Kantelun tausta

1. Huhtikuussa 2018 kantelija pyysi saada tutustua Euroopan komission sisäiseen tarkastuskertomukseen suoriteperusteisen kirjanpitojärjestelmän (ABAC) manuaalisten toimenpiteiden tehokkuudesta ja niihin liittyviin asiakirjoihin.

2. Komissio epäsi oikeuden tutustua kaikkiin asiakirjoihin, joiden se oli todennut kuuluvan kantelijan pyynnön soveltamisalaan.

3. Kantelija pyysi tämän päätöksen uudelleentarkastelua (hän teki niin kutsutun uudistetun pyynnön) kesäkuussa 2018.

4. Komissio pidensi vastaukselle asetettua määräaikaa ja ilmoitti kantelijalle heinäkuussa 2018 vähän ennen pidennetyn määräajan päättymistä, että se ei pystyisi noudattamaan pidennettyä määräaikaa. Se ei ilmoittanut, milloin kantelija voisi odottaa saavansa vastauksen.

5. Koska kantelija ei saanut sisällöllistä vastausta, hän kääntyi oikeusasiamiehen puoleen lokakuussa 2018.

Tiedustelu

6. Oikeusasiamies käynnisti tutkimuksen siitä, että komissio ei ollut vastannut kantelijan tarkastelupyyntöön, ja pyysi komissiota vastaamaan.

7. Puheenvuoronsa ja sitä seuranneen muistutuksen jälkeen oikeusasiamies sai komission vastauksen kantelijan uudelleentarkastelupyyntöön ja myönsi osittaisen tutustumisoikeuden kymmeneen asiakirjaan [1]. Tämän jälkeen kantelija kommentoi komission vastausta.

8. Koska kantelija kyseenalaisti, olivatko kaikki komission tekemät poistot perusteltuja, oikeusasiamies päätti tutkia myös tapauksen asiasisältöä.

9. Tätä varten oikeusasiamiehen tutkintaryhmä tarkasti pyydetyt asiakirjat ja tapasi komission edustajia saadakseen selvennyksiä sen näkemykseen, josta kantelija esitti huomautuksia.

Oikeusasiamiehelle esitetyt perustelut

10. Komissio vetosi poikkeuksiin yleisen edun suojaamiseksi yleisen turvallisuuden, luonnollisen henkilön tai oikeushenkilön kaupallisten etujen sekä yksilön yksityisyyden ja koskemattomuuden osalta [2]. Se väitti, että pyydetyt asiakirjat sisältävät luonteeltaan organisatorisia, teknisiä ja riskeihin liittyviä tietoja, kuten niiden osastojen ja henkilöiden nimet, joiden tehtävät liittyvät komission ABAC-järjestelmään, käytetyt teknologiat ja välineet sekä niiden soveltamista koskevat tekniset yksityiskohdat sekä yksityiskohtaiset tiedot komission ABAC-järjestelmään liittyvistä suojatoimenpiteistä ja riskitekijöistä. Jos nämä tiedot julkistettaisiin, kansalaiset saisivat yleiskuvan komission rahoitusjärjestelmästä ja sen heikkouksista. Tämä lisäisi merkittävästi kyberhyökkäyksen riskiä. Tällainen hyökkäys voisi vaikuttaa kielteisesti edunsaajien ja muiden komission sopimuskumppaneiden kaupallisiin etuihin esimerkiksi silloin, jos arkaluonteisia liiketoimintatietoja hakkeroidaan. Se vaarantaisi myös yhden komission päätehtävistä eli EU:n talousarvion toteuttamisen.

11. Kantelija myönsi, että periaatteessa tietyt asiakirjojen osat on poistettava komission rahoitusjärjestelmään kohdistuvien kyberhyökkäysten estämiseksi. Hän oli kuitenkin huolissaan siitä, että tehdyt poistot ovat liiallisia, koska ne ylittävät sen, mikä on tarpeen tämän tavoitteen saavuttamiseksi. Hänen mukaansa komissio oli poistanut tietoja, jotka eivät lainkaan helpottaisi kyberhyökkäyksiä, kuten etuoikeutettujen käyttäjien lukumäärän tai yksityiskohtaiset tiedot tarkastuskertomuksessa yksilöidyistä järjestelmän heikkouksista. Hän väitti, että koska tarkastuskertomus on yli kaksi vuotta vanha, tarkastajien suositukset näiden puutteiden korjaamiseksi olisi pantava täytäntöön tähän mennessä ja havaittujen riskien ei pitäisi enää olla todellisia. Valituksen tekijä viittasi kahteen otanta-asiakirjaan [3] ja totesi myös, että osa poistetuista tiedoista oli jo julkisia.

12. Komissio väitti, että vaikka muualla olisi julkaistu samanlaisia tietoja kuin tarkastuskertomuksessa, poistot olisi silti tehtävä. Se totesi, että asiakirjat olivat tuoreita. Lisäksi se pani merkille tarkastuskertomuksen luonteen sekä sen korkean tarkkuuden ja luotettavuuden ja korosti, että kyberhyökkäyksen riski on kasvanut merkittävästi viime vuosina. Komissio totesi, että tarve suojella yleistä etua yleisen turvallisuuden ja asiaan liittyvien kaupallisten etujen osalta on lisääntynyt. Lisäksi on olemassa muita tietoja, joita on pidettävä arkaluonteisina.

13.  Tarkastajien suosituksista havaittujen puutteiden korjaamiseksi komissio totesi, että riskien pienentämiseksi hyväksyttävälle tasolle oli toteutettu lieventäviä toimenpiteitä. Nollariskiä ei kuitenkaan koskaan saavuteta. Näin ollen se totesi, että osa päätelmistä on edelleen hyvin arkaluonteisia ja että niiden julkistaminen lisäisi komission rahoitusjärjestelmään kohdistuvaa turvallisuusriskiä.

14. Kantelija väitti, että vaikka jo julkistetut tiedot ovat suhteellisen vanhoja, ne ovat silti paikkansapitäviä, koska komissio ei näytä muuttaneen kirjanpitojärjestelmäänsä vuoden 2006 jälkeen. Lisäksi kantelija toimitti muita julkisia asiakirjoja, jotka hänen mielestään sisälsivät tietoja, jotka oli poistettu pyydetyistä asiakirjoista. Hän väitti, että EU:n henkilöstön on julkistettava tietoja, jotka ovat jo julkisia.

15. Lopuksi kantelija väitti, että yksi asiakirjoista, sähköpostiviesti Euroopan parlamentille, olisi julkistettava kokonaisuudessaan, koska sitä ei ollut merkitty luottamukselliseksi silloin, kun se lähetettiin.

16. Kantelija ei vastustanut pyydettyihin asiakirjoihin sisältyvien henkilötietojen poistamista.

Oikeusasiamiehen arviointi

17. Soveltaessaan asetuksen (EY) N:o 1049/2001 4 artiklan 1 kohdan a alakohdassa säädettyjä poikkeuksia, mukaan lukien yleistä turvallisuutta koskevan yleisen edun suojaa koskeva poikkeus, toimielimillä on laaja harkintavalta [4]. Tuomioistuinten ja näin ollen oikeusasiamiehen harjoittaman valvonnan on rajoituttava sen tarkistamiseen, että menettelysääntöjä ja perusteluvelvollisuutta on noudatettu, että tosiseikat pitävät asiallisesti paikkansa ja että asiassa on tehty ilmeinen arviointivirhe tai harkintavaltaa on käytetty väärin [5].

18. Komissio antoi kantelijalle kattavat selitykset siitä, miksi se on poistanut tiettyjä tietoja yleisen turvallisuuden suojelua koskevan poikkeuksen perusteella. Nämä selitykset vaikuttavat järkeviltä. Asiakirjat sisältävät todellakin hyvin teknisiä ja yksityiskohtaisia tietoja komission kirjanpitojärjestelmästä, ja jos ne julkaistaisiin, ne antaisivat varmasti laajan käsityksen komission rahoitusjärjestelmästä. Tämä yksityiskohtainen tietämys voisi helpottaa kyberhyökkäyksiä. Sen vuoksi komission oli perusteltua poistaa asiakirjoihin sisältyvät tarkemmat tiedot tällaisen rikollisen toiminnan estämiseksi [6] ja julkistaa samalla yleisemmät tiedot kirjanpitojärjestelmästään.

19. Tutkittuaan asiakirjat oikeusasiamies on vakuuttunut siitä, että kaikki poistot olivat tarpeen. Vaikka osa näistä tiedoista saattaa olla saatavilla muualla, kyberhyökkäystä suunnittelevien olisi erittäin hyödyllistä saada vahvistus sen merkityksellisyydestä ja tarkkuudesta tarkastuskertomuksesta. Näin ollen komissiolla oli oikeus tehdä kyseiset poistot rajoittaakseen sen varainhoidon valvontajärjestelmiin kohdistuvan kyberhyökkäyksen riskiä.

20. Tässä tapauksessa tapahtuneen viivästymisen osalta oikeusasiamies katsoo, että aikaa, joka on kulunut kantelijan uudistettuun hakemukseen annettavan komission vastauksen pidennetyn määräajan päättymisen ja pyydettyjen asiakirjojen osittaisen tutustumisoikeuden myöntämisen (lähes neljä kuukautta) välillä, ei voida hyväksyä. Komissio ei ilmoittanut, mihin mennessä se pyrkisi vastaamaan kantelijalle, ja kun se lopulta vastasi, se lähinnä toisti ja tarkensi alkuperäisessä päätöksessään jo esittämiään väitteitä. Oikeusasiamies katsoo näin ollen, että viivästys oli hallinnollinen epäkohta. Oikeusasiamies ei kuitenkaan anna asiasta suositusta, koska siitä ei olisi tässä vaiheessa hyötyä.

Päätelmä

Tutkinnan perusteella oikeusasiamies päättää asian käsittelyn seuraavin toteamuksin:

Komissio ei ole syyllistynyt hallinnolliseen epäkohtaan, kun se on osittain evännyt oikeuden tutustua asiakirjoihin.

Komission merkittävä viive kantelijan tarkastelupyyntöön vastaamisessa oli hallinnollinen epäkohta.

Tästä päätöksestä ilmoitetaan kantelijalle ja komissiolle.

Emily O'Reilly

Euroopan oikeusasiamies

Strasbourgissa 19.6.2019

[1] Kaiken kaikkiaan komissio yksilöi 12 asiakirjaa, joista kaksi oli jo julkisesti saatavilla.

[2] Euroopan parlamentin, neuvoston ja komission asiakirjojen saamisesta yleisön tutustuttavaksi annetun asetuksen (EY) N:o 1049/2001 4 artiklan 1 kohdan a alakohdan ensimmäisen luetelmakohdan, 4 artiklan 2 kohdan ensimmäisen luetelmakohdan ja 4 artiklan 1 kohdan b alakohdan mukaisesti, saatavilla osoitteessa https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32001R1049&from=EN.  

[3] Kaksi esimerkkiä henkilötietojen suojaa koskevista teksteistä (eli tietosuojailmoitukset vuodelta 2006).

[4] Unionin yleisen tuomioistuimen tuomio 11.7.2018, ClientEarth v. komissio, T-644/16, 23–25 kohta, http://curia.europa.eu/juris/document/document.jsf?text=&docid=203913&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=6019725.

[5] Ks. edellinen alaviite, 25 kohta.

[6] Yhteisöjen ensimmäisen oikeusasteen tuomioistuimen tuomio 17.6.1998, Svenska Journalistförbundet v. neuvosto, T-174/95, http://curia.europa.eu/juris/document/document.jsf?text=&docid=43954&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=6016433.