ÉCHANGE D’INFORMATIONS CLASSIFIÉES AVEC DES ÉTATS TIERS ET DES ORGANISATIONS INTERNATIONALES
I. INTRODUCTION
1. La présente annexe énonce les modalités d’application de l’article 13.
II. CADRES RÉGISSANT L’ÉCHANGE D’INFORMATIONS CLASSIFIÉES
2. Lorsque le Conseil décide qu’il existe un besoin durable d’échanger des informations classifiées,
— un accord sur la sécurité des informations est conclu, ou
— un arrangement administratif est conclu,
conformément à l’article 13, paragraphe 2, et aux sections III et IV et en vertu d’une recommandation du comité de sécurité.
3. Lorsque des ICUE créées aux fins d’une opération PSDC doivent être communiquées à des États tiers ou à des organisations internationales participant à cette opération, et lorsque aucun des cadres prévus au paragraphe 2 n’existe, l’échange d’ICUE avec l’État tiers ou l’organisation internationale contributeur est régi, conformément à la section V ci-dessous, par:
— un accord-cadre de participation,
— un accord de participation ad hoc, ou
— à défaut d’un des accords susmentionnés, un arrangement administratif ad hoc.
4. À défaut d’un des cadres mentionnés aux paragraphes 2 et 3, et lorsque décision est prise de communiquer des ICUE à un État tiers ou à une organisation internationale sur une base exceptionnelle ad hoc dans le respect des dispositions prévues dans la section VI, il est demandé à l’État tiers ou à l’organisation internationale concerné(e) de donner par écrit des assurances garantissant que toute ICUE qui lui est communiquée bénéficie d’une protection conforme aux principes de base et aux normes minimales énoncés dans la présente décision.
III. ACCORDS SUR LA SÉCURITÉ DES INFORMATIONS
5. Les accords sur la sécurité des informations fixent les principes de base et les normes minimales régissant l’échange d’informations classifiées entre l’Union et un État tiers ou une organisation internationale.
6. Les accords sur la sécurité des informations prévoient des modalités techniques d’application qui doivent être arrêtées d’un commun accord entre les autorités de sécurité compétentes des institutions et organes de l’Union concernés et l’autorité de sécurité compétente de l’État tiers ou de l’organisation internationale concerné(e). Ces modalités tiennent compte du niveau de protection offert par les règlements, les structures et les procédures de sécurité en vigueur au sein de l’État tiers ou de l’organisation internationale concerné(e). Elles sont approuvées par le comité de sécurité.
7. Les ICUE ne peuvent faire l’objet d’un échange par voie électronique en application d’un accord sur la sécurité des informations, sauf disposition expresse de l’accord ou des modalités techniques d’application correspondantes.
8. Lorsque le Conseil conclut un accord de sécurité des informations avec un tiers, un bureau d’ordre est désigné au sein de chaque partie comme principal point d’entrée et de sortie des échanges d’informations classifiées.
9. Afin d’évaluer l’efficacité des règlements, structures et procédures de sécurité en vigueur dans l’État tiers ou l’organisation internationale concerné(e), des visites d’évaluation sont menées d’un commun accord avec l’État tiers ou l’organisation internationale concerné(e). Ces visites d’évaluation sont menées conformément aux dispositions pertinentes de l’annexe III et ont pour finalité d’évaluer:
a) le cadre réglementaire applicable à la protection des informations classifiées;
b) tous les aspects spécifiques de la politique de sécurité et du mode d’organisation de la sécurité dans l’État tiers ou l’organisation internationale susceptibles d’avoir une incidence sur le niveau des informations classifiées qui peuvent être échangées;
c) les mesures et les procédures de sécurité effectivement en place; et
d) les procédures d’habilitation de sécurité pour le niveau de classification des ICUE à communiquer.
10. L’équipe chargée de mener la visite d’évaluation au nom de l’Union détermine si les règles et procédures de sécurité mises en œuvre dans l’État tiers ou l’organisation internationale concerné(e) sont adaptées pour garantir la protection des ICUE au niveau requis.
11. Les conclusions de ces visites sont consignées dans un rapport, sur la base duquel le comité de sécurité fixe le niveau maximal de classification des ICUE qui peuvent être communiquées sur support papier et le cas échéant par voie électronique avec la tierce partie concernée, ainsi que toute condition particulière régissant l’échange d’informations avec celle-ci.
12. Tout est mis en œuvre pour qu’une visite complète d’évaluation de la sécurité soit menée dans l’État tiers ou l’organisation internationale concerné(e) avant l’approbation par le comité de sécurité des modalités d’application, afin d’établir la nature et l’efficacité du système de sécurité en place. Toutefois, lorsque cela n’est pas possible, le bureau de sécurité du SGC remet au comité de sécurité un rapport le plus complet qui soit, fondé sur les informations dont il dispose, qui contient des informations sur le règlement de sécurité applicable et le mode d’organisation de la sécurité dans l’État tiers ou l’organisation internationale concerné(e).
13. Le rapport relatif à la visite d’évaluation ou, en l’absence d’un tel rapport, le rapport visé au paragraphe 12 est transmis au comité de sécurité, qui doit le juger satisfaisant, avant que des ICUE soient effectivement transmises à l’État tiers ou à l’organisation internationale concerné(e).
14. Les autorités de sécurité compétentes des institutions et organes de l’Union notifient à l’État tiers ou à l’organisation internationale la date à compter de laquelle l’Union sera en mesure de communiquer des ICUE en application de l’accord, ainsi que le niveau maximal de classification des ICUE qui peuvent faire l’objet d’un échange sur support papier ou par voie électronique.
15. Des visites de suivi de l’évaluation sont effectuées au besoin, en particulier dans les circonstances suivantes:
a) il est nécessaire de relever le niveau de classification des ICUE pouvant être communiquées;
b) il a été porté à la connaissance de l’Union que les modalités de sécurité de l’État tiers ou de l’organisation internationale ont fait l’objet de modifications fondamentales susceptibles d’avoir un effet sur la manière dont elle protège les ICUE; ou
c) il y a eu un incident grave impliquant la divulgation non autorisée d’ICUE.
16. Lorsque l’accord sur la sécurité des informations est en vigueur et que des informations classifiées sont échangées avec l’État tiers ou l’organisation internationale concerné(e), le comité de sécurité peut décider de modifier le niveau maximal de classification des ICUE pouvant être échangées au format papier ou par voie électronique, en particulier à la lumière de toute visite de suivi de l’évaluation.
IV. ARRANGEMENTS ADMINISTRATIFS
17. Lorsqu’il existe un besoin durable d’échanger, avec un État tiers ou une organisation internationale, des informations dont le niveau de classification n’est en principe pas supérieur à RESTREINT UE/EU RESTRICTED, et que le comité de sécurité a établi que la partie en question ne dispose pas d’un système de sécurité suffisamment développé lui permettant de conclure un accord sur la sécurité des informations, le secrétaire général peut, sous réserve de l’approbation du Conseil, conclure un arrangement administratif au nom du SGC avec les autorités compétentes de l’État tiers ou de l’organisation internationale concerné(e).
18. Si, pour des raisons opérationnelles urgentes, un cadre doit être mis en place rapidement pour échanger des informations classifiées, le Conseil peut décider exceptionnellement qu’un arrangement administratif soit conclu pour échanger des informations dont le niveau de classification est supérieur à RESTREINT UE/EU RESTRICTED.
19. Les arrangements administratifs prennent, en règle générale, la forme d’un échange de lettres.
20. Une visite d’évaluation telle que visée au paragraphe 9 est réalisée, et le rapport y relatif ou, en l’absence d’un tel rapport, le rapport visé au paragraphe 12 est transmis au comité de sécurité, qui doit le juger satisfaisant, avant que des ICUE soient effectivement transmises à l’État tiers ou à l’organisation internationale concerné(e).
21. Les ICUE ne peuvent faire l’objet d’aucun échange par voie électronique en application d’un arrangement administratif, sauf disposition expresse de l’arrangement.
V. ÉCHANGE D’INFORMATIONS CLASSIFIÉES DANS LE CADRE D’OPÉRATIONS PSDC
22. Les accords-cadres de participation régissent la participation des États tiers ou des organisations internationales aux opérations PSDC. Ces accords contiennent des dispositions relatives à la communication des ICUE créées aux fins des opérations PSDC aux États tiers ou aux organisations internationales contributeurs. Le niveau maximal de classification des ICUE qui peuvent être échangées est RESTREINT UE/EU RESTRICTED pour les opérations PSDC civiles et CONFIDENTIEL UE/EU CONFIDENTIAL pour les opérations PSDC militaires, sauf disposition contraire prévue dans la décision établissant chaque opération PSDC.
23. Les accords de participation ad hoc conclus pour une opération PSDC particulière comprennent des dispositions relatives à la communication des ICUE créées aux fins de ladite opération à l’État tiers ou à l’organisation internationale y participant. Le niveau maximal de classification des ICUE qui peuvent être échangées est RESTREINT UE/EU RESTRICTED pour les opérations PSDC civiles et CONFIDENTIEL UE/EU CONFIDENTIAL pour les opérations PSDC militaires, sauf disposition contraire prévue dans la décision établissant chaque opération PSDC.
24. En l’absence d’accord sur la sécurité des informations et dans l’attente de la conclusion d’un accord de participation, la communication des ICUE créées aux fins de l’opération à un État tiers ou à une organisation internationale participant à l’opération est régie par un arrangement administratif que doit conclure le haut représentant ou fait l’objet d’une décision sur leur communication ad hoc, conformément aux dispositions de la section VI. Les ICUE ne seront échangées en application de cet arrangement qu’aussi longtemps que la participation de l’État tiers ou de l’organisation internationale sera envisagée. Le niveau maximal de classification des ICUE qui peuvent être échangées est RESTREINT UE/EU RESTRICTED pour les opérations PSDC civiles et CONFIDENTIEL UE/EU CONFIDENTIAL pour les opérations PSDC militaires, sauf disposition contraire prévue dans la décision établissant chaque opération PSDC.
25. Les dispositions relatives aux informations classifiées devant figurer dans les accords-cadres de participation, les accords de participation ad hoc et les arrangements administratifs ad hoc visés aux paragraphes 22 à 24 prévoient que l’État tiers ou l’organisation internationale concerné(e) veille à ce que son personnel détaché dans le cadre de toute opération protège les ICUE conformément au règlement de sécurité du Conseil, ainsi qu’aux autres instructions formulées par les autorités compétentes, y compris la chaîne de commandement de l’opération.
26. Si un accord sur la sécurité des informations est conclu ultérieurement entre l’Union et un État tiers ou une organisation internationale contributeur, l’accord sur la sécurité des informations se substitue aux dispositions relatives à l’échange d’informations classifiées énoncées dans tout accord-cadre de participation, accord de participation ad hoc ou arrangement administratif ad hoc pour ce qui concerne l’échange et le traitement des ICUE.
27. Aucun échange d’ICUE par voie électronique n’est autorisé au titre d’un accord-cadre de participation, d’un accord de participation ad hoc ou d’un arrangement administratif ad hoc conclu avec un État tiers ou une organisation internationale, sauf disposition expresse de l’accord ou l’arrangement en question.
28. Les ICUE créées aux fins d’une opération PSDC peuvent être divulguées au personnel détaché par des États tiers ou des organisations internationales dans le cadre de cette opération, conformément aux dispositions des paragraphes 22 à 27. Lorsque l’accès aux ICUE est autorisé dans les locaux ou via le SIC d’une opération PSDC, il convient d’appliquer des mesures (y compris l’enregistrement des ICUE divulguées) permettant d’atténuer le risque de perte ou de compromission. Ces mesures sont définies dans les documents de planification ou de mission pertinents.
29. En l’absence d’accord sur la sécurité des informations, la communication d’ICUE, en cas de besoin opérationnel spécifique et immédiat, à l’État hôte sur le territoire duquel une opération PSDC est menée peut être régie par un arrangement administratif que doit conclure le haut représentant. Cette possibilité est prévue dans la décision établissant l’opération PSDC. Seules peuvent être communiquées dans de telles circonstances les ICUE créées aux fins de l’opération PSDC dont le niveau de classification n’est pas supérieur à RESTREINT UE/EU RESTRICTED, sauf si un niveau de classification supérieur est prévu dans la décision établissant l’opération PSDC. Dans le cadre d’un tel arrangement administratif, l’État hôte est tenu de s’engager à protéger les ICUE conformément à des normes minimales qui ne sont pas moins strictes que celles prévues dans la présente décision.
30. En l’absence d’accord sur la sécurité des informations, la communication d’ICUE aux États tiers concernés et aux organisations internationales concernées, autres que ceux et celles qui participent à une opération PSDC, peut être régie par un arrangement administratif que doit conclure le haut représentant. Le cas échéant, cette possibilité, ainsi que toutes les conditions qui lui sont liées, est prévue dans la décision établissant l’opération PSDC. Seules peuvent être communiquées dans de telles circonstances les ICUE créées aux fins de l’opération PSDC dont le niveau de classification n’est pas supérieur à RESTREINT UE/EU RESTRICTED, sauf si un niveau de classification supérieur est prévu dans la décision établissant l’opération PSDC. Dans le cadre d’un tel arrangement administratif, l’État tiers ou l’organisation internationale en question est tenu(e) de s’engager à protéger les ICUE conformément à des normes minimales qui ne sont pas moins strictes que celles prévues dans la présente décision.
31. Aucune modalité d’application ou visite d’évaluation n’est requise préalablement à la mise en œuvre des dispositions relatives à la communication d’ICUE au titre des paragraphes 22, 23 et 24.
VI. COMMUNICATION AD HOC EXCEPTIONNELLE D’ICUE
32. Si aucun cadre n’existe conformément aux sections III à V, et si le Conseil ou l’une de ses instances préparatoires décide qu’il est nécessaire, à titre exceptionnel, de communiquer des ICUE à un État tiers ou à une organisation internationale, le SGC:
a) vérifie, dans la mesure du possible, auprès des autorités de sécurité de l’État tiers ou de l’organisation internationale concerné(e) que son règlement, ses structures et ses procédures de sécurité permettent de garantir que les ICUE qui lui seront communiquées bénéficieront d’une protection conforme à des normes qui ne sont pas moins strictes que celles prévues dans la présente décision; et
b) invite le comité de sécurité à formuler, sur la base des informations disponibles, une recommandation concernant la confiance qui peut être accordée au règlement, aux structures et aux procédures de sécurité en vigueur dans l’État tiers ou l’organisation internationale auquel les ICUE doivent être communiquées.
33. Si le comité de sécurité émet une recommandation favorable à la communication des ICUE, la question est soumise au Comité des représentants permanents (Coreper), qui statue sur leur communication.
34. Si le comité de sécurité émet une recommandation défavorable quant à la communication des ICUE:
a) pour les questions relatives à la PESC/PSDC, le comité politique et de sécurité débat de la question et formule une recommandation en vue d’une décision du Coreper;
b) pour toutes les autres questions, le Coreper examine la question et prend une décision.
35. Lorsque cela est jugé nécessaire, et sous réserve du consentement préalable écrit de l’autorité d’origine, le Coreper peut décider que les informations classifiées ne peuvent être communiquées qu’en partie ou qu’après avoir été déclassées ou déclassifiées, ou que les informations à communiquer seront préparées sans indiquer de référence à l’origine ou au niveau initial de classification de l’Union européenne.
36. Lorsqu’une décision de communiquer des ICUE a été prise, le SGC transmet le document concerné, qui porte un marquage relatif à la communicabilité indiquant l’État tiers ou l’organisation internationale auquel ce document a été communiqué. Avant la communication effective ou au moment de celle-ci, la tierce partie concernée s’engage par écrit à protéger les ICUE qui lui sont transmises conformément aux principes de base et aux normes minimales prévus dans la présente décision.
VII. AUTORISATION DE COMMUNIQUER DES ICUE À DES ÉTATS TIERS OU À DES ORGANISATIONS INTERNATIONALES
37. Lorsqu’il existe, conformément au paragraphe 2, un cadre pour l’échange d’informations classifiées avec un État tiers ou une organisation internationale, le Conseil prend la décision d’autoriser le secrétaire général à communiquer des ICUE à l’État tiers ou à l’organisation internationale concerné(e), dans le respect du principe du consentement de l’autorité d’origine. Le secrétaire général peut déléguer ce pouvoir à de hauts fonctionnaires du SGC.
38. Lorsqu’il existe, conformément au paragraphe 2, premier tiret, un accord sur la sécurité des informations, le Conseil peut prendre la décision d’autoriser le haut représentant à communiquer à l’État tiers ou à l’organisation internationale en question des ICUE provenant du Conseil dans le domaine de la Politique de sécurité et de défense commune, après avoir obtenu le consentement de l’autorité d’origine de chacune des sources que ces ICUE contiennent. Le haut représentant peut déléguer ce pouvoir à de hauts fonctionnaires du SEAE ou à des RSUE.
39. Lorsqu’il existe, conformément au paragraphe 2 ou 3, un cadre pour l’échange d’informations classifiées avec un État tiers ou une organisation internationale, le haut représentant est autorisé à communiquer des ICUE, conformément à la décision établissant l’opération PSDC et au principe du consentement de l’autorité d’origine. Le haut représentant peut déléguer ce pouvoir à de hauts fonctionnaires du SEAE, à une opération de l’Union, à des commandants de force ou de mission, ou à des chefs de mission de l’Union.