Обстоятелства, предхождащи жалбата

1. Групата за сътрудничество за мрежите и информационните системи („групата за сътрудничество за МИС“) беше създадена [1], за да се гарантират сътрудничеството и обменът на информация между държавите членки в областта на киберсигурността. Групата за сътрудничество за МИС се състои от представители на държавите — членки на ЕС, Европейската комисия и Агенцията на ЕС за киберсигурност (ENISA). Наред с други дейности групата за сътрудничество за МИС изготвя необвързващи насоки за държавите членки за справяне с въпроси на политиката в областта на киберсигурността, като например заплахи за изборните процеси, сигурността на 5G мрежата или „регистрите на имена на домейни от първо ниво“[2].

2. През юли 2023 г. жалбоподателят поиска от Комисията да предостави публичен достъп до документи [3] относно заседанията на групата за сътрудничество за МИС, а именно всички дневни редове и протоколи от заседанията. Той също така поиска публичен достъп до насоки и указания, изготвени от Комисията в съответствие с приложимите правила [4].

3. В първоначалния си отговор от 28 септември 2023 г. Комисията обясни, че всички дневни редове на заседанията на групата за сътрудничество за МИС се публикуват онлайн [5]. Тя идентифицира 24 документа, свързани с протоколите от всяко заседание на групата за сътрудничество за МИС от 2017 г. насам, и отказа достъп до документите в тяхната цялост. По този начин тя се позова на изключение съгласно законодателството на ЕС относно публичния достъп до документи, като заяви, че оповестяването им би засегнало защитата на обществения интерес по отношение на обществената сигурност.[6] Тя също така информира жалбоподателя, че не е установила никакъв документ, свързан с „насоки или насоки“.

4. През октомври 2023 г. жалбоподателят поиска от Комисията да преразгледа решението си (като подаде „потвърдително заявление“), като заяви, че документите не могат разумно да бъдат обхванати изцяло от изключението за „обществена сигурност“. Според него протоколите от заседанията, свързани с вътрешните правила на групата за сътрудничество за МИС или нейната работна програма, е трябвало да бъдат оповестени. Същото се отнася и за всяка информация относно обмена на добри практики, тъй като те вероятно биха описали въпроси, свързани с цифровата сигурност, които са общоизвестни. Освен това, тъй като някои минути са на повече от пет години, той твърди, че изтичането на времето вероятно е премахнало рисковете от разкриване на тяхното съдържание. Той също така заяви, че Комисията е трябвало да определи още протоколи от заседания.

5. Комисията потвърди получаването на потвърдителното заявление и заяви, че ще отговори в приложимите срокове преди 30 ноември 2023 г. След като изпрати две напомняния, на които Комисията не отговори, през януари 2024 г. жалбоподателят се обърна към омбудсмана.

Проучването

6. Омбудсманът започна проверка на липсата на отговор от страна на Комисията на потвърдителното заявление, подадено от жалбоподателя.

7. С оглед на продължаващото забавяне разследващият екип на Омбудсмана извърши проверка на въпросните документи.[7] След преглед на документите Омбудсманът направи предложение за решение, с което Комисията да предостави възможно най-широк достъп до документите.

8. На 20 август 2024 г., т.е. след значително забавяне от почти една година, Комисията отговори на потвърдителното заявление, а два месеца по-късно — на предложението на омбудсмана за решение. Омбудсманът даде възможност на жалбоподателя да представи коментари по отговора на Комисията, но не получи такива.

Предложение на омбудсмана за решение

9. След проверката на документите от разследващия екип омбудсманът изрази становището, че Комисията е трябвало да предостави частичен достъп до документите, и през март 2024 г. направи предложение за решение за тази цел.

10. Омбудсманът счита, че въпросните документи до голяма степен не съдържат чувствителна информация, която, ако бъде разкрита, би могла да представлява разумно предвидим (а не чисто хипотетичен) риск за обществената сигурност.[8] Повечето от протоколите са изготвени общо и не предоставят чувствителни подробности относно конкретната оперативна работа на съответните национални органи, специализирани в областта на киберсигурността. Освен това голяма част от протоколите обхващат актуализации от държавите членки относно начина, по който са транспонирали двете съответни директиви на ЕС.[9] Изглежда, че тези части не са обхванати от изключението, свързано с обществената сигурност, като се има предвид изминалото време. Накрая Омбудсманът предложи да бъдат идентифицирани три допълнителни документа [10].

11. Омбудсманът отбеляза, че в първоначалното си решение за отказ на достъп Комисията се е основала на вътрешни правила [11], в които изрично се посочва, че обсъжданията на групата за сътрудничество за МИС не следва да бъдат открити за обществеността. Тя заяви, че Комисията следва да основе своята оценка на искането на жалбоподателя за публичен достъп на разпоредбите на Регламент 1049/2001.

12. Омбудсманът предложи следното решение:

Комисията следва да преразгледа позицията си по искането на жалбоподателя с оглед предоставяне на възможно най-широк достъп до документите, включително до трите допълнителни документа, които не са били идентифицирани на първоначалния етап [12].

13. След предложението на омбудсмана за решение през август 2024 г. Комисията отговори на потвърдителното заявление на жалбоподателя. Комисията предостави достъп до части от 27 документа: 24-те протокола от заседанията, определени на началния етап, и трите допълнителни протокола, посочени в предложението на Омбудсмана за решение.

14. Комисията отказва да оповести някои части от документите с мотива, че оповестяването им би засегнало защитата на обществения интерес по отношение на обществената сигурност. Документите съдържат подробна и чувствителна информация за киберсигурността, включително мерки за сигурност, приети в отговор на конкретни кризи, и обмен между органите за киберсигурност относно потенциални рискове и заплахи. Според Комисията оповестяването на тази информация би подкопало обществената сигурност на ЕС, тъй като би предоставило на обществеността, включително на злонамерени групи, полезна информация относно киберсигурността и по този начин би отслабило готовността на държавите членки. Комисията също така редактира някои части от документите, тъй като, въпреки че информацията може да изглежда безвредна на пръв поглед, тя би могла да предостави ценна информация на потенциалните киберпрестъпници.

15. Комисията също така редактира някои лични данни на служители на Комисията и членове на други органи. Освен това Комисията информира жалбоподателя, че насоките на Комисията относно Директивата за МИС (които жалбоподателят поиска в първоначалното си искане) са публично достъпни на нейния уебсайт ^[13].

16. След забавяне Комисията прие отговора си на предложението на омбудсмана за решение през октомври 2024 г.[14] Комисията счете, че е изпълнила предложението на омбудсмана, като е предоставила възможно най-широк достъп до съответните документи, като е взела предвид рисковете за обществената сигурност, които би породило по-широкото оповестяване, както е обяснено подробно в потвърдителното решение.

17. Комисията изрази несъгласие със становището на Омбудсмана, изразено в предложението за решение, че повечето документи изглежда не съдържат никакво чувствително съдържание. Както е обяснено в потвърдителното решение, части от документите съдържат становища и мнения на държавите членки относно настоящите и бъдещите действия и обсъждания на национално и трансгранично равнище. Те също така съдържат информация за инциденти и други действия, които се извършват в държавите членки. Те отразяват дискусиите относно киберсигурността по конкретни свързани въпроси, като например изборите за Европейски парламент през 2019 г., изпълнението на препоръките на Комисията, актуалното състояние и актуализациите на различните действия, включително изпълнението на препоръките на групата, работата във връзка с мрежата на екипите за реагиране при инциденти с компютърната сигурност (ЕРИКС) и стратегията на ЕС за киберсигурност [15].

18. Комисията изрази становището, че публичното оповестяване на тези части от документите би засегнало защитата на обществената сигурност, тъй като би предоставило на широката общественост, включително на злонамерени лица или групи, съответната информация относно борбата с кибератаките. Комисията счита, че това ще направи държавите членки и Европа уязвими по отношение на инциденти и заплахи, свързани със сигурността.

19. Комисията настоя, че във вътрешните ѝ правила [16] се посочва, че обсъжданията на групата не следва да бъдат открити за обществеността. Комисията счита, че при оценката на заявлението за публичен достъп съгласно Регламент 1049/2001 не може да пренебрегне чувствителния характер на дейностите, отразени в документите, и целите на сътрудничеството в тази област.

20. Общата мисия на групата за сътрудничество за МИС, определена в Директивата за МИС, е да подкрепя стратегическото сътрудничество и обмена на информация и да повишава доверието между държавите членки. Тъй като киберсигурността не може да бъде постигната без сътрудничеството на органите на държавите членки, Комисията счете, че оповестяването на обсъжданията, възпроизведени в исканите документи, би застрашило доверието и сътрудничеството в областта на киберсигурността. Фактът, че някои документи датират от 2017 г., не променя нивото на риска, ако документите бъдат оповестени, тъй като те са тясно свързани с текущите обсъждания.

21. Освен това Комисията изрази несъгласие със становището на омбудсмана, че частите в документите, свързани с актуализациите относно транспонирането на директивите за МИС и МИС 2, не са чувствителни. Комисията твърди, че транспонирането на Директивата за МИС 2 все още продължава. Освен това, въпреки че транспонирането на Директивата за МИС е приключило, обсъжданията, обобщени в протокола, се отнасят до различните действия, предприети от държавите членки в това отношение, включително вариантите, които не са били приети. Оповестяването на тези части от документите би имало отрицателно въздействие върху обществената сигурност по отношение на действията, предприети на национално равнище. Изминаването на времето не променя нивото на риска, тъй като описаните действия все още са от значение за борбата с киберпрестъпността.

Оценка на омбудсмана след предложението за решение

22. Институциите на Съюза разполагат с широка свобода на преценка, когато определят дали оповестяването на даден документ би засегнало защитата на обществения интерес по отношение на обществената сигурност. От тях обаче все пак се изисква да докажат „специфичен и реален риск“, който е разумно предвидим, а не чисто хипотетичен [17].

23. Понастоящем Комисията е предоставила частичен достъп до въпросните документи, което омбудсманът приветства. Омбудсманът също така приветства обосновката, предоставена от Комисията по отношение на оставащите редакции.

24. Въз основа на предоставените обяснения омбудсманът счита, че не е било явно погрешно Комисията да твърди, че някои обсъждания по конкретни въпроси, свързани с киберсигурността, като например изборите за Европейски парламент през 2019 г. или ученията за подготвеност за киберпространството (CyCLONe и Blue OLEx), съдържат чувствителни елементи, които биха могли да подкопаят обществената сигурност. Освен това заличаването на лични данни изглежда разумно и жалбоподателят не ги е оспорил.

25. Въпреки това омбудсманът отбелязва, че Комисията е отказала достъп до цели раздели относно резюмета на дискусиите между членовете на групата за сътрудничество за МИС относно текущата работа.

26. Извършената проверка показа, че резюметата са изготвени по общ начин, като са описани основните предизвикателства и възможности на дадена тема или възможни сближения. За омбудсмана е трудно да разбере как такива общи обобщения биха могли да подкопаят обществената сигурност, ако бъдат оповестени. Поради това е трудно да се разбере как и защо би съществувал конкретен и действителен риск за обществената сигурност, ако тези части от документите бъдат оповестени.

27. Комисията заяви, че тези части от документите биха могли да предоставят ценна информация на потенциалните киберпрестъпници, ако бъдат оповестени. Това обяснение обаче противоречи на факта, че някои от редактираните части съдържат информация, която вече е публично достъпна.

28. Поради това омбудсманът счита, че Комисията е могла да обоснове по-добре някои от редакциите, по-специално тези, които обхващат общите обобщения на обсъжданията на групата за сътрудничество за МИС. Като се има предвид обаче, че Комисията вече е предоставила частичен достъп до протокола от заседанието и жалбоподателят не е представил допълнителни коментари по отговора на Комисията, омбудсманът счита, че по-нататъшните проверки по този въпрос не са обосновани.

29. Омбудсманът отбелязва, че в първоначалното решение за отказ на достъп Комисията се е позовала на вътрешни правила [18], за да откаже достъп до документите в тяхната цялост. В отговор на предложението на омбудсмана за решение Комисията обясни, че е основала оценката си на искането за публичен достъп на Регламент 1049/2001, но че не може да пренебрегне чувствителния характер на обсъжданията на групата за сътрудничество за МИС, като заяви, че вътрешните правила предвиждат обсъжданията да не бъдат открити за обществеността. Омбудсманът е удовлетворен, че в този случай оценката на Комисията е била в съответствие с разпоредбите на Регламент 1049/2001 и че Комисията приема, че вътрешните правила, прилагани в този случай, по никакъв начин не могат да се тълкуват като непряка презумпция за неоповестяване или дори причина за отказ на публичен достъп. Поради това омбудсманът приветства пояснението на Комисията, че исканията за публичен достъп до документи, свързани със заседанията на групата за сътрудничество за МИС, следва да се основават само на разпоредбите, съдържащи се в Регламент 1049/2001 [19].

30. Омбудсманът изразява загриженост относно сериозното забавяне на отговора на искането за достъп на жалбоподателя в този случай. Съгласно Регламент (ЕО) No 1049/2001 в срок от 15 работни дни от регистрирането на потвърдителното заявление институцията на ЕС следва или да предостави достъп до искания документ, или в писмен отговор да посочи причините за пълния или частичния отказ. При изключителни обстоятелства срокът от 15 работни дни може да бъде удължен с още 15 работни дни [20].

31. В този случай на Комисията бяха необходими почти единадесет месеца, за да вземе решение по потвърдителното заявление на жалбоподателя.

32. Омбудсманът вече призова Комисията да се справи със системните забавяния в тази област и да спазва сроковете в Регламент 1049/2001 [21].

33. Омбудсманът изразява съжаление във връзка със значителното забавяне от страна на Комисията при отговора на искането на жалбоподателя и отново настоятелно призовава Комисията да разгледа въпроса за закъсненията в тази област.

Заключения

Въз основа на проверката омбудсманът приключва случая със следните заключения:

Тъй като Комисията вече е предоставила по-широк достъп до въпросните документи, омбудсманът счита, че предложението за решение е било частично прието, и приключва случая.

Омбудсманът изразява съжаление във връзка със значителното забавяне от страна на Комисията при отговора на искането на жалбоподателя. Явното неспазване на сроковете, установени от законодателя в Регламент No 1049/2001, не може да бъде добра администрация.

Жалбоподателят и Комисията ще бъдат уведомени за това решение.

Тереза Анджиньо
Европейски омбудсман

Страсбург, 14.4.2025 г.

[1] Групата е създадена въз основа на Директива (ЕС) 2016/1148 относно мерки за високо общо ниво на сигурност на мрежите и информационните системи в Съюза (Директива за МИС), достъпна на адрес: https://eur-lex.europa.eu/eli/dir/2016/1148/oj/eng .

[2] Повече информация може да бъде намерена на адрес: https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group

[3] Съгласно правилата, определени в Регламент (ЕО) No 1049/2001 на Европейския парламент и на Съвета от 30 май 2001 г. относно публичния достъп до документи на Европейския парламент, на Съвета и на Комисията, достъпен на адрес: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[4] Съображения 20 и 21, както и член 4 от Директивата за МИС 2, на разположение на адрес: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555

[5] Вж. https://digital-strategy.ec.europa.eu/en/library/nis-cooperation-group-meetings-agendas

[6] Член 4, параграф 1, буква а), първо тире от Регламент 1049/2001.

[7] Обхватът на проверката на Омбудсмана обхваща само протоколите от заседанията, тъй като жалбоподателят не е оспорил начина, по който Комисията е разгледала другите аспекти на първоначалното му искане (които се отнасят до дневния ред на заседанията и насоките и указанията).

[8] Вж. решение на Съда от 3 юли 2014 г. по дело C-350/12 P, Съвет/in 't Veld, точки 52 и 64, достъпно на адрес: https://curia.europa.eu/juris/liste.jsf?num=C-350/12

[9] Директива (ЕС) 2016/1148 и Директива (ЕС) 2018/1972, съответно директивите за МИС и МИС2, вж. бележки под линия 1 и 4.

[10] Протоколите от 16-ото, 17-ото и 27-ото заседание на групата за сътрудничество за МИС, тъй като тези заседания са публикувани на уебсайта на Комисията, в който са изброени дневният ред на всички заседания на групата за сътрудничество за МИС, но не са посочени от Комисията в първоначалния ѝ отговор до жалбоподателя.

[11] Решение за изпълнение (ЕС) 2017/179 на Комисията от 1 февруари 2017 г. за определяне на процедурните правила, необходими за функционирането на групата за сътрудничество съгласно член 11, параграф 5 от Директива (ЕС) 2016/1148 на Европейския парламент и на Съвета относно мерки за високо общо ниво на сигурност на мрежите и информационните системи в Съюза, достъпно на адрес: https://eur-lex.europa.eu/eli/dec_impl/2017/179/oj/eng

[12] Пълният текст на предложението на омбудсмана за решение може да бъде намерен на адрес: https://www.ombudsman.europa.eu/solution/200856

[13] https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-34-directive-eu-20222555-nis-2-directive и https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-4-1-and-2-directive-eu-20222555-nis-2-directive

[14] Отговорът на Комисията е достъпен на адрес: https://www.ombudsman.europa.eu/doc/correspondence/200857

[15] https://digital-strategy.ec.europa.eu/en/policies/cybersecurity

[16] Член 10 от Решение за изпълнение (ЕС) 2017/179 на Комисията (вж. бележка под линия 11).

[17] Решение на Общия съд от 27 ноември 2019 г., Izuzquiza и Semsrott/Frontex, дело T-31/18, точки 65—66: https://curia.europa.eu/juris/liste.jsf?num=T-31/18.

[18] Решение за изпълнение (ЕС) 2017/179 на Комисията (вж. бележка под линия 11).

[19] В решението си по делото Pollinis Общият съд поясни, че вътрешният процедурен правилник, приет от Комисията за конкретни комитети, няма предимство пред Регламент 1049/2001 относно публичния достъп до документи на ЕС, което означава, че тези вътрешни правила като цяло не могат да изключват оповестяването на индивидуалните позиции на държавите членки, изразени по време на обсъжданията в рамките на комитологията. Вж. решението на Общия съд от 14 септември 2022 г., Pollinis France/Европейска комисия, съединени дела T‑371/20 и T‑554/20, точка 96, достъпно на адрес: https://curia.europa.eu/juris/liste.jsf?language=en&td=ALL&num=T-371/20

[20] Член 8 от Регламент 1049/2001.

[21] Препоръка относно времето, необходимо на Европейската комисия за разглеждане на исканията за публичен достъп до документи (стратегическо проучване OI/2/2022/OAM), достъпна на адрес: https://www.ombudsman.europa.eu/en/recommendation/en/167661.