ROZHODNUTÍ KOMISE (EU, Euratom) 2015/443
ze dne 13. března 2015
o bezpečnosti v Komisi
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 249 této smlouvy,
s ohledem na Smlouvu o založení Evropského společenství pro atomovou energii,
s ohledem na Protokol č. 7 o výsadách a imunitách Evropské unie připojený ke Smlouvám, a zejména na článek 18 uvedeného protokolu,
vzhledem k těmto důvodům:
(1)
Bezpečnostní politika v Komisi má stanovit ucelený, integrovaný přístup k otázce bezpečnosti, v jehož rámci budou jednak v míře odpovídající zjištěným rizikům chráněny osoby, majetek a informace, jednak podnikána účinná a včasná bezpečnostní opatření tak, aby Komise mohla fungovat v chráněném a zajištěném prostředí.
(2)
Stejně jako jiné mezinárodní instituce čelí i Komise v oblasti bezpečnosti velkým hrozbám a problémům, zejména v souvislosti s terorismem, kybernetickými útoky a politickou a obchodní špionáží.
(3)
S vládou Belgie, Lucemburska a Itálie uzavřela Evropská komise dohody o bezpečnostních otázkách týkající se jejích hlavních sídel (1). Tyto dohody potvrzují, že Komise je odpovědná za svou bezpečnost.
(4)
Za účelem zajištění bezpečnosti osob, majetku a informací může být zapotřebí, aby Komise přijala opatření v oblastech chráněných základními právy, která jsou zakotvena v Listině základních práv a v Evropské úmluvě o lidských právech a uznána Soudním dvorem.
(5)
Veškerá taková opatření by tudíž měla být odůvodněna důležitostí zájmu, jejž mají chránit, měla by být přiměřená a měla by zaručovat plné respektování základních práv, především pak práva na soukromí a práva na ochranu údajů.
(6)
V systému, který se hlásí k právním pravidlům a k respektování základních práv, se musí Komise snažit zajistit odpovídající úroveň bezpečnosti pro své zaměstnance a odpovídající zabezpečení svého majetku a svých informací tak, aby mohla plnit jí svěřené úkoly, a přitom neomezovat základní práva více, než je nezbytně nutné.
(7)
Bezpečnostní politika v Komisi musí vycházet ze zásad legality, transparentnosti, přiměřenosti a odpovědnosti.
(8)
Zaměstnanci, kteří jsou pověřeni přijímáním bezpečnostních opatření, by kvůli podniknutým krokům neměli být nijak poškozováni, ledaže by svým jednáním překročili hranice uděleného pověření nebo porušili právní předpisy, a toto rozhodnutí je tedy třeba chápat jako pracovní pokyn ve smyslu služebního řádu.
(9)
Komise by měla vyvíjet příslušné iniciativy k podpoře a posílení bezpečnostní kultury, aby tak zajistila účinnější přijímání bezpečnostních opatření, lepší řízení bezpečnosti, další upevnění kontaktů a spolupráce s příslušnými orgány na mezinárodní, evropské a vnitrostátní úrovni a lepší sledování a kontrolu toho, jak jsou bezpečnostní opatření plněna.
(10)
Významný dopad na bezpečnostní zájmy Komise mělo zřízení Evropské služby pro vnější činnost (ESVČ) jakožto funkčně nezávislé instituce Unie, a proto je zapotřebí, aby byla mezi ESVČ a Komisí stanovena pravidla a postupy pro spolupráci v oblasti ochrany a bezpečnosti, zejména pokud jde o řádný výkon povinností Komise vůči jejím zaměstnancům v delegacích Unie.
(11)
Bezpečnostní politika Komise by se měla provádět způsobem, který bude v souladu s ostatními vnitřními procesy a postupy, jež mohou obsahovat prvek bezpečnosti. Mezi ně patří zejména řízení kontinuity činností, jež usiluje o to, aby bylo v Komisi v případě narušení provozu zachováno plnění zásadních úkolů, a proces ARGUS pro koordinaci krizových situací postihujících vícero sektorů.
(12)
Bez ohledu na opatření, která již byla v době přijetí tohoto rozhodnutí zavedena a oznámena evropskému inspektorovi ochrany údajů (2), se musí veškerá opatření podle tohoto rozhodnutí, jež jsou spojena se zpracováváním osobních údajů, řídit prováděcími pravidly v souladu s článkem 21, jež pro subjekty údajů stanoví náležité záruky.
(13)
S ohledem na výše uvedené je nutno, aby Komise přezkoumala, aktualizovala a konsolidovala stávající regulační základ pro bezpečnost v Komisi.
(14)
Rozhodnutí Komise K(94) 2129 (3) by tudíž mělo být zrušeno,
PŘIJALA TOTO ROZHODNUTÍ:
KAPITOLA 1
OBECNÁ USTANOVENÍ
Článek 1
Definice
Pro účely tohoto rozhodnutí se rozumí:
1)
„majetkem“ všechny movité a nemovité věci ve vlastnictví či v držení Komise;
2)
„útvarem Komise“ generální ředitelství či služba Komise nebo kabinet člena Komise;
3)
„komunikačním a informačním systémem“ jakýkoliv systém, který umožňuje manipulaci s informacemi v elektronickém formátu, včetně všech aktiv potřebných pro jeho provoz a včetně infrastruktury, organizace, personálu a informačních zdrojů;
4)
„kontrolou rizik“ jakékoliv bezpečnostní opatření, u něhož lze důvodně očekávat, že zajistí účinnou kontrolu nad bezpečnostními riziky tím, že jim bude předcházet a bránit a bude je omezovat a přenášet;
5)
„krizovou situací“ okolnost, událost, incident či nouzový stav (nebo jejich sled či kombinace), které pro Komisi představují významnou nebo bezprostřední bezpečnostní hrozbu bez ohledu na jejich původ;
6)
„údaji“ informace ve formě, která umožňuje jejich sdělování, zaznamenávání či zpracovávání;
7)
„členem Komise odpovědným za bezpečnost“ člen Komise, pod jehož vedení spadá Generální ředitelství pro lidské zdroje a bezpečnost;
8)
„osobními údaji“ osobní údaje, jak jsou definovány v čl. 2 písm. a) nařízení Evropského parlamentu a Rady (ES) č. 45/2001 (4);
9)
„prostory“ všechny nemovitosti a přidružené věci ve vlastnictví či v držení Komise;
10)
„prevencí rizik“ bezpečnostní opatření, u nichž lze důvodně očekávat, že zabrání určitému bezpečnostnímu riziku nebo jej oddálí či zastaví;
11)
„bezpečnostním rizikem“ kombinace stupně hrozby, stupně zranitelnosti a možného dopadu určité události;
12)
„bezpečností v Komisi“ bezpečnost osob, majetku a informací v rámci Komise, zejména pak fyzická nedotknutelnost osob a majetku, integrita, důvěrnost a dostupnost informací a komunikačních a informačních systémů a nerušené fungování Komise při plnění jejích úkolů;
13)
„bezpečnostním opatřením“ jakékoliv opatření přijaté v souladu s tímto rozhodnutím za účelem kontroly bezpečnostních rizik;
14)
„služebním řádem“ služební řád úředníků Evropské unie stanovený nařízením Rady (EHS, Euratom, ESUO) č. 259/68 (5) ve znění pozdějších předpisů;
15)
„bezpečnostní hrozbou“ událost či agens nebo činitel, u nichž lze důvodně očekávat nepříznivý dopad na bezpečnost v případě, že se na ně nebude nijak reagovat nebo se nad nimi nezíská kontrola;
16)
„bezprostřední bezpečnostní hrozbou“ bezpečnostní hrozba, která se vyskytne bez předchozího varování nebo u které je varování zachyceno v mimořádně krátkém předstihu;
17)
„významnou bezpečnostní hrozbou“ bezpečnostní hrozba, u níž lze důvodně očekávat, že povede ke ztrátám na životě, k vážným zraněním či újmám, k výrazným škodám na majetku, k ohrožení vysoce citlivých informací nebo k narušení systémů IT nebo zásadních provozních kapacit Komise;
18)
„zranitelností“ jakákoli slabina, u níž lze důvodně očekávat nepříznivý dopad na bezpečnost v Komisi v případě, že by jí bylo využito v souvislosti s jednou či vícero hrozbami.
Článek 2
Předmět
1. Toto rozhodnutí stanoví cíle, základní zásady, organizační strukturu a povinnosti, pokud jde o bezpečnost v Komisi.
2. Toto rozhodnutí se použije na všechny útvary Komise a ve všech prostorách Komise. Na zaměstnance Komise, kteří pracují v delegacích Unie, se vztahují bezpečnostní pravidla pro Evropskou službu pro vnější činnost (6).
3. Bez ohledu na jakékoli zvláštní pokyny ohledně konkrétních skupin zaměstnanců se toto rozhodnutí použije na členy Komise, na zaměstnance Komise, na něž se vztahuje služební řád a pracovní řád ostatních zaměstnanců Evropské unie, na národní odborníky vyslané do Komise, na poskytovatele služeb a jejich zaměstnance, na stážisty a na každého, kdo má přístup do budov či k jinému majetku Komise nebo k informacím, s nimiž Komise nakládá.
4. Ustanoveními tohoto rozhodnutí není dotčeno rozhodnutí Komise 2002/47/ES, ESUO, Euratom (7), rozhodnutí Komise 2004/563/ES, Euratom (8), rozhodnutí Komise K(2006) 1623 (9) ani rozhodnutí Komise K(2006) 3602 (10).
KAPITOLA 2
ZÁSADY
Článek 3
Bezpečnostní zásady v Komisi
1. Při provádění tohoto rozhodnutí dodržuje Komise Smlouvy, a zejména Listinu základních práv a Protokol č. 7 o výsadách a imunitách Evropské unie, dohody uvedené v 2. bodě odůvodnění s veškerými příslušnými ustanoveními vnitrostátních právních předpisů a rovněž podmínky stanovené tímto rozhodnutím. V případě potřeby se vydá bezpečnostní upozornění ve smyslu čl. 21 odst. 2 s příslušnými pokyny.
2. Bezpečnostní politika v Komisi vychází ze zásad legality, transparentnosti, přiměřenosti a odpovědnosti.
3. Zásada legality znamená, že při provádění tohoto rozhodnutí je nutné se důsledně držet mezí právního rámce a dodržovat požadavky právních norem.
4. Veškerá bezpečnostní opatření se přijímají bez utajení s výjimkou případů, kdy lze důvodně očekávat, že by takový postup omezoval jejich účinek. Osoby, kterým je bezpečnostní opatření určeno, jsou předem zpraveny o jeho důvodech a dopadu s výjimkou případů, kdy lze důvodně očekávat, že by poskytnutí takovýchto informací omezovalo účinek daného opatření. V takovém případě je osoba, které je bezpečnostní opatření určeno, informována poté, co riziko omezení jeho účinku pomine.
5. Útvary Komise zajistí, aby byly bezpečnostní otázky brány v potaz od chvíle, kdy se politiky, rozhodnutí, programy, projekty a činnosti Komise, za něž jsou odpovědné, začnou vypracovávat a provádět. Za tímto účelem do své práce od nejranějších fází přípravy zapojují v rámci Komise Generální ředitelství pro lidské zdroje a bezpečnost, pokud jde o obecné záležitosti, a hlavního inspektora pro bezpečnost informací, pokud jde o systémy IT.
6. V patřičných případech Komise spolupracuje s příslušnými orgány hostitelského státu, ostatních členských států a ostatních orgánů, institucí a jiných subjektů EU, je-li to možné, přičemž bere v úvahu opatření, která k řešení předmětného bezpečnostního rizika přijaly či naplánovaly tyto orgány.
Článek 4
Povinné dodržování
1. Dodržování tohoto rozhodnutí, jeho prováděcích pravidel a bezpečnostních opatření a pokynů vydaných pověřenými zaměstnanci je povinné.
2. Nedodržení bezpečnostních pravidel může zavdat důvod k zahájení disciplinárního řízení v souladu se Smlouvami a služebním řádem, ke smluvním postihům a/nebo k právním krokům podle vnitrostátních právních a správních předpisů.
KAPITOLA 3
PŘIJÍMÁNÍ BEZPEČNOSTNÍCH OPATŘENÍ
Článek 5
Pověření zaměstnanci
1. Pravomoc přijmout jedno či více z níže uvedených opatření může být svěřena pouze schváleným zaměstnancům, kterým se s ohledem na jejich stávající povinnosti dostalo jmenovitého pověření ze strany generálního ředitele pro lidské zdroje a bezpečnost:
1)
nošení příručních zbraní;
2)
provádění bezpečnostních šetření podle článku 13;
3)
podnikání bezpečnostních opatření podle článku 12, jak je uvedeno v pověření.
2. Pověření zmiňované v odstavci 1 se neuděluje na dobu delší, než je období, po které daná osoba zastává pracovní pozici či funkci, v souvislosti s níž se jí pověření uděluje. Pověření se udělují v souladu s příslušnými ustanoveními zmiňovanými v čl. 3 odst. 1.
3. Pokud jde o pověřené zaměstnance, toto rozhodnutí představuje pracovní pokyn ve smyslu článku 21 služebního řádu.
Článek 6
Obecná ustanovení o bezpečnostních opatřeních
1. Je-li to rozumně možné, Komise při přijímání bezpečnostních opatření zejména zajistí, aby:
a)
hledala podporu či pomoc jen u dotčeného státu, a to za předpokladu, že je tento stát členem Evropské unie, nebo pokud jím není, je stranou Evropské úmluvy o lidských právech, nebo zaručuje práva, která jsou přinejmenším rovnocenná právům zaručeným uvedenou úmluvou;
b)
předávala informace o určité fyzické osobě jiným příjemcům než orgánům a institucím Společenství, kteří nepodléhají vnitrostátním právním předpisům přijatým podle směrnice Evropského parlamentu a Rady 95/46/ES (11), výhradně v souladu s článkem 9 nařízení (ES) č. 45/2001;
c)
když určitá fyzická osoba přestavuje bezpečnostní hrozbu, byla případná bezpečnostní opatření namířena proti této osobě a aby této osobě bylo možné uložit vzniklé náklady. Proti jiným fyzickým osobám mohou být taková bezpečnostní opatření namířena jen tehdy, je-li nutno získat kontrolu nad určitou bezprostřední či významnou bezpečnostní hrozbou a jsou-li splněny tyto podmínky:
a)
zamýšlená opatření proti fyzické osobě, jež představuje bezpečnostní hrozbu, nelze přijmout nebo by pravděpodobně nebyla účinná,
b)
Komise nemůže nad danou bezpečnostní hrozbou získat kontrolu vlastními kroky nebo tak nemůže učinit včas,
c)
předmětné opatření není pro ostatní fyzické osoby a jejich práva neúměrným nebezpečím.
2. Ředitelství pro bezpečnost Generálního ředitelství pro lidské zdroje a bezpečnost vypracuje přehled bezpečnostních opatření, u kterých může být zapotřebí soudní příkaz v souladu s právními a správními předpisy členských států, v nichž se prostory Komise nacházejí.
3. Ředitelství pro bezpečnost Generálního ředitelství pro lidské zdroje a bezpečnost může úkoly související s bezpečností svěřit smluvnímu dodavateli, který je provádí pod jeho vedením a dozorem.
Článek 7
Bezpečnostní opatření týkající se osob
1. Osoby v prostorách Komise musí být s přihlédnutím k požadavkům na bezpečnost a ochranu v náležité míře chráněny.
2. V případě významných bezpečnostních rizik zajistí Generální ředitelství pro lidské zdroje a bezpečnost přísnou ochranu členů Komise nebo dalších zaměstnanců, jestliže posouzení hrozeb ukáže, že je taková ochrana zapotřebí k zajištění jejich bezpečnosti.
3. V případě významných bezpečnostních rizik může Komise nařídit evakuaci svých prostor.
4. Obětem nehod či útoků v prostorách Komise se dostane pomoci.
5. V zájmu prevence a kontroly bezpečnostních rizik mohou pověření zaměstnanci prověřovat bezúhonnost osob, na které se vztahuje toto rozhodnutí, aby zjistili, zda zpřístupnění prostor či informací Komise těmto osobám nepředstavuje bezpečnostní hrozbu. Za tímto účelem a v souladu s nařízením (ES) č. 45/2001 a s ustanoveními zmiňovanými v čl. 3 odst. 1 mohou dotčení pověření zaměstnanci:
a)
využívat veškerých informačních zdrojů, které má Komise k dispozici, přičemž berou v potaz jejich spolehlivost;
b)
nahlížet do osobních spisů či údajů, jimiž Komise disponuje ve vztahu k jednotlivcům, které zaměstnává či hodlá zaměstnat, což v řádně odůvodněných případech platí i v případě zaměstnanců smluvních dodavatelů.
Článek 8
Bezpečnostní opatření týkající se fyzické bezpečnosti a majetku
1. Bezpečnost majetku je zajišťována uplatňováním odpovídajících fyzických a technických ochranných opatření a příslušných postupů (dále jen „fyzická bezpečnost“), které tvoří víceúrovňový systém.
2. Opatření podle tohoto článku lze přijmout za účelem ochrany osob či informací v Komisi a za účelem ochrany majetku.
3. Cílem při zajišťování fyzické bezpečnosti je:
-
předcházet násilným činům namířeným proti členům Komise nebo proti osobám, na něž se vztahuje toto rozhodnutí,
-
předcházet špionáži a odposlouchávání citlivých či utajovaných informací,
-
předcházet krádežím, vandalismu, sabotáži a dalším násilným činům, jejichž účelem je poškodit či zničit budovy a majetek Komise,
-
umožnit vyšetřování a zkoumání bezpečnostních incidentů, mimo jiné prověřováním protokolů o kontrolách příchodů a odchodů, záznamů z uzavřených televizních okruhů, záznamů telefonních hovorů a podobných údajů, jak je uvedeno v čl. 22 odst. 2, a dalších informačních zdrojů.
4. Součástí zajišťování fyzické bezpečnosti je:
-
politika přístupu platná pro každou osobu či vozidlo vyžadující vstup do prostor Komise včetně parkovišť,
-
systém kontroly přístupu, který zahrnuje lidskou ostrahu, technické vybavení a technická opatření, informační systémy nebo kombinaci všech těchto prvků.
5. Za účelem zajištění fyzické bezpečnosti lze činit tyto kroky:
-
zaznamenávat příchody a odchody osob, vjezdy a výjezdy vozidel a vstupy a výstupy zboží a zařízení v rámci prostor Komise,
-
kontrolovat totožnost v prostorách Komise,
-
kontrolovat vozidla, zboží a zařízení vizuálními či technickými prostředky,
-
bránit osobám, vozidlům a zboží bez příslušného oprávnění v přístupu do prostor Komise.
Článek 9
Bezpečnostní opatření týkající se informací
1. Bezpečnost informací se vztahuje na všechny informace, s nimiž Komise nakládá.
2. Při zajišťování bezpečnosti informací, bez ohledu na formu, musí být vyváženy aspekty jako transparentnost, přiměřenost, odpovědnost a účinnost na straně jedné a potřeba chránit informace před neoprávněným přístupem k nim a před jejich neoprávněným využíváním, vyzrazováním, úpravou či zničením na straně druhé.
3. Zajišťování bezpečnosti informací by se mělo soustřeďovat na ochranu důvěrnosti, integrity a dostupnosti.
4. V rámci procesů pro řízení rizik by se proto měla označit utajená informační aktiva a měla by se vypracovat přiměřená bezpečnostní opatření, postupy a standardy včetně zmírňujících opatření.
5. Tyto obecné zásady, na nichž je bezpečnost informací postavena, se uplatňují především ve vztahu:
a)
k „utajovaným informacím Evropské unie“, tedy k jakýmkoli informacím nebo materiálům, jež jsou označeny stupněm utajení EU a jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států;
b)
k „citlivým neutajovaným informacím“, tedy k informacím nebo materiálům, které Komise musí chránit s ohledem na právní povinnost stanovenou ve Smlouvách nebo v aktech přijatých v rámci provádění Smluv a/nebo s ohledem na jejich citlivost. Mezi citlivé neutajované informace patří například (nikoli však výhradně) informace nebo materiály, které jsou profesním tajemstvím, jak je uvedeno v článku 339 SFEU, informace, které jsou předmětem zájmů chráněných článkem 4 nařízení Evropského parlamentu a Rady (ES) č. 1049/2001 (12) ve spojení s příslušnou judikaturou Soudního dvora Evropské unie, nebo osobní údaje v rámci působnosti nařízení (ES) č. 45/2001.
6. Citlivé neutajované informace podléhají pravidlům pro nakládání s nimi a pro jejich uchovávání. Tyto informace se poskytují pouze osobám, které je důvodně potřebují. Je-li to považováno za nutné k účinné ochraně jejich důvěrnosti, označí se tyto informace stupněm utajení a připojí se k nim příslušné pokyny, jak s nimi nakládat, schválené generálním ředitelem pro lidské zdroje a bezpečnost. Pokud se s těmito informacemi nakládá v komunikačních a informačních systémech nebo pokud jsou v nich uchovávány, musí být tyto informace rovněž chráněny v souladu s rozhodnutím K(2006) 3602 a jeho prováděcími pravidly a příslušnými standardy.
7. Vůči kterékoli osobě odpovědné za ohrožení nebo ztrátu utajovaných informací Evropské unie nebo citlivých neutajovaných informací, které jsou takto označeny v pravidlech pro nakládání s nimi a pro jejich uchovávání, mohou být přijata disciplinární opatření v souladu se služebním řádem. Těmito disciplinárními opatřeními nejsou dotčeny smluvní opravné prostředky ani případné další právní či trestní řízení ze strany příslušných orgánů členských států v souladu s jejich vnitrostátními právními a správními předpisy.
Článek 10
Bezpečnostní opatření týkající se komunikačních a informačních systémů
1. Všechny komunikační a informační systémy užívané Komisí musí být v souladu s politikou Komise pro bezpečnost informačních systémů stanovenou v rozhodnutí K(2006) 3602, s prováděcími pravidly k uvedenému rozhodnutí a s příslušnými bezpečnostními standardy.
2. Útvary Komise, které vlastní, spravují či provozují komunikační a informační systémy, povolí přístup k těmto systémům ostatním orgánům, institucím a jiným subjektům Unie nebo jiným organizacím jen za předpokladu, že dané orgány, instituce a jiné subjekty Unie nebo jiné organizace mohou nabídnout přiměřenou jistotu, že ochrana jejich systémů IT je rovnocenná politice Komise pro bezpečnost informačních systémů stanovené v rozhodnutí K(2006) 3602, v prováděcích pravidlech k uvedenému rozhodnutí a v příslušných bezpečnostních standardech. Komise sleduje, zda je toto ustanovení dodržováno, a v případě vážného nesouladu nebo stálého nedodržování může přístup k systémům zakázat.
Článek 11
Forenzní analýza v oblasti kybernetické bezpečnosti
Generální ředitelství pro lidské zdroje a bezpečnost je zvlášť odpovědné za forenzní technické analýzy, které provádí ve spolupráci s příslušnými útvary Komise a které mají podpořit bezpečnostní šetření zmiňovaná v článku 13, pokud jde o kontrarozvědku, únik dat, kybernetické útoky a bezpečnost informačních systémů.
Článek 12
Bezpečnostní opatření týkající se osob a předmětů
1. Za účelem zajištění bezpečnosti v Komisi a za účelem prevence a kontroly rizik mohou zaměstnanci pověření v souladu s článkem 5 při dodržení zásad stanovených v článku 3 přijmout mimo jiné jedno či více z následujících bezpečnostních opatření:
a)
v případě incidentů či chování, které by mohly vést k správnímu, disciplinárnímu, občanskoprávnímu či trestnímu řízení, mohou zajistit místa činu či důkazy, včetně protokolů o kontrolách příchodů a odchodů a snímků z uzavřených televizních okruhů;
b)
mohou přijmout omezená opatření vůči osobám představujícím bezpečnostní hrozbu, např. mohou přikázat osobám, aby opustily prostory Komise, mohou je z prostor Komise eskortovat či jim na určitý čas zakázat přístup do prostor Komise (v posledně jmenovaném případě se tak musí stát v souladu s kritérii, která budou stanovena v prováděcích pravidlech);
c)
mohou přijmout omezená opatření ve vztahu k předmětům představujícím bezpečnostní hrozbu, včetně jejich odstranění, zabavení či zničení;
d)
mohou prohledat prostory Komise (včetně kanceláří);
e)
mohou prohledat komunikační a informační systémy a zařízení, údaje o telefonických a jiných telekomunikačních spojeních, protokoly, uživatelské účty apod.;
f)
mohou přijmout jiná konkrétní bezpečnostní opatření s podobným účinkem, aby předešli bezpečnostním rizikům či nad nimi získali kontrolu, zejména v souvislosti s právy Komise jakožto vlastníka nebo zaměstnavatele v souladu s příslušnými vnitrostátními právními předpisy.
2. Za výjimečných okolností mohou zaměstnanci ředitelství pro bezpečnost Generálního ředitelství pro lidské zdroje a bezpečnost, kteří jsou pověření v souladu s článkem 5, přijmout jakákoliv naléhavá opatření, jež jsou zapotřebí, a to při důsledném dodržení zásad stanovených v článku 3. Co možná nejdříve po přijetí takových opatření informují tito zaměstnanci o učiněných krocích ředitele ředitelství pro bezpečnost, který generálního ředitele pro lidské zdroje a bezpečnost požádá o příslušné pověření, jímž budou přijatá opatření potvrzena a budou povoleny jakékoliv další potřebné kroky, a který v náležitých případech naváže spolupráci s příslušnými vnitrostátními orgány.
3. Bezpečnostní opatření podle tohoto článku se v okamžiku přijetí nebo v případě bezprostředního rizika či krizové situace s přiměřeným časovým odstupem po jejich přijetí zdokumentují. Ve druhém případě musí dokumentace obsahovat i prvky, z nichž byla existence bezprostředního rizika či krizové situace vyvozena. Dokumentace může být stručná, ale měla by být koncipována tak, aby osoby, na něž se opatření vztahuje, mohly vykonat své právo na obhajobu a právo na ochranu údajů v souladu s nařízením (ES) č. 45/2001 a aby bylo možné přezkoumat legalitu předmětného opatření. Informace o specifických bezpečnostních opatřeních, která platí pro některého ze zaměstnanců, se neuvádějí v jeho osobním spise.
4. Při přijímání opatření podle písmene b) Komise kromě toho zaručí, aby měla dotčená osoba možnost kontaktovat právníka nebo osobu, jíž důvěřuje, a byla uvědomena o svém právu obrátit se na evropského inspektora ochrany údajů.
Článek 13
Šetření
1. Aniž by byl dotčen článek 86 a příloha IX služebního řádu a jakékoli zvláštní ujednání mezi Komisí a ESVČ, např. zvláštní ujednání o řádném výkonu povinností vůči zaměstnancům Komise vyslaným do delegací Unie, které bylo podepsáno dne 28. května 2014 Generálním ředitelstvím pro lidské zdroje a bezpečnost Evropské komise a Evropskou službou pro vnější činnost, lze bezpečnostní šetření provést:
a)
v případě incidentů dotýkajících se bezpečnosti v Komisi, včetně podezření z trestných činů;
b)
v případě potenciálního úniku či ohrožení citlivých neutajovaných informací, utajovaných informací Evropské unie nebo utajovaných informací Euratomu nebo v případě nesprávného nakládání s nimi;
c)
v rámci kontrarozvědky a boje proti terorismu;
d)
v případě závažných kybernetických incidentů.
2. O provedení bezpečnostního šetření rozhoduje generální ředitel pro lidské zdroje a bezpečnost, který je rovněž příjemcem zprávy o šetření.
3. Bezpečnostní šetření provádějí pouze vyčlenění zaměstnanci Generálního ředitelství pro lidské zdroje a bezpečnost, kteří jsou k tomu řádně pověřeni v souladu s článkem 5.
4. Pověření zaměstnanci vykonávají svoji pravomoc provádět bezpečnostní šetření nezávisle, jak je popsáno v pověření, a mají pravomoci uvedené v článku 12.
5. Pověření zaměstnanci, kteří jsou příslušní k provádění bezpečnostních šetření, mohou ze všech dostupných zdrojů shromažďovat informace o veškerých správních přestupcích a trestných činech, které byly spáchány v prostorách Komise nebo do kterých jsou coby oběti či pachatelé zapojeny osoby zmiňované v čl. 2 odst. 3.
6. Generální ředitelství pro lidské zdroje a bezpečnost v náležitých případech informuje příslušné orgány hostitelského či jakéhokoli jiného dotčeného členského státu, zejména pak tehdy, když šetření nasvědčuje tomu, že došlo ke spáchání trestného činu. V této souvislosti Generální ředitelství pro lidské zdroje a bezpečnost poskytuje, je-li to vhodné nebo nutné, orgánům hostitelského či jakéhokoli jiného dotčeného členského státu podporu.
7. V případě závažných kybernetických incidentů Generální ředitelství pro lidské zdroje a bezpečnost úzce spolupracuje s Generálním ředitelstvím pro informatiku, které mu vypomáhá se všemi technickými záležitostmi. O tom, kdy je vhodné informovat příslušné orgány hostitelského či jakéhokoli jiného dotčeného členského státu, rozhodne Generální ředitelství pro lidské zdroje a bezpečnost po poradě s Generálním ředitelstvím pro informatiku. K podpoře ostatních orgánů a agentur EU, které by mohly být dotčeny, se využije služeb koordinace incidentů poskytovaných skupinou pro reakci na počítačové hrozby v evropských orgánech, institucích a jiných subjektech (CERT-EU).
8. Bezpečnostní šetření se zdokumentují.
Článek 14
Vymezení pravomocí, pokud jde o bezpečnostní šetření a další typy vyšetřování
1. Pokud ředitelství pro bezpečnost Generálního ředitelství pro lidské zdroje a bezpečnost provádí bezpečnostní šetření, jak je uvedeno v článku 13, a pokud tato šetření spadají do pravomoci Evropského úřadu pro boj proti podvodům (OLAF) nebo Úřadu Komise pro vyšetřování a disciplinární opatření (IDOC), spolupracuje s oběma těmito subjekty zároveň, a to zejména proto, aby nebyly negativně dotčeny pozdější kroky úřadu OLAF nebo úřadu IDOC. V příslušných případech ředitelství pro bezpečnost Generálního ředitelství pro lidské zdroje a bezpečnost přizve oba úřady, aby se vyšetřování účastnily.
2. Bezpečnostními šetřeními podle článku 13 nejsou dotčeny pravomoci úřadů OLAF a IDOC stanovené v předpisech, jimiž se tyto subjekty řídí. Ředitelství pro bezpečnost Generálního ředitelství pro lidské zdroje a bezpečnost může být požádáno, aby poskytlo technickou pomoc při šetřeních zahájených úřady OLAF nebo IDOC.
3. Vstoupí-li pracovníci úřadu OLAF do prostor Komise v souladu s čl. 3 odst. 5 a čl. 4 odst. 4 nařízení Evropského parlamentu a Rady (EU, Euratom) č. 883/2013 (13), ředitelství pro bezpečnost Generálního ředitelství pro lidské zdroje a bezpečnost může být požádáno, aby jim bylo nápomocno, a usnadnilo jim tak plnění jejich úkolů. Ředitelství probezpečnost informuje o takových žádostech o pomoc generálního tajemníka a generálního ředitele Generálního ředitelství pro lidské zdroje a bezpečnost, nebo pokud se předmětné vyšetřování provádí v prostorách Komise, které jsou obsazeny jejími členy či generálním tajemníkem, předsedu Komise a komisaře odpovědného za lidské zdroje.
4. Aniž by bylo dotčeno ustanovení čl. 22 písm. a) služebního řádu, pokud určitý případ může spadat do působnosti ředitelství pro bezpečnost Generálního ředitelství pro lidské zdroje a bezpečnost i úřadu IDOC, ředitelství pro bezpečnost při informování generálního ředitele pro lidské zdroje v souladu s článkem 13 v nejranější možné fázi oznámí, zda existují důvody pro to, aby se záležitosti ujal úřad IDOC. Má se za to, že tato fáze nastává zejména tehdy, když pomine bezprostřední bezpečnostní hrozba. O záležitosti rozhodne generální ředitel pro lidské zdroje a bezpečnost.
5. Pokud určitý případ může spadat do působnosti ředitelství pro bezpečnost Generálního ředitelství pro lidské zdroje a bezpečnost i úřadu OLAF, ředitelství pro bezpečnost o tom vyrozumí bezodkladně generálního ředitele pro lidské zdroje a bezpečnost a v nejranější možné fázi generálního ředitele úřadu OLAF. Má se za to, že tato fáze nastává zejména tehdy, když pomine bezprostřední bezpečnostní hrozba.
Článek 15
Bezpečnostní kontroly
1. Za účelem ověřování, zda útvary a osoby v rámci Komise dodržují ustanovení tohoto rozhodnutí a jeho prováděcích pravidel, a za účelem formulování doporučení tam, kde je to považováno za nutné, provádí Generální ředitelství pro lidské zdroje a bezpečnost bezpečnostní kontroly.
2. V příslušných případech provádí Generální ředitelství pro lidské zdroje a bezpečnost bezpečnostní kontroly nebo bezpečnostní sledování či hodnoticí návštěvy za účelem ověřování, zda je v souladu s bezpečnostními pravidly, předpisy a standardy, které jsou přinejmenším rovnocenné pravidlům, předpisům a standardům Komise, náležitě chráněna bezpečnost zaměstnanců, majetku a informací Komise, kteří a které jsou v odpovědnosti ostatních orgánů, institucí a jiných subjektů Unie, členských států, třetích zemí či mezinárodních organizací. V příslušných případech a v duchu dobré spolupráce mezi správními orgány zahrnují uvedené bezpečnostní kontroly i kontroly prováděné v souvislosti s výměnou utajovaných informací s ostatními orgány, institucemi a jinými subjekty Unie, členskými státy či třetími zeměmi nebo mezinárodními organizacemi.
3. Tento článek se provádí obdobně v případě zaměstnanců Komise v delegacích Unie, aniž by bylo dotčeno jakékoli zvláštní ujednání mezi Komisí a ESVČ, např. zvláštní ujednání o řádném výkonu povinností vůči zaměstnancům Komise vyslaným do delegací Unie, které bylo podepsáno dne 28. května 2014 Generálním ředitelstvím pro lidské zdroje a bezpečnost Evropské komise a Evropskou službou pro vnější činnost.
Článek 16
Stavy pohotovosti a řešení krizových situací
1. Generální ředitelství pro lidské zdroje a bezpečnost je odpovědné za zavedení odpovídajících opatření pro stavy pohotovosti, kterými bude předjímat hrozby či incidenty dotýkající se bezpečnosti v Komisi nebo na tyto hrozby či incidenty reagovat, jakož i opatření, která budou zapotřebí pro řešení krizí.
2. Opatření pro stavy pohotovosti zmiňovaná v odstavci 1 jsou úměrná stupni bezpečnostní hrozby. Stupně pohotovosti se vymezují v úzké spolupráci s příslušnými útvary ostatních orgánů, institucí a jiných subjektů Unie a členského státu či členských států, na jejichž území se prostory Komise nacházejí.
3. Kontaktním místem, pokud jde o stavy pohotovosti a řešení krizových situací, je Generální ředitelství pro lidské zdroje a bezpečnost.
KAPITOLA 4
ORGANIZAČNÍ STRUKTURA
Článek 17
Obecné povinnosti útvarů Komise
1. Povinnosti Komise zmiňované v tomto rozhodnutí plní Generální ředitelství pro lidské zdroje a bezpečnost, které podléhá vedení a spadá do odpovědnosti člena Komise odpovědného za bezpečnost.
2. Konkrétní ujednání ohledně kybernetické bezpečnosti jsou definována v rozhodnutí K(2006) 3602.
3. Odpovědnost za provádění tohoto rozhodnutí a jeho prováděcích pravidel a za jejich každodenní dodržování lze přenést na jiné útvary Komise, a to vždy když decentralizované zajišťování bezpečnosti přinese významné úspory z hlediska efektivnosti, zdrojů nebo času, například kvůli zeměpisnému umístění dotčených útvarů.
4. Použije-li se odstavec 3, Generální ředitelství pro lidské zdroje a bezpečnost a v příslušných případech generální ředitel pro informatiku uzavře s jednotlivými útvary Komise ujednání, v nichž se jasně stanoví úkoly a povinnosti spojené s prováděním a sledováním bezpečnostních politik.
Článek 18
Generální ředitelství pro lidské zdroje a bezpečnost
1. Generální ředitelství pro lidské zdroje a bezpečnost má zejména na starosti:
1)
vypracovávání bezpečnostní politiky Komise, prováděcích pravidel a bezpečnostních upozornění;
2)
shromažďování informací za účelem vyhodnocování bezpečnostních hrozeb a rizik a shromažďování informací o všech záležitostech, jež se mohou dotknout bezpečnosti v Komisi;
3)
zajišťování elektronického dozoru a ochrany ve všech sídlech Komise, které patřičně zohledňují vyhodnocení hrozeb a důkazy o nedovolených činnostech jdoucích proti zájmům Komise;
4)
zajišťování pohotovostní služby pro útvary a zaměstnance Komise a v souvislosti s veškerými problémy, pokud jde o ochranu a bezpečnost, 24 hodin denně 7 dní v týdnu;
5)
provádění bezpečnostních opatření zaměřených na omezení bezpečnostních rizik a chod odpovídajícího komunikačního a informačního systému tak, aby byly pokryty jeho provozní potřeby, zejména pokud jde o kontroly fyzického přístupu, správu bezpečnostních oprávnění a nakládání s citlivými informacemi či utajovanými informacemi EU;
6)
zvyšování povědomí o všech záležitostech spojených s bezpečností v Komisi, pořádání manévrů a cvičení a zajišťování školení a poradenství, tak aby byla podporována kultura bezpečnosti a mezi personálem byl dostatek osob náležitě vyškolených v otázkách bezpečnosti.
2. Aniž by byly dotčeny pravomoci a povinnosti jiných útvarů Komise, zajišťuje Generální ředitelství pro lidské zdroje a bezpečnost externí kontakty:
1)
s bezpečnostními útvary ostatních orgánů, institucí a jiných subjektů Unie, s nimiž komunikuje o záležitostech spojených s bezpečností osob, majetku a informací v Komisi;
2)
s útvary členských států, třetích zemí a mezinárodních organizací a subjektů odpovědnými za bezpečnost, zpravodajství a vyhodnocování hrozeb (včetně vnitrostátních bezpečnostních orgánů), s nimiž komunikuje o záležitostech, jež se dotýkají bezpečnosti osob, majetku a informací v Komisi;
3)
s policejními a jinými tísňovými útvary, s nimiž komunikuje o všech rutinních a urgentních problémech, které se dotýkají bezpečnosti Komise;
4)
s bezpečnostními útvary ostatních orgánů, institucí a jiných subjektů Unie, členských států a třetích zemí, pokud jde o reakce na kybernetické útoky s potenciálním dopadem na bezpečnost v Komisi;
5)
v souvislosti s přijímáním, vyhodnocováním a šířením zpravodajských informací o hrozbách, jež plynou z teroristických či špionážních aktivit a dotýkají se bezpečnosti v Komisi;
6)
ohledně záležitostí souvisejících s utajovanými informacemi, jak je blíže popsáno v rozhodnutí Komise (EU, Euratom) 2015/444 (14).
3. Generální ředitelství pro lidské zdroje a bezpečnost odpovídá za bezpečné předávání informací podle tohoto článku, včetně předávání osobních údajů.
Článek 19
Skupina odborníků pro bezpečnost v Komisi (ComSEG)
V Komisi se zřídí skupina odborníků pro bezpečnost, která bude ze svého pověření poskytovat Komisi v příslušných případech poradenství ve věcech souvisejících s její interní bezpečnostní politikou, a zejména s ochranou utajovaných informací EU.
Článek 20
Místní bezpečnostní úředníci
1. Každý útvar nebo kabinet Komise jmenuje místního bezpečnostního úředníka (LSO), který bude hlavní styčnou osobou pro komunikaci mezi jeho útvarem a Generálním ředitelstvím pro lidské zdroje a bezpečnost ohledně všech záležitostí souvisejících s bezpečností v Komisi. V příslušných případech lze jmenovat jednoho či více zástupců LSO. Místním bezpečnostním úředníkem je úředník nebo dočasný zaměstnanec.
2. Jakožto hlavní kontaktní osoba pro otázky bezpečnosti ve svém útvaru či kabinetu podává místní bezpečnostní úředník Generálnímu ředitelství pro lidské zdroje a bezpečnost a svým nadřízeným pravidelné zprávy o bezpečnostních záležitostech, jež se v Komisi týkají jeho útvaru, a neprodleně je informuje o případných bezpečnostních incidentech, včetně incidentů, při nichž mohlo dojít k ohrožení utajovaných informací EU nebo citlivých neutajovaných informací.
3. V případě záležitostí souvisejících s bezpečností komunikačních a informačních systémů spolupracuje místní bezpečnostní úředník s úředníkem pro bezpečnost informatiky na místní úrovni (LISO), jenž působí v tomtéž útvaru Komise a jehož úkoly a povinnosti jsou stanoveny v rozhodnutí K(2006) 3602.
4. Podílí se na školicích a osvětových akcích v oblasti bezpečnosti zaměřených na konkrétní potřeby zaměstnanců, smluvních dodavatelů nebo jiných fyzických osob, jež pracují pod vedením téhož útvaru Komise.
5. V případě závažných či bezprostředních bezpečnostních rizik nebo mimořádných situací mohou být místnímu bezpečnostnímu úředníkovi na žádost Generálního ředitelství pro lidské zdroje a bezpečnost svěřeny konkrétní úkoly. Generální ředitelství pro lidské zdroje a bezpečnost o těchto konkrétních úkolech informuje generálního ředitele nebo ředitele pro lidské zdroje místního generálního ředitelství předmětného LSO.
6. Povinnostmi místního bezpečnostního úředníka nejsou dotčeny úkoly ani povinnosti svěřené úředníkům pro bezpečnost informatiky na místní úrovni, úředníkům odpovědným za zdraví a bezpečnost, vedoucím registrů nebo jakýmkoli jiným osobám ve funkcích spojených s povinnostmi v oblasti bezpečnosti či ochrany. Místní bezpečnostní úředník s těmito osobami spolupracuje, aby byl zajištěn soustavný a jednotný přístup k bezpečnosti a účinný tok informací o záležitostech souvisejících s bezpečností v Komisi.
7. Místní bezpečnostní úředník informuje své přímé nadřízené a zároveň může přímo kontaktovat svého generálního ředitele nebo vedoucího útvaru. Je držitelem bezpečnostního oprávnění pro přístup k utajovaným informacím EU, a to nejméně pro stupeň SECRET UE/EU SECRET.
8. Aby se podpořila výměna informací a osvědčených postupů, pořádá Generální ředitelství pro lidské zdroje a bezpečnost alespoň dvakrát do roka konferenci LSO. Účast místních bezpečnostních úředníků na této konferenci je povinná.
KAPITOLA 5
PROVÁDĚNÍ
Článek 21
Prováděcí pravidla a bezpečnostní upozornění
1. Na přijetí prováděcích pravidel k tomuto rozhodnutí, je-li to zapotřebí, se v plném souladu s vnitřním jednacím řádem vztahuje zvláštní rozhodnutí Komise o zmocnění určené členovi Komise, který je odpovědný za bezpečnostní záležitosti.
2. Po svém zmocnění prostřednictvím výše uvedeného rozhodnutí Komise může člen Komise odpovědný za bezpečnostní záležitosti vypracovávat bezpečnostní upozornění, v nichž stanoví bezpečnostní pokyny a osvědčené postupy v působnosti tohoto rozhodnutí a jeho prováděcích pravidel.
3. Úkoly zmiňované v prvním a druhém odstavci tohoto článku může Komise plně v souladu s vnitřním jednacím řádem přenést na generálního ředitele pro lidské zdroje a bezpečnost prostřednictvím zvláštního rozhodnutí o přenesení pravomoci.
KAPITOLA 6
RŮZNÁ A ZÁVĚREČNÁ USTANOVENÍ
Článek 22
Zpracovávání osobních údajů
1. Osobní údaje potřebné pro provádění tohoto rozhodnutí zpracovává Komise v souladu s nařízením (ES) č. 45/2001.
2. Bez ohledu na opatření, která již byla v době přijetí tohoto rozhodnutí zavedena a oznámena evropskému inspektorovi ochrany údajů (15), platí, že veškerá opatření podle tohoto rozhodnutí, jež jsou spojena se zpracováváním osobních údajů, jako jsou údaje z protokolů o příchodech a odchodech, ze záznamů uzavřených televizních okruhů či ze záznamů telefonních hovorů s pohotovostní službou nebo dispečinky, a jiných podobných údajů, které jsou zapotřebí z důvodů bezpečnosti nebo reakce na krize, se musí řídit prováděcími pravidly v souladu s článkem 21, jež pro subjekty údajů stanoví náležité záruky.
3. Za bezpečnost veškerého zpracovávání osobních údajů v rámci tohoto rozhodnutí odpovídá generální ředitel Generálního ředitelství pro lidské zdroje a bezpečnost.
4. Zmiňované prováděcí předpisy a postupy se přijmou v souladu s nařízením (ES) č. 45/2001 poté, co bude konzultován inspektor ochrany údajů a evropský inspektor ochrany údajů.
Článek 23
Transparentnost
Na toto rozhodnutí a jeho prováděcí pravidla se upozorní zaměstnanci Komise a všichni ti, na které se vztahuje.
Článek 24
Zrušení předchozích rozhodnutí
Rozhodnutí K(94) 2129 se zrušuje.
Článek 25
Vstup v platnost
Toto rozhodnutí vstupuje v platnost prvním dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 13. března 2015.
SKLEP KOMISIJE (EU, Euratom) 2015/443
z dne 13. marca 2015
o varnosti v Komisiji
EVROPSKA KOMISIJA JE -
ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 249 Pogodbe,s
ob upoštevanju Pogodbe o ustanovitvi Evropske skupnosti za atomsko energijo,
ob upoštevanju Protokola št. 7 o privilegijih in imunitetah Evropske unije, priloženega Pogodbama, in zlasti člena 18 Protokola,
ob upoštevanju naslednjega:
(1)
Cilj varnosti znotraj Komisije je Komisiji omogočiti delovanje v varnem okolju z vzpostavitvijo usklajenega in celostnega pristopa glede varnosti, zagotavljanjem ustrezne ravni varstva oseb, sredstev in podatkov glede na ugotovljena tveganja ter učinkovitim in pravočasnim zagotavljanjem varnosti.
(2)
Enako kot druge mednarodne organizacije se tudi Komisija sooča z resnimi grožnjami in izzivi na področju varnosti, zlasti kar zadeva terorizem, kibernetske napade ter politično in gospodarsko vohunstvo.
(3)
Evropska komisija je z vladami Belgije, Luksemburga in Italije (1) pogodbenica instrumentov na področju varnosti na njenih glavnih lokacijah. Ti instrumenti potrjujejo, da je Komisija pristojna za svojo varnost.
(4)
Za zagotovitev varnosti oseb, sredstev in podatkov mora Komisija morda sprejeti ukrepe na področjih, ki jih varujejo temeljne pravice, kot so določene v Listini o temeljnih pravicah in v Evropski konvenciji o človekovih pravicah in kakor jih priznava Sodišče.
(5)
Da bi bili taki ukrepi upravičeni, bi moral biti njihov namen zaščita pomembnega interesa, biti bi morali sorazmerni in v celoti spoštovati temeljne pravice, zlasti pravice do zasebnosti in varovanja podatkov.
(6)
V sistemu, ki je zavezan vladavini prava in spoštovanju temeljnih pravic, si mora Komisija prizadevati za ustrezno raven varnosti za svoje osebje, sredstva in podatke, da bo lahko opravljala svoje dejavnosti brez omejevanja temeljnih pravic, razen kolikor je nujno potrebno.
(7)
Varnost v Komisiji temelji na načelih zakonitosti, transparentnosti, sorazmernosti in prevzemanja odgovornosti.
(8)
Člani osebja, pooblaščeni za sprejemanje varnostnih ukrepov, zaradi svojih dejavnosti ne bi smeli biti v neugodnem položaju, razen če so prekoračili pooblastila ali so delovali v nasprotju z zakonom, zato mora ta sklep veljati za navodilo službe v smislu kadrovskih predpisov.
(9)
Komisija bi morala sprejeti ustrezne pobude za spodbujanje in krepitev varnostne kulture, da se omogoči učinkovitejše zagotavljanje varnosti, izboljša upravljanje varnosti, nadalje okrepijo omrežja in sodelovanje z ustreznimi organi na mednarodni, evropski in nacionalni ravni ter izboljša spremljanje in nadzor izvajanja varnostnih ukrepov.
(10)
Ustanovitev Evropske službe za zunanje delovanje (ESZD), ki je funkcionalno neodvisen organ Unije, je močno vplivala na varnostne interese Komisije, zato je treba vzpostaviti pravila in postopke za sodelovanje na področju varnosti in zaščite med ESZD in Komisijo, zlasti glede izpolnjevanja odgovornosti skrbnega ravnanja, ki jo ima Komisija do svojega osebja v delegacijah Unije.
(11)
Varnostno politiko Komisije bi bilo treba izvajati na način, ki je skladen z drugimi notranjimi postopki, ki lahko vključujejo varnostni element. To zlasti vključuje upravljanje neprekinjenega poslovanja, katerega cilj je ohranitev bistvenih funkcij Komisije v primeru motenj delovanja, in sistem ARGUS za večsektorsko krizno usklajevanje.
(12)
Ne glede na ukrepe, ki so že bili v veljavi v času sprejetja tega sklepa in priglašeni evropskemu nadzorniku za varstvo podatkov (2), za vse ukrepe iz tega sklepa v zvezi z obdelavo osebnih podatkov veljajo izvedbena pravila v skladu s členom 21, ki določijo ustrezne zaščitne ukrepe za posameznike, na katere se nanašajo osebni podatki.
(13)
Zato bi morala Komisija pregledati, posodobiti in konsolidirati obstoječo pravno podlago za varnost v Komisiji.
(14)
Sklep Komisije C(94) 2129 (3) bi bilo zato treba razveljaviti -
SPREJELA NASLEDNJI SKLEP:
POGLAVJE 1
SPLOŠNE DOLOČBE
Člen 1
Opredelitev pojmov
V tem sklepu se uporabljajo naslednje opredelitve pojmov:
1.
„sredstva“ so vse premičnine in nepremičnine ter premoženje Komisije;
2.
„služba Komisije“ pomeni generalni direktorat ali službo Komisije ali kabinet člana Komisije;
3.
„komunikacijski in informacijski sistem“ ali „KIS“ pomeni kakršen koli sistem, ki omogoča obravnavanje podatkov v elektronski obliki, ki vključuje vse sestavne dele, potrebne za delovanje, ter infrastrukturo, organizacijo, osebje in informacijske vire;
4.
„obvladovanje tveganj“ pomeni vse varnostne ukrepe, za katere se lahko upravičeno pričakuje, da bodo s preprečevanjem, ublažitvijo, izogibanjem ali prenosom tveganj učinkovito obvladovali varnostno tveganje;
5.
„krizne razmere“ pomenijo okoliščine, dogodek, incident ali izredni dogodek (ali zaporedje ali kombinacijo navedenega), ki pomenijo resno ali neposredno varnostno grožnjo v Komisiji, ne glede na njihov izvor;
6.
„podatki“ pomenijo informacije v taki obliki, da jih je mogoče posredovati, zapisovati ali obdelovati;
7.
„član Komisije, pristojen za varnost“ pomeni člana Komisije, ki vodi Generalni direktorat za človeške vire in varnost;
8.
„osebni podatki“ pomenijo osebne podatke, kakor so opredeljeni v členu 2(a) Uredbe (ES) št. 45/2001 Evropskega parlamenta in Sveta (4);
9.
„prostori“ so vse nepremičnine in pritikline v lasti ali posesti Komisije;
10.
„preprečevanje tveganja“ pomeni varnostne ukrepe, za katere se razumno pričakuje, da bodo preprečili, zadržali ali zaustavili varnostno tveganje;
11.
„varnostno tveganje“ pomeni kombinacijo stopnje ogroženosti, stopnje ranljivosti in morebitnega vpliva dogodka;
12.
„varnost v Komisiji“ pomeni varnost oseb, sredstev in podatkov v Komisiji, zlasti fizično nedotakljivost oseb in sredstev, nedotakljivost, zaupnost in razpoložljivost podatkov ter komunikacijskih in informacijskih sistemov ter neovirano opravljanje dejavnosti Komisije;
13.
„varnostni ukrep“ pomeni vsak ukrep, sprejet na podlagi tega sklepa za namene obvladovanja varnostnega tveganja;
14.
„kadrovski predpisi“ pomenijo kadrovske predpise za uradnike Evropske unije, določene z Uredbo (EGS, Euratom, ESPJ) št. 259/68 Sveta (5) in akti o spremembi Uredbe;
15.
„varnostna grožnja“ pomeni dogodek ali dejavnik, za katerega se lahko razumno pričakuje, da bo negativno vplival na varnost, če se nanj ne odzove in se ga ne obvladuje;
16.
„neposredna varnostna grožnja“ pomeni varnostno grožnjo brez predhodnega opozorila ali s predhodnim opozorilom le malo pred nastankom nevarnosti;
17.
„resna varnostna grožnja“ pomeni varnostno grožnjo, pri kateri se lahko razumno pričakuje, da bo povzročila izgubo življenj, resne poškodbe, veliko škodo na lastnini, nepooblaščeno razkritje zelo občutljivih podatkov, motnje pri zagotavljanju informacijskih sistemov ali bistvenih operativnih zmogljivosti Komisije;
18.
„ranljiva točka“ pomeni kakršno koli pomanjkljivost, za katero se lahko razumno pričakuje, da bo negativno vplivala na varnost v Komisiji, če ena ali več groženj to pomanjkljivost izkoristi.
Člen 2
Predmet urejanja
1. Ta sklep opredeljuje cilje, osnovna načela, organiziranost in odgovornosti v zvezi z varnostjo v Komisiji.
2. Uporablja se za vse službe Komisije in v vseh prostorih Komisije. Za osebje Komisije v delegacijah Unije veljajo varnostna pravila za Evropsko službo za zunanje delovanje (6).
3. Ne glede na kakršna koli posebna navodila za določene skupine osebja se ta sklep uporablja za člane Komisije, za osebje Komisije, za katerega veljajo kadrovski predpisi in pogoji za zaposlitev drugih uslužbencev Evropske unije, za napotene nacionalne strokovnjake, dodeljene Komisiji, za ponudnike storitev in njihovo osebje, za pripravnike in za vse posameznike z dostopom do zgradb ali drugih sredstev Komisije ali do podatkov, ki jih obravnava Komisija.
4. Določbe tega sklepa ne posegajo v Sklep Komisije 2002/47/ES, ESPJ, Euratom (7) in Sklep Komisije 2004/563/ES, Euratom (8), Sklep Komisije C(2006) 1623 (9) in Sklep Komisije C(2006) 3602 (10).
POGLAVJE 2
NAČELA
Člen 3
Načela za varnost v Komisiji
1. Pri izvajanju tega sklepa Komisija deluje v skladu s pogodbama in zlasti z Listino o temeljnih pravicah in Protokolom št. 7 o privilegijih in imunitetah Evropske unije, v skladu z instrumenti iz uvodne izjave 2, z vsemi veljavnimi pravili nacionalne zakonodaje ter s pogoji iz tega sklepa. Po potrebi se izda varnostno obvestilo v smislu člena 21(2), ki določa smernice v zvezi s tem.
2. Varnost v Komisiji temelji na načelih zakonitosti, transparentnosti, sorazmernosti in prevzemanja odgovornosti.
3. Načelo zakonitosti pomeni, da je treba pri izvajanju tega sklepa obvezno delovati znotraj pravnega okvira in da je treba izpolnjevati pravne zahteve.
4. Vsi varnostni ukrepi se sprejemajo neprikrito, razen če je mogoče razumno pričakovati, da bi to zmanjšalo njihov učinek. Naslovniki varnostnih ukrepov so vnaprej obveščeni o razlogih za ukrep in njegovih učinkih, razen če je mogoče razumno pričakovati, da bi se zaradi posredovanja teh informacij zmanjšala učinkovitost ukrepa. V tem primeru se naslovnika varnostnega ukrepa obvesti po tem, ko tveganje za zmanjšanje učinka varnostnega ukrepa mine.
5. Službe Komisije zagotovijo, da se varnostna vprašanja upoštevajo od začetka razvoja in izvajanja politik, odločitev, programov, projektov in dejavnosti Komisije, za katere so odgovorne. V ta namen že v najzgodnejših fazah priprave pri splošnih vprašanjih vključijo Generalni direktorat za človeške vire in varnost, pri vprašanjih glede informacijskih sistemov pa vodja službe za informacijsko varnost Komisije.
6. Kjer je to primerno, si Komisija prizadeva za sodelovanje s pristojnimi organi države gostiteljice, drugih držav članic in drugih institucij, agencij ali organov EU, kjer je to mogoče, pri tem pa upošteva ukrepe, ki so jih ti organi sprejeli ali jih načrtujejo za odpravo zadevnega varnostnega tveganja.
Člen 4
Obveznost upoštevanja določb
1. Obvezno je upoštevanje tega sklepa in njegovih izvedbenih pravil ter varnostnih ukrepov in navodil, ki jih izda pooblaščeno osebje.
2. Zaradi neupoštevanja varnostnih predpisov se lahko izvedejo disciplinski ukrepi v skladu s Pogodbama in kadrovskimi predpisi ter pogodbene sankcije in/ali se začnejo pravni postopki v skladu z nacionalnimi zakoni in predpisi.
POGLAVJE 3
ZAGOTAVLJANJE VARNOSTI
Člen 5
Pooblaščeno osebje
1. Le osebje, ki jim generalni direktor za človeške vire in varnost na podlagi njihovih trenutnih zadolžitev podeli poimensko pooblastilo, je pristojno za sprejetje enega ali več naslednjih ukrepov:
1.
nošnja orožja;
2.
izvajanje varnostnih poizvedb, kot je navedeno v členu 13;
3.
sprejemanje varnostnih ukrepov, kot so navedeni v členu 12, v skladu s pooblastilom.
2. Pooblastila iz odstavka 1 se podelijo za obdobje, ki ne sme biti daljše od obdobja, ko zadevna oseba zaseda delovno mesto ali funkcijo, v zvezi s katero ji je bilo podeljeno pooblastilo. Pooblastilo se podeli v skladu z veljavnimi določbami iz člena 3(1).
3. Za pooblaščeno osebje ta sklep pomeni navodilo službe v smislu člena 21 kadrovskih predpisov.
Člen 6
Splošne določbe glede varnostnih ukrepov
1. Pri sprejemanju varnostnih ukrepov Komisija v mejah možnosti zlasti zagotovi, da:
(a)
prosi za podporo ali pomoč le zadevno državo, pod pogojem, da je ta država bodisi država članica Evropske unije bodisi pogodbenica Evropske konvencije o človekovih pravicah ali da zagotavlja pravice, ki so vsaj enakovredne pravicam iz navedene konvencije;
(b)
prenos podatkov o posamezniku prejemnikom, ki niso institucije in organi Skupnosti in ki niso zavezani nacionalni zakonodaji, sprejeti skladno z Direktivo 95/46/ES Evropskega parlamenta in Sveta (11), opravi v skladu s členom 9 Uredbe (ES) št. 45/2001;
(c)
so, če posameznik predstavlja varnostno grožnjo, vsi varnostni ukrepi usmerjeni proti temu posamezniku, ki se mu lahko naloži plačilo nastalih stroškov. Ti varnostni ukrepi so lahko proti drugim posameznikom usmerjeni samo, če je treba obvladati neposredno ali resno varnostno grožnjo in so izpolnjeni naslednji pogoji:
(a)
predvidenih ukrepov zoper posameznika, ki predstavlja varnostno grožnjo, ni mogoče sprejeti ali verjetno ne bi bili učinkoviti;
(b)
Komisija varnostne grožnje ne more obvladovati z lastnimi ukrepi ali tega ne more storiti pravočasno;
(c)
ukrep nesorazmerno ne ogroža drugega posameznika in njegovih pravic.
2. Direktorat za varnost Generalnega direktorata za človeške vire in varnost pripravi pregled varnostnih ukrepov, za katere je morda treba pridobiti odredbo sodišča v skladu z zakoni in drugimi predpisi držav članic, v katerih se nahajajo prostori Komisije.
3. Direktorat za varnost Generalnega direktorata za človeške vire in varnost lahko izvedbo nalog v zvezi z varnostjo prenese na izvajalca, ki te naloge izvaja v skladu z usmeritvami in pod nadzorom Direktorata za varnost.
Člen 7
Varnostni ukrepi v zvezi z osebami
1. Osebam v prostorih Komisije je treba zagotoviti ustrezno raven varstva ob upoštevanju varnostnih zahtev.
2. V primeru resnih varnostnih tveganj Generalni direktorat za človeške vire in varnost članom Komisije ali drugemu osebju zagotovi osebno varovanje, če ocena grožnje pokaže, da je takšno varovanje za zagotovitev njihove varnosti potrebno.
3. V primeru resnih varnostnih tveganj lahko Komisija odredi evakuacijo svojih prostorov.
4. Žrtvam nesreč ali napadov v prostorih Komisije se zagotovi pomoč.
5. Za preprečevanje in obvladovanje varnostnih tveganj lahko pooblaščeno osebje opravi preverjanje zanesljivosti oseb, za katere velja ta sklep, da se ugotovi, ali dostop takih oseb do prostorov ali podatkov Komisije predstavlja grožnjo za varnost. V ta namen ter v skladu z Uredbo (ES) št. 45/2001 in določbami člena 3(1) lahko zadevno pooblaščeno osebje:
(a)
uporabi vse vire informacij, ki so Komisiji na voljo, pri čemer upošteva zanesljivost vira informacij;
(b)
dostopa do kadrovske mape ali podatkov, ki jih ima Komisija o posameznikih, ki jih zaposluje ali namerava zaposliti, ali o pogodbenem osebju, kadar je to ustrezno utemeljeno.
Člen 8
Varnostni ukrepi v zvezi s fizično varnostjo in sredstvi
1. Varnost sredstev se zagotavlja z uporabo ustreznih fizičnih in tehničnih zaščitnih ukrepov in ustreznih postopkov (v nadaljnjem besedilu: fizična varnost), s čimer se vzpostavi večplasten sistem.
2. V skladu s tem členom se lahko sprejmejo ukrepi za zaščito oseb ali podatkov v Komisiji ter za zaščito sredstev.
3. Fizična varnost ima naslednje cilje:
-
preprečevanje nasilnih dejanj zoper člane Komisije ali osebe, za katere velja ta sklep,
-
preprečevanje vohunjenja in prisluškovanja občutljivim ali zaupnim podatkom,
-
preprečevanje kraj, vandalizma, sabotaž in drugih nasilnih dejanj, katerih namen je poškodovanje ali uničenje zgradb in sredstev Komisije,
-
omogočanje preiskav in poizvedb o varnostnih incidentih, vključno s preverjanjem nadzornih evidenc o prihodih in odhodih, posnetkov sistema televizije zaprtega kroga, posnetkov telefonskih klicev in podobnih podatkov, kot je navedeno v členu 22(2) spodaj, in drugih virov informacij.
4. Fizična varnost vključuje:
-
politiko dostopa, ki se uporablja za vse osebe ali vozila, ki zahtevajo dostop do prostorov Komisije, vključno do parkirnih prostorov,
-
sistem za nadzor dostopa, ki vključuje varnostnike, tehnično opremo in ukrepe, informacijske sisteme ali kombinacijo vseh navedenih elementov.
5. Za zagotovitev fizične varnosti se lahko sprejmejo naslednji ukrepi:
-
beleženje prihodov oseb, vozil, blaga in opreme v prostore Komisije in odhodov iz njih,
-
preverjanje istovetnosti v prostorih Komisije,
-
pregledi vozil, blaga in opreme z vizualnimi ali tehničnimi sredstvi,
-
preprečevanje dostopa nepooblaščenim osebam, vozilom in blagu v prostore Komisije.
Člen 9
Varnostni ukrepi v zvezi s podatki
1. Varovanje podatkov zajema vse podatke, ki jih obravnava Komisija.
2. Varovanje podatkov, ne glede na njihovo obliko, usklajuje transparentnost, sorazmernost, prevzemanje odgovornosti in učinkovitost s potrebo po zaščiti podatkov pred nepooblaščenim dostopom, uporabo, razkritjem, spreminjanjem ali uničenjem.
3. Varovanje podatkov je namenjeno varovanju zaupnosti, celovitosti in razpoložljivosti.
4. Zato se za razvrščanje podatkov in razvoj sorazmernih varnostnih ukrepov, postopkov in standardov, vključno z blažilnimi ukrepi, uporabljajo postopki obvladovanja tveganja.
5. Ta splošna načela varovanja podatkov se uporablja zlasti za:
(a)
„tajne podatke Evropske unije“, to je vse podatke ali gradivo, ki mu je določena stopnja tajnosti EU in katerih nepooblaščeno razkritje bi lahko v različni meri škodovalo interesom Evropske unije ali eni ali več državam članicam;
(b)
„občutljive netajne podatke“, to je vse podatke ali gradivo, ki ga mora Komisija zaščititi na podlagi pravnih obveznosti, določenih s Pogodbama ali akti, sprejetimi za njuno izvajanje, in/ali zaradi njihove občutljive narave. Občutljivi netajni podatki med drugim vključujejo podatke ali gradivo, za katero velja obveznost varovanja poslovne skrivnosti iz člena 339 PDEU, podatke, ki se nanašajo na interese, zaščitene na podlagi člena 4 Uredbe (ES) št. 1049/2001 Evropskega parlamenta in Sveta (12) v povezavi z ustrezno sodno prakso Sodišča, ali osebne podatke v okviru področja uporabe Uredbe (ES) št. 45/2001.
6. Za občutljive netajne podatke se uporabljajo pravila glede njihovega obravnavanja in hrambe. Dostopni so le posameznikom s potrebo po vedenju. Kadar se to zdi potrebno za učinkovito varovanje zaupnosti podatkov, se ti označijo z varnostno oznako in ustreznimi navodili za njihovo obravnavanje, ki jih odobri generalni direktor za človeške vire in varnost. Pri obravnavanju in hrambi navedenih podatkov v komunikacijskih in informacijskih sistemih so ti podatki zaščiteni tudi v skladu s Sklepom C(2006) 3602, njegovimi izvedbenimi pravili in ustreznimi standardi.
7. Zoper vsakega posameznika, ki povzroči nepooblaščeno razkritje ali izgubo tajnih podatkov EU ali občutljivih netajnih podatkov, ki so kot taki opredeljeni v pravilih o njihovem obravnavanju in hrambi, se lahko uvede disciplinski postopek v skladu s kadrovskimi predpisi. Ti disciplinski ukrepi ne vplivajo na kakršne koli nadaljnje pravne ali kazenske postopke s strani pristojnih organov države članice v skladu z njenimi zakoni in predpisi ter na pogodbena pravna sredstva.
Člen 10
Varnostni ukrepi v zvezi s komunikacijskimi in informacijskimi sistemi
1. Vsi komunikacijski in informacijski sistemi (v nadaljnjem besedilu: KIS), ki jih uporablja Komisija, so v skladu z varnostno politiko Komisije glede informacijskih sistemov, kot je določena v Sklepu C(2006) 3602, njegovih izvedbenih pravilih in ustreznih varnostnih standardih.
2. Službe Komisije, ki imajo v lasti, upravljajo ali vodijo KIS, dovolijo dostop do teh sistemov drugim institucijam, agencijam, organom ali drugim organizacijam Evropske unije le pod pogojem, da te institucije, agencije, organi ali druge organizacije Evropske unije lahko razumno zagotovijo, da so njihovi sistemi IT zaščiteni na ravni, ki je enaka ravni zaščite v skladu z varnostno politiko Komisije glede informacijskih sistemov, kakor je določena v Sklepu C(2006) 3602, njegovih izvedbenih pravilih in ustreznih varnostnih standardih. Komisija navedeno zagotavljanje skladnosti spremlja, v primeru resnih kršitev ali ponavljajočih se neskladnosti pa lahko dostop prepreči.
Člen 11
Forenzična analiza v zvezi s kibernetsko varnostjo
Generalni direktorat za človeške vire in varnost je zlasti odgovoren za izvajanje forenzičnih tehničnih analiz v sodelovanju s pristojnimi službami Komisije v podporo varnostnih poizvedb iz člena 13 v zvezi s protiobveščevalnimi dejavnostmi, uhajanjem podatkov, kibernetskimi napadi in varnostjo informacijskih sistemov.
Člen 12
Varnostni ukrepi v zvezi z osebami in predmeti
1. Za zagotovitev varnosti v Komisiji ter za preprečevanje in obvladovanje tveganj lahko osebje, ki je pooblaščeno v skladu s členom 5, v skladu z načeli iz člena 3 med drugim sprejme enega ali več naslednjih varnostnih ukrepov:
(a)
zaščita kraja dogodka in dokazov, vključno z nadzornimi evidencami o prihodih in odhodih, posnetki sistema televizije zaprtega kroga, v primeru incidentov ali ravnanja, ki lahko privede do upravnih, disciplinskih, civilnih ali kazenskih postopkov;
(b)
omejeni ukrepi glede oseb, ki predstavljajo varnostno grožnjo, vključno z zahtevo, da osebe zapustijo prostore Komisije, pospremitvijo oseb iz prostorov Komisije, prepovedjo dostopa osebe do prostorov Komisije za določeno časovno obdobje, opredeljeno v skladu z merili, ki se določijo v izvedbenih pravilih;
(c)
omejeni ukrepi v zvezi s predmeti, ki predstavljajo grožnjo za varnost, vključno z odstranitvijo, zasegom in dokončno odstranitvijo predmetov;
(d)
preiskave prostorov Komisije, vključno s pisarnami v navedenih prostorih;
(e)
preiskave KIS in opreme, podatkov o opravljenih telefonskih pogovorih in telekomunikacijskem prometu, dnevniških datotek, uporabniških računov itn.;
(f)
drugi posebni varnostni ukrepi s podobnim učinkom za preprečevanje ali obvladovanje varnostnega tveganja, zlasti v okviru pravice Komisije kot lastnika ali delodajalca v skladu z veljavno nacionalno zakonodajo.
2. V izjemnih okoliščinah lahko člani osebja Direktorata za varnost Generalnega direktorata za človeške vire in varnost, pooblaščeni v skladu s členom 5, ob strogem upoštevanju načel iz člena 3 sprejmejo vse potrebne nujne ukrepe. Čim prej po sprejetju ukrepov o tem obvestijo direktorja Direktorata za varnost, ki pridobi primerno pooblastilo generalnega direktorja za človeške vire in varnost, s katerim potrdi sprejete ukrepe in odobri vsakršne nadaljnje ukrepe ter se po potrebi poveže s pristojnimi nacionalnimi organi.
3. Varnostni ukrepi na podlagi tega člena se dokumentirajo v času njihovega sprejetja ali, v primeru neposrednega tveganja ali kriznih razmer, v razumnem roku po sprejetju. V slednjem primeru mora dokumentacija vključevati tudi elemente, na katerih je temeljila ocena glede obstoja neposrednega tveganja ali kriznih razmer. Dokumentacija je lahko jedrnata, vendar mora biti zasnovana tako, da lahko oseba, ki ji je ukrep namenjen, uveljavlja svojo pravico do obrambe in varstva osebnih podatkov v skladu z Uredbo (ES) št. 45/2001 in da omogoča nadzor nad zakonitostjo ukrepa. Informacije o posebnih varnostnih ukrepih, naslovljenih na člana osebja, niso del njegove kadrovske mape.
4. Pri sprejemanju varnostnih ukrepov v skladu s točko (b) Komisija poleg tega zagotovi, da se zadevni osebi omogoči, da stopi v stik z odvetnikom ali osebo, ki ji zaupa, in je seznanjena s svojo pravico, da se lahko obrne na evropskega nadzornika za varstvo podatkov.
Člen 13
Poizvedbe
1. Brez poseganja v člen 86 in Prilogo IX h kadrovskim predpisom in kakršne koli posebne dogovore med Komisijo in Evropsko službo za zunanje delovanje, kot je na primer posebni dogovor, podpisan 28. maja 2014 med Generalnim direktoratom Evropske komisije za človeške vire in varnost ter Evropsko službo za zunanje delovanje o dolžnostih do osebja Komisije v delegacijah Unije, se lahko varnostne poizvedbe opravijo:
(a)
v primeru incidentov, ki vplivajo na varnost v Komisiji, vključno s sumi kaznivih dejanj;
(b)
v primeru morebitnega uhajanja, neustreznega obravnavanja ali nepooblaščenega razkritja občutljivih netajnih podatkov, tajnih podatkov EU ali tajnih podatkov Euratoma;
(c)
v okviru protiobveščevalne dejavnosti in boja proti terorizmu;
(d)
v primeru resnih kibernetskih incidentov.
2. Odločitev o izvedbi varnostne poizvedbe sprejme generalni direktor za človeške vire in varnost, ki tudi prejme poročilo o poizvedbi.
3. Varnostne poizvedbe izvajajo samo izbrani člani osebja generalnega direktorata za človeške vire in varnost, ustrezno pooblaščeni v skladu s členom 5.
4. Pooblaščeno osebje izvaja svoje pristojnosti glede varnostne poizvedbe neodvisno v skladu s pooblastilom; pristojnosti so navedene v členu 12.
5. Pooblaščeno osebje, ki je pristojno za opravljanje varnostnih poizvedb, lahko iz vseh razpoložljivih virov zbere informacije v zvezi s kakršnimi koli upravnimi prekrški ali kaznivimi dejanji, ki so storjena v prostorih Komisije ali ki bodisi kot žrtve ali storilce navedenih dejanj vključujejo osebe iz člena 2(3).
6. Generalni direktorat za človeške vire in varnost obvesti pristojne organe države članice gostiteljice ali katere koli druge zadevne države članice, če je to primerno, zlasti če je poizvedba razkrila, da je bilo storjeno kaznivo dejanje. V zvezi s tem lahko Generalni direktorat za človeške vire in varnost, kadar je to primerno ali potrebno, zagotovi podporo organom države članice gostiteljice ali katere koli druge zadevne države članice.
7. V primeru resnih kibernetskih incidentov Generalni direktorat za informatiko tesno sodeluje z Generalnim direktoratom za človeške vire in varnost, da zagotovi podporo pri vseh tehničnih zadevah. Generalni direktorat za človeške vire in varnost se po posvetovanju z Generalnim direktoratom za informatiko odloči, kdaj je primerno obvestiti pristojne organe države članice gostiteljice ali katere koli druge zadevne države članice. Službe za koordinacijo incidentov skupine za odzivanje na računalniške grožnje za evropske institucije, organe in agencije (CERT-EU) bodo zagotavljale podporo ostalim institucijam in agencijam EU, ki bi lahko bile prizadete.
8. Varnostne poizvedbe se dokumentirajo.
Člen 14
Razdelitev pristojnosti v zvezi z varnostnimi poizvedbami in drugimi vrstami preiskav
1. Kadar Direktorat za varnost Generalnega direktorata za človeške vire in varnost izvaja varnostne poizvedbe v skladu s členom 13, ki so v pristojnosti Evropskega urada za boj proti goljufijam (OLAF) ali Preiskovalnega in disciplinskega urada Komisije (IDOC), se takoj poveže z navedenima uradoma, zlasti da se ne bi ogrozili nadaljnji ukrepi OLAF-a ali IDOC-a. Kadar je to primerno, Direktorat za varnost Generalnega direktorata za človeške vire in varnost urada OLAF in IDOC povabi k sodelovanju v preiskavi.
2. Varnostne poizvedbe iz člena 13 ne posegajo v pristojnosti OLAF-a in IDOC-a, kot so določene v pravilih za navedena urada. Od Direktorata za varnost Generalnega direktorata za človeške vire in varnost se lahko zahteva, da zagotovi tehnično pomoč za poizvedbe, ki jih uvedeta OLAF ali IDOC.
3. Direktorat za varnost Generalnega direktorata za človeške vire in varnost se lahko zaprosi za pomoč uslužbencem OLAF-a, kadar se v skladu s členom 3(5) in členom 4(4) Uredbe (EU, Euratom) št. 883/2013 Evropskega parlamenta in Sveta (13) zadržujejo v prostorih Komisije, da jim olajšajo opravljanje njihovih nalog. Direktorat za varnost o navedeni zahtevi za pomoč obvesti generalnega sekretarja in generalnega direktorja Generalnega direktorata za človeške vire in varnost, če se takšna preiskava izvaja v prostorih Komisije, kjer se nahajajo njeni člani ali generalni sekretar, pa predsednika Komisije in komisarja, pristojnega za človeške vire.
4. Brez poseganja v člen 22(a) kadrovskih predpisov v primeru, da je zadeva v pristojnosti tako Direktorata za varnost Generalnega direktorata za človeške vire in varnost kot IDOC, Direktorat za varnost pri poročanju generalnemu direktorju za človeške vire v skladu s členom 13 čim prej sporoči, ali obstajajo razlogi, ki upravičujejo vključitev IDOC-a v zadevo. Upošteva se, da primerni trenutek nastopi zlasti takrat, ko neposredna grožnja za varnost mine. Generalni direktor za človeške vire in varnost odloči o zadevi.
5. Če je zadeva v pristojnosti tako Direktorata za varnost Generalnega direktorata za človeške vire in varnost kot OLAF-a, Direktorat za varnost nemudoma poroča generalnemu direktorju Generalnega direktorata za človeške vire in varnost ter o tem čim prej obvesti generalnega direktorja OLAF-a. Upošteva se, da primerni trenutek nastopi zlasti takrat, ko neposredna grožnja za varnost mine.
Člen 15
Varnostni inšpekcijski pregledi
1. Generalni direktorat za človeške vire in varnost izvaja varnostne inšpekcijske preglede, da bi preveril skladnost služb Komisije in posameznikov s tem sklepom in njegovimi izvedbenimi pravili ter po potrebi oblikoval priporočila.
2. Kadar je to primerno, Generalni direktorat za človeške vire in varnost z varnostnimi inšpekcijskimi pregledi ali varnostnim nadzorom ali ocenjevalnimi obiski preveri, ali je varnost osebja, sredstev in podatkov Komisije, ki je v pristojnosti drugih institucij, agencij ali organov Unije, držav članic, tretjih držav ali mednarodnih organizacij, ustrezno zaščitena v skladu z varnostnimi pravili, predpisi in standardi, ki so vsaj enakovredni pravilom, predpisom in standardom Komisije. Kadar je to primerno in v duhu dobrega sodelovanja med upravami, lahko navedeni varnostni inšpekcijski pregledi vključujejo tudi preglede v zvezi z izmenjavo tajnih podatkov z drugimi institucijami, organi in agencijami Unije, državami članicami ali s tretjimi državami ali mednarodnimi organizacijami.
3. Ta člen se smiselno izvaja za osebje Komisije v delegacijah Unije brez poseganja v kakršne koli posebne dogovore med Komisijo in Evropsko službo za zunanje delovanje, kot je na primer posebni dogovor, podpisan 28. maja 2014 med Generalnim direktoratom Evropske komisije za človeške vire in varnost ter Evropsko službo za zunanje delovanje o dolžnostih do osebja Komisije v delegacijah Unije.
Člen 16
Stopnje pripravljenosti in obvladovanje kriznih razmer
1. Generalni direktorat za človeške vire in varnost je v pričakovanju groženj in incidentov, ki vplivajo na varnost v Komisiji, ter kot odziv nanje odgovoren za uvedbo ustreznih ukrepov za stopnje pripravljenosti ter za ukrepe, potrebne za obvladovanje kriznih razmer.
2. Ukrepi za stopnje pripravljenosti iz odstavka 1 so sorazmerni z varnostno grožnjo. Stopnje pripravljenosti se opredelijo v tesnem sodelovanju s pristojnimi službami drugih institucij, agencij in organov Unije in z državami članicami ali z državami članicami, v katerih se nahajajo prostori Komisije.
3. Generalni direktorat za človeške vire in varnost je kontaktna točka v zvezi s stopnjami pripravljenosti in obvladovanjem kriznih razmer.
POGLAVJE 4
ORGANIZACIJA
Člen 17
Splošne obveznosti služb Komisije
1. Obveznosti Komisije iz tega sklepa izvaja Generalni direktorat za človeške vire in varnost pod vodstvom in odgovornostjo člana Komisije, odgovornega za varnost.
2. Posebne ureditve v zvezi s kibernetsko varnostjo so opredeljene v Sklepu C(2006) 3602.
3. Odgovornosti za izvajanje tega sklepa in njegovih izvedbenih pravil ter za sprotno zagotavljanje skladnosti se lahko prenesejo na druge službe Komisije, kadar je decentralizirano zagotavljanje varnosti zelo učinkovito ter pomeni prihranek virov in časa, na primer zaradi geografske lokacije zadevnih služb.
4. Če se uporablja odstavek 3, Generalni direktorat za človeške vire in varnost ter, če je to ustrezno, Generalni direktor za informatiko skleneta dogovor s posameznimi službami Komisije za vzpostavitev jasnih vlog in odgovornosti za izvajanje in spremljanje varnostnih politik.
Člen 18
Generalni direktorat za človeške vire in varnost
1. Generalni direktorat za človeške vire in varnost je odgovoren zlasti za:
1.
razvoj varnostne politike Komisije, izvedbenih pravil in varnostnih obvestil;
2.
zbiranje informacij za ocenjevanje varnostnih groženj in tveganj ter o vseh vprašanjih, ki lahko vplivajo na varnost v Komisiji;
3.
preprečevanje elektronskega sledenja in zagotavljanje varstva na vseh lokacijah Komisije ob upoštevanju ocene ogroženosti in dokazov o nepooblaščenih dejavnostih v nasprotju z interesi Komisije;
4.
zagotavljanje storitev ukrepanja ob izrednih dogodkih 24 ur na dan in 7 dni na teden za službe in osebje Komisije v zvezi z vsemi vprašanji, povezanimi z varnostjo;
5.
izvajanje varnostnih ukrepov, namenjenih zmanjšanju varnostnega tveganja, ter razvoj in vzdrževanje primernih komunikacijskih in informacijskih sistemov v skladu z operativnimi potrebami, zlasti na področjih fizične kontrole dostopa, upravljanja varnostnih pooblastil ter obravnavanja občutljivih in tajnih podatkov EU;
6.
ozaveščanje, organizacijo vaj in urjenja ter zagotavljanje usposabljanja in svetovanja glede vseh vprašanj, ki se nanašajo na varnost v Komisiji, da se spodbuja kultura varnosti in oblikuje skupina osebja, ki je ustrezno usposobljeno na področju varnosti.
2. Generalni direktorat za človeške vire in varnost brez poseganja v pristojnosti in odgovornosti drugih služb Komisije zagotavlja zunanje povezovanje:
1.
z varnostnimi službami drugih institucij, agencij in organov Unije v zvezi z vprašanji, ki se nanašajo na varnost oseb, sredstev in podatkov v Komisiji;
2.
z varnostnimi in obveščevalnimi službami ter službami za oceno groženj (vključno z nacionalnimi varnostnimi organi) držav članic, tretjih držav ali mednarodnih organizacij in organov o vprašanjih, ki zadevajo varnost oseb, sredstev in podatkov v Komisiji;
3.
s policijo in drugimi službami nujne pomoči v zvezi z vsemi rutinskimi vprašanji in vprašanji glede ukrepanja v sili, ki vplivajo na varnost Komisije;
4.
z varnostnimi organi drugih institucij, agencij in organov Unije, držav članic in tretjih držav na področju odzivanja na kibernetske napade, ki lahko vplivajo na varnost v Komisiji;
5.
v zvezi s prejemanjem, ocenjevanjem in razširjanjem obveščevalnih podatkov glede groženj, ki jih predstavljajo teroristične dejavnosti in vohunjenje ter ki vplivajo na varnost v Komisiji;
6.
v zvezi z vprašanji glede tajnih podatkov, kot je navedeno v Sklepu Komisije (EU, Euratom) št. 2015/444 (14).
3. Generalni direktorat za človeške vire in varnost je odgovoren za varno razpošiljanje podatkov na podlagi tega člena, vključno s razpošiljanjem osebnih podatkov.
Člen 19
Strokovna skupina Komisije za varnost
Oblikuje se strokovna skupina Komisije za varnost, katere naloga je po potrebi svetovati Komisiji pri zadevah, ki se nanašajo na njeno notranjo varnostno politiko in zlasti na varstvo tajnih podatkov EU.
Člen 20
Lokalni uradniki za varnost
1. Vsaka služba Komisije ali vsak kabinet imenuje lokalnega uradnika za varnost, ki deluje kot glavna kontaktna točka med svojo službo in Generalnim direktoratom za človeške vire in varnost za vse zadeve v zvezi z varnostjo v Komisiji. Po potrebi se lahko imenuje eden ali več namestnikov lokalnega uradnika za varnost. Lokalni uradnik za varnost je uradnik ali začasni uslužbenec.
2. Kot glavna kontaktna točka za varnost znotraj svoje službe Komisije ali kabineta lokalni uradnik za varnost redno poroča Generalnemu direktoratu za človeške vire in varnost ter svojim nadrejenim o varnostnih vprašanjih, ki zadevajo njegovo službo Komisije, ter nemudoma o kakršnih koli varnostnih incidentih, vključno s tistimi, v katerih so bili morda nepooblaščeno razkriti tajni podatki EU ali občutljivi netajni podatki.
3. Za zadeve, ki se nanašajo na varnost komunikacijskih in informacijskih sistemov, se lokalni uradnik za varnost poveže z lokalnim uradnikom za informacijsko varnost znotraj svoje službe Komisije, katerega vloga in odgovornosti so določene v Sklepu C(2006) 3602.
4. Lokalni uradnik za varnost prispeva k dejavnostim na področju varnostnega usposabljanja in ozaveščanja, namenjenim posebnim potrebam osebja, pogodbenikov in drugih posameznikov, ki delajo pod pristojnostjo njegove službe Komisije.
5. Lokalnemu uradniku za varnost se lahko v primerih resnega ali neposrednega varnostnega tveganja ali ob izrednih dogodkih na zahtevo Generalnega direktorata za človeške vire in varnost dodelijo posebne naloge. Generalni direktorat za človeške vire in varnost o teh posebnih nalogah obvesti generalnega direktorja ali direktorja za človeške vire lokalnega generalnega direktorata lokalnega uradnika za varnost.
6. Odgovornosti lokalnega uradnika za varnost ne posegajo v vlogo in odgovornosti lokalnega uradnika za informacijsko varnost, vodij služb za zdravje in varnost, uradnikov za nadzor nad registri in katere koli druge funkcije, ki vključujejo odgovornosti v zvezi z varnostjo in z varnostjo povezanimi zadevami. Lokalni uradnik za varnost se poveže z navedenimi osebami, da se zagotovi usklajen in dosleden pristop k varnosti in učinkovit pretok informacij o zadevah, povezanih z varnostjo pri Komisiji.
7. Lokalni uradnik za varnost ima neposreden dostop do svojega generalnega direktorja ali vodja službe ter poroča osebi, ki mu je neposredno nadrejena. Ima varnostno pooblastilo za dostop do tajnih podatkov EU vsaj do stopnje tajnosti SECRET UE/EU SECRET.
8. Za spodbujanje izmenjave informacij in najboljših praks Generalni direktorat za človeške vire in varnost vsaj dvakrat letno organizira konferenco za lokalne uradnike za varnost. Udeležba na konferenci je za lokalne uradnike za varnost obvezna.
POGLAVJE 5
IZVAJANJE
Člen 21
Izvedbena pravila in varnostna obvestila
1. Po potrebi bodo izvedbena pravila za ta sklep sprejeta z ločenim sklepom Komisije o pooblastitvi člana Komisije, pristojnega za varnostne zadeve, v skladu s poslovnikom.
2. Potem ko je član Komisije, pristojen za varnostne zadeve, pooblaščen na podlagi navedenega sklepa Komisije, lahko oblikuje varnostna obvestila o varnostnih smernicah in najboljših praksah v okviru področja uporabe tega sklepa in njegovih izvedbenih pravil.
3. Komisija lahko naloge iz odstavka 1 in 2 tega člena prenese na generalnega direktorja za človeške vire in varnost s posebnim sklepom o prenosu pooblastil v skladu s poslovnikom.
POGLAVJE 6
RAZNE IN KONČNE DOLOČBE
Člen 22
Obdelava osebnih podatkov
1. Komisija osebne podatke, ki so potrebni za izvajanje tega sklepa, obdeluje v skladu z Uredbo (ES) št. 45/2001.
2. Ne glede na ukrepe, ki so že v veljavi v času sprejetja tega sklepa in priglašeni evropskemu nadzorniku za varstvo podatkov (15), za vse ukrepe iz tega sklepa v zvezi z obdelavo osebnih podatkov, na primer v zvezi z evidencami o prihodih in odhodih, posnetki sistema televizije zaprtega kroga, posnetki telefonskih klicev na dežurne službe ali v centrale, in podobnih podatkov, ki so potrebni iz varnostnih razlogov ali za odzivanje na krize, veljajo izvedbena pravila v skladu s členom 21, ki določijo ustrezne zaščitne ukrepe za posameznike, na katere se nanašajo osebni podatki.
3. Generalni direktor Generalnega direktorata za človeške vire in varnost je odgovoren za varnost kakršne koli obdelave osebnih podatkov v okviru tega sklepa.
4. Ta izvedbena pravila in postopki se sprejmejo po posvetovanju z uradno osebo za varstvo podatkov in evropskim nadzornikom za varstvo podatkov v skladu z Uredbo (ES) št. 45/2001.
Člen 23
Transparentnost
Ta sklep in njegova izvedbena pravila se sporočijo osebju Komisije in vsem posameznikom, na katere se nanašajo.
Člen 24
Razveljavitev prejšnjih sklepov
Sklep C(94) 2129 se razveljavi.
Člen 25
Začetek veljavnosti
Ta sklep začne veljati dan po objavi v Uradnem listu Evropske unije.
V Bruslju, 13. marca 2015