Décision (UE) 2016/2387 du Tribunal du 14 septembre 2016 concernant les règles de sécurité applicables aux renseignements ou pièces produits au titre de l'article 105, paragraphe 1 ou 2, du règlement de procédure

Aux fins de la présente décision, on entend par: a) «autorité de sécurité», l'autorité responsable de la sécurité de la Cour de justice de l'Union européenne désignée par cette dernière, qui peut déléguer, en tout ou en partie, l'exécution des tâches prévues par la présente décision; b) «bureau FIDUCIA», le bureau de la Cour de justice de l'Union européenne assurant la gestion des informations FIDUCIA; c) «détenteur», une personne dûment autorisée qui, sur la base d'un besoin d'en connaître avéré, est en possession d'une information FIDUCIA et à laquelle il incombe par conséquent d'en assurer la protection; d) «document», toute information, quelles qu'en soient la forme ou les caractéristiques physiques; e) «information», toute information écrite ou orale, quel qu'en soit le support ou l'auteur; f) «informations classifiées de l'Union européenne» (ICUE), toute information ou tout matériel identifié comme tel selon la classification de sécurité de l'Union européenne en vertu des règles applicables en la matière au sein des institutions de l'Union, relevant de l'un des niveaux de classification suivants: TRÈS SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED; g) «information FIDUCIA», toute information qui porte le marquage FIDUCIA; h) «traitement» d'une information FIDUCIA, l'ensemble des actions dont les informations FIDUCIA sont susceptibles de faire l'objet tout au long de la procédure devant le Tribunal et au plus tard jusqu'à l'expiration du délai visé à l'article 56, premier alinéa, du statut de la Cour de justice de l'Union européenne. Sont ainsi visés leur enregistrement, leur consultation, leur création, leur duplication, leur stockage, leur restitution et leur destruction.

1 La présente décision définit les principes de base et les normes de sécurité minimales pour la protection des informations FIDUCIA dans le cadre de la procédure devant le Tribunal et au plus tard jusqu'à l'expiration du délai visé à l'article 56, premier alinéa, du statut de la Cour de justice de l'Union européenne.

2 Ces principes de base et normes de sécurité minimales s'appliquent à toute information FIDUCIA, de même qu'à toute utilisation, écrite ou orale, ainsi qu'aux copies qui en sont, le cas échéant, faites conformément aux règles de sécurité établies dans la présente décision.

Aux fins de la mise en œuvre du dispositif prévu par la présente décision: la partie principale informe le greffe du Tribunal du jour du dépôt des renseignements ou pièces au titre de l'article 105, paragraphe 1 ou 2, du règlement de procédure, la partie principale, accompagnée d'un représentant du greffe, est tenue de déposer les renseignements ou les pièces au titre de l'article 105, paragraphe 1 ou 2, du règlement de procédure auprès du bureau FIDUCIA pendant les heures d'ouverture du greffe au public, la partie principale qui a produit les renseignements ou pièces au titre de l'article 105, paragraphe 1 ou 2, du règlement de procédure est tenue de les récupérer auprès du bureau FIDUCIA en présence d'un représentant du greffe lorsqu'elle n'autorise pas leur communication au titre de l'article 105, paragraphe 4, dudit règlement, dès leur retrait conformément à l'article 105, paragraphe 7, du même règlement ou dès l'expiration du délai visé à l'article 56, premier alinéa, du statut de la Cour de justice de l'Union européenne, à moins qu'un pourvoi n'ait été formé dans ce délai, si, dans le délai visé à l'article 56, premier alinéa, du statut de la Cour de justice de l'Union européenne, un pourvoi est formé contre la décision du Tribunal, les renseignements ou pièces produits dans le cadre de cette affaire au titre de l'article 105, paragraphe 1 ou 2, du règlement de procédure sont mis à disposition de la Cour de justice. À cet effet, dès que le greffier du Tribunal est informé de l'existence de ce pourvoi, il adresse un courrier au greffier de la Cour de justice, l'informant du fait que les renseignements ou pièces concernés sont mis à disposition de la Cour de justice. Le greffier du Tribunal informe simultanément l'autorité de sécurité du fait que les renseignements ou pièces concernés doivent être mis à disposition de la Cour de justice, sans déplacement physique desdits renseignements ou pièces. Cette information est enregistrée par le bureau FIDUCIA. La partie principale qui a produit ces renseignements ou ces pièces est tenue de les récupérer auprès du bureau FIDUCIA, en présence d'un représentant du greffe de la Cour de justice, dès la signification de la décision mettant fin au pourvoi, sauf en cas de renvoi de l'affaire devant le Tribunal pour qu'il statue, en cas de renvoi de l'affaire devant le Tribunal, la Cour de justice met les renseignements ou pièces concernés à disposition du Tribunal dès la signification de la décision mettant fin au pourvoi. À cet effet, le greffier de la Cour de justice adresse un courrier au greffier du Tribunal, l'informant du fait que les renseignements ou pièces concernés sont mis à disposition du Tribunal. Le greffier de la Cour de justice informe simultanément l'autorité de sécurité du fait que les renseignements ou pièces concernés doivent être mis à disposition du Tribunal, sans déplacement physique desdits renseignements ou pièces. Cette information est enregistrée par le bureau FIDUCIA. La partie principale qui a produit ces renseignements ou ces pièces est tenue de les récupérer auprès du bureau FIDUCIA, en présence d'un représentant du greffe du Tribunal, dès l'expiration du délai visé à l'article 56, premier alinéa, du statut de la Cour de justice de l'Union européenne, à moins qu'un pourvoi n'ait été formé dans ce délai.

1 Le marquage FIDUCIA est attribué par le bureau FIDUCIA à l'ensemble des renseignements ou pièces produits conformément à l'article 105, paragraphe 1 ou 2, du règlement de procédure.

2 Le marquage FIDUCIA est également attribué par le bureau FIDUCIA à toute information qui reprend, en tout ou en partie, le contenu des renseignements ou pièces produits conformément à l'article 105, paragraphe 1 ou 2, du règlement de procédure, ainsi qu'à chaque copie de tels renseignements ou pièces.

3 Le marquage FIDUCIA est également attribué par le bureau FIDUCIA aux documents et registres établis par le bureau FIDUCIA en application de la présente décision dont la divulgation non autorisée pourrait porter atteinte à la sûreté de l'Union ou à celle d'un ou de plusieurs de ses États membres ou à la conduite de leurs relations internationales.

4 Le marquage FIDUCIA est apposé de manière visible sur l'ensemble des pages et supports des informations FIDUCIA.

5 L'apposition du marquage FIDUCIA et la suppression de ce marquage, dans les conditions visées à l'annexe III, sont dépourvues d'incidences sur la classification des informations communiquées au Tribunal.

1 La protection des informations FIDUCIA est équivalente à celle assurée pour les ICUE SECRET UE/EU SECRET conformément aux règles applicables au sein des institutions de l'Union en matière de protection des ICUE.

2 Il incombe au détenteur de toute information FIDUCIA de la protéger conformément à la présente décision.

1 Les risques pesant sur les informations FIDUCIA sont gérés dans le cadre d'une procédure d'analyse des risques visant à déterminer les risques connus pesant sur la sécurité, à définir des mesures de sécurité permettant de ramener ces risques à un niveau acceptable conformément aux principes de base et aux normes minimales énoncées dans la présente décision et à appliquer ces mesures. L'efficacité de telles mesures fait l'objet d'une évaluation constante par l'autorité de sécurité.

2 Les mesures de sécurité pour la protection des informations FIDUCIA tout au long de la procédure devant le Tribunal et au plus tard jusqu'à l'expiration du délai visé à l'article 56, premier alinéa, du statut de la Cour de justice de l'Union européenne sont proportionnées en particulier à la forme sous laquelle se présentent les informations ou les matériels concernés ainsi qu'à leur volume, à l'environnement et à la structure des locaux du bureau FIDUCIA, ainsi qu'à la menace évaluée à l'échelle locale que représentent les activités malveillantes et/ou criminelles, y compris l'espionnage, le sabotage et le terrorisme.

3 Le plan d'urgence interne de la Cour de justice de l'Union européenne tient compte de la nécessité de protéger les informations FIDUCIA en cas d'urgence afin de prévenir l'accès et la divulgation non autorisés ainsi que la perte d'intégrité ou de disponibilité.

4 Les mesures de prévention et de retour aux conditions opérationnelles visant à limiter l'impact de défaillances ou d'incidents graves sur le traitement et le stockage des informations FIDUCIA sont prévues dans le plan d'urgence interne de la Cour de justice de l'Union européenne.

1 L'accès aux informations FIDUCIA ne peut être accordé qu'aux personnes qui: ont un besoin d'en connaître, sous réserve du paragraphe 2 du présent article, ont été autorisées à accéder à des informations FIDUCIA, et ont été informées de leurs responsabilités.

2 Les juges du Tribunal sont en vertu de leurs fonctions réputés autorisés à accéder aux informations FIDUCIA.

3 La procédure ayant pour but de déterminer si un fonctionnaire ou un autre agent de la Cour de justice de l'Union européenne, compte tenu de sa loyauté, de son intégrité et de sa fiabilité, peut être autorisé à accéder à des informations FIDUCIA est précisée à l'annexe I.

4 Avant de se voir accorder l'accès à des informations FIDUCIA et à intervalles réguliers par la suite, toutes les personnes concernées sont informées des responsabilités qui leur incombent en matière de protection des informations FIDUCIA conformément à la présente décision et reconnaissent ces responsabilités par écrit.

1 Par «sécurité physique», on entend l'application de mesures physiques et techniques de protection pour empêcher l'accès non autorisé aux informations FIDUCIA.

2 Les mesures de sécurité physique sont destinées à faire obstacle à toute intrusion dans les locaux du bureau FIDUCIA par la ruse ou par la force, à avoir un effet dissuasif, à empêcher et à détecter les actes non autorisés, ainsi qu'à permettre d'établir une distinction entre les personnes autorisées ou non à accéder aux informations FIDUCIA conformément au principe du besoin d'en connaître. Ces mesures sont déterminées sur la base d'une procédure de gestion des risques.

3 Les mesures de sécurité physique sont mises en place pour les locaux du bureau FIDUCIA dans lesquels sont traitées et stockées les informations FIDUCIA. Ces mesures sont destinées à assurer une protection équivalente à celle dont bénéficient les ICUE SECRET UE/EU SECRET conformément aux règles applicables au sein des institutions de l'Union en matière de protection des ICUE. Aucune information FIDUCIA ne peut être stockée ni consultée en dehors des locaux du bureau FIDUCIA créés à ces fins au sein d'une zone elle-même sécurisée.

4 Seuls des équipements ou des dispositifs conformes aux règles applicables au sein des institutions de l'Union en matière de protection des ICUE sont utilisés pour protéger les informations FIDUCIA.

5 Les modalités d'application du présent article figurent à l'annexe II.

1 Par «gestion des informations FIDUCIA», on entend l'application de mesures administratives visant à protéger les informations FIDUCIA tout au long de la procédure devant le Tribunal et au plus tard jusqu'à l'expiration du délai visé à l'article 56, premier alinéa, du statut de la Cour de justice de l'Union européenne, et à les contrôler en vue de contribuer à la prévention et à la détection d'une compromission ou d'une perte délibérée ou accidentelle de telles informations.

2 Les mesures de gestion des informations FIDUCIA concernent en particulier l'enregistrement, la consultation, la création, la duplication, le stockage, la restitution et la destruction des informations FIDUCIA.

3 Lors de leur réception et avant tout traitement, les informations FIDUCIA sont enregistrées par le bureau FIDUCIA.

4 Les locaux du bureau FIDUCIA font l'objet d'une inspection régulière par l'autorité de sécurité.

5 Les modalités d'application du présent article figurent à l'annexe III.

1 Les systèmes d'information et de communication (ordinateurs et périphériques) utilisés pour le traitement des informations FIDUCIA sont situés dans les locaux du bureau FIDUCIA. Ils sont isolés de tout réseau informatisé.

2 Des mesures de sécurité sont mises en œuvre afin de protéger les équipements informatiques utilisés pour le traitement des informations FIDUCIA contre la compromission de ces informations par des émissions électromagnétiques non intentionnelles (mesures de sécurité équivalentes à celles pratiquées pour les ICUE SECRET UE/EU SECRET conformément aux règles applicables au sein des institutions de l'Union en matière de protection des ICUE).

3 Les systèmes d'information et de communication font l'objet d'une homologation délivrée par l'autorité de sécurité qui s'assure qu'ils répondent aux règles applicables au sein des institutions de l'Union en matière de protection des ICUE.

4 Les modalités d'application du présent article figurent à l'annexe IV.

1 Par «sécurité en cas d'intervention externe», on entend l'application des mesures visant à garantir la protection des informations FIDUCIA par des contractants devant intervenir dans le cadre de la maintenance des systèmes d'information et de communication isolés du réseau informatique ou lors d'une intervention nécessitant le déplacement d'urgence des informations FIDUCIA afin de les mettre dans un lieu sûr.

2 L'autorité de sécurité peut confier l'accomplissement de tâches impliquant ou nécessitant, en vertu de leur contrat, l'accès aux informations FIDUCIA à des contractants immatriculés dans un État membre.

3 L'autorité de sécurité veille à ce que les normes minimales de sécurité prévues dans la présente décision et mentionnées dans le contrat soient respectées lors de l'octroi de contrats.

4 Les membres du personnel d'un contractant ne peuvent accéder à des informations FIDUCIA qu'après avoir été autorisés à cette fin par l'autorité de sécurité sur la base d'une habilitation de sécurité du personnel délivrée par l'autorité nationale de sécurité ou toute autre autorité de sécurité compétente conformément aux dispositions législatives ou réglementaires nationales.

5 Les modalités d'application du présent article figurent à l'annexe V.

1 Les informations FIDUCIA ne sont en aucun cas diffusées sous forme numérique.

2 Le Tribunal ne transmet d'informations FIDUCIA ni aux institutions, organes, organismes ou agences de l'Union, ni aux États membres, ni aux autres parties au litige, ni à aucun tiers.

1 Une infraction à la sécurité est un acte ou une omission commis par une personne qui est contraire aux règles de sécurité énoncées dans la présente décision.

2 Il y a compromission lorsque, à la suite d'une infraction à la sécurité, des informations FIDUCIA ont été divulguées en tout ou en partie à des personnes non autorisées ou non réputées autorisées.

3 Toute infraction à la sécurité, réelle ou présumée, est immédiatement signalée à l'autorité de sécurité.

4 Lorsqu'il est avéré ou qu'il existe des motifs raisonnables de supposer que des informations FIDUCIA ont été compromises ou perdues, l'autorité de sécurité en liaison étroite avec le président et le greffier du Tribunal prend toutes les mesures appropriées conformément aux dispositions applicables pour: a) en informer la partie principale qui a produit les renseignements ou pièces concernés; b) demander à l'autorité compétente l'ouverture d'une enquête administrative; c) évaluer le préjudice éventuel causé à la sûreté de l'Union ou à celle d'un ou de plusieurs de ses États membres ou à la conduite de leurs relations internationales; d) éviter que les faits ne se reproduisent; et e) informer les autorités compétentes des mesures prises.

5 Toute personne responsable d'une violation des règles de sécurité énoncées dans la présente décision est passible d'une sanction disciplinaire conformément aux dispositions applicables. Toute personne responsable de la compromission ou de la perte d'informations FIDUCIA est passible de sanctions disciplinaires et/ou peut faire l'objet d'une action en justice conformément aux dispositions applicables.

1 Le bureau FIDUCIA met en œuvre la protection des informations FIDUCIA en application de la présente décision.

2 L'autorité de sécurité est responsable de la bonne application de la présente décision. À ce titre, l'autorité de sécurité: a) applique la politique de sécurité de la Cour de justice de l'Union européenne et la réexamine périodiquement; b) contrôle la mise en œuvre de la présente décision par le bureau FIDUCIA; c) le cas échéant, fait enquêter, dans les conditions prévues à l'article 13, sur toute compromission ou perte réelle ou présumée d'informations FIDUCIA; d) procède à des inspections périodiques des dispositions de sécurité destinées à assurer la protection des informations FIDUCIA dans les locaux du bureau FIDUCIA.

Les modalités pratiques d'exécution de la présente décision sont arrêtées par l'autorité de sécurité en accord avec le greffier du Tribunal.

La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l'Union européenne.