Kontekst pritužbe

1. Skupina za suradnju u području mrežnih i informacijskih sustava („Skupina za suradnju u području mrežne i informacijske sigurnosti”) osnovana je [1] kako bi se osigurala suradnja i razmjena informacija među državama članicama u području kibersigurnosti. Skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava sastoji se od predstavnika država članica EU-a, Europske komisije i Agencije EU-a za kibersigurnost (ENISA). Među ostalim aktivnostima, Skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava sastavlja neobvezujuće smjernice za države članice radi rješavanja pitanja kibersigurnosne politike, kao što su prijetnje izbornim postupcima, sigurnost 5G mreže ili „registri naziva vršnih domena”[2].

2. U srpnju 2023. podnositelj pritužbe zatražio je od Komisije da odobri javni pristup dokumentima [3] koji se odnose na sastanke Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava, odnosno svim dnevnim redovima sastanaka i zapisnicima. Također je zatražio javni pristup smjernicama i smjernicama koje je pripremila Komisija u skladu s primjenjivim pravilima [4].

3. U svojem početnom odgovoru od 28. rujna 2023. Komisija je objasnila da se svi dnevni redovi sastanaka Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava objavljuju na internetu.[5] U njemu su utvrđena 24 dokumenta koja se odnose na zapisnik svakog sastanka Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava od 2017., a pristup dokumentima odbijen je u cijelosti. Pritom se pozvala na iznimku u skladu sa zakonodavstvom EU-a o javnom pristupu dokumentima, tvrdeći da bi se njihovim otkrivanjem ugrozila zaštita javnog interesa u pogledu javne sigurnosti.[6] Također je obavijestila podnositelja pritužbe da nije utvrdila nijedan dokument povezan s „smjernicama ili smjernicama”.

4. U listopadu 2023. podnositelj pritužbe zatražio je od Komisije da preispita svoju odluku (podnošenjem „potvrdnog zahtjeva”) tvrdeći da se dokumenti razumno ne mogu u potpunosti obuhvatiti iznimkom „javne sigurnosti”. Prema njegovu mišljenju, trebalo je objaviti zapisnike sa sastanaka koji se odnose na interna pravila Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava ili njezin program rada. Isto se primjenjivalo na sve informacije o razmjeni dobre prakse jer bi se njima vjerojatno opisala pitanja digitalne sigurnosti koja su općepoznata. Osim toga, s obzirom na to da je nekoliko minuta starije od pet godina, tvrdio je da je protek vremena vjerojatno uklonio rizik od otkrivanja njihova sadržaja. Također je tvrdio da je Komisija trebala utvrditi više zapisnika sa sastanaka.

5. Komisija je potvrdila primitak ponovnog zahtjeva i izjavila da će odgovoriti u primjenjivim rokovima prije 30. studenoga 2023. Nakon što je poslao dva podsjetnika na koja Komisija nije odgovorila, podnositelj pritužbe obratio se Ombudsmanu u siječnju 2024.

Istraga

6. Ombudsmanica je pokrenula istragu o propustu Komisije da odgovori na ponovni zahtjev koji je podnio podnositelj pritužbe.

7. S obzirom na ustrajno kašnjenje, istražni tim Ombudsmana pregledao je predmetne dokumente.[7] Nakon pregleda dokumenata Ombudsman je predložio rješenje kojim bi se Komisiji omogućio najširi mogući pristup dokumentima.

8. Komisija je 20. kolovoza 2024., odnosno nakon znatnog kašnjenja od gotovo godinu dana, odgovorila na ponovni zahtjev, a dva mjeseca kasnije na prijedlog ombudsmanice za rješenje. Ombudsmanica je podnositelju pritužbe dala priliku da dostavi primjedbe na odgovor Komisije, ali nije primila nikakve primjedbe.

Prijedlog Europskog ombudsmana za rješenje

9. Nakon što je istražni tim pregledao dokumente, ombudsmanica je zauzela stajalište da je Komisija trebala odobriti djelomičan pristup dokumentima te je u ožujku 2024. iznijela prijedlog rješenja u tu svrhu.

10. Ombudsmanica je smatrala da sporni dokumenti u velikoj mjeri ne sadržavaju osjetljive informacije koje bi, ako se otkriju, mogle predstavljati razumno predvidljiv (a ne samo hipotetski) rizik za javnu sigurnost.[8] Većina zapisnika sastavljena je općenito i ne sadržava osjetljive pojedinosti o konkretnom operativnom radu relevantnih nacionalnih tijela specijaliziranih za kibersigurnost. Osim toga, velik dio zapisnika obuhvaća ažuriranja država članica o tome kako su prenijele dvije relevantne direktive EU-a.[9] Čini se da ti dijelovi nisu obuhvaćeni iznimkom u pogledu javne sigurnosti s obzirom na protek vremena. Naposljetku, Ombudsmanica je predložila da se utvrde tri dodatna dokumenta [10].

11. Ombudsmanica je napomenula da se Komisija u svojoj prvotnoj odluci o odbijanju pristupa oslonila na interna pravila [11] u kojima se izričito navodi da rasprave Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava ne bi trebale biti otvorene za javnost. Navela je da bi Komisija svoju procjenu zahtjeva podnositelja pritužbe za javni pristup trebala temeljiti na odredbama Uredbe 1049/2001.

12. Ombudsmanica je predložila sljedeće rješenje:

Komisija bi trebala ponovno razmotriti svoje stajalište o zahtjevu podnositelja pritužbe kako bi se omogućio najširi mogući pristup dokumentima, uključujući tri dodatna dokumenta koja nisu utvrđena u početnoj fazi.[12]

13. Nakon prijedloga Ombudsmana o rješenju Komisija je u kolovozu 2024. odgovorila na ponovni zahtjev podnositelja pritužbe. Komisija je odobrila pristup dijelovima od 27 dokumenata: 24 zapisnika sa sastanaka utvrđena u početnoj fazi i tri dodatna zapisnika navedena u prijedlogu Europskog ombudsmana za rješenje.

14. Komisija je odbila otkriti određene dijelove dokumenata uz obrazloženje da bi njihovo otkrivanje ugrozilo zaštitu javnog interesa u pogledu javne sigurnosti. Tvrdila je da dokumenti sadržavaju detaljne i osjetljive informacije o kibersigurnosti, uključujući sigurnosne mjere donesene kao odgovor na određene krize i razmjene informacija među tijelima za kibersigurnost o potencijalnim rizicima i prijetnjama. Kad je riječ o Komisiji, otkrivanjem tih informacija ugrozila bi se javna sigurnost EU-a jer bi se time javnosti, uključujući zlonamjerne skupine, pružile korisne informacije o kibersigurnosti, čime bi se oslabila pripravnost država članica. Komisija je također redigirala određene dijelove dokumenata jer bi, iako bi se informacije na prvi pogled mogle činiti bezopasnima, mogle pružiti vrijedne uvide potencijalnim kiberkriminalcima.

15. Komisija je također redigirala neke osobne podatke članova osoblja Komisije i članova drugih tijela. Osim toga, Komisija je obavijestila podnositelja pritužbe da su smjernice Komisije o Direktivi NIS (koje je podnositelj pritužbe zatražio u svojem početnom zahtjevu) javno dostupne na njezinim internetskim stranicama.^[13]

16. Nakon odgode Komisija je u listopadu 2024. donijela odgovor na prijedlog Ombudsmana o rješenju [14] Komisija je smatrala da je ispunila prijedlog Ombudsmana odobravanjem najšireg mogućeg pristupa predmetnim dokumentima, uzimajući u obzir rizike za javnu sigurnost koji bi nastali zbog šireg otkrivanja, kako je detaljno objašnjeno u potvrđujućoj odluci.

17. Komisija se nije složila sa stajalištima Ombudsmana iznesenima u prijedlogu rješenja da se čini da većina dokumenata ne sadržava osjetljiv sadržaj. Kako je objašnjeno u potvrđujućoj odluci, dijelovi dokumenata sadržavaju mišljenja i stajališta država članica o trenutačnim i budućim mjerama i raspravama na nacionalnoj i prekograničnoj razini. Sadržavaju i informacije o incidentima i drugim mjerama koje se poduzimaju u državama članicama. Razmatraju rasprave o kibersigurnosti o posebnim povezanim pitanjima, kao što su europski izbori 2019., provedba preporuka Komisije, trenutačno stanje i ažuriranja različitih mjera, uključujući provedbu preporuka skupine, rad na mreži timova za odgovor na računalne sigurnosne incidente (CSIRT) i Strategiji EU-a za kibersigurnost [15].

18. Komisija je smatrala da bi se javnim otkrivanjem tih dijelova dokumenata ugrozila zaštita javne sigurnosti jer bi se time široj javnosti, uključujući zlonamjerne pojedince ili skupine, pružile relevantne informacije o borbi protiv kibernapada. Komisija je smatrala da bi to države članice i Europu učinilo osjetljivima na sigurnosne incidente i prijetnje.

19. Komisija je ustrajala na tome da se njezinim internim pravilima [16] utvrđuje da rasprave skupine ne bi trebale biti otvorene za javnost. Komisija je smatrala da u okviru ocjene zahtjeva za javni pristup na temelju Uredbe 1049/2001 ne može zanemariti osjetljivu prirodu aktivnosti koje se odražavaju u dokumentima i svrhe suradnje u tom području.

20. Opća je misija Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava, kako je utvrđena u Direktivi o sigurnosti mrežnih i informacijskih sustava, podupirati stratešku suradnju i razmjenu informacija te jačati povjerenje među državama članicama. Budući da se kibersigurnost ne može postići bez suradnje tijela država članica, Komisija je smatrala da bi otkrivanje rasprava navedenih u zatraženim dokumentima ugrozilo povjerenje i suradnju u području kibersigurnosti. Činjenica da neki dokumenti potječu iz 2017. ne mijenja razinu rizika ako se dokumenti objave jer su ti dokumenti usko povezani s trenutačnim raspravama.

21. Osim toga, Komisija se nije složila sa stajalištem Ombudsmana da dijelovi dokumenata koji se odnose na ažuriranja u vezi s prenošenjem direktiva NIS i NIS2 nisu osjetljivi. Komisija je tvrdila da je prenošenje Direktive NIS 2 još u tijeku. Osim toga, iako je prenošenje Direktive NIS dovršeno, rasprave sažete u zapisniku odnose se na različite mjere koje su države članice poduzele u tom pogledu, uključujući opcije koje nisu donesene. Otkrivanje tih dijelova dokumenata imalo bi negativan učinak na javnu sigurnost u pogledu mjera poduzetih na nacionalnoj razini. Prolazak vremena ne mijenja razinu rizika jer su opisane mjere i dalje relevantne za borbu protiv kiberkriminaliteta.

Procjena Europskog ombudsmana nakon prijedloga rješenja

22. Institucije Unije raspolažu širokom marginom prosudbe kada utvrđuju bi li otkrivanje dokumenta ugrozilo zaštitu javnog interesa u pogledu javne sigurnosti. Međutim, od njih se i dalje zahtijeva da dokažu „poseban i stvaran rizik” koji je razumno predvidljiv, a ne samo hipotetski [17].

23. Komisija je sada omogućila djelomičan pristup spornim dokumentima, što Ombudsman pozdravlja. Ombudsmanica također pozdravlja obrazloženje Komisije u pogledu preostalih redigiranja.

24. Na temelju dostavljenih objašnjenja ombudsmanica smatra da nije bilo očito pogrešno da Komisija tvrdi da određene rasprave o određenim pitanjima povezanima s kibersigurnošću, kao što su europski izbori 2019. ili vježbe pripravnosti za kibersigurnost (CyCLONe i Blue OLEx), sadržavaju osjetljive elemente koji bi mogli ugroziti javnu sigurnost. Osim toga, čini se da su redigiranja osobnih podataka razumna i da ih podnositelj pritužbe nije osporio.

25. Međutim, Ombudsmanica napominje da je Komisija odbila pristup cijelim odjeljcima koji se odnose na sažetke rasprava među članovima Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava o tekućem radu.

26. Provedena inspekcija pokazala je da su sažeci sastavljeni na općenit način i da se u njima opisuju glavni izazovi i mogućnosti određene teme ili moguća konvergencija. Ombudsmanu je teško razumjeti kako bi takvi opći sažeci mogli ugroziti javnu sigurnost ako se otkriju. Stoga je teško utvrditi kako i zašto bi postojao konkretan i stvaran rizik za javnu sigurnost u slučaju otkrivanja tih dijelova dokumenata.

27. Komisija je tvrdila da bi ti dijelovi dokumenata mogli pružiti vrijedne informacije potencijalnim kiberkriminalcima ako ih se otkrije. Međutim, to je objašnjenje u suprotnosti s činjenicom da neki od redigiranih dijelova sadržavaju informacije koje su već javno dostupne.

28. Ombudsmanica stoga smatra da je Komisija mogla bolje obrazložiti neke od redaktura, posebno one koje se odnose na opće sažetke rasprava Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava. Međutim, s obzirom na to da je Komisija sada odobrila djelomičan pristup zapisniku sa sastanaka, a podnositelj pritužbe nije dostavio dodatne primjedbe na odgovor Komisije, Ombudsmanica smatra da daljnje istrage o tom pitanju nisu opravdane.

29. Ombudsmanica napominje da se Komisija u prvotnoj odluci o odbijanju pristupa oslonila na interna pravila [18] kako bi odbila pristup dokumentima u cijelosti. U odgovoru na prijedlog Ombudsmana za rješenje Komisija je objasnila da je svoju procjenu zahtjeva za javni pristup temeljila na Uredbi 1049/2001, ali da nije mogla zanemariti osjetljivu prirodu rasprava Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava, tvrdeći da se internim pravilima utvrđuje da rasprave nisu otvorene za javnost. Ombudsmanica smatra da je u ovom slučaju ocjena Komisije bila u skladu s odredbama Uredbe 1049/2001 i da Komisija prihvaća da se interna pravila koja se primjenjuju u ovom slučaju ni na koji način ne mogu tumačiti kao neizravna pretpostavka neotkrivanja ili čak razlog za odbijanje javnog pristupa. Stoga Ombudsman pozdravlja pojašnjenje Komisije da bi se zahtjevi za javni pristup dokumentima koji se odnose na sastanke Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava trebali temeljiti samo na odredbama sadržanima u Uredbi 1049/2001.[19]

30. Ombudsmanica je zabrinuta zbog ozbiljnog kašnjenja u odgovaranju na zahtjev podnositelja pritužbe za pristup u ovom slučaju. U skladu s Uredbom 1049/2001 institucija EU-a trebala bi u roku od 15 radnih dana od registracije ponovnog zahtjeva odobriti pristup traženom dokumentu ili u pisanom odgovoru navesti razloge za potpuno ili djelomično odbijanje. Rok od 15 radnih dana može se produljiti za dodatnih 15 radnih dana u iznimnim okolnostima.[20]

31. U tom je slučaju Komisiji trebalo gotovo jedanaest mjeseci da donese odluku o ponovnom zahtjevu podnositelja pritužbe.

32. Ombudsmanica je već pozvala Komisiju da riješi sustavna kašnjenja u tom području i da poštuje rokove iz Uredbe 1049/2001.[21]

33. Ombudsmanica izražava žaljenje zbog znatnog kašnjenja Komisije u odgovoru na zahtjev podnositelja pritužbe te ponovno poziva Komisiju da riješi pitanje kašnjenja u tom području.

Zaključci

Na temelju istrage Ombudsman zaključuje ovaj predmet sljedećim zaključcima:

Budući da je Komisija sada odobrila širi pristup spornim dokumentima, Ombudsmanica smatra da je prijedlog rješenja djelomično prihvaćen i zaključuje predmet.

Ombudsmanica žali zbog znatnog kašnjenja Komisije u odgovoru na zahtjev podnositelja pritužbe. Očito nepoštovanje rokova koje je zakonodavac utvrdio u Uredbi 1049/2001 ne može biti dobro upravljanje.

Podnositelj pritužbe i Komisija bit će obaviješteni o toj odluci.

Teresa Anjinho
Europski ombudsman

Strasbourg, 14. travnja 2025.

 

[1] Skupina je osnovana na temelju Direktive (EU) 2016/1148 o mjerama za visoku zajedničku razinu sigurnosti mrežnih i informacijskih sustava širom Unije (Direktiva NIS), koja je dostupna na: https://eur-lex.europa.eu/eli/dir/2016/1148/oj/eng .

[2] Više informacija dostupno je na: https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group

[3] U skladu s pravilima iz Uredbe (EZ) br. 1049/2001 Europskog parlamenta i Vijeća od 30. svibnja 2001. o javnom pristupu dokumentima Europskog parlamenta, Vijeća i Komisije, dostupno na: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[4] Uvodne izjave 20. i 21. te članak 4. Direktive NIS 2 dostupni su na: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555

[5] Vidjeti https://digital-strategy.ec.europa.eu/en/library/nis-cooperation-group-meetings-agendas.

[6] Članak 4. stavak 1. točka (a) prva alineja Uredbe 1049/2001.

[7] Opseg istrage Ombudsmana obuhvaćao je samo zapisnike sa sastanaka jer podnositelj pritužbe nije osporio Komisijino postupanje s drugim aspektima njegova početnog zahtjeva (koji su se odnosili na dnevne redove sastanaka te smjernice i smjernice).

[8] Vidjeti presudu Suda od 3. srpnja 2014. u predmetu C-350/12 P, Vijeće protiv in 't Veld, točke 52. i 64., dostupnu na: https://curia.europa.eu/juris/liste.jsf?num=C-350/12

[9] Direktiva (EU) 2016/1148 i Direktiva (EU) 2018/1972, odnosno direktive NIS i NIS2, vidjeti bilješke 1. i 4.

[10] Zapisnik sa 16., 17. i 27. sastanka Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava jer se ti sastanci nalaze na internetskim stranicama Komisije s popisom dnevnih redova svih sastanaka Skupine za suradnju u području sigurnosti mrežnih i informacijskih sustava, ali ih Komisija nije utvrdila u svojem početnom odgovoru podnositelju pritužbe.

[11] Provedbena odluka Komisije (EU) 2017/179 оd 1. veljače 2017. o utvrđivanju postupovnih aranžmana potrebnih za funkcioniranje skupine za suradnju u skladu s člankom 11. stavkom 5. Direktive (EU) 2016/1148 Europskog parlamenta i Vijeća o mjerama za visoku zajedničku razinu sigurnosti mrežnih i informacijskih sustava širom Unije, dostupna na https://eur-lex.europa.eu/eli/dec_impl/2017/179/oj/eng

[12] Cjeloviti tekst prijedloga Europskog ombudsmana za rješenje dostupan je na: https://www.ombudsman.europa.eu/solution/200856

[13] https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-34-directive-eu-20222555-nis-2-directive i https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-4-1-and-2-directive-eu-20222555-nis-2-directive

[14] Odgovor Komisije dostupan je na: https://www.ombudsman.europa.eu/doc/correspondence/200857

[15] https://digital-strategy.ec.europa.eu/en/policies/cybersecurity

[16] Članak 10. Provedbene odluke Komisije (EU) 2017/179 (vidjeti bilješku 11.).

[17] Presuda Općeg suda od 27. studenoga 2019., Izuzquiza i Semsrott protiv Frontexa, predmet T-31/18, točke od 65. do 66.: https://curia.europa.eu/juris/liste.jsf?num=T-31/18.

[18] Provedbena odluka Komisije (EU) 2017/179 (vidjeti bilješku 11.).

[19] U svojoj presudi Pollinis Opći sud pojasnio je da interni poslovnik koji je Komisija donijela za određene odbore ne prevladava nad Uredbom 1049/2001 o javnom pristupu dokumentima EU-a, što znači da se tim internim pravilima općenito ne može isključiti otkrivanje pojedinačnih stajališta država članica izraženih tijekom komitoloških rasprava. Vidjeti presudu Općeg suda od 14. rujna 2022., Pollinis France protiv Europske komisije, spojeni predmeti T‑371/20 i T‑554/20, točku 96., dostupnu na: https://curia.europa.eu/juris/liste.jsf?language=en&td=ALL&num=T-371/20

[20] Članak 8. Uredbe 1049/2001.

[21] Preporuka o vremenu koje je Europskoj komisiji potrebno za obradu zahtjeva za javni pristup dokumentima (strateška istraga OI/2/2022/OAM), dostupna na: https://www.ombudsman.europa.eu/en/recommendation/en/167661.