Baggrunden for klagen

1. I henhold til retsakten om digitale tjenester [1] skal udbydere af »meget store onlineplatforme« hvert år vurdere visse risici ved deres tjenester i forbindelse med f.eks. udbredelse af ulovligt indhold eller negative virkninger for udøvelsen af grundlæggende rettigheder eller for beskyttelsen af mindreårige.[2] Desuden skal der foretages en uafhængig revision af disse platformes overholdelse af retsakten om digitale tjenester. [3] Hvis der konstateres risici, skal udbyderen af den pågældende udpegede platform træffe afbødende foranstaltninger for at imødegå disse risici.

2. Rapporterne om disse risikovurderinger og revisioner skal deles med Europa-Kommissionen, som overvåger og håndhæver meget store onlineplatformes overholdelse af deres forpligtelser i henhold til forordningen om digitale tjenester. Rapporterne skal også offentliggøres senest tre måneder efter modtagelsen af revisionsrapporten [4] Hvis det konstateres, at en platform har misligholdt sine forpligtelser i henhold til forordningen om digitale tjenester, kan Kommissionen pålægge bøder for at håndhæve overholdelsen [5].

3. Den 14. september 2023 modtog Kommissionen rapporten om X's første årlige risikovurdering efter ikrafttrædelsen af forordningen om digitale tjenester og platformens udpegelse som en meget stor onlineplatform.

4. To uger senere anmodede klageren, en journalist, [6] Kommissionen om aktindsigt i denne rapport.

5. I november 2023 nægtede Kommissionen at give aktindsigt under henvisning til behovet for at beskytte den pågældende platforms kommercielle interesser [7].

6. Klageren anmodede efterfølgende Kommissionen om at tage sin afgørelse om afslag på aktindsigt op til fornyet overvejelse (ved at indgive en "genfremsat begæring").

7. I december 2023 indledte Kommissionen på grundlag af sin vurdering af platformens risikovurderingsrapport (og andre elementer) en formel undersøgelse [8] af platformens overholdelse af sine forpligtelser i henhold til forordningen om digitale tjenester. Kommissionen fandt specifikt, at platformen ikke havde foretaget en omhyggelig vurdering af visse systemiske risici i EU som følge af udformningen og funktionen af dens systemer og brugen af dens tjenester.

8. I juni 2024 vedtog Kommissionen en bekræftende afgørelse om klagerens anmodning om adgang, idet den fastholdt, at risikovurderingsrapporten ikke kunne offentliggøres. I den forbindelse påberåbte Kommissionen sig også behovet for at beskytte sin igangværende undersøgelse i henhold til forordningen om digitale tjenester og hævdede, at der gjaldt en generel formodning om hemmeligholdelse, og at de to undtagelser til beskyttelse af forretningsmæssige interesser [9] og til beskyttelse af formålet med undersøgelser [10] var tæt forbundne.

9. I juli 2024 offentliggjorde Kommissionen foreløbige konklusioner om manglende overholdelse i forbindelse med sin undersøgelse af forordningen om digitale tjenester, hvori den identificerede tre klagepunkter [11].

10. I september 2024 henvendte klageren sig til Ombudsmanden, som var utilfreds med den manglende fremlæggelse af risikovurderingsrapporten.

11. Ombudsmanden indledte en undersøgelse af Kommissionens afslag på aktindsigt i september 2024.

12. Efter inspektionen af risikovurderingsrapporten og undersøgelsen af de fremsatte argumenter, herunder i Kommissionens svar på klagen, delte Ombudsmanden sine foreløbige synspunkter [12] med Kommissionen i november 2024.

Ombudsmandens foreløbige synspunkter

13. Ombudsmanden var af den foreløbige opfattelse, at det er urimeligt, at Kommissionen anvender en generel formodning om hemmeligholdelse på en risikovurderingsrapport, der er udarbejdet i henhold til forordningen om digitale tjenester.

14. Ombudsmanden fandt specifikt, at de regler, der gælder for risikovurderingsrapporter, afviger væsentligt fra de omstændigheder, hvor EU's domstole har fastslået muligheden for at gøre brug af en generel formodning. Navnlig indeholder retsakten om digitale tjenester ikke regler om privilegeret adgang til risikovurderingsrapporter, men kræver, at platformene offentliggør disse rapporter, uanset om Kommissionen er i gang med en undersøgelse af retsakten om digitale tjenester.

15. Ombudsmanden fandt desuden, at selv om retsakten om digitale tjenester giver mulighed for [13] for at tilbageholde visse oplysninger, når en platform i sidste ende offentliggør sin risikovurderingsrapport, er det urimeligt at konkludere af denne bestemmelse – og i lyset af forpligtelsen til at offentliggøre rapporten – at risikovurderingsrapporter indeholder følsomme kommercielle oplysninger i hele.

16. Kommissionen var uenig i Ombudsmandens foreløbige synspunkt [14].

Ombudsmandens henstilling

17. Ombudsmanden fortsatte derfor sin undersøgelse. Efter en yderligere vurdering bemærkede hun, at retsakten om digitale tjenester understreger betydningen af gennemsigtighed og ansvarlighed i forbindelse med onlinetjenester, og at den anerkender, at der er behov for øget gennemsigtighed og offentlig kontrol med meget store onlineplatforme på grund af deres særlige rolle og rækkevidde [15].

18. Ombudsmanden bemærkede desuden, at selv om retsakten om digitale tjenester fastsætter en tidsplan for offentliggørelsen af risikovurderingsrapporter, skal offentliggørelsen finde sted uanset status for Kommissionens vurdering. Det betyder, at det er irrelevant, om Kommissionen har indledt en undersøgelse af den pågældende platforms overholdelse af sine forpligtelser i henhold til forordningen om digitale tjenester, om en sådan undersøgelse er i gang, eller om Kommissionen endnu ikke har truffet afgørelse om en eventuel indledning af en undersøgelse.

19. Ombudsmanden fandt det også sandsynligt, at offentliggørelsen af rapporten (eller en redigeret udgave heraf) normalt ville finde sted, inden Kommissionen afslutter sin undersøgelse, og at beskyttelsen af dens håndhævelsesbestræbelser derfor ikke berører gennemsigtigheden og den offentlige kontrol af risikovurderingsrapporter.

20. Ombudsmanden fastholdt derfor sit synspunkt om, at det er urimeligt at anvende en generel formodning om hemmeligholdelse på risikovurderingsrapporter, der udarbejdes i henhold til forordningen om digitale tjenester. Hun mente, at hvis den pågældende platform endnu ikke proaktivt har offentliggjort risikovurderingsrapporten, når der fremsættes en anmodning om aktindsigt, bør Kommissionen tage hensyn hertil i sin vurdering af dokumentet i henhold til forordning (EF) nr. 1049/2001. Hvis det ikke er klart, om der kan gives aktindsigt, bør Kommissionen konsultere den pågældende platform, jf. forordning 1049/2001 [16].

21. Ombudsmanden bekræftede således sit foreløbige synspunkt om, at Kommissionens anvendelse af en generel formodning om hemmeligholdelse udgjorde et tilfælde af fejl eller forsømmelser.

22. Ombudsmanden bemærkede, at den pågældende platform i mellemtiden havde offentliggjort en redigeret udgave af den omtvistede risikovurderingsrapport [17] i overensstemmelse med sine forpligtelser i henhold til forordningen om digitale tjenester, og at klageren var utilfreds med platformens redigeringer, og fremsatte følgende henstilling til Kommissionen: Kommissionen bør foretage en konkret og individuel vurdering af den pågældende risikovurderingsrapport med henblik på at give størst mulig offentlig adgang, herunder til de dele af rapporten, der er blevet redigeret i den udgave, der blev offentliggjort af den pågældende platform. Hvis Kommissionen konkluderer, at der ikke kan gives aktindsigt i visse dele af rapporten, bør den forklare, hvorfor det specifikt og faktisk er udelukket at give aktindsigt i dem i lyset af de undtagelser, der er fastsat i artikel 4 i forordning (EF) nr. 1049/2001 [18].

23. Som svar [19] fastholdt Kommissionen, at den havde været berettiget til at anvende en generel formodning om manglende fremlæggelse af rapporten.

24. Kommissionen gentog navnlig, at risikovurderingsrapporter efter modtagelsen bliver en del af dens sagsakter vedrørende den respektive platforms overholdelse af forordningen om digitale tjenester. Disse rapporter er således ikke kun beskyttet af tavshedspligten, men er også omfattet af den særlige aktindsigtsordning, der gælder for Kommissionens administrative sagsakter [20].

25. Desuden hævdede Kommissionen, at (delvis) offentliggørelse af en risikovurderingsrapport, som endnu ikke er blevet offentliggjort af den pågældende platform i henhold til forordningen om digitale tjenester, ville fratage platformen sin ret til at redigere fortrolige oplysninger. Selv hvis Kommissionen konsulterede den pågældende platform, ville den i mangel af et svar desuden være forpligtet til at vurdere meget følsomme oplysninger for at afgøre, om videregivelse kan forårsage "væsentlige sårbarheder" i beskyttede interesser. Dette vil igen indebære en risiko for retlige udfordringer for den pågældende platform og underminere selve formålet med rapporteringen om risikovurderingen og dialogen med platformen. Kommissionen gjorde også gældende, at udbredelsen ville skade dens overvågnings- og tilsynsrolle og platformens ret til at blive hørt.

26. Med hensyn til en eventuel mere tungtvejende offentlig interesse i udbredelsen af oplysninger fandt Kommissionen, at en interesse i at kontrollere meget store onlineplatformes overholdelse af deres forpligtelser i henhold til forordningen om digitale tjenester og forstå de risici, der er forbundet med brugen af en platforms tjenester, udgør private interesser svarende til en persons interesse i at udøve deres ret til forsvar i retssager mod dem.

27. Kommissionen anførte også, at der ikke kan udledes en ret til aktindsigt af dens praksis med at offentliggøre oplysninger vedrørende dens resultater og de fremskridt, der er gjort i en DSA-undersøgelse.

28. Endelig anførte Kommissionen, at den ikke havde bestridt de fortrolige oplysninger, som platformen havde tilbageholdt, da den offentliggjorde en redigeret udgave af den omhandlede risikovurderingsrapport.

29. I sine bemærkninger til Kommissionens svar gentog klageren, at han mener, at Kommissionens anvendelse af en generel formodning om afslag på aktindsigt i stort set alle dokumenter vedrørende igangværende DSA-undersøgelser er overdreven.

30. Klageren hævdede også, at Kommissionen "syntes at afvise" enhver mulighed for en mere tungtvejende offentlig interesse i udbredelsen.

31. Klageren mente endvidere, at hvis Kommissionen generelt afslog aktindsigt i risikovurderingsrapporter i henhold til forordning (EF) nr. 1049/2001, ville det forhindre offentligheden i at kontrollere og anfægte eventuelle redigeringer, som platformene selv foretager.

Ombudsmandens vurdering efter henstillingen

32. Ombudsmanden er fortsat ikke overbevist om, at en generel formodning om hemmeligholdelse kan anvendes på risikovurderingsrapporter, der udarbejdes i henhold til forordningen om digitale tjenester.

33. Selv om retsakten om digitale tjenester kræver tavshedspligt, kan udpegede platforme ikke med rette forvente, at alle de oplysninger, de giver i en risikovurderingsrapport (der skal offentliggøres ), vil forblive fortrolige.

34. Det er derimod kun oplysninger, der med rimelighed kan anses for følsomme, der lovligt kan tilbageholdes. Det forekommer heller ikke rimeligt, at udbredelsen i henhold til forordning 1049/2001 ville fratage den pågældende platform dens ret til at redigere fortrolige oplysninger eller dens ret til at blive hørt. Forordning 1049/2001 giver mulighed for at konsultere en tredjepartsophavsmand, hvis det ikke er indlysende, om et dokument eller visse dele heraf kan eller ikke kan udbredes.

35. Ombudsmanden er endvidere bekymret over Kommissionens afvisning af at foretage en individuel vurdering af risikovurderingsrapporten på grundlag af, at den potentielle mangel på et svar fra tredjeparten ville kræve, at den selv beslutter, hvilke dele der skal offentliggøres.

36. Hvis denne argumentation følges, vil intet dokument, der er udarbejdet af en tredjepart, nogensinde kunne offentliggøres på grund af den potentielle mangel på et svar på en høring af en tredjepart.

37. Desuden kan EU-institutionerne aldrig udelukkende basere sig på en tredjeparts vurdering, selv om de besvarer en høring. De skal altid foretage deres egen vurdering under hensyntagen til tredjepartens synspunkter. Kommissionens holdning synes at være i strid med forpligtelsen i henhold til forordning 1049/2001 til at foretage en konkret og individuel vurdering, herunder når der anmodes om aktindsigt i et dokument, der indeholder eventuelle forretningsmæssigt følsomme oplysninger.

38. Ombudsmanden er også uenig i Kommissionens holdning om, at kontrol af en meget stor onlineplatforms overholdelse af sine forpligtelser i henhold til forordningen om digitale tjenester — med henblik på at forstå de potentielle alvorlige risici, som brugen af dens tjenester indebærer, og om og hvordan sådanne risici håndteres af platformen — udgør en privat interesse. Som Kommissionens egne foranstaltninger illustrerer [21], kan de tjenester, der tilbydes af meget store onlineplatforme, muliggøre alvorlige krænkelser af de grundlæggende rettigheder såsom identitetstyveri, seksuel vold og krænkelser af børns rettigheder. Sådanne alvorlige lovovertrædelser, som i nogle jurisdiktioner desuden er meget vanskelige at retsforfølge, og som ofrene har meget svært ved at forsvare sig imod, kan næppe betragtes som et nationalt eller privat spørgsmål om individuelle ofre. Tværtimod kan de skabe et meget alvorligt samfundsmæssigt problem og dermed en trussel mod demokratiet og samfundet som helhed. I lyset af det hurtige tempo, hvori nye værktøjer til kunstig intelligens udvikles, og de nye tekniske muligheder, de giver, er der en voksende og vigtig offentlig interesse i rettidigt at modtage adgang til oplysninger vedrørende de risici, som de tjenester, der udbydes af meget store onlineplatforme, (måske) indebærer. En sådan form for gennemsigtighed giver brugerne mulighed for at træffe informerede beslutninger om, hvorvidt det er sikkert at bruge en platforms tjenester, og informerer den igangværende offentlige debat i mange EU-medlemsstater om, hvorvidt og hvilken form for lovgivningsmæssige ændringer der kan være nødvendige for at imødegå sådanne risici.

39. Som Kommissionen selv bemærkede i sit svar på Ombudsmandens henstilling, er et af formålene med retsakten om digitale tjenester effektivt at beskytte de grundlæggende rettigheder [22]. Rettidig information om, hvordan meget store onlineplatforme bestræber sig på at forhindre krænkelser af de grundlæggende rettigheder på deres tjenester, bidrager til dette mål. Desuden bliver gennemsigtighed endnu vigtigere, når en platform ikke opfylder sin forpligtelse til at give forskere adgang til oplysninger, hvorved den "effektivt underminerer forskningen i flere systemiske risici i Den Europæiske Union"[23].

40. Ombudsmanden finder derfor, at Kommissionen burde have vurderet klagerens argumenter for at afgøre, om de godtgør en mere tungtvejende offentlig interesse i udbredelse.

41. Endelig finder Ombudsmanden det usandsynligt, at (delvis) udbredelse af risikovurderingsrapporter i henhold til forordning 1049/2001 ville underminere den gensidige tillid, som dialogen mellem Kommissionen og de udpegede platforme er baseret på. Meget store onlineplatforme er retligt forpligtet til at samarbejde med Kommissionen og give den oplysninger, der er relevante for en vurdering af deres overholdelse af forordningen om digitale tjenester. Kommissionen kan pålægge bøder, hvis en udpeget platform ikke opfylder sine forpligtelser. Hvis Kommissionen som anført ovenfor var i tvivl om offentliggørelsen af visse dele af risikovurderingsrapporten, kunne den under alle omstændigheder have konsulteret platformen om anmodningen om adgang.

42. Med hensyn til Ombudsmandens tidligere henvisning til oplysninger om Kommissionens DSA-undersøgelse vedrørende den omtvistede platform, som den havde offentliggjort inden afslutningen af den relevante revision, havde dette kun til formål at understrege Ombudsmandens opfattelse af, at udbredelsen sandsynligvis ikke ville underminere revisionen. Selv om Ombudsmanden bemærker, at Kommissionen ikke længere henviser til behovet for at beskytte formålet med den uafhængige revision, mener hun, at det forhold, at visse oplysninger allerede var blevet fremlagt af Kommissionen på tidspunktet for den bekræftende afgørelse, er et element, der burde have været taget i betragtning i forbindelse med vurderingen af klagerens anmodning om aktindsigt, som Kommissionen selv bemærkede i sit svar på Ombudsmandens henstilling.

43. I lyset af ovenstående fastholder Ombudsmanden sin konstatering af fejl eller forsømmelser.

Konklusioner

På grundlag af undersøgelsen afslutter Ombudsmanden denne sag med følgende konklusioner:

Anvendelsen af en generel formodning for afslag på aktindsigt og dermed afslaget på at foretage en konkret og individuel vurdering af den omhandlede risikovurderingsrapport udgjorde fejl eller forsømmelser fra Europa-Kommissionens side.

Klageren og Kommissionen vil blive underrettet om denne afgørelse.

Teresa Anjinho
Den Europæiske Ombudsmand

Strasbourg, den 7. maj 2026

[1] Forordning (EU) 2022/2065 om et indre marked for digitale tjenester (forordningen om digitale tjenester): http://data.europa.eu/eli/reg/2022/2065/oj.

[2] Artikel 34 i forordningen om digitale tjenester.

[3] Artikel 37 i forordningen om digitale tjenester.

[4] Artikel 42, stk. 4, i forordningen om digitale tjenester.

[5] Artikel 73f i forordningen om digitale tjenester.

[6] I henhold til forordning (EF) nr. 1049/2001 om aktindsigt i Europa-Parlamentets, Kommissionens og Rådets dokumenter: http://data.europa.eu/eli/reg/2001/1049/oj.

[7] I overensstemmelse med artikel 4, stk. 2, første led, i forordning (EF) nr. 1049/2001.

[8] I overensstemmelse med artikel 66, stk. 1, i forordningen om digitale tjenester — undersøgelsens sagsnummer: DSA.100.100.

[9] Artikel 4, stk. 2, første led, i forordning 1049/2001.

[10] Artikel 4, stk. 2, tredje led, i forordning (EF) nr. 1049/2001.

[11] Jf.: https://digital-strategy.ec.europa.eu/da/news/commission-sends-preliminary-findings-x-breach-digital-services-act.

[12] Den fulde ordlyd af Ombudsmandens foreløbige synspunkter findes på: https://www.ombudsman.europa.eu/da/doc/correspondence/da/199731.

[13] Artikel 42, stk. 5, i forordningen om digitale tjenester.

[14] Den fulde ordlyd af Kommissionens svar på Ombudsmandens foreløbige vurdering findes på:

https://www.ombudsman.europa.eu/doc/correspondence/214482.

[15] Se f.eks. betragtning 65 og 100 i forordningen om digitale tjenester.

[16] I overensstemmelse med artikel 4, stk. 4, i forordning (EF) nr. 1049/2001.

[17] Den offentliggjorte udgave af rapporten findes på: https://digital-strategy.ec.europa.eu/en/policies/dsa-brings-transparency#ecl-inpage-lsets8qr.

[18] Den fulde ordlyd af Ombudsmandens henstilling findes på: https://www.ombudsman.europa.eu/da/recommendation/da/214486.

[19] Den fulde ordlyd af Kommissionens svar på Ombudsmandens henstilling findes på: https://www.ombudsman.europa.eu/doc/correspondence/223606

[20] I overensstemmelse med artikel 84 og artikel 79, stk. 4, i forordningen om digitale tjenester.

[21] Kommissionen har f.eks. nedsat en ekspertgruppe om et sikrere internet for børn, der vurderer, hvordan mindreårige bedst beskyttes mod skadeligt indhold på internettet, herunder tilgange såsom en minimumsalder for sociale medier (https://digital-strategy.ec.europa.eu/en/policies/expert-group-safer-internet). Desuden har Kommissionen indledt undersøgelser af flere meget store onlineplatformes overholdelse af forordningen om digitale tjenester, herunder vedrørende beskyttelse af børn, vanedannende design, ulovligt indhold og valgrisici (https://digital-strategy.ec.europa.eu/en/policies/list-designated-vlops-and-vloses).

[22] Se f.eks. betragtning 9 i forordningen om digitale tjenester.

[23] Se: https://ec.europa.eu/commission/presscorner/detail/en/ip_25_2934.