DECISÃO n.o 41/2021 DO TRIBUNAL DE CONTAS

sobre as regras de segurança aplicáveis à proteção das informações classificadas da UE (ICUE)

O TRIBUNAL DE CONTAS EUROPEU

Tendo em conta o artigo 13.o do Tratado da União Europeia,

Tendo em conta o artigo 287.o do Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o artigo 257.o do Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho, de 18 de julho de 2018, relativo às disposições financeiras aplicáveis ao orçamento geral da União,

Tendo em conta o artigo 1.o, n.o 6, das normas de execução do Regulamento Interno do Tribunal de Contas (Decisão n.o 21/2021 do Tribunal de Contas),

Tendo em conta as regras de segurança aplicáveis à proteção das informações classificadas da UE provenientes de outras instituições e organismos da União,

Tendo em conta a política de segurança das informações do Tribunal de Contas (Decisão n.o 127/15 final) e a política de classificação de informações (Comunicação ao Pessoal n.o 123/2020),

Considerando:

que, nos termos to artigo 287.o, n.o 3, do TFUE, o Tribunal de Contas tem o direito de aceder a todos os documentos e informações pertinentes que considere necessários para desempenhar o seu mandato, incluindo a informações classificadas da UE (ICUE), devendo tal acesso fazer-se no pleno respeito do princípio da cooperação leal entre as instituições e do princípio da atribuição. Este direito de acesso a ICUE, salvaguardado pelo TFUE, não pode ser questionado pela entidade de origem das ICUE, embora possa ser solicitado ao Tribunal de Contas que implemente e respeite determinadas medidas de segurança, conforme explicado em maior detalhe na presente decisão;

que os membros do Tribunal de Contas, bem como os seus funcionários e demais pessoal, estão vinculados, mesmo após cessarem funções, a uma obrigação de confidencialidade nos termos do artigo 339.o do TFUE, do artigo 17.o do Estatuto dos Funcionários e dos atos adotados para lhes dar cumprimento;

que, atendendo à sua natureza sensível, o manuseamento de ICUE exige que se assegure o cumprimento da obrigação de confidencialidade através de medidas de segurança adequadas, passíveis de garantir um elevado nível de proteção destas informações e que sejam equivalentes às medidas implementadas pelas regras de proteção de ICUE adotadas pelas demais instituições e organismos da UE, sendo assente que, caso o Tribunal de Contas considere que tais medidas de segurança não se justificam à luz da natureza e do tipo de ICUE, se reserva o direito de formular as observações que considere adequadas, respeitando embora o nível de classificação das ICUE;

que o acesso a informações classificadas deve ser concedido ao Tribunal de Contas em conformidade com o princípio da necessidade de tomar conhecimento, com vista ao desempenho das tarefas que lhe são atribuídas pelos Tratados e por atos jurídicos adotados com base nos mesmos;

que a instituição tem de garantir a aplicação da presente decisão em conformidade com todas as regras aplicáveis, e em especial com as disposições relativas à proteção de dados pessoais, à segurança física das pessoas, edifícios e ativos informáticos e ao acesso público a documentos,

DECIDE:

6. Salvo indicação em contrário, as disposições relativas a ICUE aplicam-se de forma idêntica às informações classificadas a que se refere o n.o 2, alíneas b) e c), do presente artigo.

5. Excetuando os casos em que uma disposição diga respeito a grupos de pessoal específicos, a presente decisão é aplicável aos membros do Tribunal de Contas, ao pessoal do Tribunal de Contas abrangido pelo âmbito de aplicação do Estatuto dos Funcionários da União Europeia e pelo Regime Aplicável aos Outros Agentes da União Europeia (2) , aos peritos nacionais destacados (PND) no Tribunal de Contas, aos prestadores de serviços e seu pessoal, aos estagiários e a qualquer pessoa com acesso aos edifícios ou outros bens do Tribunal de Contas ou a informações tratadas pelo Tribunal de Contas.

3. O Tribunal de Contas manuseará, nas suas instalações, informações de nível RESTREINT UE/EU RESTRICTED, e tomará todas as medidas de proteção necessárias para o efeito. Devem ser adotadas disposições que assegurem que o pessoal do Tribunal de Contas que necessite de aceder a níveis mais elevados de ICUE o possa fazer em instalações adequadas de outras instituições ou organismos da UE.

as informações classificadas fornecidas ao Tribunal de Contas Europeu por Estados terceiros ou organizações internacionais que ostentem uma marca de classificação de segurança equivalente a uma das marcas de classificação de segurança das ICUE indicadas na alínea a), de acordo com o previsto nos acordos relativos à segurança das informações ou nas disposições administrativas pertinentes.

1. A presente decisão estabelece os princípios básicos e as normas de segurança mínimas para a proteção das informações classificadas manuseadas pelo Tribunal de Contas no cumprimento do seu mandato.

«Registo das ICUE»: uma área criada dentro de uma Zona de Segurança. Este Registo será gerido pelo responsável do Controlo do Registo — autorizado e com credenciação de segurança — do Tribunal de Contas, sendo responsável pela entrada e saída de informações CONFIDENTIEL UE/EU CONFIDENTIAL, ou informações equivalentes, comunicadas pelo/ao Tribunal de Contas.

«Serviço de Registos»: um serviço gerido pelo Secretariado do Tribunal, situado numa Zona Administrativa, e sob a alçada do diretor dos Recursos Humanos, Finanças e Serviços Gerais do Tribunal de Contas. É responsável pela entrada e saída de informações RESTREINT UE/EU RESTRICTED, ou informações equivalentes, comunicadas pelo/ao Tribunal de Contas.

«autoridade de segurança física»: o responsável pela Segurança do Tribunal de Contas, a quem incumbirá adotar as medidas de segurança física e os procedimentos necessários para proteger as ICUE;

«Certificado de Credenciação de Segurança do Pessoal» (CCSP): um certificado emitido pelo diretor dos Recursos Humanos, Finanças e Serviços Gerais do Tribunal de Contas pelo qual se atesta que uma dada pessoa possui uma credenciação de segurança válida ou uma autorização de segurança e que indica o nível de ICUE a que a pessoa pode aceder (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), a data de validade da credenciação ou autorização de segurança pertinente e a data de caducidade do próprio certificado;

«informações»: qualquer informação escrita ou oral, independentemente do suporte ou do autor;

«autoridade para a segurança das informações»: o responsável pela Segurança das Informações do Tribunal de Contas, que pode delegar total ou parcialmente as atribuições previstas na presente decisão;

«manuseamento»: todas as ações a que as ICUE possam ser sujeitas ao longo do seu ciclo de vida: produção, registo, tratamento, transporte, desgraduação, desclassificação e destruição. Em relação aos sistemas de comunicação e informação (SCI), compreende igualmente a sua recolha, visualização, transmissão e armazenamento;

«classificação»: a atribuição de um nível de classificação a informações, com base no grau de prejuízo suscetível de ser causado pela sua divulgação não autorizada;

«autorização de acesso a ICUE»: uma decisão tomada pelo diretor dos Recursos Humanos, Finanças e Serviços Gerais do Tribunal de Contas, com base na garantia dada por uma autoridade competente de um Estado-Membro de que pode ser facultado acesso a ICUE a um funcionário ou outro membro do pessoal do Tribunal de Contas, ou a um PND, até determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), e até determinada data, depois de estabelecida a necessidade de essa pessoa tomar conhecimento de tais informações e tendo a mesma sido adequadamente informada das responsabilidades que lhe incumbem; diz-se da pessoa em questão que «possui autorização de segurança».

9. A menos que a entidade de origem de um documento classificado como SECRET UE/EU SECRET ou de nível inferior tenha aplicado restrições à sua replicação ou tradução, tais documentos podem ser replicados ou traduzidos a pedido do detentor e em conformidade com as instruções de trabalho práticas da autoridade para a segurança das informações do Tribunal de Contas. As medidas de segurança aplicáveis ao documento original são igualmente aplicáveis às respetivas cópias e traduções.

7. Sempre que o exercício do seu mandato exija uma partilha mais ampla de determinados elementos de informações ou documentos classificados, o Tribunal de Contas deve, tendo em devida conta a marca de classificação de segurança, consultar a entidade de origem antes de decidir utilizar tais elementos ou informações, caso considere que essa utilização tem por base um interesse público prevalecente. As informações apenas serão utilizadas no relatório de uma forma que não lese os interesses da entidade de origem. O que precede pode ser devidamente acautelado solicitando à entidade de origem que forneça comentários para se chegar a acordo quanto à forma de anonimizar, condensar ou generalizar as informações, etc., e, ao mesmo tempo, respeitar os interesses dos principais visados pelas informações publicadas.

6. Não obstante o disposto no n.o 5, o Tribunal de Contas e a entidade de origem poderão concordar que, no caso de uma auditoria específica, o Tribunal pode reproduzir ou utilizar elementos de ICUE num documento. Se tal acontecer, o documento do Tribunal de Contas deve ser primeiro enviado à entidade de origem das ICUE em questão antes ou durante o processo contraditório. Nesta situação, o Tribunal de Contas e a entidade de origem devem chegar a acordo quanto à necessidade de classificar o documento emitido pelo Tribunal. Caso um Membro do Tribunal de Contas, atuando como relator, considere necessário comunicar um relatório de auditoria total ou parcialmente classificado no que se refere a determinados destinatários do Parlamento Europeu ou do Conselho — tendo em conta todas as medidas de segurança associadas à presente decisão —, tal comunicação exigirá o consentimento da entidade de origem das informações classificadas. O quadro jurídico e o procedimento aplicáveis à transmissão desses documentos são descritos no artigo 7.o.

5. As ICUE não devem ser divulgadas oralmente ou por escrito. As observações preliminares, relatórios, pareceres, comunicados de imprensa e outros produtos do Tribunal de Contas, bem como o seu sítio Web e intranet, intervenções orais, respostas a pedidos de acesso a documentos (3) e gravações de voz ou de vídeo não devem conter nem fazer referência a ICUE ou a excertos das mesmas. No entanto, caso a entidade de origem tenha publicado documentos ou informações que incluam uma referência a ICUE, essa referência pode ser mencionada.

3. As ICUE devem ser protegidas através de medidas de segurança física, e as informações classificadas como CONFIDENTIEL UE/EU CONFIDENTIAL devem, para além disso, ser protegidas por medidas de segurança relativas ao pessoal.

2. Para tal, o Tribunal de Contas deve sujeitar o manuseamento de ICUE a medidas de segurança físicas e, se for caso disso, a medidas de segurança adequadas relativas ao pessoal, incluindo autorizações de acesso para as pessoas identificadas e medidas para a proteção de sistemas de comunicação e informação. Tais medidas são descritas nos artigos 4.o a 6.o e devem aplicar-se ao longo do ciclo de vida das ICUE. Devem ser proporcionais, em particular, à classificação de segurança das ICUE, à forma e ao volume das informações ou do material, à localização e construção dos estabelecimentos nos quais as ICUE são armazenadas e à avaliação local da ameaça de atos mal-intencionados e/ou atividades criminosas, nomeadamente de espionagem, sabotagem e terrorismo.

1. O Tribunal de Contas deve assegurar que todas as informações classificadas por si recebidas são protegidas de forma proporcional ao nível de classificação determinado pela entidade de origem e em conformidade com a presente decisão.

6. Os serviços do Tribunal de Contas responsáveis por organizarem reuniões nas quais serão manuseadas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior devem informar atempadamente a autoridade para a segurança das informações acerca das datas, horas e locais dessas reuniões, fornecendo também as listas de participantes.

5. Apenas as pessoas que possuam a autorização a que se refere a alínea iii) do n.o 2 acima, bem como os membros do Tribunal de Contas, nos termos do n.o 1, podem participar em reuniões nas quais sejam manuseadas informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior. O Tribunal de Contas e a entidade de origem devem estipular, caso a caso, as modalidades práticas aplicáveis a tais reuniões.

4. O diretor dos Recursos Humanos, Finanças e Serviços Gerais do Tribunal de Contas pode emitir CCSP que especifiquem o nível de classificação das ICUE a que a pessoa pode aceder (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), a data de validade da respetiva autorização de acesso e a data de caducidade do CCSP.

3. O procedimento para determinar se um funcionário ou outro membro do pessoal do Tribunal de Contas pode ser autorizado a aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, tendo em conta a lealdade, integridade e fiabilidade da pessoa, e após a obtenção de garantias das autoridades competentes de um Estado-Membro, conforme referido no artigo 2.o, alínea n), deve ser estabelecido numa decisão delegada adotada em conformidade com o artigo 10.o, n.o 10. As decisões de concessão de autorização de acesso devem ser tomadas pelo diretor dos Recursos Humanos, Finanças e Serviços Gerais do Tribunal de Contas.

no caso das informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, após lhe terem sido concedidas credenciação de segurança e autorização de acesso.

ter sido informado das regras de segurança aplicáveis à proteção das ICUE e das normas e orientações de segurança pertinentes e ter reconhecido, por escrito, as suas responsabilidades no que respeita à proteção dessas informações;

2. Um membro do pessoal do Tribunal de contas, seja ele um funcionário, um membro do pessoal sujeito ao Estatuto dos Funcionários ou um PND, apenas deverá ter o direito de aceder a ICUE após:

1. Por força das funções que desempenham, os membros do Tribunal de Contas devem ser autorizados a aceder a todas as ICUE, bem como a participar em reuniões nas quais sejam manuseadas ICUE. Os membros devem ser informados das suas obrigações de segurança em matéria de proteção de ICUE, devendo reconhecer, por escrito, que são responsáveis por proteger tais informações.

Artigo 5.o

Medidas de segurança física destinadas a proteger informações classificadas

1. Por «segurança física» entende-se a utilização de medidas de proteção física e técnica para impedir o acesso não autorizado a informações classificadas da UE.

2. Devem ser concebidas medidas de segurança física que permitam impedir a entrada sub-reptícia ou forçada de intrusos, dissuadir, impedir e detetar ações não autorizadas e permitir uma diferenciação do pessoal no que se refere ao acesso a ICUE, segundo o princípio da necessidade de tomar conhecimento de tais informações. Essas medidas devem ser determinadas com base num procedimento de gestão do risco, implementado em conformidade com a presente decisão.

3. As zonas onde se proceda ao manuseamento ou armazenamento de ICUE são periodicamente inspecionadas pela autoridade de segurança competente do Tribunal de Contas.

4. Para efeitos de manuseamento e armazenamento das ICUE apenas devem ser utilizados os equipamentos e os dispositivos que cumpram as regras de proteção de ICUE aplicáveis no seio das instituições ou organismos da UE.

5. O pessoal do Tribunal de Contas pode aceder a ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, ou a informações equivalentes, nas Zonas de Segurança situadas fora das instalações do Tribunal de Contas.

6. O Tribunal de Contas pode celebrar um contrato de nível de serviço com outra instituição da UE situada no Luxemburgo com vista a poder manusear e armazenar informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior numa Zona de Segurança dessa instituição. Salvo nos casos em que a entidade de origem o tenha consentido especificamente, as ICUE não devem ser manuseadas ou armazenadas nas instalações do Tribunal de Contas, que tampouco as deve replicar ou traduzir.

7. As informações com classificação RESTREINT UE/EU RESTRICTED devem ser registadas pelo Tribunal de Contas. Por motivos de segurança, deve proceder-se ao registo das consultas de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, ou informações equivalentes, realizadas fora das instalações do Tribunal de Contas.

8. As ICUE classificadas como RESTREINT UE/EU RESTRICTED podem ser armazenadas em mobiliário de escritório apropriado e fechado à chave, numa Zona Administrativa ou numa Zona de Segurança. As ICUE classificadas como CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem ser armazenadas, nos termos de um acordo de nível de serviço, num recipiente de segurança mantido numa Zona de Segurança de outra instituição da UE situada no Luxemburgo.

9. Sempre que se encontrem fora do registo, as ICUE devem ser transferidas entre serviços e instalações da seguinte forma: a) as ICUE são, regra geral, transmitidas por meios eletrónicos protegidos por produtos criptográficos aprovados nos termos do artigo 6.o, n.o 8; b) se não foram transmitidas conforme descrito na alínea a), as ICUE devem ser transferidas com recurso a um suporte de dados (por exemplo, um dispositivo de armazenamento USB, um CD ou um disco rígido) protegido por produtos criptográficos aprovados nos termos do artigo 6.o, n.o 8, ou sob a forma de uma cópia em formato de papel, armazenada num envelope opaco selado.

10. As informações com classificação RESTREINT UE/EU RESTRICTED podem ser destruídas pelo detentor, sob reserva das regras de arquivamento aplicáveis no Tribunal de Contas. As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior apenas devem ser destruídas pelo responsável do Controlo do Registo, após ter recebido instruções nesse sentido dadas pelo detentor ou por uma autoridade competente, em conformidade com as regras de arquivamento aplicáveis no Tribunal de Contas. Os documentos classificados como SECRET UE/EU SECRET devem ser destruídos na presença de uma testemunha que tenha credenciação de segurança correspondente, no mínimo, ao nível de classificação do documento a destruir. O responsável do Controlo do Registo e, se for caso disso, a testemunha, devem assinar um registo da destruição, que deve ser arquivado no registo. O responsável do Controlo do Registo mantém por um mínimo de cinco anos registos da destruição dos documentos classificados como CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET.

11. A autoridade de segurança física e a autoridade para a segurança das informações devem elaborar um plano conjunto, que tenha em conta as condições locais, destinado a salvaguardar as ICUE em momentos de crise, incluindo, se for esse o caso, planos para a destruição ou evacuação de tais informações em caso de emergência. Essas autoridades devem publicar as instruções que considerem adequadas para impedir que as ICUE possam chegar às mãos de pessoas não autorizadas.

12. Se for necessário transportar fisicamente ICUE, o Tribunal de Contas deve cumprir as medidas impostas pela entidade de origem com vista a proteger essas informações de divulgação não autorizada durante o transporte.