Antecedentes de la denuncia

1. El Grupo de Cooperación en materia de Redes y Sistemas de Información (en lo sucesivo, «Grupo de Cooperación SRI») se creó [1] para garantizar la cooperación y el intercambio de información entre los Estados miembros en materia de ciberseguridad. El Grupo de Cooperación SRI está compuesto por representantes de los Estados miembros de la UE, la Comisión Europea y la Agencia de la UE para la Ciberseguridad (ENISA). Entre otras actividades, el Grupo de Cooperación SRI elabora directrices no vinculantes destinadas a los Estados miembros para abordar cuestiones de política de ciberseguridad, como las amenazas a los procesos electorales, la seguridad de la red 5G o los «registros de nombres de dominio de alto nivel»[2].

2. En julio de 2023, el denunciante pidió a la Comisión que concediera acceso público a los documentos [3] relativos a las reuniones del Grupo de Cooperación SRI, a saber, todos los órdenes del día y las actas de las reuniones. También solicitó el acceso público a las directrices y notas orientativas elaboradas por la Comisión de conformidad con las normas aplicables [4].

3. En su respuesta inicial de 28 de septiembre de 2023, la Comisión explicó que todos los órdenes del día de las reuniones del Grupo de Cooperación SRI se publican en línea.[5] Se identificaron veinticuatro documentos relativos al acta de cada reunión del Grupo de Cooperación SRI desde 2017 y se denegó el acceso a los documentos en su totalidad. Al hacerlo, invocó una excepción en virtud de la legislación de la UE sobre el acceso público a los documentos, alegando que su divulgación socavaría la protección del interés público en lo que respecta a la seguridad pública.[6] También informó al denunciante de que no había identificado ningún documento relacionado con «directrices o notas de orientación».

4. En octubre de 2023, el denunciante pidió a la Comisión que revisara su decisión (mediante una «solicitud confirmatoria»), alegando que los documentos no podían quedar razonablemente cubiertos plenamente por la excepción de «seguridad pública». En su opinión, deberían haberse divulgado las actas de las reuniones relacionadas con las normas internas del Grupo de Cooperación SRI o su programa de trabajo. Lo mismo se aplica a cualquier información relativa a los intercambios de buenas prácticas, ya que probablemente describirían cuestiones de seguridad digital que son de conocimiento común. Además, como algunos minutos tienen más de cinco años, argumentó que el paso del tiempo probablemente había eliminado los riesgos de revelar su contenido. También argumentó que la Comisión debería haber identificado más actas de las reuniones.

5. La Comisión acusó recibo de la solicitud confirmatoria y dijo que respondería dentro de los plazos aplicables, antes del 30 de noviembre de 2023. Tras haber enviado dos recordatorios, a los que la Comisión no respondió, el reclamante se dirigió al Defensor del Pueblo en enero de 2024.

La investigación

6. La Defensora del Pueblo inició una investigación sobre la falta de respuesta de la Comisión a la solicitud confirmatoria presentada por el reclamante.

7. En vista del retraso persistente, el equipo de investigación del Defensor del Pueblo inspeccionó los documentos en cuestión.[7] Tras una revisión de los documentos, el Defensor del Pueblo presentó una propuesta de solución para que la Comisión concediera el acceso más amplio posible a los documentos.

8. El 20 de agosto de 2024, es decir, tras un retraso significativo de casi un año, la Comisión respondió a la solicitud confirmatoria y, dos meses después, a la propuesta de solución del Defensor del Pueblo. El Defensor del Pueblo dio al reclamante la oportunidad de formular observaciones sobre la respuesta de la Comisión, pero no recibió ninguna.

Propuesta de solución del Defensor del Pueblo

9. Tras la inspección de los documentos por parte del equipo de investigación, la Defensora del Pueblo consideró que la Comisión debería haber concedido un acceso parcial a los documentos, y presentó una propuesta de solución a tal fin en marzo de 2024.

10. El Defensor del Pueblo consideró que los documentos en cuestión, en gran medida, no contienen información sensible que, de divulgarse, podría constituir un riesgo razonablemente previsible (y no puramente hipotético) para la seguridad pública.[8] La mayoría de las actas están redactadas en términos generales y no proporcionan detalles sensibles sobre el trabajo operativo concreto de las autoridades nacionales pertinentes especializadas en ciberseguridad. Además, una gran parte de las actas cubren actualizaciones de los Estados miembros sobre cómo han transpuesto las dos directivas pertinentes de la UE.[9] Estas partes no parecen estar cubiertas por la excepción de seguridad pública dado el paso del tiempo. Por último, el Defensor del Pueblo sugirió que deberían haberse identificado tres documentos adicionales [10].

11. El Defensor del Pueblo señaló que, en su decisión inicial de denegación de acceso, la Comisión se había basado en normas internas [11] que establecían explícitamente que los debates del Grupo de Cooperación SRI no debían estar abiertos al público. Afirmó que la Comisión debería basar su evaluación de la solicitud de acceso público del reclamante en las disposiciones del Reglamento (CE) n.o 1049/2001.

12. El Defensor del Pueblo propuso la siguiente solución:

La Comisión debe reconsiderar su posición sobre la solicitud del reclamante, con vistas a conceder el acceso más amplio posible a los documentos, incluidos los tres documentos adicionales que no se identificaron en la fase inicial [12].

13. Tras la propuesta de solución del Defensor del Pueblo, en agosto de 2024, la Comisión respondió a la solicitud confirmatoria del reclamante. La Comisión concedió acceso a partes de veintisiete documentos: las veinticuatro actas de la reunión identificadas en la fase inicial y las tres actas adicionales mencionadas en la propuesta de solución del Defensor del Pueblo.

14. La Comisión se negó a divulgar determinadas partes de los documentos alegando que su divulgación socavaría la protección del interés público en lo que respecta a la seguridad pública. Argumentó que los documentos contienen información detallada y sensible sobre ciberseguridad, incluidas las medidas de seguridad adoptadas en respuesta a crisis específicas y los intercambios entre autoridades de ciberseguridad sobre posibles riesgos y amenazas. Para la Comisión, divulgar esta información socavaría la seguridad pública de la UE, ya que proporcionaría al público, incluidos los grupos malévolos, información útil sobre ciberseguridad y, por lo tanto, debilitaría la preparación de los Estados miembros. La Comisión también redactó ciertas partes de los documentos porque, aunque la información podría parecer inofensiva a primera vista, podría proporcionar información valiosa a posibles ciberdelincuentes.

15. La Comisión también ocultó algunos datos personales de miembros del personal de la Comisión y de miembros de otras autoridades. Además, la Comisión informó al denunciante de que las directrices de la Comisión sobre la Directiva SRI (que el denunciante solicitó en su solicitud inicial) están a disposición del público en su sitio web ^[13].

16. Tras un retraso, la Comisión adoptó su respuesta a la propuesta de solución del Defensor del Pueblo en octubre de 2024.[14] La Comisión consideró que había cumplido la propuesta del Defensor del Pueblo al conceder el acceso más amplio posible a los documentos en cuestión, teniendo en cuenta los riesgos para la seguridad pública que crearía una divulgación más amplia, como se explica detalladamente en la decisión confirmatoria.

17. La Comisión no estuvo de acuerdo con la opinión del Defensor del Pueblo, expresada en la propuesta de solución, de que la mayoría de los documentos no parecen contener ningún contenido sensible. Como se explica en la decisión confirmatoria, partes de los documentos contienen opiniones y puntos de vista de los Estados miembros sobre las acciones y debates actuales y futuros a nivel nacional y transfronterizo. También contienen información sobre incidentes y otras acciones que tienen lugar en los Estados miembros. Reflejan los debates sobre ciberseguridad sobre cuestiones específicas relacionadas, como las elecciones europeas de 2019, la aplicación de las recomendaciones de la Comisión, la situación actual y las actualizaciones de las diferentes acciones, incluida la aplicación de las recomendaciones del Grupo, el trabajo relativo a la red de equipos de respuesta a incidentes de seguridad informática (CSIRT) y la Estrategia de Ciberseguridad de la UE [15].

18. La Comisión consideró que la divulgación pública de estas partes de los documentos socavaría la protección de la seguridad pública, ya que proporcionaría al público en general, incluidas personas o grupos malintencionados, información pertinente sobre la lucha contra los ciberataques. La Comisión consideró que esto haría que los Estados miembros y Europa fueran vulnerables a los incidentes y amenazas en materia de seguridad.

19. La Comisión insistió en que sus normas internas [16] establecían que los debates del grupo no debían estar abiertos al público. La Comisión consideró que, en la evaluación de la solicitud de acceso del público con arreglo al Reglamento 1049/2001, no podía ignorar el carácter sensible de las actividades reflejadas en los documentos y los fines de la cooperación en este ámbito.

20. La misión general del Grupo de Cooperación SRI, tal como se establece en la Directiva SRI, es apoyar la cooperación estratégica y el intercambio de información, y aumentar la confianza entre los Estados miembros. Dado que la ciberseguridad no puede lograrse sin la cooperación de las autoridades de los Estados miembros, la Comisión consideró que la divulgación de los debates reproducidos en los documentos solicitados pondría en peligro la confianza y la cooperación en el ámbito de la ciberseguridad. El hecho de que algunos documentos datan de 2017 no cambia el nivel de riesgo si se divulgan los documentos, ya que están estrechamente vinculados a los debates actuales.

21. Además, la Comisión no estuvo de acuerdo con la opinión del Defensor del Pueblo de que las partes de los documentos relacionadas con las actualizaciones relativas a la transposición de las Directivas SRI y SRI 2 no son sensibles. La Comisión alegó que la transposición de la Directiva SRI 2 sigue en curso. Además, aunque la transposición de la Directiva SRI ha finalizado, los debates resumidos en el acta se refieren a las diversas medidas adoptadas por los Estados miembros a este respecto, incluidas las opciones que no se han adoptado. La divulgación de estas partes de los documentos tendría un impacto negativo en la seguridad pública en lo que respecta a las medidas adoptadas a nivel nacional. El paso del tiempo no cambia el nivel de riesgo ya que las acciones descritas siguen siendo relevantes para la lucha contra la ciberdelincuencia.

Evaluación del Defensor del Pueblo tras la propuesta de solución

22. Las instituciones de la Unión disponen de un amplio margen de apreciación a la hora de determinar si la divulgación de un documento supondría un perjuicio para la protección del interés público en lo que respecta a la seguridad pública. Sin embargo, siguen estando obligados a demostrar un «riesgo específico y real» razonablemente previsible y no puramente hipotético [17].

23. La Comisión ha dado ahora acceso parcial a los documentos en cuestión, lo que el Defensor del Pueblo acoge con satisfacción. El Defensor del Pueblo también acoge con satisfacción el razonamiento facilitado por la Comisión en relación con las expurgaciones restantes.

24. Sobre la base de las explicaciones facilitadas, la Defensora del Pueblo considera que no era manifiestamente erróneo que la Comisión argumentara que determinados debates sobre cuestiones específicas relacionadas con la ciberseguridad, como las elecciones europeas de 2019 o los ejercicios de ciberpreparación (CyCLONe y Blue OLEx), contienen elementos sensibles que podrían socavar la seguridad pública. Además, las expurgaciones de datos personales parecen razonables, y el reclamante no las ha impugnado.

25. Dicho esto, el Defensor del Pueblo señala que la Comisión denegó el acceso a secciones enteras relativas a los resúmenes de los debates entre los miembros del Grupo de Cooperación SRI sobre el trabajo en curso.

26. La inspección realizada demostró que los resúmenes se elaboran de manera general, describiendo los principales retos y oportunidades de un tema o posibles convergencias. Es difícil para el Defensor del Pueblo entender cómo estos resúmenes generales podrían socavar la seguridad pública si se divulgan. Por lo tanto, es difícil ver cómo y por qué habría un riesgo específico y real para la seguridad pública si estas partes de los documentos se divulgaran.

27. La Comisión sostuvo que estas partes de los documentos podrían proporcionar información valiosa a posibles ciberdelincuentes si se divulgan. Sin embargo, esta explicación está en desacuerdo con el hecho de que algunas de las partes expurgadas contienen información que ya está disponible públicamente.

28. Por lo tanto, el Defensor del Pueblo considera que la Comisión podría haber motivado mejor algunas de las expurgaciones, en particular las que cubren los resúmenes generales de los debates del Grupo de Cooperación SRI. Sin embargo, dado que la Comisión ha concedido ahora acceso parcial al acta de la reunión y que el reclamante no ha presentado más observaciones sobre la respuesta de la Comisión, el Defensor del Pueblo considera que no están justificadas nuevas investigaciones sobre este asunto.

29. El Defensor del Pueblo señala que, en la decisión inicial de denegación de acceso, la Comisión se basó en normas internas [18] para denegar el acceso a los documentos en su totalidad. En respuesta a la propuesta de solución del Defensor del Pueblo, la Comisión explicó que basaba su evaluación de la solicitud de acceso público en el Reglamento 1049/2001, pero que no podía ignorar el carácter sensible de los debates del Grupo de Cooperación SRI, sosteniendo que las normas internas establecen que los debates no deben estar abiertos al público. El Defensor del Pueblo está convencido de que, en este caso, la evaluación de la Comisión se ajustó a las disposiciones del Reglamento (CE) n.o 1049/2001 y de que la Comisión acepta que las normas internas aplicadas en este caso no pueden interpretarse en modo alguno como una presunción indirecta de no divulgación, ni siquiera como una razón para denegar el acceso del público. Así pues, el Defensor del Pueblo acoge con satisfacción la aclaración de la Comisión de que las solicitudes de acceso público a documentos relativos a las reuniones del Grupo de Cooperación SRI deben basarse únicamente en las disposiciones contenidas en el Reglamento (CE) n.o 1049/2001 [19].

30. Al Defensor del Pueblo le preocupa el grave retraso en la respuesta a la solicitud de acceso del reclamante en este caso. De conformidad con el Reglamento (CE) n.o 1049/2001, una institución de la UE debe, en un plazo de quince días hábiles a partir del registro de la solicitud confirmatoria, conceder acceso al documento solicitado o, en una respuesta por escrito, exponer los motivos de la denegación total o parcial. El plazo de 15 días hábiles podrá prorrogarse otros 15 días hábiles en circunstancias excepcionales.[20]

31. En este caso, la Comisión tardó casi once meses en adoptar una decisión sobre la solicitud confirmatoria del denunciante.

32. El Defensor del Pueblo ya ha instado a la Comisión a abordar los retrasos sistémicos en este ámbito y a respetar los plazos establecidos en el Reglamento (CE) n.o 1049/2001 [21].

33. El Defensor del Pueblo lamenta el importante retraso en que ha incurrido la Comisión para responder a la solicitud del reclamante, e insta de nuevo a la Comisión a que aborde la cuestión de los retrasos en este ámbito.

Conclusiones

Sobre la base de la investigación, la Defensora del Pueblo archiva este asunto con las siguientes conclusiones:

Dado que la Comisión ha concedido ahora un acceso más amplio a los documentos en cuestión, el Defensor del Pueblo considera que la propuesta de solución ha sido parcialmente aceptada y archiva el asunto.

La Defensora del Pueblo lamenta el importante retraso en que incurrió la Comisión para responder a la solicitud del reclamante. Un incumplimiento manifiesto de los plazos establecidos por el legislador en el Reglamento 1049/2001 no puede constituir una buena administración.

Se informará de esta decisión al denunciante y a la Comisión.

Teresa Anjinho Defensora del Pueblo
Europeo

Estrasburgo, 14.4.2025

[1] El grupo se creó sobre la base de la Directiva (UE) 2016/1148 relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (Directiva SRI), disponible en: https://eur-lex.europa.eu/eli/dir/2016/1148/oj/eng .

[2] Más información disponible en: https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group

[3] De conformidad con las normas establecidas en el Reglamento (CE) n.o 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión, disponible en: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[4] Considerandos 20 y 21, así como artículo 4 de la Directiva SRI 2, disponible en: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555

[5] Véase https://digital-strategy.ec.europa.eu/es/library/nis-cooperation-group-meetings-agendas

[6] Artículo 4, apartado 1, letra a), primer guion, del Reglamento 1049/2001.

[7] El alcance de la investigación del Defensor del Pueblo solo abarcó las actas de las reuniones, ya que el reclamante no había impugnado la tramitación por parte de la Comisión de los demás aspectos de su solicitud inicial (que se referían a los órdenes del día de las reuniones y a las directrices y notas orientativas).

[8] Véase la sentencia del Tribunal de Justicia de 3 de julio de 2014 en el asunto C-350/12 P, Consejo/in 't Veld, apartados 52 y 64, disponible en: https://curia.europa.eu/juris/liste.jsf?num=C-350/12

[9] Directiva (UE) 2016/1148 y Directiva (UE) 2018/1972, respectivamente Directivas SRI y SRI 2, véanse las notas a pie de página 1 y 4.

[10] Las actas de las reuniones 16.a, 17.a y 27.a del Grupo de Cooperación SRI, tal como aparecen en el sitio web de la Comisión, enumeran los órdenes del día de todas las reuniones del Grupo de Cooperación SRI, pero no fueron identificadas por la Comisión en su respuesta inicial al denunciante.

[11] Decisión de Ejecución (UE) 2017/179 de la Comisión, de 1 de febrero de 2017, por la que se establecen las disposiciones de procedimiento necesarias para el funcionamiento del Grupo de Cooperación con arreglo al artículo 11, apartado 5, de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión, disponible en https://eur-lex.europa.eu/eli/dec_impl/2017/179/oj/eng

[12] El texto completo de la propuesta de solución del Defensor del Pueblo puede consultarse en: https://www.ombudsman.europa.eu/solution/200856

[13] https://digital-strategy.ec.europa.eu/es/library/commission-guidelines-application-article-34-directive-eu-20222555-nis-2-directive y https://digital-strategy.ec.europa.eu/es/library/commission-guidelines-application-article-4-1-and-2-directive-eu-20222555-nis-2-directive

[14] La respuesta de la Comisión puede consultarse en: https://www.ombudsman.europa.eu/doc/correspondence/200857

[15] https://digital-strategy.ec.europa.eu/es/policies/cybersecurity

[16] Artículo 10 de la Decisión de Ejecución (UE) 2017/179 de la Comisión (véase la nota a pie de página 11).

[17] Sentencia del Tribunal General de 27 de noviembre de 2019, Izuzquiza y Semsrott/Frontex, asunto T-31/18, apartados 65 a 66: https://curia.europa.eu/juris/liste.jsf?num=T-31/18.

[18] Decisión de Ejecución (UE) 2017/179 de la Comisión (véase la nota a pie de página 11).

[19] En su sentencia Pollinis, el Tribunal General aclaró que las normas internas de procedimiento adoptadas por la Comisión para comités específicos no prevalecen sobre el Reglamento 1049/2001 sobre el acceso del público a los documentos de la UE, lo que significa que estas normas internas no pueden impedir en general la divulgación de las posiciones individuales de los Estados miembros expresadas durante los debates de comitología. Véase la sentencia del Tribunal General de 14 de septiembre de 2022, Pollinis France/Comisión Europea, asuntos acumulados T‑371/20 y T‑554/20, apartado 96, disponible en: https://curia.europa.eu/juris/liste.jsf?language=en&td=ALL&num=T-371/20

[20] Artículo 8 del Reglamento 1049/2001.

[21] Recomendación sobre el tiempo que tarda la Comisión Europea en tramitar las solicitudes de acceso público a los documentos (investigación estratégica OI/2/2022/OAM), disponible en: https://www.ombudsman.europa.eu/es/recommendation/es/167661.