiverem tomado. Os documentos classificados ou as notas que não sejam levados pelos participantes no final da reunião devem ser recolhidos pelos organizadores e destruídos em destruidoras adequadas. 4. Durante a reunião, deve ser elaborada a lista dos participantes e um resumo de quaisquer informações classificadas partilhadas com os Estados-Membros e comunicadas oralmente a países terceiros ou a organizações internacionais, a fim de serem registados nos resultados dos trabalhos.

Artigo 28.o Intérpretes e tradutores Só podem ter acesso a informações com classificação RESTREINT UE/EU RESTRICTED os intérpretes e tradutores cobertos pelo Estatuto do Pessoal ou pelo Regime Aplicável aos Outros Agentes da União Europeia ou que tenham uma relação contratual com a Comissão.

CAPÍTULO 5

PARTILHA E TROCA DE INFORMAÇÕES COM CLASSIFICAÇÃO RESTREINT UE/EU RESTRICTED

Artigo 29.o Consentimento da entidade de origem Se a Comissão não for a entidade de origem das informações classificadas cuja comunicação ou partilha se pretende, ou do material de referência que possam conter, o serviço da Comissão que tem essas informações classificadas deve solicitar à entidade de origem o consentimento prévio por escrito para a sua comunicação. Se a entidade de origem não puder ser identificada, o serviço da Comissão que tem essas informações classificadas deve exercer o controlo enquanto entidade de origem.

Artigo 30.o Partilha de informações com classificação RESTREINT UE/EU RESTRICTED com outras entidades da União 1. As informações com classificação RESTREINT UE/EU RESTRICTED só devem ser partilhadas com outra instituição, órgão ou organismo da União se o destinatário tiver necessidade de tomar conhecimento das mesmas e se a entidade tiver um acordo jurídico correspondente com a Comissão. 2. Na Comissão, o registo de ICUE gerido pelo Secretariado-Geral deve ser, regra geral, o principal ponto de entrada e de saída para os intercâmbios de informações classificadas com outras instituições, agências, organismos ou serviços da União. No entanto, as informações com classificação RESTREINT UE/EU RESTRICTED podem ser partilhadas diretamente com os destinatários previstos.

Artigo 31.o Troca de informações com classificação RESTREINT UE/EU RESTRICTED com os Estados-Membros 1. As informações com classificação RESTREINT UE/EU RESTRICTED podem ser partilhadas com os Estados-Membros se o destinatário tiver necessidade de tomar conhecimento das mesmas. 2. As informações classificadas dos Estados-Membros que ostentem uma marca de classificação nacional equivalente (8) e tenham sido disponibilizadas à Comissão devem beneficiar do mesmo nível de proteção que as informações com classificação RESTREINT UE/EU RESTRICTED.

Artigo 32.o Troca de informações com classificação RESTREINT UE/EU RESTRICTED com países terceiros e organizações internacionais 1. As informações com classificação RESTREINT UE/EU RESTRICTED só podem ser comunicadas a países terceiros ou organizações internacionais se o destinatário tiver necessidade de tomar conhecimento das mesmas e se o país ou organização internacional dispuser de um quadro jurídico ou administrativo adequado, como por exemplo um acordo de segurança das informações ou um convénio administrativo com a Comissão. As disposições desses acordos ou convénios prevalecem sobre as disposições da presente decisão. 2. Regra geral, o registo de ICUE gerido pelo Secretariado-Geral constitui o principal ponto de entrada e de saída de todas as informações com classificação RESTREINT UE/EU RESTRICTED trocadas entre a Comissão e países terceiros e organizações internacionais. A autoridade de segurança da Comissão deve ser consultada sempre que existam motivos de segurança, organizacionais ou operacionais que tornem mais adequado que os registos locais de ICUE funcionem como ponto de entrada e de saída nas matérias da competência do serviço em causa. 3. A fim de assegurar a rastreabilidade, as informações com classificação RESTREINT UE/EU RESTRICTED devem ser registadas: — quando chegam ou saem de uma entidade organizacional; e — quando chegam ou saem de um sistema de comunicação e informação; 4. Esse registo pode ser efetuado em papel ou em livros de registo eletrónicos. 5. Os procedimentos de registo das informações classificadas manuseadas num sistema de comunicação e informação acreditado podem ser executados por processos internos do próprio sistema. Nesse caso, o sistema de comunicação e informação deve incluir medidas destinadas a garantir a integridade dos livros de registo. 6. As informações classificadas recebidas de países terceiros ou de organizações internacionais devem beneficiar de um nível de proteção equivalente ao das ICUE que ostentem a marca de classificação equivalente, conforme previsto no respetivo acordo de segurança das informações ou convénio administrativo.

Artigo 33.o Comunicação ad hoc excecional de informações com classificação RESTREINT UE/EU RESTRICTED 1. Sempre que a Comissão ou um dos seus serviços determinar que existe uma necessidade excecional de comunicar informações com classificação RESTREINT UE/EU RESTRICTED a um país terceiro, uma organização internacional ou uma entidade da UE, mas não exista um acordo de segurança das informações ou um convénio administrativo, deve ser seguido o procedimento de comunicação ad hoc excecional. 2. Os serviços da Comissão devem contactar a autoridade de segurança da Comissão, que consultará o Grupo de Peritos de Segurança da Comissão. 3. Após consulta do Grupo de Peritos de Segurança da Comissão, a Comissão pode, com base numa proposta do membro da Comissão responsável pelas questões de segurança, autorizar a comunicação das informações em causa.

CAPÍTULO 6

FIM DE VIDA DAS INFORMAÇÕES COM CLASSIFICAÇÃO RESTREINT UE/EU RESTRICTED

Artigo 34.o Quando desclassificar 1. As informações só permanecem classificadas enquanto necessitarem de proteção. A desclassificação significa que as informações deixam de ser consideradas classificadas. Aquando da produção de ICUE, a entidade de origem indica, sempre que possível, se as mesmas podem ser desclassificadas numa determinada data ou após um acontecimento concreto. Caso contrário, a entidade de origem deve reanalisar regularmente as informações com classificação RESTREINT UE/EU RESTRICTED para determinar se a sua classificação continua a justificar-se. 2. As informações com classificação RESTREINT UE/EU RESTRICTED com origem na Comissão serão desclassificadas automaticamente passados trinta anos, em conformidade com o Regulamento (CEE, Euratom) n.o 354/83, com a redação que lhe foi dada pelo Regulamento (CE, Euratom) n.o 1700/2003 do Conselho (9), e em conformidade com o disposto no artigo 59.o, n.o 2, alínea a), da Decisão (UE, Euratom) 2015/444. 3. Os documentos da Comissão também podem ser desclassificados numa base ad hoc, por exemplo na sequência de um pedido de acesso do público.

Artigo 35.o Responsabilidade pela desclassificação 1. As informações com classificação RESTREINT UE/EU RESTRICTED não podem ser desclassificadas sem a autorização da entidade de origem. 2. O serviço da Comissão que cria um documento classificado é responsável por decidir se o mesmo pode ser desclassificado. Na Comissão, todos os pedidos de desclassificação devem ser submetidos à consulta do chefe de unidade ou do diretor do serviço de origem. Se o serviço tiver compilado informações classificadas provenientes de várias fontes, deve, em primeiro lugar, solicitar o consentimento das partes que tenham fornecido material de origem, incluindo os Estados-Membros, outros organismos da UE, países terceiros ou organizações internacionais. 3. Se o serviço de origem da Comissão já não existir e as suas responsabilidades tiverem sido assumidas por outro serviço, a decisão de desclassificação deve ser tomada por este último. Se o serviço de origem já não existir e as suas responsabilidades tiverem sido assumidas por outro serviço, a decisão de desclassificação deve ser tomada conjuntamente pelos chefes de unidade ou os diretores das direções-gerais destinatárias.

Artigo 36.o Informações sensíveis não classificadas Sempre que da reanálise de um documento resultar a decisão de o desclassificar, deve ser ponderado se o documento deve ostentar a marca de distribuição «informações sensíveis não classificadas» na aceção do artigo 9.o da Decisão (UE, Euratom) 2015/443.

Artigo 37.o Indicação de que um documento foi desclassificado 1. A marca de classificação original na parte superior e inferior de cada página deve ser riscada de forma visível (não suprimida) utilizando a funcionalidade «riscado» no caso de formatos eletrónicos, ou de forma manual nos documentos impressos. 2. A primeira página (capa) deve ostentar um carimbo que indique que o documento foi desclassificado e preenchida com os dados da autoridade responsável pela desclassificação e a data correspondente. 3. Os destinatários originais das informações com classificação RESTREINT UE/EU RESTRICTED devem ser informados da desclassificação. Os destinatários iniciais são responsáveis por informar quaisquer destinatários subsequentes a quem tenham enviado as informações originais com classificação RESTREINT UE/EU RESTRICTED ou posto em cópia da sua remessa. 4. O Serviço do Arquivo Histórico da União Europeia deve ser informado de todas as decisões de desclassificação tomadas. 5. Todas as traduções de informações classificadas estão sujeitas aos mesmos procedimentos de desclassificação que a versão linguística original.

Artigo 38.o Desclassificação parcial de informações com classificação RESTREINT UE/EU RESTRICTED 1. Deve também ser possível proceder a uma desclassificação parcial (por exemplo, os anexos ou apenas determinados parágrafos). O procedimento deve ser idêntico ao da desclassificação de um documento na íntegra. 2. Depois da desclassificação parcial («limpeza») de informações com classificação RESTREINT UE/EU RESTRICTED, deve ser produzido um extrato desclassificado. 3. As partes que permaneçam classificadas devem ser substituídas pela menção: PARTE QUE NÃO DEVE SER DESCLASSIFICADA quer no corpo do próprio texto, se a parte que permanece classificada fizer parte de um parágrafo, quer como parágrafo, se a parte que permanece classificada for um parágrafo específico ou mais de um parágrafo. 4. Se um anexo completo não puder ser desclassificado e, por conseguinte, tiver sido retirado do extrato, deve ser feita uma menção específica do facto no texto.

Artigo 39.o Destruição e apagamento rotineiros de informações com classificação RESTREINT UE/EU RESTRICTED 1. A Comissão não deve acumular grandes quantidades de informações classificadas. 2. Os serviços de origem devem reanalisar periodicamente, a intervalos curtos, pequenas quantidades de informações para destruição ou apagamento. Devem ser reanalisadas periodicamente tanto as informações armazenadas em papel como as armazenadas em sistemas de comunicação e informação. 3. O pessoal deve destruir ou apagar de forma segura quaisquer documentos classificados RESTREINT UE/EU RESTRICTED que deixem de ser necessários, sob reserva de eventuais requisitos de arquivo aplicáveis ao documento original. 4. O pessoal não é obrigado a informar a entidade de origem da destruição ou supressão de cópias de documentos com classificação RESTREINT UE/EU RESTRICTED. 5. Os projetos que contenham informações classificadas devem ser sujeitos aos mesmos métodos de eliminação que os documentos classificados finalizados. 6. Só serão utilizadas destruidoras aprovadas para a destruição de documentos RESTREINT UE/EU RESTRICTED. As destruidoras de nível 4 DIN 32757 ou nível 5 DIN 66399 são adequadas para destruir documentos RESTREINT UE/EU RESTRICTED. 7. As partículas das destruidoras aprovadas podem ser eliminadas como resíduos de escritório normais. 8. Todos os suportes e dispositivos que contenham informações com classificação RESTREINT UE/EU RESTRICTED devem ser limpos de forma adequada quando chegam ao fim da sua vida útil. Os dados eletrónicos devem ser destruídos ou apagados dos recursos informáticos e dos suportes de armazenamento associados de uma forma que dê garantias razoáveis de que as informações não podem ser recuperadas. A limpeza deve eliminar os dados do dispositivo de armazenamento, bem como todos os rótulos, marcas e registos de atividade. 9. Os suportes de dados informáticos devem ser entregues ao LSO ou ao Responsável Local da Segurança Informática e/ou ao responsável do controlo do registo para destruição e eliminação.

Artigo 40.o Evacuação e destruição de informações com classificação RESTREINT UE/EU RESTRICTED em situações de emergência 1. O chefe de departamento deve conceber, aprovar e, se necessário, ativar planos de evacuação e destruição de emergência para proteger as informações com classificação RESTREINT UE/EU RESTRICTED que corram um risco significativo de cair na posse de mãos não autorizadas durante uma crise. Por ordem de prioridade, e em função da natureza da situação de emergência, deve ser estudada a possibilidade de: 1) Deslocar as ICUE para um local seguro alternativo, se possível uma Zona Administrativa ou de Segurança dentro do mesmo edifício; 2) Levar as ICUE para um local seguro alternativo, se possível uma Zona Administrativa ou de Segurança noutro edifício, de preferência um edifício da Comissão; 3) Destruir as ICUE, utilizando, se possível, os meios de destruição aprovados. 2. Quando tiverem sido ativados os planos de emergência, será dada prioridade à mudança ou à destruição das informações com níveis mais elevados. 3. Os próprios dados operacionais dos planos de evacuação e de destruição de emergência devem ser classificados como RESTREINT UE/EU RESTRICTED.

Artigo 41.o Arquivo 1. As decisões de arquivar ou não e em que momento, bem como as medidas práticas correspondentes a tomar, devem ser conformes com a política da Comissão em matéria de gestão de documentos. 2. Os documentos com classificação RESTREINT UE/EU RESTRICTED não devem ser enviados para o Arquivo Histórico da União Europeia em Florença.

CAPÍTULO 7

DISPOSIÇÕES FINAIS

Artigo 42.o Transparência A presente decisão é levada ao conhecimento do pessoal da Comissão e de todas as pessoas às quais se aplica, e é publicada no Jornal Oficial da União Europeia.

Artigo 43.o Entrada em vigor A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Bruxelas, em 17 de outubro de 2019. Pela Comissão Em nome do Presidente, Günther OETTINGER Membro da Comissão

(1) JO L 72 de 17.3.2015, p. 41.

(2) JO L 72 de 17.3.2015, p. 53.

(3) JO L 6 de 11.1.2017, p. 40.

(4) Decisão 2013/488/UE do Conselho, de 23 de setembro de 2013, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (JO L 274 de 15.10.2013, p. 1).

(5) Decisão da Comissão de 4 de maio de 2016 relativa a uma habilitação relativa à segurança [C(2016) 2797 final].

(6) Nos termos do artigo 3.o da Decisão (UE, Euratom) 2015/444, por informações com classificação RESTREINT UE/EU RESTRICTED entende-se «informações e material cuja divulgação não autorizada possa ser desfavorável aos interesses da União Europeia ou de um ou mais Estados-Membros».

(7) Definidas no artigo 18.o da Decisão (UE, Euratom) 2015/444.

(8) O quadro de equivalências das marcas dos Estados-Membros figura no anexo I da Decisão (UE, Euratom) 2015/444.

(9) Regulamento (CE, Euratom) n.o 1700/2003 do Conselho, de 22 de setembro de 2003, que altera o Regulamento (CEE, Euratom) n.o 354/83 relativo à abertura ao público dos arquivos históricos da Comunidade Económica Europeia e da Comunidade Europeia da Energia Atómica (JO L 243 de 27.9.2003, p. 1).