Souvislosti stížnosti

1. Skupina pro spolupráci v oblasti sítí a informačních systémů (dále jen „skupina pro spolupráci v oblasti bezpečnosti sítí a informací“) byla zřízena [1] s cílem zajistit spolupráci a výměnu informací mezi členskými státy v oblasti kybernetické bezpečnosti. Skupina pro spolupráci v oblasti bezpečnosti sítí a informací se skládá ze zástupců členských států EU, Evropské komise a Agentury EU pro kybernetickou bezpečnost (ENISA). Kromě jiných činností vypracovává skupina pro spolupráci v oblasti bezpečnosti sítí a informací nezávazné pokyny pro členské státy k řešení otázek politiky kybernetické bezpečnosti, jako jsou hrozby pro volební procesy, bezpečnost sítí 5G nebo „rejstříky doménových jmen nejvyšší úrovně“[2].

2. V červenci 2023 požádal stěžovatel Komisi o poskytnutí přístupu veřejnosti k dokumentům [3] týkajícím se zasedání skupiny pro spolupráci v oblasti bezpečnosti sítí a informací, konkrétně ke všem pořadům jednání a zápisům ze zasedání. Požádal rovněž o přístup veřejnosti k pokynům a pokynům vypracovaným Komisí v souladu s platnými pravidly [4].

3. Ve své původní odpovědi ze dne 28. září 2023 Komise vysvětlila, že všechny pořady jednání skupiny pro spolupráci v oblasti bezpečnosti sítí a informací jsou zveřejňovány online.[5] Určila 24 dokumentů týkajících se zápisu z každého zasedání skupiny pro spolupráci v oblasti bezpečnosti sítí a informací od roku 2017 a odepřela přístup k dokumentům v plném rozsahu. Uplatnila přitom výjimku podle právních předpisů EU o přístupu veřejnosti k dokumentům a tvrdila, že jejich zpřístupnění by ohrozilo ochranu veřejného zájmu, pokud jde o veřejnou bezpečnost [6]. Rovněž informovala stěžovatele, že neidentifikovala žádný dokument týkající se „pokynů nebo pokynů“.

4. V říjnu 2023 stěžovatel požádal Komisi o přezkum svého rozhodnutí (podáním „potvrzující žádosti“), přičemž tvrdil, že na dokumenty se nemůže přiměřeně vztahovat výjimka pro „veřejnou bezpečnost“. Podle jeho názoru měly být zveřejněny zápisy ze zasedání týkající se vnitřních pravidel skupiny pro spolupráci v oblasti bezpečnosti sítí a informací nebo jejího pracovního programu. Totéž platí pro veškeré informace týkající se výměny osvědčených postupů, neboť by pravděpodobně popisovaly otázky digitální bezpečnosti, které jsou obecně známy. Navíc vzhledem k tomu, že některé minuty jsou starší než pět let, tvrdil, že plynutí času pravděpodobně odstranilo riziko zveřejnění jejich obsahu. Rovněž tvrdil, že Komise měla určit více zápisů ze zasedání.

5. Komise potvrdila přijetí potvrzující žádosti a uvedla, že odpoví v příslušných lhůtách do 30. listopadu 2023. Poté, co stěžovatel zaslal dvě upomínky, na něž Komise neodpověděla, se v lednu 2024 obrátil na veřejnou ochránkyni práv.

Šetření

6. Veřejná ochránkyně práv zahájila šetření ohledně toho, že Komise neodpověděla na potvrzující žádost předloženou stěžovatelem.

7. Vzhledem k přetrvávajícímu zpoždění provedl vyšetřovací tým veřejného ochránce práv kontrolu dotčených dokumentů.[7] Po přezkoumání dokumentů předložil veřejný ochránce práv návrh řešení, aby Komise poskytla co nejširší přístup k dokumentům.

8. Dne 20. srpna 2024, tj. po značném zpoždění téměř jednoho roku, odpověděla Komise na potvrzující žádost a o dva měsíce později na návrh řešení předložený veřejnou ochránkyní práv. Veřejná ochránkyně práv poskytla stěžovateli příležitost vyjádřit se k odpovědi Komise, ale žádné připomínky neobdržela.

Návrh řešení předložený veřejnou ochránkyní práv

9. V návaznosti na kontrolu dokumentů vyšetřovacím týmem dospěla veřejná ochránkyně práv k názoru, že Komise měla poskytnout částečný přístup k dokumentům, a v březnu 2024 předložila návrh řešení za tímto účelem.

10. Veřejná ochránkyně práv měla za to, že sporné dokumenty do značné míry neobsahují citlivé informace, které by v případě jejich zpřístupnění mohly představovat důvodně předvídatelné (a nikoli čistě hypotetické) riziko pro veřejnou bezpečnost [8] Většina zápisů je vypracována obecně a neposkytuje citlivé podrobnosti o konkrétní provozní činnosti příslušných vnitrostátních orgánů specializovaných na kybernetickou bezpečnost. Kromě toho velká část zápisů obsahuje aktuální informace členských států o tom, jak provedly obě příslušné směrnice EU.[9] Na tyto části se s ohledem na plynutí času výjimka pro veřejnou bezpečnost zřejmě nevztahuje. Veřejná ochránkyně práv rovněž navrhla, aby byly určeny tři další dokumenty [10].

11. Veřejná ochránkyně práv poznamenala, že Komise ve svém původním rozhodnutí o odepření přístupu vycházela z vnitřních pravidel [11], která výslovně stanoví, že jednání skupiny pro spolupráci v oblasti bezpečnosti sítí a informací by neměla být přístupná veřejnosti. Uvedla, že Komise by měla své posouzení žádosti stěžovatele o přístup veřejnosti založit na ustanoveních nařízení č. 1049/2001.

12. Veřejná ochránkyně práv navrhla toto řešení:

Komise by měla přehodnotit své stanovisko k žádosti stěžovatele s cílem poskytnout co nejširší přístup k dokumentům, včetně tří dalších dokumentů, které nebyly identifikovány v počáteční fázi [12].

13. V návaznosti na návrh řešení předložený veřejnou ochránkyní práv Komise v srpnu 2024 odpověděla na potvrzující žádost stěžovatele. Komise poskytla přístup k částem 27 dokumentů: zápis z 24 schůzí určený v počáteční fázi a tři další zápisy uvedené v návrhu řešení předloženém veřejnou ochránkyní práv.

14. Komise odmítla zpřístupnit některé části dokumentů z důvodu, že by jejich zpřístupnění vedlo k porušení ochrany veřejného zájmu, pokud jde o veřejnou bezpečnost. Tvrdila, že dokumenty obsahují podrobné a citlivé informace o kybernetické bezpečnosti, včetně bezpečnostních opatření přijatých v reakci na konkrétní krize a výměny informací mezi orgány pro kybernetickou bezpečnost o potenciálních rizicích a hrozbách. Podle Komise by zveřejnění těchto informací ohrozilo veřejnou bezpečnost EU, protože by veřejnosti, včetně zlovolných skupin, poskytlo užitečné informace o kybernetické bezpečnosti, a oslabilo by tak připravenost členských států. Komise rovněž upravila některé části dokumentů, protože i když se informace mohou na první pohled jevit jako neškodné, mohly by potenciálním pachatelům kybernetických trestných činů poskytnout cenné poznatky.

15. Komise rovněž upravila některé osobní údaje zaměstnanců Komise a členů jiných orgánů. Kromě toho Komise informovala stěžovatele, že pokyny Komise ke směrnici o bezpečnosti sítí a informací (které stěžovatel požadoval ve své původní žádosti) jsou veřejně dostupné na jeho internetových stránkách ^[13].

16. Po zpoždění přijala Komise v říjnu 2024 svou odpověď na návrh řešení předložený veřejnou ochránkyní práv.[14] Komise se domnívala, že splnila návrh veřejné ochránkyně práv tím, že poskytla co nejširší přístup k dotčeným dokumentům s přihlédnutím k rizikům pro veřejnou bezpečnost, která by širší zpřístupnění vytvořilo, jak je podrobně vysvětleno v potvrzujícím rozhodnutí.

17. Komise nesouhlasila s názorem veřejné ochránkyně práv vyjádřeným v návrhu řešení, že většina dokumentů zřejmě neobsahuje žádný citlivý obsah. Jak je vysvětleno v potvrzujícím rozhodnutí, části dokumentů obsahují stanoviska a názory členských států na současná a budoucí opatření a diskuse na vnitrostátní a přeshraniční úrovni. Obsahují rovněž informace o incidentech a dalších opatřeních probíhajících v členských státech. Odrážejí diskuse o kybernetické bezpečnosti týkající se konkrétních souvisejících otázek, jako jsou volby do Evropského parlamentu v roce 2019, provádění doporučení Komise, aktuální stav a aktualizace různých opatření, včetně provádění doporučení skupiny, práce týkající se sítě skupin pro reakci na počítačové bezpečnostní incidenty (CSIRT) a strategie kybernetické bezpečnosti EU [15].

18. Komise měla za to, že zveřejnění těchto částí dokumentů by ohrozilo ochranu veřejné bezpečnosti, neboť by poskytlo širší veřejnosti, včetně zlovolných osob nebo skupin, příslušné informace o boji proti kybernetickým útokům. Komise se domnívala, že by to členské státy a Evropu učinilo zranitelnými vůči bezpečnostním incidentům a hrozbám.

19. Komise trvala na tom, že její vnitřní pravidla [16] stanoví, že diskuse skupiny by neměly být přístupné veřejnosti. Komise měla za to, že při posuzování žádosti o přístup veřejnosti podle nařízení č. 1049/2001 nemůže opomíjet citlivou povahu činností vyjádřených v dokumentech a účely spolupráce v této oblasti.

20. Obecným posláním skupiny pro spolupráci v oblasti bezpečnosti sítí a informací, jak je stanoveno ve směrnici o bezpečnosti sítí a informací, je podporovat strategickou spolupráci a výměnu informací a posilovat důvěru mezi členskými státy. Vzhledem k tomu, že kybernetické bezpečnosti nelze dosáhnout bez spolupráce orgánů členských států, měla Komise za to, že zpřístupnění diskusí uvedených v požadovaných dokumentech by ohrozilo důvěru a spolupráci v oblasti kybernetické bezpečnosti. Skutečnost, že některé dokumenty pocházejí z roku 2017, nemění míru rizika, pokud by dokumenty byly zpřístupněny, neboť úzce souvisejí se současnými diskusemi.

21. Kromě toho Komise nesouhlasila s názorem veřejné ochránkyně práv, že části dokumentů týkající se aktualizací týkajících se provedení směrnic NIS a NIS2 nejsou citlivé. Komise tvrdila, že provedení směrnice NIS2 stále probíhá. Kromě toho, i když bylo dokončeno provedení směrnice o bezpečnosti sítí a informací, diskuse shrnuté v zápisu se týkají různých opatření přijatých členskými státy v tomto ohledu, včetně možností, které nebyly přijaty. Zpřístupnění těchto částí dokumentů by mělo negativní dopad na veřejnou bezpečnost, pokud jde o opatření přijatá na vnitrostátní úrovni. Průběh času nemění úroveň rizika, protože popsaná opatření jsou stále relevantní pro boj proti kyberkriminalitě.

Posouzení veřejné ochránkyně práv po návrhu řešení

22. Unijní orgány mají široký prostor pro uvážení při určování, zda by zpřístupnění dokumentu ohrozilo ochranu veřejného zájmu, pokud jde o veřejnou bezpečnost. Jsou však stále povinny prokázat „konkrétní a skutečné riziko“, které je rozumně předvídatelné, a nikoli čistě hypotetické [17].

23. Komise nyní poskytla částečný přístup ke sporným dokumentům, což veřejná ochránkyně práv vítá. Veřejná ochránkyně práv rovněž vítá odůvodnění Komise, pokud jde o zbývající úpravy.

24. Na základě poskytnutých vysvětlení se veřejná ochránkyně práv domnívá, že nebylo zjevně nesprávné, aby Komise tvrdila, že některé diskuse o konkrétních otázkách souvisejících s kybernetickou bezpečností, jako jsou volby do Evropského parlamentu v roce 2019 nebo cvičení kybernetické připravenosti (CyCLONe a Blue OLEx), obsahují citlivé prvky, které by mohly ohrozit veřejnou bezpečnost. Kromě toho se úpravy osobních údajů jeví jako přiměřené a stěžovatel je nenapadl.

25. Veřejná ochránkyně práv však konstatuje, že Komise odepřela přístup k celým oddílům týkajícím se shrnutí diskusí mezi členy skupiny pro spolupráci v oblasti bezpečnosti sítí a informací o probíhající práci.

26. Provedená kontrola prokázala, že shrnutí jsou vypracována obecně a popisují hlavní výzvy a příležitosti daného tématu nebo možné konvergence. Pro veřejného ochránce práv je obtížné pochopit, jak by taková obecná shrnutí mohla ohrozit veřejnou bezpečnost, pokud by byla zveřejněna. Je proto obtížné pochopit, jak a proč by v případě zpřístupnění těchto částí dokumentů existovalo konkrétní a skutečné riziko pro veřejnou bezpečnost.

27. Komise tvrdila, že tyto části dokumentů by mohly potenciálním pachatelům kybernetických trestných činů poskytnout cenné informace, pokud by byly zveřejněny. Toto vysvětlení je však v rozporu se skutečností, že některé upravené části obsahují informace, které jsou již veřejně dostupné.

28. Veřejná ochránkyně práv se proto domnívá, že Komise mohla lépe odůvodnit některé úpravy, zejména ty, které se týkají obecných shrnutí diskusí skupiny pro spolupráci v oblasti bezpečnosti sítí a informací. Avšak vzhledem k tomu, že Komise nyní poskytla částečný přístup k zápisu ze schůze a stěžovatel neposkytl další připomínky k odpovědi Komise, veřejná ochránkyně práv se domnívá, že další šetření v této věci nejsou odůvodněná.

29. Veřejný ochránce práv konstatuje, že v původním rozhodnutí o odepření přístupu se Komise při odepření přístupu k dokumentům v plném rozsahu opírala o vnitřní pravidla [18]. V reakci na návrh veřejného ochránce práv na řešení Komise vysvětlila, že své posouzení žádosti o přístup veřejnosti založila na nařízení č. 1049/2001, ale že nemůže ignorovat citlivou povahu diskusí skupiny pro spolupráci v oblasti bezpečnosti sítí a informací, přičemž tvrdila, že vnitřní pravidla stanoví, že diskuse nesmí být přístupné veřejnosti. Veřejný ochránce práv je přesvědčen, že v tomto případě bylo posouzení Komise v souladu s ustanoveními nařízení č. 1049/2001 a že Komise uznává, že vnitřní pravidla použitá v tomto případě nelze v žádném případě vykládat jako nepřímou domněnku nezveřejnění, nebo dokonce jako důvod pro odepření přístupu veřejnosti. Veřejná ochránkyně práv proto vítá objasnění Komise, že žádosti veřejnosti o přístup k dokumentům týkajícím se zasedání skupiny pro spolupráci v oblasti bezpečnosti sítí a informací by se měly zakládat pouze na ustanoveních obsažených v nařízení č. 1049/2001 [19].

30. Veřejná ochránkyně práv je znepokojena závažným zpožděním v odpovědi na žádost stěžovatele o přístup v tomto případě. Podle nařízení č. 1049/2001 by měl orgán EU do 15 pracovních dnů od registrace potvrzující žádosti buď poskytnout přístup k požadovanému dokumentu, nebo v písemné odpovědi uvést důvody úplného nebo částečného zamítnutí. Lhůta 15 pracovních dnů může být za výjimečných okolností prodloužena o dalších 15 pracovních dnů [20].

31. V tomto případě trvalo Komisi téměř jedenáct měsíců, než přijala rozhodnutí o potvrzující žádosti stěžovatele.

32. Veřejný ochránce práv již vyzval Komisi, aby řešila systémová zpoždění v této oblasti a dodržovala lhůty stanovené v nařízení č. 1049/2001 [21].

33. Veřejná ochránkyně práv vyjadřuje politování nad značným zpožděním Komise při odpovědi na žádost stěžovatele a znovu naléhavě vyzývá Komisi, aby se zabývala otázkou zpoždění v této oblasti.

Závěry

Na základě šetření veřejná ochránkyně práv uzavírá tento případ s těmito závěry:

Vzhledem k tomu, že Komise nyní poskytla širší přístup ke sporným dokumentům, veřejná ochránkyně práv se domnívá, že návrh řešení byl částečně přijat, a případ uzavírá.

Veřejná ochránkyně práv vyjadřuje politování nad značným zpožděním Komise při odpovědi na žádost stěžovatele. Zjevné nedodržení lhůt stanovených zákonodárcem v nařízení č. 1049/2001 nemůže být řádnou správou.

Stěžovatel a Komise budou o tomto rozhodnutí informováni.

Teresa Anjinho
evropská veřejná ochránkyně práv

Štrasburk, 14. dubna 2025

[1] Skupina byla zřízena na základě směrnice (EU) 2016/1148 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (směrnice o bezpečnosti sítí a informací), která je k dispozici na adrese: https://eur-lex.europa.eu/eli/dir/2016/1148/oj/eng .

[2] Další informace jsou k dispozici na adrese: https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group

[3] Podle pravidel stanovených v nařízení Evropského parlamentu a Rady (ES) č. 1049/2001 ze dne 30. května 2001 o přístupu veřejnosti k dokumentům Evropského parlamentu, Rady a Komise, k dispozici na adrese: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[4] Body odůvodnění 20 a 21, jakož i článek 4 směrnice NIS2, k dispozici na adrese: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555

[5] Viz https://digital-strategy.ec.europa.eu/cs/library/nis-cooperation-group-meetings-agendas.

[6] Čl. 4 odst. 1 písm. a) první odrážka nařízení č. 1049/2001.

[7] Šetření veřejné ochránkyně práv se týkalo pouze zápisu ze schůze, neboť stěžovatel nezpochybnil způsob, jakým Komise vyřizovala ostatní aspekty jeho původní žádosti (která se týkala pořadů jednání schůze a pokynů a pokynů).

[8] Viz rozsudek Soudního dvora ze dne 3. července 2014 ve věci C-350/12 P, Rada v. in 't Veld, body 52 a 64, k dispozici na adrese: https://curia.europa.eu/juris/liste.jsf?num=C-350/12

[9] Směrnice (EU) 2016/1148 a směrnice (EU) 2018/1972, resp. směrnice NIS2, viz poznámky pod čarou 1 a 4.

[10] Zápis z 16., 17. a 27. zasedání skupiny pro spolupráci v oblasti bezpečnosti sítí a informací, neboť tato zasedání jsou uvedena na internetových stránkách Komise s pořady jednání všech zasedání skupiny pro spolupráci v oblasti bezpečnosti sítí a informací, ale Komise je ve své původní odpovědi stěžovateli neidentifikovala.

[11] Prováděcí rozhodnutí Komise (EU) 2017/179 ze dne 1. února 2017, kterým se stanoví procesní opatření nezbytná pro fungování skupiny pro spolupráci podle čl. 11 odst. 5 směrnice Evropského parlamentu a Rady (EU) 2016/1148 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii, dostupné na adrese https://eur-lex.europa.eu/eli/dec_impl/2017/179/oj/eng.

[12] Úplné znění návrhu řešení předloženého veřejným ochráncem práv je k dispozici na adrese: https://www.ombudsman.europa.eu/solution/200856

[13] https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-34-directive-eu-20222555-nis-2-directive a https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-4-1-and-2-directive-eu-20222555-nis-2-directive

[14] Odpověď Komise je k dispozici na adrese: https://www.ombudsman.europa.eu/doc/correspondence/200857

[15] https://digital-strategy.ec.europa.eu/cs/policies/kybernetická bezpečnost

[16] Článek 10 prováděcího rozhodnutí Komise (EU) 2017/179 (viz poznámka pod čarou 11).

[17] Rozsudek Tribunálu ze dne 27. listopadu 2019, Izuzquiza a Semsrott v. Frontex, věc T-31/18, body 65–66: https://curia.europa.eu/juris/liste.jsf?num=T-31/18.

[18] Prováděcí rozhodnutí Komise (EU) 2017/179 (viz poznámka pod čarou 11).

[19] Ve svém rozsudku ve věci Pollinis Tribunál objasnil, že vnitřní jednací řád přijatý Komisí pro konkrétní výbory nemá přednost před nařízením č. 1049/2001 o přístupu veřejnosti k dokumentům EU, což znamená, že tyto vnitřní předpisy obecně nemohou bránit zpřístupnění jednotlivých postojů členských států vyjádřených během jednání ve výborech. Viz rozsudek Tribunálu ze dne 14. září 2022, Pollinis France v. Evropská komise, spojené věci T‑371/20 a T‑554/20, bod 96, k dispozici na adrese: https://curia.europa.eu/juris/liste.jsf?language=en&td=ALL&num=T-371/20

[20] Článek 8 nařízení č. 1049/2001.

[21] Doporučení o době, kterou Evropská komise potřebuje k vyřízení žádostí o přístup veřejnosti k dokumentům (strategické šetření OI/2/2022/OAM), k dispozici na adrese: https://www.ombudsman.europa.eu/cs/recommendation/cs/167661.