KOMMISSIONENS BESLUT (EU, Euratom) 2019/1961

av den 17 oktober 2019

om genomförandebestämmelser för hantering av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 249,

med beaktande av fördraget om upprättandet av Europeiska atomenergigemenskapen, särskilt artikel 106,

med beaktande av kommissionens beslut (EU, Euratom) 2015/443 av den 13 mars 2015 om säkerhet inom kommissionen (1),

med beaktande av kommissionens beslut (EU, Euratom) 2015/444 av den 13 mars 2015 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (2),

med beaktande av kommissionens beslut (EU, Euratom) 2017/46 av den 10 januari 2017 om säkerheten i Europeiska kommissionens kommunikations- och informationssystem (3), och

av följande skäl:

(1) Beslut (EU, Euratom) 2015/444 är tillämpligt med avseende på alla kommissionens avdelningar och lokaler.

(2) Säkerhetsåtgärderna för skydd av säkerhetsskyddsklassificerade EU-uppgifter ska under hela deras livscykel särskilt anpassas till deras säkerhetsskyddsklassificering.

(3) I artiklarna 4.3, 19.1 c och 22 i beslut (EU, Euratom) 2015/444 föreskrivs att närmare bestämmelser för att komplettera och understödja genomförandet av beslutet ska fastställas i genomförandebestämmelser som reglerar frågor såsom en handbok om säkerhetsskyddsklassificering, kompensationsåtgärder för hantering av säkerhetsskyddsklassificerade EU-uppgifter utanför säkrade utrymmen eller administrativa utrymmen, och upphovsmannens ansvar.

(4) Vid behov ska genomförandebestämmelser för att komplettera eller stödja beslut (EU, Euratom) 2015/444 antas i enlighet med artikel 60 i det beslutet.

(5) Säkerhetsåtgärder som vidtas för att genomföra detta beslut ska vara förenliga med säkerhetsprinciper enligt artikel 3 i kommissionens beslut (EU, Euratom) 2015/443.

(6) Rådet, kommissionen och unionens höga representant för utrikes frågor och säkerhetspolitik har enats om att säkerställa största möjliga enhetlighet vid tillämpningen av säkerhetsbestämmelser när det gäller skydd av säkerhetsskyddsklassificerade EU-uppgifter, med beaktande av deras särskilda institutionella och organisatoriska behov, i enlighet med uttalandena till protokollet från det rådsmöte då rådets beslut 2013/488/EU (4) antogs.

(7) Den 4 maj 2016 antog kommissionen ett beslut (5) om bemyndigande för den ledamot av kommissionen som ansvarar för säkerhetsfrågor att, på kommissionens vägnar och under dess ansvar, anta de genomförandebestämmelser som avses i artikel 60 (där kallade ”tillämpningsföreskrifter”) i beslut (EU, Euratom) 2015/444.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

KAPITEL 1

ALLMÄNNA BESTÄMMELSER

Artikel 1 Syfte och tillämpningsområde 1. I detta beslut fastställs villkoren för hantering av säkerhetsskyddsklassificerade EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL (6) och SECRET UE/EU SECRET (7) i enlighet med beslut (EU, Euratom) 2015/444. 2. Detta beslut ska tillämpas på alla kommissionens avdelningar och lokaler.

Artikel 2 Kriterier för tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET 1. Tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får beviljas efter att följande har gjorts: a) Det har fastställts att en person måste ha tillgång till vissa EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET för att kunna utöva en yrkesfunktion eller utföra uppgifter för Europeiska kommissionen. b) Personen har informerats om reglerna och relevanta säkerhetsstandarder och riktlinjer för skydd av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET. c) Personen har bekräftat sitt ansvar för att skydda de berörda uppgifterna. d) Personen har godkänts av kommissionens säkerhetsmyndighet för tillgång till säkerhetsskyddsklassificerade EU-uppgifter upp till den berörda säkerhetsskyddsklassificeringsnivån och till och med ett angivet datum i enlighet med artikel 10.1 3 i beslut (EU, Euratom) 2015/444. 2. Kommissionens praktikanter ska inte få uppgifter som kräver tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET. 3. Tillgång ska vägras eller tillåtas för andra personalkategorier i enlighet med tabellen i bilagan.

KAPITEL 2

UPPRÄTTA EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅERNA CONFIDENTIEL UE/EU CONFIDENTIAL OCH SECRET UE/EU SECRET

Artikel 3 Upphovsman Även om upphovsmannen i den mening som avses i artikel 1 i beslut (EU, Euratom) 2015/444 är en EU-institution, en EU-byrå eller ett EU-organ, en medlemsstat, tredjestat eller en internationell organisation under vars behörighet säkerhetsskyddsklassificerade uppgifter har upprättats och/eller införts i unionens strukturer, är den som utarbetar EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET inte nödvändigtvis densamma.

Artikel 4 Fastställande av säkerhetsskyddsklassificeringsnivå 1. Personal som utarbetar en handling på grundval av uppgifter i den mening som avses i artikel 1 ska alltid ta ställning till om handlingen behöver säkerhetsskyddsklassificeras. Klassificeringen av en handling som säkerhetsskyddsklassificerade EU-uppgifter ska inbegripa en bedömning och ett beslut av upphovsmannen om huruvida utlämnandet av handlingen till obehöriga personer skulle skada Europeiska unionens eller en eller flera medlemsstaters intressen. Om de personer som utarbetar en handling hyser tvivel om huruvida handlingen ska säkerhetsskyddsklassificeras på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, bör de samråda med den ansvarige enhetschefen eller den ansvarige direktören. 2. En handling ska säkerhetsskyddsklassificeras minst på nivån CONFIDENTIEL UE/EU CONFIDENTIAL om dess obehöriga röjande bland annat skulle kunna a) påtagligt skada diplomatiska förbindelser, dvs. förorsaka formella protester eller andra sanktioner, b) äventyra enskilda personers säkerhet och frihet, c) vålla skada på den operativa effektiviteten eller säkerheten hos medlemsstaternas eller andra medverkande staters utstationerade personal, eller på effektiviteten hos värdefulla säkerhets- eller underrättelseoperationer, d) väsentligt undergräva större organisationers finansiella livskraft, e) hindra utredning av allvarliga brott eller göra det lättare att begå sådana, f) väsentligt motarbeta unionens eller medlemsstaternas finansiella, monetära, ekonomiska och kommersiella intressen, g) allvarligt hindra utvecklingen eller genomförandet av unionens viktigare strategier, h) innebära ett avbrott för eller på annat sätt väsentligt störa betydelsefull unionsverksamhet, i) leda till upptäckt av uppgifter som placerats på en högre säkerhetsskyddsklassificeringsnivå. 3. En handling ska säkerhetsskyddsklassificeras minst på nivån SECRET UE/EU SECRET om dess obehöriga röjande bland annat skulle kunna a) skapa internationella spänningar, b) allvarligt skada förbindelserna med tredjeländer eller internationella organisationer, c) utgöra ett direkt hot mot liv eller allvarligt skada den allmänna ordningen eller den enskildes säkerhet eller frihet, d) vålla allvarlig skada på den operativa effektiviteten eller säkerheten hos medlemsstaternas eller andra medverkande staters utstationerade personal, eller på den fortsatta effektiviteten hos ytterst värdefulla säkerhets- eller underrättelseoperationer, e) vålla väsentlig materiell skada på EU:s eller en av dess medlemsstaters finansiella, monetära, ekonomiska eller kommersiella intressen, f) leda till upptäckt av uppgifter som placerats på en högre säkerhetsskyddsklassificeringsnivå. 4. Upphovsmän får besluta att tilldela en standardiserad säkerhetsskyddsklassificeringsnivå till de kategorier av uppgifter som de regelbundet upprättar. De ska dock se till att enskilda uppgifter ges lämplig säkerhetsskyddsklassificeringsnivå.

Artikel 5 Utarbetande av utkast 1. Uppgifter ska säkerhetsskyddsklassificeras så snart de har upprättats. Personliga meddelanden, preliminära utkast eller meddelanden som innehåller uppgifter som motiverar en säkerhetsskyddsklassificering på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska markeras som sådana från början och ska framställas och hanteras i enlighet med detta beslut. 2. Om den slutliga handlingen inte längre motiverar den ursprungliga säkerhetsskyddsklassificeringsnivån ska den inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerad.

Artikel 6 Register över källmaterial För att göra det möjligt att utöva upphovsmannens kontroll i enlighet med artikel 14 ska upphovsmän till handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET föra register över alla säkerhetsskyddsklassificerade källor som används för framställning av säkerhetsskyddsklassificerade handlingar, inbegripet uppgifter om källor som ursprungligen kommer från EU:s medlemsstater, internationella organisationer eller tredjeländer. När så är lämpligt ska säkerhetsskyddsklassificerade uppgifter i aggregerad form märkas på ett sådant sätt att uppgifter som anger upphovsmännen till säkerhetsskyddsklassificerat källmaterial bevaras.

Artikel 7 Säkerhetsskyddsklassificering av delar av en handling 1. I enlighet med artikel 22.6 i beslut (EU, Euratom) 2015/444 ska en handlings övergripande säkerhetsskyddsklassificeringsnivå vara minst lika hög som den del som har fått den högsta säkerhetsskyddsklassificeringsnivån. När uppgifter från olika källor sammanställs, ska den slutliga handlingen i aggregerad form ses över för att dess övergripande säkerhetsskyddsklassificeringsnivå ska kunna fastställas, eftersom den kan motivera en högre säkerhetsskyddsklassificeringsnivå än säkerhetsskyddsklassificeringsnivån för de enskilda delarna. 2. Handlingar som innehåller både säkerhetsskyddsklassificerade och icke-säkerhetsskyddsklassificerade delar struktureras och markeras så att delar på olika klassificerings- och/eller känslighetsnivå vid behov lätt kan identifieras och avskiljas. På så sätt möjliggörs att varje del hanteras på lämpligt sätt när den skilts från de övriga delarna.

Artikel 8 Fullständig säkerhetsskyddsmarkering 1. Uppgifter som motiverar säkerhetsskyddsklassificering ska markeras och hanteras som sådana oberoende av deras fysiska form. Säkerhetsskyddsklassificeringsnivån ska tydligt meddelas till mottagarna, antingen genom en säkerhetsskyddsmarkering, om uppgifterna tillhandahålls i skriftlig form, oavsett om så sker i pappersform, på flyttbara lagringsmedier eller i ett kommunikations- och informationssystem, eller genom ett tillkännagivande, om uppgifterna lämnas i muntlig form, t.ex. i ett samtal eller en presentation. Säkerhetsskyddsklassificerat material ska märkas fysiskt så att dess säkerhetsskyddsklassificering lätt kan identifieras. 2. På handlingar ska den fullständiga säkerhetsskyddsmarkeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET skrivas med versaler, i sin helhet på franska och engelska (med franska först), i enlighet med punkt 3. Markeringen ska inte översättas till andra språk. 3. Säkerhetsskyddsmarkeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska anbringas a) centrerat högst upp och längst ned på varje sida i handlingen, b) med fullständig säkerhetsskyddsmarkering på en rad, utan mellanslag på någondera sidan av snedstrecket, c) med versaler, i svart, med teckensnittet Times New Roman 16 (om möjligt, men minst 14) i fetstil, och omgivet av en ram på alla sidor, 4. Vid upprättandet av en handling på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska a) varje sida tydligt markeras med säkerhetsskyddsklassificeringsnivån, b) varje sida numreras, c) handlingen förses med ett referensnummer, ett registreringsnummer och en ämnesuppgift som inte i sig är en säkerhetsskyddsklassificerad uppgift, om den inte getts en sådan märkning, d) alla bilagor och bifogade handlingar ska förtecknas, om möjligt på första sidan, e) handlingen ska förses med datum för dess upprättande. 5. Om möjligt ska markeringen SECRET UE/EU SECRET vara röd.

Artikel 9 Förkortade säkerhetsskyddsmarkeringar C-UE/EU- C och S-UE/EU-S Förkortningarna C-UE/EU-C och S-UE/EU-S får användas för att ange säkerhetsskyddsklassificeringsnivån för enskilda delar av en handling klassificerad CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET eller där den fullständiga säkerhetsskyddsmarkeringen inte kan anbringas, till exempel på ett mindre flyttbart lagringsmedium. Förkortningarna får användas i brödtext där upprepad användning av fullständiga säkerhetsskyddsmarkeringar blir svårhanterlig. Förkortningen får inte användas i stället för den fullständiga säkerhetsskyddsmarkeringen i sidhuvudet och sidfoten i handlingen.

Artikel 10 Andra säkerhetsbeteckningar 1. Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får förses med andra markeringar eller med ”säkerhetsbeteckningar”, med uppgift om till exempel det område till vilket handlingen hör eller som anger en särskild spridning på grundval av principen om behovsenlig behörighet. Ett exempel: KAN UTLÄMNAS TILL LIECHTENSTEIN. 2. Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET får förses med en säkerhetsvarning med särskilda anvisningar om hur handlingarna ska hanteras och förvaltas. 3. Om det är möjligt ska alla uppgifter om inplacering på lägre säkerhetsskyddsklassificeringsnivå eller huruvida handlingen inte längre ska vara säkerhetsskyddsklassificerad anges på första sidan i handlingen vid den tidpunkt då den upprättas. Exempelvis kan följande märkning användas: SECRET UE/EU SECRET till [dd.mm.ååå] och RESTREINT UE/EU RESTRICTED därefter

Artikel 11 Elektronisk behandling 1. Handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska upprättas med hjälp av elektroniska medel om sådana finns tillgängliga. 2. När EU-uppgifter upprättas på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska kommissionens personal använda sig av kommunikations- och informationssystem som är ackrediterade för motsvarande säkerhetsskyddsklassificeringsnivå eller högre. Personalen ska samråda med den lokalt säkerhetsansvariga om det råder tvivel om vilket kommunikations- och informationssystem som får användas. I samråd med kommissionens säkerhetsmyndighet får specifika förfaranden tillämpas i nödsituationer eller i specifika tekniska konfigurationer. 3. Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET, inklusive utkast, får i enlighet med kravet i artikel 5 inte sändas med e-post, tryckas eller skannas på standardskrivare eller skannrar, eller hanteras på personliga enheter som tillhör personalen. Endast skrivare eller kopiatorer som är anslutna till fristående datorer eller till ett ackrediterat system ska användas för att skriva ut handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

Artikel 12 Registrering för säkerhetsändamål 1. EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska registreras för säkerhetsändamål före distribution och vid mottagandet. De ska registreras — när de kommer till eller lämnar en organisatorisk enhet, — när de kommer till eller lämnar ett kommunikations- och informationssystem. 2. Registreringen får göras på papper eller i elektroniska loggböcker. 3. Om uppgifterna hanteras elektroniskt i ett kommunikations- och informationssystem, kan dessa registreringsförfaranden utföras genom processer inom själva systemet. I så fall ska kommunikations- och informationssystemet omfatta åtgärder som garanterar loggregistrens integritet. 4. Kontrolltjänstemannen för registreringsenheten ska föra ett register som innehåller minst följande uppgifter för varje handling: a) Dag då den slutliga säkerhetsskyddsklassificerade handlingen registrerades. b) Säkerhetsskyddsklassificeringsnivå. c) I tillämpliga fall, den dag då säkerhetsskyddsklassificeringsnivån upphör att gälla. d) Namnet på den avdelning där handlingen har sitt ursprung. e) Mottagaren eller mottagarna. f) En ämnesuppgift. g) Referensnummer för handlingen från den avdelning där den har sitt ursprung. h) Registreringsnummer. i) Antal distribuerade exemplar. j) Om möjligt, en logg över de källor som använts för att upprätta dokumentet. k) Datum för inplacering på lägre säkerhetsskyddsklassificeringsnivå eller då handlingen inte längre är säkerhetsskyddsklassificerad. l) Uppgifter om förstöring (ort, datum, metod, övervakning, intyg över förstöring).

Artikel 13 Spridning Sändaren av handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska besluta till vem uppgifterna ska spridas, på grundval av behovsenlig behörighet. En distributionslista ska upprättas för att ytterligare stärka principen om behovsenlig behörighet.

KAPITEL 3

ARBETE MED BEFINTLIGA EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅERNA CONFIDENTIEL UE/EU CONFIDENTIAL OCH SECRET UE/EU SECRET

Artikel 14 Upphovsmannens kontroll 1. Upphovsmannen ska ha ”upphovsmannens kontroll” över EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET som han eller hon har upprättat. Upphovsmannens skriftliga förhandsmedgivande ska inhämtas innan a) beslut kan fattas om att uppgifterna inte längre ska vara säkerhetsskyddsklassificerade eller att de ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå b) uppgifter används för andra ändamål än dem som fastställts av upphovsmannen, c) uppgifter lämnas ut till ett tredjeland eller en internationell organisation, d) röjas för en part utanför kommissionen men inom EU, e) lämnas ut till en entreprenör eller presumtiv entreprenör i ett tredjeland. 2. Innehavare av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET har fått tillgång till de säkerhetsskyddsklassificerade uppgifterna för att kunna utföra sina uppgifter. De ansvarar för att de hanteras, lagras och skyddas korrekt i enlighet med beslut (EU, Euratom) 2015/444. Till skillnad från upphovsmän av säkerhetsskyddsklassificerade uppgifter ska innehavarna inte ha befogenhet att besluta om inplacering på lägre säkerhetsskyddsklassificeringsnivå, om att uppgifter inte längre ska vara säkerhetsskyddsklassificerade eller om utlämnande av EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET till tredjeländer eller internationella organisationer. 3. Om upphovsmannen till en EU-uppgift på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET inte kan identifieras, ska den kommissionsavdelning som innehar dessa säkerhetsskyddsklassificerade uppgifter utöva upphovsmannens kontroll. Innan EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET lämnas ut till ett tredjeland eller en internationell organisation ska kommissionens grupp av säkerhetsexperter rådfrågas.

Artikel 15 Kommunikations- och informationssystem lämpligt för hantering av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET 1. Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska upprättas och överföras med hjälp av elektroniska medel om sådana finns tillgängliga. Endast kommunikations- och informationssystem som av kommissionens ackrediteringsmyndighet för säkerhet har ackrediterats för hantering av uppgifter på den berörda säkerhetsskyddsklassificeringsnivån eller högre ska användas. 2. Om en avdelning inom kommissionen har lämplig utrustning för att hantera och sända uppgifter med säkerhetsskyddsklassificering på dessa säkerhetsskyddsklassificeringsnivåer ska den, i den mån det är möjligt, bistå andra enheter inom kommissionen med att hantera och skicka uppgifter på ett lämpligt sätt.

Artikel 16 Särskilda åtgärder avseende EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET som lagrats på flyttbara lagringsmedier 1. Användningen av flyttbara lagringsmedier ska hållas strikt kontrollerad och redovisas. Endast flyttbara lagringsmedier som tillhandahålls av kommissionen och krypteras med en produkt som godkänts av kommissionens säkerhetsmyndighet ska användas. Personliga flyttbara lagringsmedier och sådana som delas ut fritt vid konferenser, seminarier osv. får inte användas för överföring av säkerhetsskyddsklassificerade uppgifter. Om möjligt bör Tempest-säkra flyttbara lagringsmedier användas, i enlighet med riktlinjerna från kommissionens säkerhetsmyndighet. 2. Om en säkerhetsskyddsklassificerad handling hanteras eller lagras elektroniskt på flyttbara lagringsmedier, såsom usb-minnen, cd-skivor eller minneskort, ska säkerhetsskyddsmarkeringen vara väl synlig på de uppgifter som visas, liksom i filnamnet och på det flyttbara lagringsmediet. 3. Personalen ska ha i åtanke att det kan krävas en högre säkerhetsskyddsklassificeringsnivå när stora mängder säkerhetsskyddsklassificerade uppgifter lagras på löstagbara lagringsmedier. 4. Endast kommunikations- och informationssystem som vederbörligen ackrediterats ska användas för att överföra EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET till eller från flyttbara lagringsmedier. 5. Vid nedladdning av sådana uppgifter som finns på löstagbara lagringsmedier ska särskild omsorg ägnas åt att se till att medierna inte innehåller virus eller sabotageprogram innan överföringen av uppgifter sker. 6. Flyttbara lagringsmedier ska i förekommande fall hanteras i enlighet med de säkra driftsmetoder som gäller för det krypteringssystem som används. 7. Handlingar på flyttbara lagringsmedier som antingen inte längre behövs eller som har överförts till ett lämpligt kommunikations- och informationssystem ska avlägsnas eller raderas säkert med hjälp av godkända produkter eller metoder. De flyttbara lagringsmedierna ska förstöras när de inte längre behövs, om de inte förvaras i ett lämpligt kassaskåp. All förstöring eller radering ska ske med en metod som överensstämmer med kommissionens säkerhetsbestämmelser. En inventarieförteckning ska upprättas över de löstagbara medierna, och förstöringen av dem ska registreras.

Artikel 17 Hantering och lagring av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET 1. I enlighet med artikel 19.3 a i beslut (EU, Euratom) 2015/444 ska EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET hanteras i ett säkrat utrymme (8). 2. I enlighet med artikel 19.3 b i beslut (EU, Euratom) 2015/444 får dessa säkerhetsskyddsklassificerade EU-uppgifter hanteras i ett administrativt utrymme (9), förutsatt att de skyddas från att obehöriga får tillgång till dem. 3. Dessa uppgifter får hanteras utanför ett säkrat eller administrativt utrymme, förutsatt att innehavaren har åtagit sig att följa de kompensationsåtgärder som krävs enligt artikel 19.3 c i beslut (EU, Euratom) 2015/444, som ska minst omfatta följande: — Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får inte läsas på offentliga platser. — Säkerhetsskyddsklassificerade EU-uppgifter ska alltid förvaras under innehavarens personliga kontroll. — När det gäller handlingar i pappersform har innehavaren anmält till det berörda registret att de säkerhetsskyddsklassificerade handlingarna hanteras utanför ett säkrat eller administrativt utrymme. — Handlingarna ska förvaras i ett lämpligt kassaskåp när de inte läses eller diskuteras. — Dörrarna till lokalen ska vara stängda när handlingen läses eller diskuteras. — Detaljerna i handlingen får inte diskuteras via telefon på en icke-säkrad linje eller i ett mejl. — Handlingen får inte kopieras eller skannas av innehavaren. Endast registreringsenheten får tillhandahålla ytterligare kopior. — Handlingen får hanteras och tillfälligt hållas utanför ett administrativt eller säkrat utrymme endast under den minsta tid som krävs, och därefter returneras till registreringsenheten. — Returneringen ska bekräftas genom underteckning. — Innehavaren får inte kasta bort den säkerhetsskyddsklassificerade handlingen eller förstöra den. 4. EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska förvaras i ett säkrat utrymme i ett säkerhetsskåp eller valv. 5. Ytterligare rådgivning kan begäras från den lokalt säkerhetsansvariga vid den berörda kommissionsavdelningen. 6. Alla misstänkta eller faktiska säkerhetsincidenter som inbegriper handlingen ska rapporteras till den lokalt säkerhetsansvariga så snart som möjligt.

Artikel 18 Kopiering och översättning av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET 1. EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får kopieras eller översättas på uppdrag av innehavaren, förutsatt att upphovsmannen inte har angett några begränsningar. Det får dock inte göras fler kopior än vad som är absolut nödvändigt. 2. Om endast en del av en säkerhetsskyddsklassificerad handling återges ska samma villkor gälla som för kopiering av den fullständiga handlingen. Utdrag ska också klassificeras på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED, såvida inte upphovsmannen särskilt har klassificerat dem på en lägre säkerhetsskyddsklassificeringsnivå eller markerat att de inte omfattas av säkerhetsskyddsklassificeringen. 3. De säkerhetsåtgärder som är tillämpliga på de ursprungliga uppgifterna ska också tillämpas på kopior och översättningar av dessa.

Artikel 19 Allmänna principer för befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET 1. När så är möjligt ska EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET som behöver tas utanför säkrade utrymmen eller administrativa utrymmen skickas på elektronisk väg med hjälp av vederbörligt ackrediterade medel och/eller skyddas med godkända kryptoprodukter. 2. Beroende på de tillgängliga medlen eller de särskilda omständigheterna får EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET befordras fysiskt genom personligt överlämnande i form av pappersdokument eller på flyttbara lagringsmedier. För att överföra EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska användning av flyttbara lagringsmedier ges företräde framför att skicka pappersdokument. 3. Endast flyttbara lagringsmedier som krypteras med en produkt som godkänts av kommissionens säkerhetsmyndighet får användas. EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET på löstagbara lagringsmedier som inte skyddas av en kryptoprodukt som har godkänts av kommissionens säkerhetsmyndighet ska hanteras på samma sätt som pappersutskrifter. 4. En försändelse får innehålla mer än en säkerhetsskyddsklassificerad uppgift, förutsatt att principen om behovsenlig behörighet följs. 5. De förpackningar som används ska förhindra att innehållet går att se. EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska befordras i dubbla ogenomskinliga förpackningar, till exempel kuvert, ogenomskinliga mappar eller en portfölj. Den yttre förpackningen ska inte vara försedd med någon uppgift om innehållets karaktär eller dess säkerhetsskyddsklassificeringsnivå. Den inre förpackningen ska markeras CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET. På båda förpackningarna anges den avsedda mottagarens namn, tjänstetitel och adress samt en returadress om leveransen inte kan utföras. 6. Personal eller kurirer som befordrar EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska vara säkerhetsbemyndigade och ett kuririntyg ska utfärdas för dem. 7. Kuvertet/förpackningen får inte öppnas under befordran. Säkerhetsgodkännandet för kuriren bemyndigar inte honom eller henne att få tillgång till innehållet i de säkerhetsskyddsklassificerade uppgifterna. 8. Alla säkerhetsincidenter som inbegriper EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET som befordras av personal eller kurirer ska rapporteras för efterföljande undersökning till direktoratet för säkerhet vid generaldirektoratet för personal och säkerhet, via den relevanta kommissionsavdelningens lokalt säkerhetsansvariga.

Artikel 20 Personligt överlämnande av flyttbara lagringsmedier 1. Flyttbara lagringsmedier som används för att befordra EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska åtföljas av en fraktsedel med uppgifter om de flyttbara lagringsmedier som innehåller de säkerhetsskyddsklassificerade uppgifterna samt alla filer som finns på dem, så att mottagaren kan göra nödvändiga kontroller och bekräfta mottagandet. 2. Endast de handlingar som ska tillhandahållas ska lagras på medierna. Exempelvis måste alla säkerhetsskyddsklassificerade uppgifter på ett enskilt usb-minne vara avsedda för en och samma mottagare. Avsändaren ska ha i åtanke att det kan krävas en högre säkerhetsskyddsklassificeringsnivå för enheten som helhet när stora mängder säkerhetsskyddsklassificerade uppgifter lagras på sådana enheter. 3. Endast flyttbara lagringsmedier med korrekt säkerhetsskyddsmarkering ska användas för att befordra EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET. 4. Alla EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET som sparas på flyttbara lagringsmedier ska registreras för säkerhetsändamål.

Artikel 21 Befordran av handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET inom kommissionsbyggnader 1. Säkerhetsbemyndigad personal får befordra handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET inom en kommissionsbyggnad, men handlingarna får inte lämnas utan uppsikt av den person som befordrar dem eller läsas offentligt. 2. Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får inte skickas med internpost.

Artikel 22 Befordran av handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET inom unionen 1. EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får befordras av personal eller kommissionens kurirer vart som helst inom unionen, förutsatt att de följer följande anvisningar: a) För befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska ogenomskinliga kuvert eller förpackningar användas. Utsidan ska inte vara försedd med någon uppgift om innehållets karaktär eller dess säkerhetskyddsklassificeringsnivå. b) EU-uppgifterna på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET får inte lämnas utan uppsikt av den person som befordrar dem. c) Kuvertet eller paketet får inte öppnas under befordran och uppgifterna får inte läsas på offentliga platser. 2. Personal vid en registreringsenhet som önskar sända EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL till andra platser inom unionen får sörja för att uppgifterna befordras på ett av följande sätt: — Med nationell post som spårar försändelsen eller vissa kommersiella kurirtjänster som garanterar personlig befordran, förutsatt att de uppfyller kraven i artikel 24 i detta beslut, — med militär-, regerings- eller diplomatkurir. 3. Personal som vill skicka EU-uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET till andra EU-medlemsstater får komma överens med sin registreringsenhet om att de skickas med militär-, regerings- eller diplomatkurir, men inte med post eller kommersiella kurirer. 4. Kommissionens personal eller kommissionens officiella kurirer som befordrar EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska medföra ett kuririntyg för varje försändelse, utfärdat av respektive avdelnings kansli, vilket intygar att personen är bemyndigad att befordra försändelsen.

Artikel 23 Befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET från eller till ett tredjelands territorium 1. EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET får befordras av personal mellan unionens territorium och ett tredje lands territorium genom personligt överlämnande. 2. Registreringsenhetens personal får sörja för befordran med militär- eller diplomatkurir. 3. Personal som befordrar antingen pappersdokument eller flyttbara lagringsmedier på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET genom personligt överlämnande, ska uppfylla samtliga följande ytterligare åtgärder: — När de reser med kollektivtrafik ska de säkerhetsskyddsklassificerade uppgifterna vara placerade i en portfölj eller väska över vilken de har personlig uppsikt. De får inte befordras som lastrumsbagage. — Den inre förpackningen ska vara försedd med en officiell försegling som visar att det rör sig om en officiell försändelse som inte ska genomgå säkerhetskontroll. — Den person som befordrar försändelsen ska medföra ett kuririntyg, utfärdat av den berörda avdelningens registreringsenhet, som intygar att han eller hon är bemyndigad att befordra försändelsen med säkerhetsskyddsklassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

Artikel 24 Befordran med kommersiella kurirer 1. I detta beslut avses med kommersiella kurirer nationella posttjänster och kommersiella kurirföretag som tillhandahåller en tjänst med hjälp av vilken uppgifter levereras mot en avgift, antingen med personligt överlämnande eller med spårning. 2. Kommersiella kurirer får överföra EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL inom en medlemsstat eller från en medlemsstat till en annan medlemsstat. Kommersiella kurirer får överföra EU-uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET inom en medlemsstat men inte utomlands. 3. Kommersiella kurirtjänster ska uppmanas att leverera försändelser på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET endast till kontrolltjänstemannen för registreringsenheten, till dennes vederbörligen bemyndigade ersättare eller till den avsedda mottagaren. 4. Kommersiella kurirer får använda sig av en underleverantörs tjänster. Ansvaret för att följa detta beslut ska dock kvarstå hos kurirföretaget. 5. Kommersiella kurirtjänster som inbegriper elektronisk överföring av handlingar vid rekommenderade leveranser får inte användas för EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

Artikel 25 Förberedelse av säkerhetsskyddsklassificerade EU-uppgifter för befordran med kommersiella kurirtjänster 1. När säkerhetsskyddsklassificerade försändelser förbereds ska avsändaren ha i åtanke att kommersiella kurirtjänster endast får leverera försändelser på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET till den avsedda mottagaren eller en bemyndigad ersättare, kontrolltjänstemannen för registreringsenheten eller dennes vederbörligen bemyndigade ersättare, eller till en receptionist. 2. När sådana uppgifter skickas av en godkänd kommersiell kurirtjänst ska försändelsen förberedas och förpackas enligt följande: a) Försändelsen ska skickas med dubbla kuvert (det inre kuvertet ska vara sådant att eventuella försök att öppna det blir uppenbara) eller annat lämpligt säkert emballage. b) Säkerhetsskyddsklassificeringsnivån ska vara klart synlig på innerkuvertet eller på innerförpackningen. c) Säkerhetsskyddsklassificeringsnivån ska inte anges på ytterkuvertet eller den yttre förpackningen. d) Både inner- och ytterkuvertet eller inner- och ytterförpackningen ska vara tydligt adresserade till en namngiven person hos den avsedda mottagaren och vara försedda med en returadress. e) En blankett för mottagningsbevis ska placeras inuti innerkuvertet eller innerförpackningen för mottagaren att fylla i och returnera. Mottagningsbeviset, som inte ska säkerhetsskyddsklassificeras, ska ange handlingens referensnummer, datum och exemplarnummer, men inte ämnet. f) Ytterkuvertet eller ytterförpackningen ska förses med leveranskvitto. Leveranskvittot, som inte ska säkerhetsskyddsklassificeras, ska ange handlingens referensnummer, datum och exemplarnummer, men inte ämnet. g) Kurirtjänsten måste på en särskild blankett införskaffa och tillhandahålla avsändaren bevis på att försändelsen har levererats, eller införskaffa kvitton eller packsedlar. 3. Avsändaren ska upprätthålla kontakt med den namngivna mottagaren innan försändelsen sänds för att komma överens om ett lämpligt datum och klockslag för leverans. 4. Avsändaren är ensam ansvarig för försändelser som sänds med kommersiell kurirtjänst. Om försändelsen förloras eller inte levereras i tid ska avsändaren rapportera detta till kommissionens säkerhetsmyndighet, som följer upp säkerhetsincidenten.

Artikel 26 Andra särskilda hanteringsvillkor 1. Alla villkor för befordran som anges i ett informationssäkerhetsavtal eller i administrativa överenskommelser ska uppfyllas. I tveksamma fall ska personalen samråda med sin respektive registreringsenhet eller med direktoratet för säkerhet inom generaldirektoratet för personal och säkerhet. 2. Kravet på dubbla förpackningar får frångås för säkerhetsskyddsklassificerade uppgifter som skyddas med godkända kryptoprodukter. För adresseringen, och även eftersom det flyttbara lagringsmediet, har försetts med en uttrycklig säkerhetsskyddsmarkering, ska mediet dock transporteras i minst ett vanligt kuvert, men det kan krävas ytterligare fysiska skyddsåtgärder, t.ex. kuvert av bubbelplast.

KAPITEL 4

SÄKERHETSSKYDDSKLASSIFICERADE MÖTEN

Artikel 27 Förbereda ett möte där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas 1. Möten där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas får endast hållas i en möteslokal som har godkänts på vederbörlig eller högre säkerhetsskyddsklassificeringsnivå. Om sådana inte är tillgängliga ska personalen rådgöra med kommissionens säkerhetsmyndighet. 2. Som regel bör dagordningarna inte säkerhetsskyddsklassificeras. Om en dagordning för ett möte innehåller uppgifter om säkerhetsskyddsklassificerade handlingar, ska själva dagordningen inte automatiskt säkerhetsskyddsklassificeras. Punkterna på dagordningen ska formuleras på ett sådant sätt att skyddet av unionen eller en eller flera medlemsstaters intressen inte äventyras. 3. Mötesarrangörerna ska påminna deltagarna om att alla synpunkter som lämnas in rörande en punkt på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET inte får skickas med e-post eller på något annat sätt som inte har ackrediterats på vederbörligt sätt i enlighet med artikel 11 i detta beslut. 4. Mötesarrangörerna ska sträva efter att gruppera punkter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET efter varandra på dagordningen för att mötet ska fungera smidigt. Endast personer med behovsenlig behörighet, som har ett personalsäkerhetsgodkännande på vederbörlig säkerhetsskyddsklassificeringsnivå och i förekommande fall, ett bemyndigande, får närvara vid diskussioner om säkerhetsskyddsklassificerade punkter. 5. I inbjudan ska deltagarna förvarnas om att säkerhetsskyddsklassificerade ämnen kommer att tas upp vid mötet och att motsvarande säkerhetsåtgärder kommer att tillämpas. 6. Deltagarna ska påminnas om att bärbara elektroniska enheter ska lämnas utanför möteslokalen vid diskussioner om EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET. 7. Mötesarrangörerna ska före mötet utarbeta en fullständig förteckning över deltagarna.

Artikel 28 Deltagarnas tillträde till ett möte där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas 1. Mötesarrangörerna ska underrätta kommissionens säkerhetsmyndighet om eventuella externa besökare som närvarar vid ett möte i kommissionens lokaler där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas. 2. Deltagarna måste bevisa att de innehar ett giltigt personalsäkerhetsgodkännande på lämplig säkerhetsskyddsklassificeringsnivå för att kunna närvara vid behandlingen av punkter på säkerhetsskyddsklassificeringsnivå CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

Artikel 29 Elektronisk utrustning i en möteslokal där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas 1. Endast ackrediterade it-system i enlighet med artikel 11 i detta beslut får användas om säkerhetsskyddsklassificerade uppgifter förmedlas, t.ex. för att ge en presentation där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET visas eller för videokonferenser. 2. Ordföranden ska se till att otillåtna bärbara elektroniska enheter har lämnats utanför möteslokalen.

Artikel 30 Förfaranden som ska följas vid ett möte där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas 1. När diskussionen rörande säkerhetsskyddsklassificerade uppgifter inleds ska ordföranden tillkännage att mötet övergår till att behandla säkerhetsskyddsklassificerade uppgifter. Dörrarna ska vara stängda. 2. Endast det nödvändiga antalet handlingar ska kvitteras och ges till deltagare och, i förekommande fall, tolkar, vid början av diskussionen. 3. Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får inte lämnas utan uppsikt under avbrott i mötet. 4. Vid mötets slut ska deltagarna och tolkarna påminnas om att inte lämna några säkerhetsskyddsklassificerade handlingar eller säkerhetsskyddsklassificerade anteckningar som de kan ha gjort obevakade i lokalen. Eventuella handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET som deltagarna inte behöver i slutet av mötet, och i alla händelser alla handlingar som använts vid tolkning, ska kvitteras och returneras till kontrolltjänstemannen vid registreringsenheten för förstöring i vederbörliga dokumentförstörare. 5. En deltagarförteckning och en sammanfattning av alla säkerhetsskyddsklassificerade uppgifter som delats med medlemsstaterna och muntligen lämnats ut till tredjeländer eller internationella organisationer ska sammanställas under mötet och registreras i ett sammandrag av diskussionen.

Artikel 31 Tolkar och översättare Endast tolkar och översättare som har säkerhetsgodkännande och bemyndigande samt omfattas av tjänsteföreskrifterna eller anställningsvillkoren för övriga anställda i Europeiska unionen eller som har ett avtalsförhållande med kommissionen ska ha tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

KAPITEL 5

DELA OCH UTBYTA EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅERNA CONFIDENTIEL UE/EU CONFIDENTIAL OCH SECRET UE/EU SECRET

Artikel 32 Upphovsmannens medgivande Om det inte är kommissionen som är upphovsman till de säkerhetsskyddsklassificerade uppgifter som är föremål för en begäran om utlämning eller delning, eller eventuellt källmaterial de kan innehålla, ska den kommissionsavdelning som innehar de säkerhetsskyddsklassificerade uppgifterna först söka upphovsmannens skriftliga medgivande till att lämna ut uppgifterna. Om upphovsmannen till en uppgift inte kan identifieras ska den kommissionsavdelning som innehar dessa säkerhetsskyddsklassificerade uppgifter utöva upphovsmannens kontroll.

Artikel 33 Dela EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET med andra unionsenheter 1. EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får endast utbytas med en annan av unionens institutioner, organ, byråer eller kontor om mottagaren har behovsenlig behörighet och enheten har en motsvarande juridisk överenskommelse med kommissionen. 2. Inom kommissionen ska den registreringsenhet som förvaltas av generalsekretariatet som regel fungera som huvudsaklig kontaktpunkt för in- och utpassering när det gäller utbyte av säkerhetsskyddsklassificerade EU-uppgifter med andra av unionens institutioner, byråer, organ och kontor. Kommissionens säkerhetsmyndighet ska rådfrågas om det finns säkerhetsmässiga, organisatoriska eller operativa skäl till att det är lämpligare att lokala registreringsenheter för säkerhetsskyddsklassificerade EU-uppgifter fungerar som kontaktpunkt för in- och utpassering i ärenden som faller inom den berörda avdelningens behörighetsområde.

Artikel 34 Utbyta EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET med medlemsstater 1. EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får delas med medlemsstaterna om mottagaren har behovsenlig behörighet och säkerhetsgodkännande. 2. Säkerhetsskyddsklassificerade uppgifter från medlemsstater som har en motsvarande nationell säkerhetsskyddsmarkering (10) och som tillhandahållits kommissionen ska ha samma skyddsnivå som EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET.

Artikel 35 Utbyta EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET med tredjeländer och internationella organisationer 1. EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får endast lämnas ut till ett tredjeland eller en internationell organisation om mottagaren har behovsenlig behörighet och landet eller den internationella organisationen har upprättat en lämplig rättslig eller administrativ ram, t.ex. ett informationssäkerhetsavtal eller en administrativ överenskommelse med kommissionen. Bestämmelserna i ett sådant avtal eller en sådan överenskommelse ska ha företräde framför bestämmelserna i detta beslut. 2. Den registreringsenhet för säkerhetsskyddsklassificerade EU-uppgifter som förvaltas av generalsekretariatet som regel fungera som huvudsaklig kontaktpunkt för in- och utpassering när det gäller utbyte av alla EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET mellan kommissionen och med tredjestater och internationella organisationer. Kommissionens säkerhetsmyndighet ska rådfrågas om det finns säkerhetsmässiga, organisatoriska eller operativa skäl till att det är lämpligare att lokala registreringsenheter för säkerhetsskyddsklassificerade EU-uppgifter fungerar som kontaktpunkt för in- och utpassering i ärenden som faller inom den berörda avdelningens behörighetsområde. 3. Alla säkerhetsskyddsklassificerade uppgifter som mottas från ett tredjeland eller en internationell organisation ska registreras för säkerhetsändamål. Personalen ska därför kontakta registreringsenheten om de tar emot säkerhetsskyddsklassificerade uppgifter via andra än registreringsenhetens vanliga kanaler. 4. För att säkerställa spårbarhet ska EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET registreras — när de kommer till eller lämnar en organisatorisk enhet, — när de kommer till eller lämnar ett kommunikations- och informationssystem. 5. Registreringen får göras på papper eller i elektroniska loggböcker. 6. Registreringsförfaranden för säkerhetsskyddsklassificerade uppgifter som hanteras i ett ackrediterat kommunikations- och informationssystem kan utföras genom processer inom själva systemet. I så fall ska kommunikations- och informationssystemet omfatta åtgärder som garanterar loggregistrens integritet. 7. Säkerhetsskyddsklassificerade uppgifter som mottas från tredjeländer eller internationella organisationer ska ges en motsvarande skyddsnivå som säkerhetsskyddsklassificerade EU-uppgifter som har motsvarande säkerhetsskyddsmarkering enligt respektive informationssäkerhetsavtal eller administrativa arrangemang.

Artikel 36 Ad hoc-utlämning i undantagsfall av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET 1. Om kommissionen eller någon av dess avdelningar fastställer att det finns ett exceptionellt behov av att lämna ut EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET till ett tredjeland, en internationell organisation eller en EU-enhet men det saknas ett informationssäkerhetsavtal eller en administrativ överenskommelse, ska förfarandet för ad hoc-utlämning i undantagsfall följas. 2. Kommissionens avdelningar ska kontakta kommissionens säkerhetsmyndighet, som ska rådfråga kommissionens grupp av säkerhetsexperter. 3. Efter det att kommissionens grupp av säkerhetsexperter rådfrågats får kommissionen, på grundval av ett förslag från den ledamot av kommissionen som ansvarar för säkerhetsfrågor, tillåta att de berörda uppgifterna lämnas ut.

KAPITEL 6

SLUT PÅ LIVSCYKELN FÖR EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅERNA CONFIDENTIEL UE/EU CONFIDENTIAL OCH SECRET UE/EU SECRET

Artikel 37 När ska uppgifterna inplaceras på lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerade? 1. Uppgifter ska vara säkerhetsskyddsklassificerade endast så länge de kräver skydd. Inplacering på lägre säkerhetsskyddsklassificeringsnivå innebär en sänkning av nivån på säkerhetsskyddsklassificeringen. Beslut att uppgifter inte längre ska vara säkerhetsskyddsklassificerade innebär att de inte längre ska betraktas som säkerhetsskyddsklassificerade över huvud taget. I samband med upprättandet av säkerhetsskyddsklassificerade EU-uppgifter ska upphovsmannen om möjligt ange huruvida uppgifterna får inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre ska vara säkerhetsskyddsklassificerade vid ett visst datum eller efter en särskild händelse. I annat fall ska upphovsmannen se över uppgifterna och bedöma riskerna minst vart 5:e år för att avgöra om den ursprungliga säkerhetsskyddsklassificeringsnivån fortfarande är lämplig. 2. Även för kommissionens handlingar kan beslut fattas från fall till fall om att de ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerade, t.ex. efter en begäran om tillgång till en handling från allmänheten.

Artikel 38 Ansvar för inplacering på lägre säkerhetsskyddsklassificeringsnivå eller för att uppgifterna inte längre ska vara säkerhetsskyddsklassificerade 1. Beslut att EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska inplaceras på lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerade får inte fattas utan medgivande från upphovsmannen. 2. Den kommissionsavdelning som upprättar en säkerhetsskyddsklassificerad handling ska ansvara för att besluta huruvida den ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerad. Inom kommissionen ska en begäran om beslut om att en handling ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerad föregås av samråd med enhetschefen eller direktören för den avdelning där den har sitt ursprung. Om avdelningen har sammanställt säkerhetsskyddsklassificerade uppgifter från olika källor ska den först inhämta samtycke från alla andra parter som tillhandahållit källmaterial, inbegripet i medlemsstaterna, andra EU-organ, tredjeländer eller internationella organisationer. 3. Om den avdelning inom kommissionen där handlingen har sitt ursprung inte längre finns och dess ansvar har tagits över av en annan avdelning, ska beslutet att den ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerad fattas av denna avdelning. Om den avdelning där handlingen har sitt ursprung inte längre finns och dess ansvar inte har tagits över av någon annan avdelning, ska beslutet att den ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerad fattas gemensamt av enhetscheferna eller direktörerna i det mottagande generaldirektoratet. 4. Den avdelning som ansvarar för dess inplacering på en lägre säkerhetsskyddsklassificeringsnivå eller för att den inte längre ska vara säkerhetsskyddsklassificerad ska samarbeta med sin respektive registreringsenhet om de praktiska arrangemangen för detta.

Artikel 39 Känsliga uppgifter som inte är säkerhetsskyddsklassificerade När en översyn av en handling leder till ett beslut att den inte längre ska vara säkerhetsskyddsklassificerad ska hänsyn tas till huruvida handlingen ska förses med en distributionsbeteckning för känsliga icke- säkerhetsskyddsklassificerade uppgifter i den mening som avses i artikel 9 i beslut (EU, Euratom) 2015/443.

Artikel 40 Angivande av att en handling har inplacerats på lägre säkerhetsskyddsklassificeringsnivå eller inte längre är säkerhetsskyddsklassificerad 1. Den ursprungliga säkerhetsskyddsmarkeringen högst upp och längst ned på varje sida ska tydligt strykas över (inte tas bort) med hjälp av funktionen ”genomstrykning” för elektroniska format, eller manuellt för utskrifter. 2. Första sidan (försättsbladet) ska förses med en markering att handlingen har inplacerats på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre är säkerhetsskyddsklassificerad, kompletterad med uppgifter om den myndighet som ansvarar för detta och datum. 3. De ursprungliga mottagarna av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska underrättas om att uppgifterna har inplacerats på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre är säkerhetsskyddsklassificerade. De ursprungliga mottagarna ska ansvara för att underrätta eventuella efterföljande mottagare till vilka de har översänt eller för vilka de har kopierat de ursprungliga EU-uppgifterna på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET. 4. Kommissionens historiska arkiv ska underrättas om alla beslut om att EU-uppgifter eller handlingar inte längre ska vara säkerhetsskyddsklassificerade. 5. Alla översättningar av säkerhetsskyddsklassificerade uppgifter ska omfattas av samma förfaranden för inplacering av uppgifterna på lägre säkerhetsskyddsklassificeringsnivå eller för att de inte längre ska vara säkerhetsskyddsklassificerade som den ursprungliga språkversionen.

Artikel 41 Partiell inplacering på lägre säkerhetsskyddsklassificeringsnivå eller partiellt borttagande av säkerhetsskyddsklassificeringen för EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET 1. Det är också möjligt att besluta om partiell inplacering på lägre säkerhetsskyddsklassificeringsnivå eller partiellt borttagande av säkerhetsskyddsklassificeringen (t.ex. bilagor, endast vissa punkter). Förfarandet ska vara identiskt med förfarandet för att en handling i sin helhet ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivån eller inte längre vara säkerhetsskyddsklassificerad. 2. När ett beslut har fattats om partiellt borttagande av säkerhetsskyddsklassificeringen för EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska ett utdrag ur den handling om vilket beslut fattats om partiellt borttagande av säkerhetsskyddsklassificeringen upprättas. 3. De delar som förblir säkerhetsskyddsklassificerade ska ersättas med följande: PART NOT TO BE DECLASSIFIED antingen i själva brödtexten, om den del som förblir säkerhetsskyddsklassificerad är en del av en punkt, eller som en punkt, om den del som förblir klassificerad är en särskild punkt eller mer än en punkt. 4. Ett särskilt omnämnande ska göras i texten om säkerhetsskyddsklassificeringen för en hel bilaga inte kan tas bort och denna därför inte ingår i utdraget.

Artikel 42 Rutinmässig förstöring och radering av EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET 1. Kommissionen ska inte ansamla stora mängder säkerhetsskyddsklassificerade uppgifter. 2. De avdelningar där uppgifterna har sitt ursprung ska se över handlingarna minst vart 5:e år för förstöring eller radering. En översyn ska göras med jämna mellanrum både för uppgifter som lagras i pappersform och för uppgifter som lagras i kommunikations- och informationssystem. 3. Personalen får inte förstöra handlingar i pappersformat på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET som de inte längre behöver, utan ska i stället be kontrolltjänstemannen vid sin registreringsenhet förstöra handlingarna, med förbehåll för eventuella arkiveringsbestämmelser för originalhandlingen. 4. Personalen behöver inte informera upphovsmannen om de raderar kopior av handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET. 5. Utkast till material som innehåller säkerhetsskyddsklassificerade uppgifter ska omfattas av samma metoder för bortskaffande som slutliga säkerhetsskyddsklassificerade handlingar. 6. Endast godkända dokumentförstörare ska användas för att förstöra handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET. Dokumentförstörare i säkerhetsklass 5 enligt standarden DIN 66399 är lämpliga för att förstöra handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL. Dokumentförstörare i säkerhetsklass 6 enligt standarden DIN 66399 är lämpliga för att förstöra handlingar på EU-uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET. 7. Avfallet från godkända dokumentförstörare får bortskaffas som vanligt kontorsavfall. 8. Kontrolltjänstemannen för registreringsenheten ska upprätta intyg om förstöring och uppdatera loggböckerna och andra registreringsuppgifter i enlighet med detta. 9. Alla medier och enheter som innehåller EU-uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET ska saneras på vederbörligt sätt när de når slutet på sin livscykel. De elektroniska uppgifterna ska förstöras eller raderas från it-resurser och tillhörande lagringsmedier på ett sätt som ger rimliga garantier för att uppgifterna inte kan återvinnas. Genom saneringen avlägsnas data från lagringsenheten liksom alla markeringar och aktivitetsloggar. 10. Lagringsmedier för datorer ska ges till den lokalt säkerhetsansvariga eller den säkerhetsansvariga för de lokala datasystemen och/eller kontrolltjänstemannen för registreringsenheten för förstöring och bortskaffande.

Artikel 43 Evakuering och förstöring av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET i en nödsituation 1. Enhetschefen ska utarbeta, godkänna och vid behov aktivera planer för evakuering och förstöring i nödsituationer för att skydda säkerhetsskyddsklassificerade EU-uppgifter som vid en kris löper stor risk att falla i händerna på obehöriga. I prioritetsordning och beroende på nödsituationens karaktär ska följande åtgärder beaktas: (1) Flytta säkerhetsskyddsklassificerade EU-uppgifter till en alternativ säker plats, om möjligt ett säkrat utrymme i samma byggnad. (2) Evakuera säkerhetsskyddsklassificerade EU-uppgifter till en alternativ säker plats, om möjligt ett säkrat utrymme i en annan byggnad, om möjligt en kommissionsbyggnad. (3) Förstöra säkerhetsskyddsklassificerade EU-uppgifter, om möjligt med användning av godkända metoder för förstöring. 2. När planerna har aktiverats ska prioritet ges åt att flytta eller förstöra EU-uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET och därefter eventuella EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL. 3. De operativa detaljerna i planerna för evakuering och förstöring i nödsituationer ska vara säkerhetsskyddsklassificerade på nivån RESTREINT UE/EU RESTRICTED. En kopia ska finnas i varje kassaskåp där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET förvaras, så att den är tillgänglig i en nödsituation.

Artikel 44 Arkivering 1. Beslut om huruvida och när arkivering ska ske, och vilka motsvarande praktiska åtgärder som ska vidtas, ska fattas i enlighet med kommissionens policy för dokumenthantering. 2. Handlingar på säkerhetsskyddsklassificeringsnivåerna SECRET UE/EU SECRET och CONFIDENTIEL UE/EU CONFIDENTIAL ska inte skickas till Europeiska unionens historiska arkiv i Florens.

KAPITEL 7

SLUTBESTÄMMELSER

Artikel 45 Öppenhet Kommissionens tjänstemän och övriga personer som berörs ska informeras om detta beslut, som ska offentliggöras i Europeiska unionens officiella tidning.

Artikel 46 Ikraftträdande Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Utfärdat i Bryssel den 17 oktober 2019. På kommissionens vägnar För ordföranden Günther OETTINGER Ledamot av kommissionen

(1) EUT L 72, 17.3.2015, s. 41.

(2) EUT L 72, 17.3.2015, s. 53.

(3) EUT L 6, 11.1.2017, s. 40.

(4) Rådets beslut 2013/488/EU av den 23 september 2013 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (EUT L 274, 15.10.2013, s. 1).

(5) Commission Decision of 4 May 2016 on an empowerment relating to security C(2016) 2797 final, ej översatt till svenska.

(6) Enligt artikel 3 i beslut (EU, Euratom) 2015/444 avses med uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL ”uppgifter och materiel vars obehöriga röjande skulle kunna medföra ett inte obetydligt men för Europeiska unionens eller en eller flera medlemsstaters väsentliga intressen”.

(7) Enligt artikel 3 i beslut (EU, Euratom) 2015/444 avses med uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET ”uppgifter och materiel vars obehöriga röjande skulle kunna medföra betydande men för Europeiska unionens eller en eller flera medlemsstaters väsentliga intressen”.

(8) Enligt definitionen i artikel 18 i förordning (EU, Euratom) 2015/444.

(9) Enligt definitionen i artikel 18 i förordning (EU, Euratom) 2015/444.

(10) En jämförelsetabell över medlemsstaternas säkerhetsskyddsmarkeringar återfinns i bilaga I till beslut (EU, Euratom) 2015/444.