foretages i overensstemmelse med artikel 4, stk. 1, i statutten for Den Europæiske Ombudsmand ^[1]

Baggrunden for klagen

1. I henhold til forordningen om digitale tjenester [2] bør udbydere af "meget store onlineplatforme" og "meget store onlinesøgemaskiner"[3] en gang om året omhyggeligt identificere og vurdere de systemiske risici, der følger af deres tjenester. Denne vurdering bør omfatte risici såsom udbredelse af ulovligt indhold og desinformation samt negative virkninger for udøvelsen af grundlæggende rettigheder, for valgprocesser eller i forbindelse med kønsbaseret vold og beskyttelse af mindreårige [4].

2. Desuden skal der mindst en gang om året foretages en uafhængig revision for at vurdere, om udbydere af udpegede onlineplatforme og søgemaskiner overholder deres forpligtelser i henhold til forordningen om digitale tjenester [5].

3. Den udpegede platforms risikovurderingsrapport og den uafhængige inspektørs revisionsrapport skal offentliggøres [6].

4. Hvis der identificeres risici, skal udbyderen af den udpegede platform (og/eller søgemaskine) træffe afbødende foranstaltninger for at imødegå disse risici.

5. Europa-Kommissionen overvåger og håndhæver meget store onlineplatformes overholdelse af deres forpligtelser i henhold til forordningen om digitale tjenester.

6. I april 2023 udpegede Kommissionen "X" (tidligere "Twitter") som en "meget stor onlineplatform". Som følge heraf skulle udbyderen af platformen inden for fire måneder sikre, at den opfylder sine forpligtelser i henhold til forordningen om digitale tjenester [7] Dette omfattede forpligtelsen til at foretage en årlig risikovurdering og rapportere om den til Kommissionen.

7. Den 14. september 2023 modtog Kommissionen rapporten om X's første årlige risikovurdering i henhold til forordningen om digitale tjenester.

8. Den 26. september 2023 indgav klageren, en journalist, en anmodning [8] om aktindsigt i dokumenter til Kommissionen og anmodede om fremlæggelse af X's risikovurderingsrapport.

9. Den 8. november 2023 afslog Kommissionen at give aktindsigt under henvisning til behovet for at beskytte den pågældende platforms kommercielle interesser [9].

10. Klageren anmodede derefter Kommissionen om at tage sin afgørelse om afslag på aktindsigt op til fornyet overvejelse (han fremsatte en "genfremsat begæring").

11. I december 2023 indledte Kommissionen på grundlag af sin vurdering af platformens risikovurderingsrapport (og andre elementer) en formel undersøgelse [10] af platformens overholdelse af sine forpligtelser i henhold til forordningen om digitale tjenester. Kommissionen fandt specifikt, at platformen ikke omhyggeligt havde vurderet visse systemiske risici i EU som følge af udformningen og funktionen af dens systemer og brugen af dens tjenester.

12. I juni 2024 vedtog Kommissionen en bekræftende afgørelse om klagerens anmodning om adgang, idet den fastholdt, at risikovurderingsrapporten ikke kunne offentliggøres. I den forbindelse påberåbte Kommissionen sig også behovet for at beskytte sin igangværende undersøgelse i henhold til forordningen om digitale tjenester og gjorde gældende, at der gjaldt en generel formodning om hemmeligholdelse, og at de to undtagelser til beskyttelse af forretningsmæssige interesser og til beskyttelse af formålet med undersøgelser var tæt forbundne.

13. I juli 2024 offentliggjorde Kommissionen foreløbige konklusioner om manglende overholdelse i forbindelse med sin undersøgelse af forordningen om digitale tjenester, hvori den identificerede tre klagepunkter [11].

14. I september 2024 henvendte klageren sig til Ombudsmanden, som var utilfreds med Kommissionens afslag på at give aktindsigt.

Undersøgelsen

15. Ombudsmanden indledte en undersøgelse af Kommissionens afgørelse om at afslå at give aktindsigt i den pågældende risikovurderingsrapport i henhold til EU-lovgivningen om aktindsigt (forordning 1049/2001 [12]).

16. Under undersøgelsen modtog Ombudsmanden Kommissionens svar på klagen. Ombudsmandens undersøgelseshold undersøgte også den omtvistede risikovurderingsrapport.

Fremlagte argumenter

17. I sin bekræftende afgørelse hævdede Kommissionen, at offentliggørelsen af risikovurderingsrapporten ville undergrave formålet med dens undersøgelse i henhold til forordningen om digitale tjenester, nemlig at sikre åbne og retfærdige markeder i den digitale sektor i hele EU, hvor gatekeepere tilbyder udpegede tjenester, til gavn for erhvervsbrugere og slutbrugere.

18. Mere specifikt anførte Kommissionen, at udbyderen af den pågældende platform endnu ikke havde offentliggjort risikovurderingsrapporten, og at platformen havde en legitim interesse i, at Kommissionen anvendte de oplysninger, den deler med den, udelukkende til det formål, der er fastsat i retsakten om digitale tjenester.

19. Kommissionen bemærkede, at dens undersøgelse i henhold til forordningen om digitale tjenester stadig var i gang. I lyset heraf hævdede Kommissionen, at den foreliggende sag "omfatter [den] type situation", på grundlag af hvilken EU's domstole har anerkendt muligheden for at anvende en generel formodning om hemmeligholdelse [13].

20. For det første gjorde Kommissionen gældende, at den omhandlede risikovurderingsrapport indgår i en kategori af lignende dokumenter (dens sagsakter vedrørende DSA-undersøgelsen), for hvilke undtagelserne for beskyttelse af formålet med undersøgelser og forretningsmæssige interesser åbenbart finder anvendelse.

21. For det andet falder denne kategori af dokumenter ind under anvendelsesområdet for en sektorspecifik retlig ramme, der indeholder specifikke tilgængelighedsregler (svarende til reglerne om karteller, statsstøtte og fusionskontrol). Navnlig i forbindelse med DSA-undersøgelser skal Kommissionens afgørelse baseres på en kompleks vurdering af de faktiske omstændigheder, der er indsamlet i løbet af undersøgelsen. Med henblik herpå har Kommissionen undersøgelsesbeføjelser, der svarer til dem, der gælder på konkurrencerettens område, og de pågældende virksomheder har tilsvarende forretningsmæssige interesser, der er beskyttet i disse procedurer. Kommissionen har i denne forbindelse henvist til følgende bestemmelser:

· artikel 79, stk. 4, i forordningen om digitale tjenester, som fastsætter en ret for de "berørte parter" til aktindsigt i Kommissionens sagsakter, hvilket betyder, at ikke-involverede tredjeparter ikke har nogen ret til aktindsigt, og

· Artikel 84 i forordningen om digitale tjenester, som kræver tavshedspligt for oplysninger, der indhentes i forbindelse med en undersøgelse, hvilket betyder, at de berørte platforme har en legitim ret til at forvente, at de oplysninger, de giver Kommissionen, ikke vil blive videreformidlet.

22. Kommissionen konkluderede, at fremlæggelse af oplysninger ville underminere disse regler om privilegeret adgang [14].

23. For det tredje fandt Kommissionen, at fremlæggelse af oplysninger ville undergrave den korrekte funktion af DSA-undersøgelsen og dermed dens formål, hvilket indebærer, at den ville føre til uretmæssige indgreb fra tredjeparters side [15].

24. For det fjerde anførte Kommissionen, at den sandsynligvis vil indsamle kommercielt følsomme oplysninger i forbindelse med en undersøgelse i henhold til forordningen om digitale tjenester. Dette kan omfatte oplysninger om en platforms interne organisation, funktion, forretningspraksis og adfærd samt aktiviteter og strategier i forbindelse med potentielle risici. Det forhold, at retsakten om digitale tjenester forpligter virksomhederne til at offentliggøre deres risikovurderingsrapporter, samtidig med at de får mulighed for at redigere "fortrolige oplysninger" i den offentlige udgave af rapporten, illustrerer dette punkt.

25. Kommissionen konkluderede, at offentliggørelsen af risikovurderingsrapporten ville undergrave den gensidige tillid mellem Kommissionen og de pågældende udpegede platforme samt potentielle informanter, da disse parter ville blive tilbageholdende med at samarbejde. I sidste ende ville dette tab af tillid undergrave Kommissionens evne til effektivt at håndhæve forordningen om digitale tjenester. De to undtagelser til beskyttelse af forretningsmæssige interesser og formålet med undersøgelserne er derfor tæt forbundne i den foreliggende sag.

26. Endelig var Kommissionen af den opfattelse, at der ikke er nogen mere tungtvejende offentlig interesse i udbredelsen, og at den offentlige interesse er bedre tjent ved at sikre, at dens undersøgelse af retsakten om digitale tjenester afsluttes i al sindsro.

27. Klageren fandt, at Kommissionens anvendelse af en generel formodning var ubegrundet og i strid med principperne om åbenhed og gennemsigtighed. Han hævdede, at der er en grundlæggende forskel mellem den type oplysninger, der indsamles i konkurrencesager og i undersøgelser i henhold til forordningen om digitale tjenester, og at den unikke karakter af undersøgelser i henhold til forordningen om digitale tjenester, som vedrører offentlig sikkerhed, demokratisk deltagelse og udøvelse af grundlæggende rettigheder, kræver en øget grad af gennemsigtighed og offentlig kontrol.

28. Klageren hævdede også, at det forhold, at Kommissionen indledte en undersøgelse, forstærker behovet for gennemsigtighed, da hemmeligholdelse forhindrer offentligheden i at foretage informerede vurderinger om sikkerheden ved brugen af platformens tjenester.

29. Generelt anførte klageren, at Kommissionen synes også at anvende den generelle formodning i sager, hvor den ikke havde indledt en formel DSA-undersøgelse, og henviste til to andre lignende anmodninger om aktindsigt i dokumenter, som Kommissionen havde afvist.

30. Klageren konkluderede, at anvendelsen af en generel formodning ville betyde, "at næsten enhver interaktion, som Kommissionen har haft med de største teknologivirksomheder i de seneste år, kan forsvinde bag sløret for manglende fremlæggelse af oplysninger". Dette vil gøre journalisters arbejde vanskeligere, herunder i deres rolle som "sociale vagthunde", som anerkendt af Den Europæiske Menneskerettighedsdomstol.

31. Med hensyn til behovet for at beskytte den pågældende platforms kommercielle interesser fandt klageren, at Kommissionens argumenter ikke var tilstrækkeligt specifikke. Han gjorde også gældende, at reglerne om offentliggørelse af risikovurderingsrapporter ikke fastsætter ubetinget fortrolighed af de oplysninger, som virksomhederne deler med Kommissionen i henhold til forordningen om digitale tjenester.

32. Endelig hævdede klageren, at der er en mere tungtvejende offentlig interesse i udbredelsen, idet det ville hjælpe offentligheden med at navigere i de risici, der er forbundet med brugen af den pågældende platforms tjenester. I den forbindelse bemærkede han, at offentlige institutioner i hele Europa havde overvejet at ophøre med at anvende platformens tjenester på grund af bekymringer om desinformation, og at nogle havde gjort det. Offentliggørelse vil således også hjælpe de offentlige myndigheder med at afgøre, om platformen er et passende sted for offentlige meddelelser.

33. Da Kommissionen besvarede klagen i oktober 2024, gav den en opdatering om status for sin undersøgelse af forordningen om digitale tjenester. Selskabet oplyste, at det havde haft flere udvekslinger med udbyderen af den pågældende platform, og at det havde foretaget foreløbige konstateringer. Disse foreløbige konklusioner vedrørte imidlertid kun nogle af de identificerede problemer, således at undersøgelsen vedrørende forordningen om digitale tjenester stadig var fuldt ud i gang.

34. Kommissionen meddelte også Ombudsmanden, at den uafhængige revisionsrapport var blevet vedtaget i august 2024, og at platformen skulle offentliggøre sin risikovurderingsrapport senest den 27. november 2024. Kommissionen var af den opfattelse, at udbredelsen af platformens risikovurderingsrapport i henhold til forordning (EF) nr. 1049/2001 inden udløbet af denne frist ville være til skade for platformens forretningsmæssige interesser.

Ombudsmandens foreløbige synspunkter

35. Den 15. november 2024 delte Ombudsmanden sit foreløbige synspunkt [16] med Kommissionen om, at det er urimeligt at anvende en generel formodning om afslag på en risikovurderingsrapport i henhold til forordningen om digitale tjenester på grundlag af behovet for at beskytte formålet med en undersøgelse af platformens overholdelse af forordningen om digitale tjenester og behovet for at beskytte kommercielle interesser.

36. Ombudsmanden fandt specifikt, at de regler, der gælder for risikovurderingsrapporter, afviger væsentligt fra de omstændigheder, hvor EU's domstole har fastslået muligheden for at gøre brug af en generel formodning. Navnlig indeholder retsakten om digitale tjenester ikke regler om privilegeret adgang til risikovurderingsrapporter, men kræver, at platformene offentliggør disse rapporter, uanset om Kommissionen er i gang med en undersøgelse af retsakten om digitale tjenester.

37. Ombudsmanden fandt desuden, at selv om retsakten om digitale tjenester ganske rigtigt giver [17] mulighed for at tilbageholde visse oplysninger, når en platform offentliggør sin risikovurderingsrapport, er det urimeligt at konkludere af denne bestemmelse - og i betragtning af forpligtelsen til at offentliggøre rapporten - at risikovurderingsrapporter indeholder følsomme kommercielle oplysninger i hele.

38. Ombudsmanden anmodede også Kommissionen om at besvare en række spørgsmål, som den retlige ramme for retsakten om digitale tjenester rejser.

39. Den 27. november 2024, dvs. på datoen for udløbet af den fastsatte frist, offentliggjorde den pågældende platform en redigeret udgave af den omhandlede risikovurderingsrapport [18].

40. Klageren kommenterede offentliggørelsen af risikovurderingsrapporten og var af den opfattelse, at "centrale dele" af rapporten var blevet redigeret.

41. I marts 2025 svarede Kommissionen [19] på Ombudsmandens foreløbige synspunkter og gentog sin holdning om, at den omtvistede risikovurderingsrapport udgør en del af sagsakterne i undersøgelsen vedrørende forordningen om digitale tjenester, og at der derfor gælder en generel formodning om afslag på aktindsigt baseret på behovet for at beskytte den pågældende platforms forretningsmæssige interesser samt formålet med den igangværende undersøgelse vedrørende forordningen om digitale tjenester.

42. Desuden anførte Kommissionen, at forordningen om digitale tjenester og forordning (EF) nr. 1049/2001 har konsekvente mål. Mere specifikt indeholder retsakten om digitale tjenester flere gennemsigtighedsbestemmelser, der er afgørende for at muliggøre øget offentlig kontrol og ansvarlighed, hvilket igen er afgørende for det bredere mål med retsakten om digitale tjenester, nemlig at sikre et sikkert, forudsigeligt og pålideligt onlinemiljø, hvor de grundlæggende rettigheder beskyttes. I den forbindelse anførte Kommissionen, at offentliggørelsen af risikovurderingsrapporten og revisionsrapporten er afgørende for at forstå, hvordan udbydere af meget store onlineplatforme identificerer, analyserer og afbøder systemiske risici, der stammer fra deres tjenester.

43. Kommissionen anerkendte den "fremtrædende offentlige interesse", som bestemmelserne i retsakten om digitale tjenester afspejler, men bemærkede, at disse regler også beskytter visse oplysninger, som udpegede platforme kan redigere i den offentlige udgave af deres risikovurderingsrapporter. Dette illustrerer, at risikovurderingsrapporter kan indeholde kommercielt følsomme oplysninger.

44. Kommissionen fremførte også, at fortroligheden af risikovurderingsrapporter skulle sikres under hele proceduren: efter Kommissionens modtagelse af rapporten for at beskytte sin beslutningstagning med hensyn til, om det er berettiget at indlede en undersøgelse, og efter at have indledt en undersøgelse i henhold til forordningen om digitale tjenester for at sikre en upartisk og effektiv procedure og et korrekt samarbejde med platformen. Kommissionen var også af den opfattelse, at dette omfatter tiden efter den pågældende platforms offentliggørelse af risikovurderingsrapporten.

45. Samlet set hævdede Kommissionen, at offentliggørelsen af rapporten på et hvilket som helst tidspunkt ville i) omgå det rapporteringssystem for gennemsigtighed, der er fastsat i retsakten om digitale tjenester, ii) bringe formålet med dens undersøgelser vedrørende retsakten om digitale tjenester i fare og iii) unddrage sig den specifikke aktindsigt og de fortrolighedsregler, der er fastsat i retsakten om digitale tjenester. Kommissionen bemærkede også, at det fremgår af betragtning 85 i forordningen om digitale tjenester, at "efterfølgende risikovurderinger [forventes] at bygge på hinanden og vise udviklingen i de identificerede risici".

46. Kommissionen gjorde endvidere gældende, at udbredelsen af risikovurderingsrapporten ville være til skade for formålet med en revision i henhold til artikel 37 i forordningen om digitale tjenester, herunder opfølgningen heraf. Den fremførte, at "offentlige reaktioner på risikovurderingsrapporterne kan skabe forstyrrelser i det arbejde, der udføres af de revisorer, der skal analysere dem som led i deres revision, samt i udbydernes mulighed for at gennemføre revisionsanbefalinger eller alternative foranstaltninger til at afhjælpe potentiel manglende overholdelse", som påpeget i revisionsrapporten.

47. Endelig anførte Kommissionen, at dens regler [20] om, hvordan den gennemfører forordning (EF) nr. 1049/2001 "anerkender", at en generel formodning om afslag på aktindsigt finder anvendelse på dokumenter, der er en del af DSA-procedurer.

48. Med hensyn til det sæt spørgsmål, som Ombudsmanden delte, anførte Kommissionen, at den generelt overvåger den rettidige offentliggørelse af risikovurderingsrapporter fra udbydere af meget store onlineplatforme og vurderer de redigeringer, de foretager, og den "begrundelse", hvori de skal begrunde eventuelle redigeringer. Kommissionen fandt også, at de redigeringer, som platforme kan foretage i den offentlige udgave af deres risikovurderingsrapporter i henhold til forordningen om digitale tjenester, ville afspejle de undtagelser fra gennemsigtighed, der er fastsat i artikel 4 i forordning (EF) nr. 1049/2001.

49. Efter Kommissionens svar gav Ombudsmanden klageren mulighed for at fremsætte bemærkninger, herunder til hendes foreløbige synspunkter.

50. Som svar herpå bemærkede klageren, at Kommissionen udtrykkeligt havde anerkendt en særlig fremtrædende offentlig interesse i at vide, hvordan udbydere identificerer og afbøder systemiske risici, og at dette bør betragtes som en mere tungtvejende offentlig interesse i udbredelsen.

51. Klageren gentog også sin holdning om, at retsakten om digitale tjenester adskiller sig fra EU's konkurrenceregler, og anførte, at anvendelsen af en generel formodning om hemmeligholdelse ville betyde, at risikovurderingsrapporter først ville blive tilgængelige for offentligheden med en betydelig forsinkelse.

52. Klageren hævdede endvidere, at Kommissionen syntes at anvende forordningen om digitale tjenester uden at gennemføre retten til aktindsigt i EU-dokumenter i henhold til forordning 1049/2001.

53. Endelig sagde klageren, at Kommissionen syntes at være villig til først at vurdere redigeringer foretaget af udbydere af store onlineplatforme, når de har offentliggjort deres risikovurderingsrapport. Efter klagerens opfattelse ville dette være utilstrækkeligt af hensyn til gennemsigtigheden.

Ombudsmandens vurdering efter Kommissionens svar på de foreløbige synspunkter

54. Forordningen om digitale tjenester fastsætter en særlig gennemsigtighedsordning for risikovurderinger, der skal foretages årligt af meget store onlineplatforme.

55. Navnlig kræves det i retsakten om digitale tjenester, at udpegede platforme offentliggør deres risikovurderingsrapport senest tre måneder efter afslutningen af den årlige uafhængige revision af den pågældende platforms overholdelse af sine forpligtelser i henhold til retsakten om digitale tjenester [21]. Disse bestemmelser om proaktiv gennemsigtighed i retsakten om digitale tjenester skal forenes med den ordning for reaktiv gennemsigtighed, der er fastsat i forordning 1049/2001, og som finder anvendelse, når Kommissionen modtager en anmodning om aktindsigt i risikovurderingsrapporter, der er udarbejdet i henhold til retsakten om digitale tjenester. Ingen af de to retlige rammer har forrang for den anden.

56. I henhold til forordning 1049/2001 skal EU-institutionerne i princippet foretage en konkret og individuel vurdering af indholdet af hvert af de ønskede dokumenter for at afgøre, om der kan gives aktindsigt, enten helt eller delvist [22]. 

57. Som en undtagelse til denne regel har Unionens retsinstanser anerkendt, at EU-institutionerne kan anvende en generel formodning om afslag på aktindsigt på visse kategorier af dokumenter, for hvilke lignende betragtninger om, hvorfor de ikke kan videregives, åbenbart finder anvendelse. I så fald er den pågældende institution ikke forpligtet til at undersøge det konkrete indhold af de ønskede dokumenter.

58. Denne retspraksis omfatter f.eks. dokumenter i Kommissionens administrative sagsakter om kontrol med statsstøtte [23], dokumenter udvekslet mellem Kommissionen og de anmeldende parter eller tredjeparter i forbindelse med fusionskontrolprocedurer [24], dokumenter vedrørende den igangværende administrative fase af en traktatbrudsprocedure [25] og dokumenter vedrørende igangværende undersøgelser foretaget af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF)[26].

59. Fælles for disse procedurer er, at de sektorregler, der gælder for dem, ikke giver tredjemand ret til aktindsigt i Kommissionens respektive administrative sagsakter. Desuden er Kommissionen bundet af tavshedspligt. De relevante sektorspecifikke retlige rammer har derfor først og fremmest til formål at sikre overholdelse af tavshedspligten i de relevante procedurer. Deres formål er således meget forskelligt fra formålet med forordning 1049/2001, som er at sikre den størst mulige gennemsigtighed i bl.a. EU-administrationens beslutningstagning. Domstolene fandt derfor, at hvis offentligheden fik adgang til Kommissionens administrative sagsakter i disse sager (på grundlag af forordning 1049/2001), ville dette rejse tvivl om det system, der er indført ved disse regler, og dermed skade selve formålet med disse undersøgelser (og i nogle tilfælde også forretningsmæssige interesser).

60. Kommissionen hævdede, at den gennemsigtighedsordning, der er fastsat i retsakten om digitale tjenester, er af lige så restriktiv karakter, og at retspraksis om generelle formodninger om afslag på aktindsigt derfor finder analog anvendelse på risikovurderingsrapporter, der er udarbejdet i henhold til retsakten om digitale tjenester. Kommissionen hævdede specifikt, at det forhold, at de »berørte parter« i henhold til forordningen om digitale tjenester har ret [27] til at få adgang til dens undersøgelsesdossierer, betyder, at den brede offentlighed er udelukket fra en sådan adgang. På grundlag af kravet om tavshedspligt [28] forventer udbydere af meget store onlineplatforme desuden med rette, at Kommissionen ikke videregiver oplysninger, som de deler med den. Kommissionen henviste også til muligheden for, at platforme kan redigere [29] visse oplysninger, inden de offentliggør deres risikovurderingsrapporter.

61. Ombudsmanden fastholder, at de regler, der gælder for risikovurderingsrapporter, som meget store onlineplatforme udarbejder i henhold til forordningen om digitale tjenester, afviger væsentligt fra de omstændigheder, hvor EU's domstole har anerkendt muligheden for at gøre brug af en generel formodning om hemmeligholdelse.

62. I modsætning til de sektorspecifikke retlige rammer, i forbindelse med hvilke EU's domstole har anerkendt, at der kan anvendes en generel formodning, understreger retsakten om digitale tjenester generelt betydningen af gennemsigtighed og ansvarlighed i forbindelse med onlinetjenester. Med hensyn til meget store onlineplatforme anerkendes det i forordningen om digitale tjenester, at der på grund af deres særlige rolle og rækkevidde er behov for øget gennemsigtighed og offentlig kontrol [30]. For at nå disse mål skal særlige platforme offentliggøre en betydelig mængde oplysninger, herunder oplysninger, der kan betragtes som kommercielt følsomme, såsom antallet af deres månedlige modtagere i hver medlemsstat [31].

63. På samme måde skal udpegede onlineplatforme offentliggøre deres årlige risikovurderingsrapport, og de skal gøre dette senest tre måneder efter afslutningen af den uafhængige revision [32]. Offentliggørelsen skal navnlig finde sted, uanset om Kommissionen har indledt en undersøgelse af den pågældende platforms overholdelse af sine forpligtelser i henhold til forordningen om digitale tjenester, om en sådan undersøgelse er i gang, eller om Kommissionen endnu ikke har truffet afgørelse om en eventuel indledning af en undersøgelse.

64. Som det fremgår af denne sag, er det ikke usandsynligt, at den fastsatte frist for offentliggørelse af risikovurderingsrapporten udløber, inden Kommissionen kan afslutte sin undersøgelse. Det ser faktisk ud til, at risikovurderingsrapporten i de fleste tilfælde, hvor Kommissionen beslutter at indlede en undersøgelse, (en redigeret udgave af) vil blive offentliggjort, inden der indledes en undersøgelse, eller mens undersøgelsen stadig er i gang. Med andre ord synes lovgiveren at have ment, at beskyttelsen af Kommissionens håndhævelsesbestræbelser ikke berører gennemsigtigheden og den offentlige kontrol af risikovurderingsrapporter.

65. Ombudsmanden anerkender, at retsakten om digitale tjenester giver mulighed for at tilbageholde visse oplysninger, når en udpeget platform offentliggør sin risikovurderingsrapport, herunder kommercielt følsomme oplysninger. Da rapporten imidlertid skal offentliggøres på et tidspunkt, er det urimeligt at antage, at risikovurderingsrapporter vil indeholde følsomme kommercielle oplysninger i hele. Der er intet i ordlyden af de relevante bestemmelser i retsakten om digitale tjenester, der kan støtte en sådan fortolkning. Af samme grund kan platformene ikke med rette forvente, at deres risikovurderingsrapporter i deres helhed er omfattet af princippet om tavshedspligt.

66. Ombudsmanden fastholder derfor sit synspunkt om, at det er urimeligt at anvende en generel formodning om afslag på aktindsigt i risikovurderingsrapporter, der er udarbejdet i henhold til forordningen om digitale tjenester, baseret på behovet for at beskytte formålet med en undersøgelse i henhold til forordningen om digitale tjenester og/eller behovet for at beskytte kommercielle interesser.

67. Som svar på Ombudsmandens foreløbige synspunkter hævdede Kommissionen desuden, at udbredelsen af den omtvistede risikovurderingsrapport på tidspunktet for den bekræftende afgørelse ville have undergravet den daværende igangværende uafhængige revision af platformens overholdelse af sine forpligtelser i henhold til forordningen om digitale tjenester.

68. Revisionsrapporten i dette tilfælde blev færdiggjort i august 2024. Da Kommissionen vedtog sin bekræftende afgørelse om klagerens anmodning om adgang i juni 2024, var revisionen derfor stadig i gang.

69. I henhold til artikel 42, stk. 4, i forordningen om digitale tjenester kan meget store onlineplatforme imidlertid beslutte at offentliggøre deres risikovurderingsrapport, inden den uafhængige revision er afsluttet. I henhold til den relevante bestemmelse skal risikovurderingsrapporten offentliggøres senest tre måneder efter revisionens afslutning. Den forbyder ikke en tidligere offentliggørelse af rapporten.

70. Selv om lovgiver således knyttede tidsplanen for den proaktive offentliggørelse af risikovurderingsrapporten til afslutningen af den uafhængige revision, indebærer dette ikke, at anmodninger om aktindsigt i henhold til forordning 1049/2001 nødvendigvis skal afvises inden denne dato, hvilket giver anledning til anvendelse af en generel formodning om afslag på aktindsigt. Hvis den pågældende platform endnu ikke har offentliggjort risikovurderingsrapporten proaktivt, bør Kommissionen i stedet tage hensyn hertil i sin vurdering af dokumentet i henhold til forordning (EF) nr. 1049/2001, og hvis det ikke er klart, om der kan gives aktindsigt, bør Kommissionen konsultere platformen for at få sine synspunkter om, hvorvidt nogen af undtagelserne i artikel 4 i forordning (EF) nr. 1049/2001 kan finde anvendelse. Dette vil også give platformen mulighed for at reagere på anmodningen om adgang og, hvis den ønsker det, offentliggøre sin risikovurderingsrapport tidligere, end den måtte have haft til hensigt.

71. Dette synspunkt støttes af følgende bemærkninger.

72. For det første er der som anført ovenfor intet i artikel 42, stk. 4, i forordningen om digitale tjenester, der forhindrer platformene i at offentliggøre deres risikovurderingsrapporter inden afslutningen af den uafhængige revision. Faktisk ser det ud til, at flere udpegede platforme/søgemaskiner allerede har offentliggjort deres risikovurderingsrapporter i den seneste periode, selv om den anden uafhængige revision endnu ikke er afsluttet.  

73. For det andet bemærker Ombudsmanden, at Kommissionen i denne sag offentliggjorde [33] detaljerede oplysninger om sin undersøgelse af platformens overholdelse af sine forpligtelser i henhold til forordningen om digitale tjenester, herunder om de specifikke spørgsmål, som den er i færd med at vurdere, og om sine foreløbige konklusioner om manglende overholdelse, inden revisionen var afsluttet. I denne forbindelse er det vanskeligt at se, hvordan (delvis) offentliggørelse af platformens risikovurderingsrapport kunne have undermineret den daværende igangværende uafhængige revision.

74. Endelig bemærker Ombudsmanden, at udpegede platforme fra nu af vil skulle foretage en risikovurdering hvert år. I lyset af den tid, som proceduren ved Kommissionen og den uafhængige revision kan tage, kan risikovurderingsrapporterne fra én platform dække lignende emner hvert år. Anvendelsen af en generel formodning kan således føre til en situation, hvor Kommissionen ikke vurderer en risikovurderingsrapport i henhold til forordning 1049/2001 i en betydelig periode, selv om omfanget af DSA-undersøgelsen, hvis formål Kommissionen har til hensigt at beskytte, er langt mere begrænset end omfanget af en risikovurderingsrapport. Anvendelsen af en generel formodning om hemmeligholdelse kan derfor forhindre gennemsigtighed og offentlig kontrol af meget store onlineplatforme, som lovgiveren anså for afgørende. Med andre ord risikerer anvendelsen af en generel formodning at underminere et af hovedformålene med retsakten om digitale tjenester, nemlig gennemsigtighed.

75. I lyset af ovenstående mener Ombudsmanden, at det er urimeligt at anvende en generel formodning om afslag på aktindsigt i risikovurderingsrapporter i henhold til forordningen om digitale tjenester, og at Kommissionen burde have foretaget en individuel vurdering af den omtvistede rapport på det tidspunkt, hvor den behandlede klagerens genfremsatte begæring. Ombudsmanden bekræfter således sit foreløbige synspunkt om, at Kommissionens anvendelse af en generel formodning om hemmeligholdelse udgjorde et tilfælde af fejl eller forsømmelser.

76. Ombudsmanden bemærker, at en redigeret udgave af den risikovurderingsrapport, der er omhandlet i denne undersøgelse, i mellemtiden er blevet offentliggjort af den pågældende platform i overensstemmelse med dens forpligtelser i henhold til artikel 42, stk. 4, i forordningen om digitale tjenester. Det kan derfor antages, at Kommissionen allerede har vurderet platformens redigeringer i lyset af de undtagelser, der er fastsat i artikel 42, stk. 5, i forordningen om digitale tjenester. I denne forbindelse opfordres Ombudsmanden til at høre om Kommissionens synspunkt om, at de redigeringer, som udpegede platforme kan foretage i henhold til forordningen om digitale tjenester, bør afspejle undtagelserne fra aktindsigt i artikel 4 i forordning (EF) nr. 1049/2001. Dette synes at indebære, at den omtvistede risikovurderingsrapport i mellemtiden er blevet offentliggjort, i det omfang Kommissionen mener, at der kan gives aktindsigt i henhold til forordning (EF) nr. 1049/2001. Kommissionens vurdering i denne henseende er imidlertid ikke blevet delt og kunne derfor ikke tages op til fornyet overvejelse.

77. Ombudsmanden bemærker, at klageren har anfægtet de redigeringer, som den pågældende platform har foretaget, og har hævdet, at de forekommer overdrevne. Den pågældende platforms proaktive offentliggørelse af en redigeret udgave af den omhandlede risikovurderingsrapport har således ikke løst klagen. I lyset heraf finder Ombudsmanden det nødvendigt at fortsætte undersøgelsen og fremsætte følgende henstilling til Kommissionen: Kommissionen bør foretage en konkret og individuel vurdering af den pågældende risikovurderingsrapport med henblik på at give størst mulig offentlig adgang, herunder til de dele af rapporten, der er blevet redigeret i den udgave, der blev offentliggjort af den pågældende platform. Hvis Kommissionen konkluderer, at der ikke kan gives aktindsigt i visse dele af rapporten, bør den forklare, hvorfor den specifikt og faktisk er forhindret i at give aktindsigt i lyset af undtagelserne i artikel 4 i forordning (EF) nr. 1049/2001.

78. Endelig bemærker Ombudsmanden, at Kommissionens nye detaljerede regler [34] for anvendelsen af forordning 1049/2001, der blev vedtaget efter den bekræftende afgørelse i denne sag, i øjeblikket anfægtes ved Retten.[35] De detaljerede regler giver mulighed for at anvende en generel formodning om afslag på aktindsigt i "dokumenter, der indgår i procedurer i henhold til retsakten om digitale tjenester". Medmindre og indtil Domstolen afsiger dom om lovligheden af disse regler, vil Ombudsmanden ikke tage stilling til de detaljerede regler som sådan. Da de detaljerede regler under alle omstændigheder skal være i overensstemmelse med forordning (EF) nr. 1049/2001 [36], vil Ombudsmanden fortsat vurdere, om individuelle bekræftende afgørelser vedtaget af Kommissionen, som hun gøres opmærksom på, er i overensstemmelse med forordning (EF) nr. 1049/2001 som fortolket af EU's domstole og principperne om god forvaltningsskik.

Henstilling

På grundlag af undersøgelsen af denne klage fremsætter Ombudsmanden følgende henstilling til Kommissionen:

Kommissionen bør foretage en konkret og individuel vurdering af den pågældende risikovurderingsrapport med henblik på at give størst mulig offentlig adgang, herunder til de dele af rapporten, der er blevet redigeret i den version, der blev offentliggjort af den pågældende platform. Hvis Kommissionen konkluderer, at der ikke kan gives aktindsigt i visse dele af rapporten, bør den forklare, hvorfor den specifikt og faktisk er forhindret i at give aktindsigt i lyset af undtagelserne i artikel 4 i forordning (EF) nr. 1049/2001.

Kommissionen og klageren vil blive underrettet om denne henstilling. I overensstemmelse med artikel 4, stk. 2, i Den Europæiske Ombudsmands statut sender Kommissionen en detaljeret udtalelse senest den 3. februar 2026.

Teresa Anjinho
Den Europæiske Ombudsmand

Strasbourg, den 3. november 2025

 

[1] Findes på: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2021.253.01.0001.01.ENG&toc=OJ%3AL%3A2021%3A253%3ATOC.

[2] Forordning (EU) 2022/2065 om et indre marked for digitale tjenester (forordningen om digitale tjenester): http://data.europa.eu/eli/reg/2022/2065/oj.

[3] Onlineplatforme og onlinesøgemaskiner betragtes som "meget store", hvis antallet af aktive brugere af deres tjeneste i gennemsnit pr. måned i Den Europæiske Union er 45 mio. eller derover, jf. artikel 33 i forordningen om digitale tjenester.

[4] Jf. artikel 34 i forordningen om digitale tjenester.

[5] Jf. artikel 37 i forordningen om digitale tjenester.

[6] Se artikel 42, stk. 4 og 5, i forordningen om digitale tjenester.

[7] I henhold til artikel 34, stk. 1, og artikel 33, stk. 6, andet afsnit, i forordningen om digitale tjenester.

[8] I henhold til forordning (EF) nr. 1049/2001 om aktindsigt i Europa-Parlamentets, Kommissionens og Rådets dokumenter: http://data.europa.eu/eli/reg/2001/1049/oj.

[9] I overensstemmelse med artikel 4, stk. 2, første led, i forordning (EF) nr. 1049/2001.

[10] I overensstemmelse med artikel 66, stk. 1, i forordningen om digitale tjenester. Filnummeret er DSA.100.100.

[11] https://digital-strategy.ec.europa.eu/da/news/commission-sends-preliminary-findings-x-breach-digital-services-act.

[12] Jf. fodnote 8 ovenfor.

[13] Kommissionen henviste bl.a. til Domstolens dom (Store Afdeling) af 29. juni 2010, Kommissionen mod Technische Glaswerke Ilmenau, C-139/07 P, præmis 54: https://curia.europa.eu/juris/document/document.jsf?text=&docid=84749&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=1621734.

[14] Kommissionen henviste bl.a. til Domstolens dom af 27. februar 2014, Kommissionen mod EnBW, C-365/12 P, præmis 81 ff: https://curia.europa.eu/juris/document/document.jsf?text=&docid=148392&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=1621734.

[15] Kommissionen henviste bl.a. til Rettens dom af 26. maj 2016, International Management Group mod Kommissionen, T-110/15, præmis 32: https://curia.europa.eu/juris/document/document.jsf?text=&docid=178781&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=1645716.

[16] Den fulde ordlyd af Ombudsmandens foreløbige synspunkter findes på: https://www.ombudsman.europa.eu/da/doc/correspondence/da/199731.

[17] Artikel 42, stk. 5, i forordningen om digitale tjenester.

[18] Se: https://transparency.x.com/en/reports/dsa-risk-assessment-report.

[19] Den fulde ordlyd af Kommissionens svar på Ombudsmandens foreløbige synspunkter findes på:

https://www.ombudsman.europa.eu/doc/correspondence/214482.

[20] Se Kommissionens gennemførelsesbestemmelser til forordning (EF) nr. 1049/2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter: https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202403080#anx_1:~:text=p.%C2%A060).-,BILAG,Rådet%20vedrørende%20public%20access%20to%20European%20Parlament%2C%20Rådet%20og%20Kommissionen%20dokumenter,-hvorimod%3A

[21] Artikel 42, stk. 4, i forordningen om digitale tjenester.

[22] Se f.eks. dom afsagt af Retten i Første Instans den 13. april 2005, Verein für Konsumenteninformation mod Kommissionen, T-2/03, præmis 69 ff.: https://curia.europa.eu/juris/document/document.jsf?text=&docid=60314&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=59073.

[23] Domstolens dom af 29. juni 2010, Kommissionen mod Technische Glaswerke Ilmenau, C‑139/07 P: https://curia.europa.eu/juris/document/document.jsf?text=&docid=84749&pageIndex=0&doclang=en&mode=lst&dir=&occ=first&part=1&cid=267909.

[24] Domstolens dom af 28. juni 2012, Kommissionen mod Agrofert, C-477/10 P: https://curia.europa.eu/juris/document/document.jsf?text=&docid=124461&pageIndex=0&doclang=en&mode=lst&dir=&occ=first&part=1&cid=267626.

[25] Domstolens dom af 14. november 2013, LPN mod Kommissionen, C-514/11 P og C-605/11 P: https://curia.europa.eu/juris/document/document.jsf?text=&docid=144492&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=8482072.

[26] Rettens dom af 1. september 2021, Homoki mod Kommissionen, T-517/19: https://curia.europa.eu/juris/document/document.jsf?text=&docid=245503&pageIndex=0&doclang=FR&mode=lst&dir=&occ=first&part=1&cid=6145602.

[27] Artikel 79, stk. 4, i forordningen om digitale tjenester.

[28] Artikel 84 i forordningen om digitale tjenester.

[29] Artikel 42, stk. 5, i forordningen om digitale tjenester.

[30] Se f.eks. betragtning 65 og 100 i forordningen om digitale tjenester.

[31] Jf. artikel 42, stk. 3, i forordningen om digitale tjenester.

[32] Artikel 42, stk. 4, i forordningen om digitale tjenester.

[33] Den 18. december 2023 underrettede Kommissionen offentligheden om indledningen af en undersøgelse, se: https://ec.europa.eu/commission/presscorner/detail/en/ip_23_6709. Den 12. juli 2024 offentliggjorde Kommissionen sine første foreløbige konklusioner, se: https://ec.europa.eu/commission/presscorner/detail/en/ip_24_3761.

[34] Jf. fodnote 20 ovenfor.

[35] Sag T-146/25, De Capitani m.fl. mod Kommissionen: https://curia.europa.eu/juris/liste.jsf?lgrec=fr&td=;ALL&language=en&num=T-146/25&jur=T og sag T-641/25, ClientEarth mod Kommissionen: https://curia.europa.eu/juris/liste.jsf?lgrec=fr&td=;ALL&language=en&num=T-641/25&jur=T.

[36] I overensstemmelse med artikel 15, stk. 3, i traktaten om Den Europæiske Unions funktionsmåde, som pålægger hver institution, hvert organ, kontor eller agentur "i sin forretningsorden at udarbejde særlige bestemmelser om aktindsigt i sine dokumenter i overensstemmelse med de forordninger, der er omhandlet i andet afsnit". Retten fastslog, at procesreglementer vedtaget af Kommissionen (i de forenede sager T-371/20 og T-554/20, Pollinis mod Kommissionen, præmis 93) eller konklusioner vedtaget af Rådet (i sag T-255/24, Nouwen mod Rådet, præmis 103) fortsat skal være i overensstemmelse med forordning 1049/2001. I sidstnævnte sag fastslog Domstolen, at "omfanget af de forpligtelser, der påhviler en EU-institution i henhold til forordning nr. 1049/2001, som fortolket af Unionens retsinstanser, ikke kan afhænge af indholdet af retsakter, såsom Rådets konklusioner, der er vedtaget af den pågældende institution selv".