PT Jornal Oficial da União Europeia L 332/17

DECISÃO 2009/968/JAI DO CONSELHO

de 30 de Novembro de 2009

que aprova as regras em matéria de confidencialidade das informações da Europol

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta a Decisão 2009/371/JAI do Conselho, de 6 de Abril de 2009, que cria o Serviço Europeu de Polícia (Europol) (1) («Decisão Europol»), nomeadamente o artigo 40.o,

Tendo em conta o projecto de regulamentação submetido pelo Conselho de Administração,

Tendo em conta o parecer do Parlamento Europeu,

Considerando que nos termos da Decisão Europol, o Conselho, deliberando por maioria qualificada após consulta ao Parlamento Europeu, aprova regras de execução em matéria de confidencialidade das informações que tenham sido obtidas ou trocadas pela Europol (a seguir designadas «regulamentação»),

DECIDE:

CAPÍTULO I

DEFINIÇÕES E ÂMBITO DE APLICAÇÃO

Artigo 1.o

Definições

Para efeitos da presente regulamentação, entende-se por:

a) «Tratamento de informações» (ou «tratamento»): qualquer operação ou conjunto de operações efectuadas sobre dados pessoais, com ou sem meios automatizados, tais como a recolha, registo, organização, conservação, adaptação ou alteração, recuperação, consulta, utilização, comunicação por transmissão, difusão ou qualquer outra forma de colocação à disposição, com comparação ou interconexão, bem como o bloqueio, apagamento ou destruição;

b) «Terceiro»: uma entidade referida no n.o 1 do artigo 22.o, e no n.o 1 do artigo 23.o da Decisão Europol;

c) «Comité de Segurança»: o Comité constituído por representantes dos Estados-Membros e da Europol, descrito no artigo 4.o;

d) «Coordenador de Segurança»: o Director-Adjunto que o Director incumbe, nos termos do n.o 2 do artigo 38.o da Decisão Europol, a par das suas restantes funções, da coordenação e controlo em questões de segurança;

e) «Agentes de segurança»: o pessoal da Europol designado pelo Director e responsável pelas questões de segurança, nos termos do artigo 6.o;

f) «Manual de Segurança»: o manual de execução da presente regulamentação, a elaborar de acordo com o artigo 7.o;

g) «Nível de classificação»: uma menção de segurança da Europol atribuída a um documento tratado pela ou através da Europol como referido no artigo 10.o;

h) «Pacote de segurança»: um conjunto específico de medidas de segurança a aplicar às informações sujeitas a um nível de classificação da Europol como referido no artigo 10.o;

i) «Nível básico de protecção»: o nível de protecção que deve ser aplicado a todas as informações tratadas pela ou através da Europol, excepto às informações expressamente assinaladas ou claramente identificáveis como informações públicas, como referido no n.o 1 do artigo 10.o;

j) «Pessoal»: o pessoal temporário e contratado, na acepção do n.o 4 do artigo 39.o da Decisão Europol;

k) «Informações classificadas da Europol»: quaisquer informações e materiais, sob qualquer forma, cuja divulgação não autorizada possa causar diferentes graus de prejuízo aos interesses essenciais da Europol ou de um ou mais dos seus Estados-Membros, e que exijam a aplicação das medidas de segurança apropriadas definidas na alínea b) do n.o 2 do artigo 7.o

Artigo 2.o

Âmbito de aplicação

1. A presente regulamentação estabelece as medidas de segurança a aplicar a todas as informações tratadas pela ou através da Europol.

2. Os canais de comunicação entre a Europol e as unidades nacionais dos Estados-Membros, referidas no artigo 8.o da Decisão Europol, devem beneficiar de um nível de protecção equivalente ao proporcionado pelas presentes medidas de segurança estabelecidas pela presente regulamentação. O Comité de Segurança deve aprovar uma norma comum para estes canais de comunicação.

3. Do anexo consta uma listagem dos níveis de classificação da Europol, referidos no artigo 10.o, e as menções equivalentes presentemente aplicadas pelos Estados-Membros às informações sujeitas a esses níveis de classificação. Sempre que um Estado-Membro informar os outros Estados-Membros e a Europol de qualquer alteração das disposições nacionais em matéria de níveis de segurança ou das menções equivalentes, a Europol elaborará uma versão revista dessa listagem. Pelo menos uma vez por ano, o Comité de Segurança verificará se a listagem se encontra actualizada.

CAPÍTULO II

RESPONSABILIDADES DE SEGURANÇA

Artigo 3.o

Responsabilidades dos Estados-Membros

1. Os Estados-Membros comprometem-se a assegurar que, no respectivo território, as informações da Europol beneficiam de um nível de protecção equivalente ao proporcionado pelas medidas de segurança estabelecidas pela presente regulamentação.

2. Os Estados-Membros comprometem-se a informar o Coordenador da Segurança de todas as violações da segurança que possam afectar os interesses da Europol ou de um Estado-Membro. Neste último caso, o Estado-Membro em causa é também directamente informado através da unidade nacional.

Artigo 4.o

Comité de Segurança

1. É criado um Comité de Segurança, constituído por representantes dos Estados-Membros e da Europol, que se reúne pelo menos duas vezes por ano.

2. O Comité de Segurança tem por atribuição aconselhar o Conselho de Administração e o Director sobre questões relacionadas com a política de segurança, incluindo a aplicação do Manual de Segurança.

3. O Comité de Segurança estabelece o seu regulamento interno. As reuniões do Comité de Segurança são presididas pelo Coordenador da Segurança.

Artigo 5.o

Coordenador da Segurança

1. O Coordenador da Segurança é o responsável geral por todas as questões relacionadas com a segurança, incluindo as medidas de segurança previstas na presente regulamentação e no Manual de Segurança. O Coordenador da Segurança acompanha a aplicação das disposições de segurança e informa o Director de todas as violações da segurança. Em casos graves, o Director informa o Conselho de Administração. Se houver risco de tais violações comprometerem os interesses de um Estado-Membro, este deve ser igualmente informado.

2. O Coordenador da Segurança depende directamente do Director.

3. O Coordenador da Segurança deve ter habilitação de segurança ao mais alto nível previsto na legislação e regulamentação aplicáveis no Estado-Membro da sua nacionalidade.

Artigo 6.o

Agentes de segurança

1. Os agentes de segurança apoiam o Director na execução das medidas de segurança estabelecidas na presente regulamentação e no Manual de Segurança. Os agentes de segurança dependem directamente do Coordenador da Segurança. São funções específicas dos agentes de segurança:

a) Formar, assistir e aconselhar todas as pessoas na Europol, bem como quaisquer outras pessoas que participem em actividades relacionadas com a Europol e estejam sujeitas a uma especial obrigação de discrição ou confidencialidade, quanto às suas obrigações nos termos da presente regulamentação e do Manual de Segurança;

b) Aplicar as disposições de segurança, investigar as violações da segurança e informar imediatamente o Coordenador da Segurança das mesmas;

c) Rever periodicamente a adequação das medidas de segurança com base na avaliação das ameaças; para o efeito, devem informar o Coordenador da Segurança, em regra, pelo menos uma vez por mês e, em casos excepcionais, sempre que necessário, e formular as recomendações e conselhos adequados; e

d) Desempenhar as funções que lhe forem confiadas ao abrigo da presente regulamentação ou ao abrigo do Manual de Segurança;

e) Desempenhar outras funções que lhe forem cometidas pelo Coordenador da Segurança.

2. Os Agentes de Segurança devem ter habilitação de segurança correspondente ao mais alto nível previsto na legislação e regulamentação aplicáveis no Estado-Membro da sua nacionalidade.

Artigo 7.o

Manual de segurança, procedimento e conteúdo

1. O Manual de Segurança é aprovado pelo Conselho de Administração após consulta ao Comité de Segurança.

2. O Manual de Segurança contém directrizes e orientações em matéria de segurança, conformes com as exigências funcionais, e define a abordagem da Europol em questões de segurança. O Manual de Segurança contém:

a) Regras pormenorizadas sobre as medidas de segurança a aplicar no âmbito da Europol a fim de proporcionar o nível básico de protecção referido no n.o 1 do artigo 10.o da presente regulamentação, tendo essas medidas por base o artigo 35.o e o n.o 2 do artigo 41.o da Decisão Europol e em conta o n.o 3 do artigo 40.o da mesma;

b) Regras pormenorizadas sobre as medidas de segurança associadas aos diferentes níveis de classificação da Europol e aos pacotes de segurança correspondentes referidos nos n.os 2 e 3 do artigo 10.o da presente regulamentação; o Manual de Segurança tem igualmente em conta o artigo 46.o da Decisão Europol.

3. O Manual de Segurança deve ser revisto periodicamente ou, caso ocorram alterações significativas, de modo a assegurar a sua permanente viabilidade, adequação e eficácia.

4. As alterações ao Manual de Segurança devem ser aprovadas nos termos do n.o 1.

Artigo 8.o

Acreditação de segurança dos sistemas

1. Todos os sistemas da Europol utilizados para o tratamento de informações classificadas da Europol devem ser acreditados pelo Conselho de Administração, após consulta ao Comité de Segurança e depois de obtida a garantia de que foram devidamente aplicadas as necessárias medidas de segurança decorrentes dos Requisitos de Segurança Específicos do Sistema (RSES), do Registo dos Riscos das Informações e qualquer outra documentação aplicável. Os subsistemas e os terminais/estações de trabalho remotos devem ser acreditados como parte de todos os sistemas a que estão ligados.

2. O Conselho de Administração aprova os RSES após consulta ao Comité de Segurança. Os RSES devem estar em conformidade com as disposições aplicáveis do Manual de Segurança.

Artigo 9.o

Cumprimento

1. As medidas de segurança previstas na presente regulamentação e no Manual de Segurança devem ser cumpridas por todas as pessoas na Europol, bem como por quaisquer outras pessoas que participem em actividades relacionadas com a Europol e estejam sujeitas a uma especial obrigação de discrição ou confidencialidade.

2. O Director, os gabinetes de ligação e as unidades nacionais Europol são responsáveis por assegurar o cumprimento da presente regulamentação e do Manual de Segurança nos termos do n.o 1.

CAPÍTULO III

PRINCÍPIOS GERAIS

Artigo 10.o

Nível básico de protecção, níveis de classificação e pacotes de segurança

1. Todas as informações tratadas pela ou através da Europol, com excepção das informações expressamente assinaladas ou claramente identificáveis como informações públicas, estão sujeitas a um nível básico de protecção dentro da Europol e nos Estados-Membros.

2. Nos termos do artigo 3.o, os Estados-Membros asseguram a aplicação do nível básico de protecção referido no n.o 1, mediante uma série de medidas conformes com a legislação e a regulamentação nacionais, incluindo a obrigação de discrição e confidencialidade, que limitem o acesso às informações ao pessoal autorizado, o preenchimento dos requisitos de protecção dos dados na medida em que digam respeito a dados pessoais e a aplicação de medidas gerais de carácter técnico e processual para preservar a segurança das informações, tendo em conta o n.o 2 do artigo 41.o da Decisão Europol.

3. As informações que necessitem de medidas de segurança suplementares ficam sujeitas a um nível de classificação da Europol que deve ser indicado por uma menção específica. As informações estão sujeitas a um nível de classificação apenas quando absolutamente necessário e apenas durante o tempo necessário.

4. Os níveis de classificação da Europol são os seguintes:

a) «RESTREINT UE/EU RESTRICTED»: esta classificação aplica-se a informações e materiais cuja divulgação não autorizada possa ser desvantajosa para os interesses da Europol, da UE ou de um ou vários Estados-Membros;

b) «CONFIDENTIEL UE/EU CONFIDENTIAL»: esta classificação aplica-se a informações e materiais cuja divulgação não autorizada possa prejudicar os interesses essenciais da Europol, da UE ou de um ou vários Estados-Membros;

c) «SECRET UE/EU SECRET»: esta classificação aplica-se a informações e materiais cuja divulgação não autorizada possa prejudicar gravemente os interesses essenciais da Europol, da UE ou de um ou vários Estados-Membros;

d) «TRÈS SECRET UE/EU TOP SECRET»: esta classificação aplica-se a informações e materiais cuja divulgação não autorizada possa prejudicar de forma excepcionalmente grave os interesses essenciais da Europol, da UE ou de um ou vários Estados-Membros.

Essa informação e materiais classificados devem ser objecto de uma menção suplementar («Europol») a seguir à menção de classificação que indique que têm origem na Europol.

Cada um dos níveis de classificação da Europol corresponde a um pacote de segurança específico, a aplicar dentro da Europol. Os pacotes de segurança devem proporcionar diferentes níveis de protecção, consoante o teor das informações, e ter em conta as consequências negativas que o acesso não autorizado, a divulgação ou a utilização da informação possam ter para os interesses da Europol ou dos Estados-Membros.

Quando forem recolhidas informações com diferentes níveis de classificação, o nível de classificação a aplicar deve ser pelo menos tão elevado quanto o da informação protegida ao nível mais elevado. De qualquer modo, a um grupo de informações pode ser atribuído um nível de protecção superior ao de cada uma das suas partes.

As traduções de documentos classificados devem ter o mesmo nível de classificação que os originais e estar sujeitas à mesma protecção que os originais.

5. Pode ser utilizada uma menção de advertência para especificar condições adicionais, tais como uma difusão limitada a determinados canais de intercâmbio de informações, o embargo e uma difusão segundo o princípio da «necessidade de ter conhecimento». Tais menções de advertência devem ser definidas no Manual de Segurança.

6. Os pacotes de segurança consistem numa série de medidas de natureza física, técnica, organizativa ou administrativa, conforme estabelecido no Manual de Segurança.

Artigo 11.o

Escolha do nível de classificação

1. O Estado-Membro que fornece a informação à Europol é responsável pela escolha de um nível de classificação adequado para essa informação nos termos do artigo 10.o. Se for caso disso, quando fornecer a informação à Europol, o Estado-Membro deve nela assinalar um nível de classificação da Europol tal como referido no n.o 4 do artigo 10.o.

2. Ao escolher um nível de classificação, os Estados-Membros devem ter em conta a classificação da informação ao abrigo da respectiva regulamentação nacional, a necessidade de flexibilidade operacional necessária para um adequado funcionamento da Europol e a exigência de que a classificação de informações policiais tenha carácter excepcional e de que, caso essas informações tenham de ser classificadas, lhes seja atribuído o nível mais baixo possível.

3. Se, com base na informação que já possuir, a Europol chegar à conclusão de que a escolha do nível de classificação deve ser alterada (por exemplo, mediante o eventual abaixamento ou elevação do nível de classificação, ou a elevação do nível de classificação de um documento anteriormente sujeito ao nível básico de protecção), deve informar o Estado-Membro em causa e deve procurar chegar a acordo quanto a um nível de classificação adequado. A Europol não especifica, não altera, não eleva, nem baixa qualquer nível de classificação sem esse acordo.

4. Caso a informação oriunda da Europol se baseie ou contenha informação fornecida por um Estado-Membro, a Europol determina, em acordo com o Estado-Membro em causa, se o nível básico de protecção é suficiente ou se é necessário aplicar um nível de classificação da Europol.

5. Caso a informação tenha origem na própria Europol e caso não se baseie nem contenha informações fornecidas por um Estado-Membro, a Europol determina um nível de classificação adequado para essa informação, segundo critérios estabelecidos pelo Comité de Segurança. Se necessário, a Europol atribui à informação uma menção consentânea.

6. Caso a informação diga igualmente respeito aos interesses essenciais de outro Estado-Membro, os Estados-Membros e a Europol devem consultar esse Estado-Membro sobre se deverá ser aplicado um nível de classificação à informação em causa e, em caso afirmativo, qual o nível de classificação a aplicar.

Artigo 12.o

Alteração do nível de classificação

1. O Estado-Membro que tiver fornecido uma informação à Europol pode, em qualquer momento, exigir a alteração do nível de classificação escolhido, incluindo o eventual abaixamento ou elevação de tal nível, ficando a Europol obrigada a alterar, elevar ou baixar o nível de classificação de acordo com o desejo manifestado pelo Estado-Membro em causa.

2. O Estado-Membro em causa deve, assim que as circunstâncias o permitirem, solicitar que o nível de classificação em questão seja reduzido ou suprimido.

3. Um Estado-Membro que forneça informações à Europol pode especificar o período durante o qual se deverá aplicar um nível de classificação e as possíveis alterações a que este poderá ficar sujeito após esse período.

4. Caso o nível básico de protecção ou o nível de classificação tenham sido determinados pela Europol de acordo com o n.o 4 do artigo 11.o, a alteração do nível básico de protecção ou do nível de classificação só pode ser feita pela Europol em acordo com os Estados-Membros em causa.

5. Caso a escolha do nível de classificação tenha sido feita pela Europol de acordo com o n.o 5 do artigo 11.o, a Europol poder alterar ou suprimir o nível de classificação sempre que o considerar necessário.

6. Caso a informação cujo nível de classificação tenha sido alterado de acordo com o presente artigo já tenha sido prestada a outros Estados-Membros, a Europol deve informar os destinatários da alteração do nível de classificação.

Artigo 13.o

Tratamento, acesso e habilitação de segurança

1. Dentro da organização da Europol, o acesso e a posse de informações estão limitados às pessoas que, por razões relacionadas com os seus deveres ou obrigações, precisam de as conhecer ou tratar. As pessoas encarregadas do tratamento de informações devem ter obtido habilitação de segurança adequada e receber uma formação especial.

2. Todos aqueles que possam ter acesso a informações classificadas tratadas pela Europol devem submeter-se a uma habilitação de segurança nos termos do n.o 2 do artigo 40.o da Decisão Europol e do Manual de Segurança. O Coordenador da Segurança autoriza, com base nos resultados da habilitação de segurança e de acordo com o disposto no Manual de Segurança, as pessoas que tiverem obtido habilitação de segurança ao nível nacional adequado e que, por força dos seus deveres ou obrigações, necessitem de conhecer informações sujeitas a um nível de classificação da Europol. A autorização deve ser reexaminada periodicamente pelo Coordenador da Segurança, devendo ser por ele imediatamente revogada quando haja razões justificadas para tal. O Coordenador da Segurança é também responsável por assegurar a aplicação do n.o 3.

3. Ninguém pode ter acesso a informações sujeitas a um nível de classificação sem ter obtido habilitação de segurança ao nível adequado. Excepcionalmente, todavia, o Coordenador da Segurança pode, depois de consultado um agente de segurança:

a) Atribuir a pessoas com habilitação de segurança ao nível «CONFIDENTIEL UE/EU CONFIDENTIAL» uma autorização específica e limitada de acesso a determinadas informações de nível «SECRET UE/EU SECRET», se essas pessoas, por força dos seus deveres ou obrigações em casos específicos, necessitarem de conhecer informações sujeita a um nível de classificação Europol mais elevado, ou

b) Atribuir, por um período não superior a seis meses, uma autorização temporária de acesso a informações classificadas, enquanto se aguardar o resultado da habilitação de segurança referida no n.o 2, desde que isso seja do interesse da Europol, e depois de terem sido notificadas as autoridades nacionais competentes sem que estas tenham reagido no prazo de três meses; o Coordenador da Segurança deve informar as autoridades nacionais competentes em causa da atribuição de tais autorizações temporárias. Esta autorização temporária não pode dar acesso a informações classificadas de «SECRET UE/EU SECRET» ou de nível superior.

4. Essa autorização não pode ser atribuída caso, ao fornecer a informação em causa, um Estado-Membro precise que a discricionariedade de que o Coordenador da Segurança goza ao abrigo do n.o 3 não pode ser exercida em relação a essa informação.

Artigo 14.o

Terceiros

Ao celebrar acordos de confidencialidade com terceiros ou ao celebrar acordos ao abrigo do n.o 4 do artigo 22.o e do n.o 7 do artigo 23.o da Decisão Europol, a Europol tem em conta os princípios estabelecidos na presente regulamentação e no Manual de Segurança, que deverão ser correspondentemente aplicados às informações trocadas com esses terceiros.

CAPÍTULO IV

DISPOSIÇÕES FINAIS

Artigo 15.o

Reexame da presente regulamentação

Qualquer proposta de alteração da presente regulamentação deve ser apreciada pelo Conselho de Administração, com vista à sua aprovação pelo Conselho nos termos do n.o 1 do artigo 40.o da Decisão Europol.

Artigo 16.o

Entrada em vigor

A presente regulamentação entra em vigor a 1 de Janeiro de 2010.

Feito em Bruxelas, em 30 de Novembro de 2009. Pelo Conselho A Presidente B. ASK

(1) JO L 121 de 15.5.2009, p. 37.