Skundo aplinkybės

1. siekiant užtikrinti valstybių narių bendradarbiavimą ir keitimąsi informacija kibernetinio saugumo srityje, buvo įsteigta Tinklų ir informacinių sistemų bendradarbiavimo grupė (toliau – TIS bendradarbiavimo grupė)[1]. TIS bendradarbiavimo grupę sudaro ES valstybių narių, Europos Komisijos ir ES kibernetinio saugumo agentūros (ENISA) atstovai. Be kitos veiklos, TIS bendradarbiavimo grupė rengia neprivalomas gaires valstybėms narėms, kaip spręsti kibernetinio saugumo politikos klausimus, pavyzdžiui, susijusius su grėsmėmis rinkimų procesams, 5G tinklo saugumu arba aukščiausio lygio domenų vardų registrais [2].

2. 2023 m. liepos mėn. skundo pateikėjas paprašė Komisijos leisti visuomenei susipažinti su dokumentais [3], susijusiais su TIS bendradarbiavimo grupės posėdžiais, t. y. visomis posėdžių darbotvarkėmis ir protokolais. Jis taip pat paprašė leisti visuomenei susipažinti su Komisijos pagal taikytinas taisykles parengtomis gairėmis ir rekomendacinėmis pastabomis [4].

3. Pradiniame 2023 m. rugsėjo 28 d. atsakyme Komisija paaiškino, kad visos TIS bendradarbiavimo grupės posėdžių darbotvarkės skelbiamos internete [5] Ji nustatė 24 dokumentus, susijusius su kiekvieno TIS bendradarbiavimo grupės posėdžio nuo 2017 m. protokolu, ir atsisakė leisti susipažinti su visais dokumentais. Tai darydama ji rėmėsi išimtimi pagal ES teisės aktus dėl galimybės visuomenei susipažinti su dokumentais, teigdama, kad jų atskleidimas pakenktų viešojo intereso, susijusio su visuomenės saugumu, apsaugai [6]. Ji taip pat informavo skundo pateikėją, kad nenustatė jokio dokumento, susijusio su „gairėmis ar gairėmis“.

4. 2023 m. spalio mėn. skundo pateikėjas paprašė Komisijos peržiūrėti savo sprendimą (pateikiant kartotinę paraišką), teigdamas, kad dokumentams pagrįstai negali būti visapusiškai taikoma išimtis dėl visuomenės saugumo. Jo nuomone, turėjo būti atskleisti posėdžių protokolai, susiję su TIS bendradarbiavimo grupės vidaus taisyklėmis arba jos darbo programa. Tas pats pasakytina apie bet kokią informaciją, susijusią su keitimusi gerąja patirtimi, nes joje greičiausiai būtų aprašyti visuotinai žinomi skaitmeninio saugumo klausimai. Be to, kadangi kelios minutės yra senesnės nei penkerių metų, jis teigė, kad laikui bėgant greičiausiai buvo pašalinta rizika atskleisti jų turinį. Jis taip pat teigė, kad Komisija turėjo nustatyti daugiau posėdžių protokolų.

5. Komisija patvirtino gavusi kartotinę paraišką ir nurodė, kad iki 2023 m. lapkričio 30 d. atsakys per taikomus terminus. Išsiuntęs du priminimus, į kuriuos Komisija neatsakė, 2024 m. sausio mėn. skundo pateikėjas kreipėsi į ombudsmeną.

Tyrimas

6. Ombudsmenas pradėjo tyrimą dėl to, kad Komisija neatsakė į skundo pateikėjo pateiktą kartotinę paraišką.

7. Atsižvelgdama į užsitęsusį delsimą, ombudsmeno tyrimo grupė patikrino nagrinėjamus dokumentus [7].Peržiūrėjusi dokumentus, ombudsmenė pateikė pasiūlymą dėl sprendimo, kad Komisija suteiktų kuo platesnę galimybę susipažinti su dokumentais.

8. 2024 m. rugpjūčio 20 d., t. y. po didelio beveik vienų metų vėlavimo, Komisija atsakė į kartotinę paraišką, o po dviejų mėnesių – į ombudsmenės pasiūlymą dėl sprendimo. Ombudsmenas suteikė skundo pateikėjui galimybę pateikti pastabų dėl Komisijos atsakymo, tačiau jokių pastabų negavo.

Ombudsmeno pasiūlymas dėl sprendimo

9. Tyrimo grupei patikrinus dokumentus, ombudsmenė laikėsi nuomonės, kad Komisija turėjo suteikti galimybę iš dalies susipažinti su dokumentais, ir 2024 m. kovo mėn. pateikė pasiūlymą dėl sprendimo šiuo tikslu.

10. Ombudsmeno nuomone, nagrinėjamuose dokumentuose iš esmės nėra neskelbtinos informacijos, kuri, ją atskleidus, galėtų kelti pagrįstai numatomą (o ne vien hipotetinę) riziką visuomenės saugumui [8]. Dauguma protokolų yra bendro pobūdžio ir juose nepateikiama neskelbtinos informacijos apie konkretų atitinkamų nacionalinių institucijų, kurios specializuojasi kibernetinio saugumo srityje, operatyvinį darbą. Be to, didelėje protokolo dalyje pateikiama naujausia valstybių narių informacija apie tai, kaip jos perkėlė dvi atitinkamas ES direktyvas [9]. Atsižvelgiant į tai, kad praėjo daug laiko, neatrodo, kad šioms dalims būtų taikoma išimtis dėl visuomenės saugumo. Galiausiai ombudsmenas pasiūlė nustatyti tris papildomus dokumentus [10].

11. Ombudsmenas pažymėjo, kad pradiniame sprendime dėl atsisakymo Komisija rėmėsi vidaus taisyklėmis [11], kuriose aiškiai nustatyta, kad TIS bendradarbiavimo grupės diskusijos neturėtų būti atviros visuomenei. Ji nurodė, kad Komisija, vertindama skundo pateikėjo prašymą leisti visuomenei susipažinti su dokumentais, turėtų remtis Reglamento (EB) Nr. 1049/2001 nuostatomis.

12. Ombudsmenas pasiūlė tokį sprendimą:

Komisija turėtų persvarstyti savo poziciją dėl skundo pateikėjo prašymo, kad būtų suteikta kuo platesnė galimybė susipažinti su dokumentais, įskaitant tris papildomus dokumentus, kurie nebuvo nustatyti pradiniame etape [12].

13. Atsižvelgdama į ombudsmenės pasiūlymą dėl sprendimo, 2024 m. rugpjūčio mėn. Komisija atsakė į skundo pateikėjo kartotinę paraišką. Komisija suteikė galimybę susipažinti su 27 dokumentų dalimis: pradiniame etape nustatytus 24 posėdžių protokolus ir tris papildomus protokolus, nurodytus ombudsmenės pasiūlyme dėl sprendimo.

14. Komisija atsisakė atskleisti tam tikras dokumentų dalis, motyvuodama tuo, kad jų atskleidimas pakenktų viešojo intereso, susijusio su visuomenės saugumu, apsaugai. Ji teigė, kad dokumentuose yra išsamios ir neskelbtinos informacijos apie kibernetinį saugumą, įskaitant saugumo priemones, priimtas reaguojant į konkrečias krizes, ir kibernetinio saugumo institucijų keitimąsi informacija apie galimą riziką ir grėsmes. Komisijos nuomone, šios informacijos atskleidimas pakenktų ES visuomenės saugumui, nes visuomenei, įskaitant piktavališkas grupes, būtų teikiama naudinga informacija apie kibernetinį saugumą, todėl susilpnėtų valstybių narių pasirengimas. Komisija taip pat pašalino tam tikras dokumentų dalis, nes, nors informacija iš pirmo žvilgsnio gali atrodyti nekenksminga, ji gali suteikti vertingų įžvalgų potencialiems kibernetiniams nusikaltėliams.

15. Komisija taip pat pašalino kai kuriuos Komisijos darbuotojų ir kitų institucijų narių asmens duomenis. Be to, Komisija informavo skundo pateikėją, kad Komisijos gairės dėl TIS direktyvos (kurių skundo pateikėjas prašė savo pradiniame prašyme) yra viešai prieinamos jos interneto svetainėje ^[13].

16. Po vėlavimo 2024 m. spalio mėn. Komisija priėmė atsakymą į ombudsmenės pasiūlymą dėl sprendimo.[14] Komisija laikėsi nuomonės, kad ji įvykdė ombudsmenės pasiūlymą suteikdama kuo platesnę galimybę susipažinti su atitinkamais dokumentais, atsižvelgiant į riziką visuomenės saugumui, kurią sukeltų platesnis atskleidimas, kaip išsamiai paaiškinta patvirtinamajame sprendime.

17. Komisija nesutiko su pasiūlyme dėl sprendimo pateikta ombudsmenės nuomone, kad daugumoje dokumentų, atrodo, nėra neskelbtino turinio. Kaip paaiškinta patvirtinamajame sprendime, kai kuriose dokumentų dalyse pateikiamos valstybių narių nuomonės ir požiūriai į dabartinius ir būsimus veiksmus ir diskusijas nacionaliniu ir tarpvalstybiniu lygmenimis. Juose taip pat pateikiama informacija apie incidentus ir kitus valstybėse narėse vykdomus veiksmus. Jie atspindi diskusijas dėl kibernetinio saugumo konkrečiais susijusiais klausimais, pavyzdžiui, dėl 2019 m. Europos Parlamento rinkimų, Komisijos rekomendacijų įgyvendinimo, esamos padėties ir atnaujintų įvairių veiksmų, įskaitant grupės rekomendacijų įgyvendinimą, darbą, susijusį su Reagavimo į kompiuterių saugumo incidentus tarnybų (CSIRT) tinklu ir ES kibernetinio saugumo strategija [15].

18. Komisija laikėsi nuomonės, kad viešas šių dokumentų dalių atskleidimas pakenktų visuomenės saugumo apsaugai, nes plačiajai visuomenei, įskaitant piktavališkus asmenis ar grupes, būtų teikiama atitinkama informacija apie kovą su kibernetiniais išpuoliais. Komisijos nuomone, dėl to valstybės narės ir Europa taptų neapsaugotos nuo saugumo incidentų ir grėsmių.

19. Komisija primygtinai reikalavo, kad jos vidaus taisyklėse [16] būtų nustatyta, jog grupės diskusijos neturėtų būti atviros visuomenei. Komisija laikėsi nuomonės, kad vertindama paraišką dėl galimybės visuomenei susipažinti su dokumentais pagal Reglamentą Nr. 1049/2001 ji negalėjo ignoruoti dokumentuose nurodytos veiklos slapto pobūdžio ir bendradarbiavimo šioje srityje tikslų.

20. TIS bendradarbiavimo grupės bendra misija, kaip nustatyta TIS direktyvoje, yra remti strateginį bendradarbiavimą bei keitimąsi informacija ir didinti valstybių narių tarpusavio pasitikėjimą. Kadangi kibernetinio saugumo neįmanoma užtikrinti be valstybių narių institucijų bendradarbiavimo, Komisija laikėsi nuomonės, kad prašomuose dokumentuose pateiktų diskusijų atskleidimas keltų pavojų pasitikėjimui ir bendradarbiavimui kibernetinio saugumo srityje. Tai, kad kai kurie dokumentai parengti 2017 m., nekeičia rizikos lygio, jei dokumentai būtų atskleisti, nes jie yra glaudžiai susiję su dabartinėmis diskusijomis.

21. Be to, Komisija nesutiko su ombudsmeno nuomone, kad dokumentų dalys, susijusios su TIS ir TIS 2 direktyvų perkėlimu į nacionalinę teisę, nėra neskelbtinos. Komisija teigė, kad TIS 2 direktyva vis dar perkeliama į nacionalinę teisę. Be to, nors TIS direktyvos perkėlimas į nacionalinę teisę baigtas, protokole apibendrintos diskusijos yra susijusios su įvairiais veiksmais, kurių valstybės narės ėmėsi šioje srityje, įskaitant dar nepriimtas galimybes. Šių dokumentų dalių atskleidimas turėtų neigiamą poveikį visuomenės saugumui, kiek tai susiję su veiksmais, kurių imtasi nacionaliniu lygmeniu. Laikui bėgant rizikos lygis nesikeičia, nes aprašyti veiksmai vis dar aktualūs kovojant su kibernetiniais nusikaltimais.

Ombudsmeno vertinimas po sprendimo pasiūlymo

22. Sąjungos institucijos turi didelę diskreciją nustatyti, ar dokumento atskleidimas pakenktų viešojo intereso, susijusio su visuomenės saugumu, apsaugai. Tačiau vis tiek reikalaujama, kad jos įrodytų „specifinę ir faktinę riziką“, kurią galima pagrįstai numatyti, o ne vien hipotetinę [17].

23. Dabar Komisija suteikė galimybę iš dalies susipažinti su ginčijamais dokumentais, ir ombudsmenas tai vertina palankiai. Ombudsmenė taip pat palankiai vertina Komisijos pateiktus argumentus dėl likusių kupiūravimo atvejų.

24. Remdamasi pateiktais paaiškinimais, ombudsmenė mano, kad Komisija nepadarė akivaizdžios klaidos teigdama, kad tam tikrose diskusijose konkrečiais su kibernetiniu saugumu susijusiais klausimais, pavyzdžiui, dėl 2019 m. Europos Parlamento rinkimų arba pasirengimo kibernetinei grėsmei pratybų („CyCLONe“ ir „Blue OLEx“), yra neskelbtinų elementų, kurie galėtų pakenkti visuomenės saugumui. Be to, asmens duomenų kupiūravimas atrodo pagrįstas ir skundo pateikėjas jų neginčijo.

25. Vis dėlto ombudsmenė pažymi, kad Komisija atsisakė leisti susipažinti su visais skirsniais, susijusiais su TIS bendradarbiavimo grupės narių diskusijų apie vykdomą darbą santraukomis.

26. Atliktas patikrinimas parodė, kad santraukos rengiamos bendrai, apibūdinant pagrindinius temos iššūkius ir galimybes arba galimas konvergencijas. Ombudsmenui sunku suprasti, kaip tokios bendros santraukos, jas atskleidus, galėtų pakenkti visuomenės saugumui. Todėl sunku suprasti, kaip ir kodėl kiltų konkretus ir realus pavojus visuomenės saugumui, jei šios dokumentų dalys būtų atskleistos.

27. Komisija teigė, kad atskleidus šias dokumentų dalis potencialiems kibernetiniams nusikaltėliams galėtų būti suteikta vertingos informacijos. Tačiau šis paaiškinimas prieštarauja tam, kad kai kuriose kupiūruotose dalyse yra informacijos, kuri jau yra viešai prieinama.

28. Todėl ombudsmenė mano, kad Komisija galėjo geriau pagrįsti kai kuriuos kupiūravimus, visų pirma tuos, kurie apima TIS bendradarbiavimo grupės diskusijų bendrąsias santraukas. Tačiau, atsižvelgdamas į tai, kad Komisija dabar suteikė galimybę iš dalies susipažinti su posėdžio protokolu, o skundo pateikėjas nepateikė papildomų pastabų dėl Komisijos atsakymo, ombudsmenas mano, kad tolesni tyrimai šiuo klausimu yra nepagrįsti.

29. Ombudsmenas pažymi, kad pradiniame sprendime nesuteikti galimybės susipažinti su dokumentais Komisija rėmėsi vidaus taisyklėmis [18], kad nesuteiktų galimybės susipažinti su visais dokumentais. Atsakydama į ombudsmenės pasiūlymą dėl sprendimo, Komisija paaiškino, kad paraiškos dėl galimybės visuomenei susipažinti su dokumentais vertinimą ji grindė Reglamentu (EB) Nr. 1049/2001, tačiau ji negali ignoruoti TIS bendradarbiavimo grupės diskusijų jautraus pobūdžio, teigdama, kad vidaus taisyklėse nustatyta, jog diskusijos nėra atviros visuomenei. Ombudsmenas yra įsitikinęs, kad šiuo atveju Komisijos vertinimas atitiko Reglamento 1049/2001 nuostatas ir kad Komisija sutinka, jog šiuo atveju taikomos vidaus taisyklės jokiu būdu negali būti aiškinamos kaip netiesioginė neatskleidimo prezumpcija ar net priežastis neleisti visuomenei susipažinti su dokumentais. Todėl ombudsmenė palankiai vertina Komisijos paaiškinimą, kad prašymai leisti visuomenei susipažinti su dokumentais, susijusiais su TIS bendradarbiavimo grupės posėdžiais, turėtų būti grindžiami tik Reglamento 1049/2001 nuostatomis [19].

30. Ombudsmenas yra susirūpinęs dėl to, kad šiuo atveju labai vėluojama atsakyti į skundo pateikėjo prašymą leisti susipažinti su dokumentais. Pagal Reglamentą (EB) Nr. 1049/2001 ES institucija per 15 darbo dienų nuo kartotinės paraiškos užregistravimo turėtų arba leisti susipažinti su prašomu dokumentu, arba rašytiniame atsakyme nurodyti visiško arba dalinio atsisakymo priežastis. Išimtinėmis aplinkybėmis 15 darbo dienų terminas gali būti pratęstas dar 15 darbo dienų [20].

31. Šiuo atveju Komisijai prireikė beveik vienuolikos mėnesių sprendimui dėl skundo pateikėjo kartotinės paraiškos priimti.

32. Ombudsmenas jau paragino Komisiją spręsti sisteminio vėlavimo šioje srityje problemą ir laikytis Reglamente 1049/2001 nustatytų terminų [21].

33. Ombudsmenė apgailestauja, kad Komisija labai vėluoja atsakyti į skundo pateikėjo prašymą, ir dar kartą ragina Komisiją spręsti vėlavimo šioje srityje klausimą.

Išvados

Remdamasis tyrimu, ombudsmenas užbaigia šią bylą pateikdamas šias išvadas:

Kadangi Komisija dabar suteikė platesnę galimybę susipažinti su nagrinėjamais dokumentais, ombudsmenas mano, kad pasiūlymas dėl sprendimo buvo iš dalies priimtas, ir užbaigia bylą.

Ombudsmenė apgailestauja dėl to, kad Komisija labai vėlavo atsakyti į skundo pateikėjo prašymą. Akivaizdus Reglamente Nr. 1049/2001 teisės aktų leidėjo nustatytų terminų nesilaikymas negali būti laikomas geru administravimu.

Skundo pateikėjas ir Komisija bus informuoti apie šį sprendimą.

Teresa Anjinho
Europos ombudsmenė

Strasbūras, 2025 m. balandžio 14 d.

 

[1] Grupė buvo įsteigta remiantis Direktyva (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti (TIS direktyva), kurią galima rasti adresu https://eur-lex.europa.eu/eli/dir/2016/1148/oj/eng .

[2] Daugiau informacijos galima rasti adresu https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group

[3] Pagal 2001 m. gegužės 30 d. Europos Parlamento ir Tarybos reglamente (EB) Nr. 1049/2001 dėl galimybės visuomenei susipažinti su Europos Parlamento, Tarybos ir Komisijos dokumentais nustatytas taisykles, kurias galima rasti adresu https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[4] TIS 2 direktyvos 20 ir 21 konstatuojamosios dalys, taip pat 4 straipsnis, paskelbti adresu https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555

[5] Žr. https://digital-strategy.ec.europa.eu/en/library/nis-cooperation-group-meetings-agendas.

[6] Reglamento 1049/2001 4 straipsnio 1 dalies a punkto pirma įtrauka.

[7] Ombudsmeno tyrimas apėmė tik posėdžio protokolą, nes skundo pateikėjas neginčijo to, kaip Komisija nagrinėjo kitus jo pirminio prašymo aspektus (susijusius su posėdžių darbotvarkėmis ir gairėmis bei gairėmis).

[8] Žr. 2014 m. liepos 3 d. Teisingumo Teismo sprendimo byloje C-350/12 P Taryba prieš in 't Veld 52 ir 64 punktus, kuriuos galima rasti adresu https://curia.europa.eu/juris/liste.jsf?num=C-350/12

[9] Direktyva (ES) 2016/1148 ir Direktyva (ES) 2018/1972, atitinkamai TIS ir TIS 2 direktyvos, žr. 1 ir 4 išnašas.

[10] TIS bendradarbiavimo grupės 16-ojo, 17-ojo ir 27-ojo posėdžių protokolai, nes šie posėdžiai skelbiami Komisijos interneto svetainėje, kurioje išvardytos visų TIS bendradarbiavimo grupės posėdžių darbotvarkės, tačiau Komisija jų nenurodė pradiniame atsakyme skundo pateikėjui.

[11] 2017 m. vasario 1 d. Komisijos įgyvendinimo sprendimas (ES) 2017/179, kuriuo pagal Europos Parlamento ir Tarybos direktyvos (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti 11 straipsnio 5 dalį nustatoma Bendradarbiavimo grupės veikimui būtina procedūrinė tvarka, pateikiamas adresu https://eur-lex.europa.eu/eli/dec_impl/2017/179/oj/eng.

[12] Visą ombudsmeno pasiūlymo dėl sprendimo tekstą galima rasti adresu https://www.ombudsman.europa.eu/solution/200856

[13] https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-34-directive-eu-20222555-nis-2-directive ir https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-4-1-and-2-directive-eu-20222555-nis-2-directive

[14] Komisijos atsakymą galima rasti adresu https://www.ombudsman.europa.eu/doc/correspondence/200857

[15] https://digital-strategy.ec.europa.eu/en/policies/cybersecurity

[16] Komisijos įgyvendinimo sprendimo (ES) 2017/179 10 straipsnis (žr. 11 išnašą).

[17] 2019 m. lapkričio 27 d. Bendrojo Teismo sprendimo Izuzquiza ir Semsrott prieš Frontex, T-31/18, 65–66 punktai: https://curia.europa.eu/juris/liste.jsf?num=T-31/18.

[18] Komisijos įgyvendinimo sprendimas (ES) 2017/179 (žr. 11 išnašą).

[19] Sprendime Pollinis Bendrasis Teismas išaiškino, kad Komisijos konkretiems komitetams priimtos vidaus darbo tvarkos taisyklės nėra viršesnės už Reglamentą (EB) Nr. 1049/2001 dėl galimybės visuomenei susipažinti su ES dokumentais, o tai reiškia, kad šios vidaus taisyklės iš esmės negali trukdyti atskleisti atskirų valstybių narių pozicijų, pareikštų per diskusijas dėl komiteto procedūros. Žr. 2022 m. rugsėjo 14 d. Bendrojo Teismo sprendimo Pollinis France / Europos Komisija, sujungtos bylos T‑371/20 ir T‑554/20, 96 punktą, kurį galima rasti adresu https://curia.europa.eu/juris/liste.jsf?language=en&td=ALL&num=T-371/20

[20] Reglamento 1049/2001 8 straipsnis.

[21] Rekomendacija dėl laiko, per kurį Europos Komisija išnagrinėja prašymus leisti visuomenei susipažinti su dokumentais (strateginis tyrimas OI/2/2022/OAM), pateikta adresu https://www.ombudsman.europa.eu/en/recommendation/en/167661.