Kontekst skargi

1. Powołano Grupę Współpracy ds. Sieci i Systemów Informatycznych (zwaną dalej „grupą współpracy NIS”)[1] w celu zapewnienia współpracy i wymiany informacji między państwami członkowskimi w zakresie cyberbezpieczeństwa. W skład grupy współpracy ds. bezpieczeństwa sieci i informacji wchodzą przedstawiciele państw członkowskich UE, Komisji Europejskiej i Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA). Grupa współpracy ds. bezpieczeństwa sieci i informacji opracowuje między innymi niewiążące wytyczne dla państw członkowskich dotyczące kwestii polityki cyberbezpieczeństwa, takich jak zagrożenia dla procesów wyborczych, bezpieczeństwo sieci 5G lub „rejestry nazw domen najwyższego poziomu”[2].

2. W lipcu 2023 r. skarżący zwrócił się do Komisji o udzielenie publicznego dostępu do dokumentów [3] dotyczących posiedzeń grupy współpracy ds. bezpieczeństwa sieci i informacji, a mianowicie wszystkich porządków obrad i protokołów posiedzeń. Zwrócił się również o publiczny dostęp do wytycznych i not wyjaśniających przygotowanych przez Komisję zgodnie z obowiązującymi przepisami [4].

3. W swojej pierwotnej odpowiedzi z 28 września 2023 r. Komisja wyjaśniła, że wszystkie porządki obrad grupy współpracy ds. bezpieczeństwa sieci i informacji są publikowane w internecie.[5] Określiła 24 dokumenty dotyczące protokołów z każdego posiedzenia grupy współpracy ds. bezpieczeństwa sieci i informacji od 2017 r. i odmówiła dostępu do wszystkich dokumentów. Powołała się przy tym na wyjątek przewidziany w przepisach UE dotyczących publicznego dostępu do dokumentów, argumentując, że ich ujawnienie naruszyłoby ochronę interesu publicznego w odniesieniu do bezpieczeństwa publicznego.[6] Poinformowała również skarżącego, że nie zidentyfikowała żadnego dokumentu związanego z „wytycznymi lub wytycznymi”.

4. W październiku 2023 r. skarżący zwrócił się do Komisji o dokonanie przeglądu swojej decyzji (poprzez złożenie „wniosku potwierdzającego”), argumentując, że dokumentów nie można racjonalnie objąć w pełni wyjątkiem dotyczącym „bezpieczeństwa publicznego”. Jego zdaniem należało ujawnić protokoły posiedzeń dotyczące regulaminu wewnętrznego grupy współpracy ds. bezpieczeństwa sieci i informacji lub jej programu prac. To samo dotyczy wszelkich informacji dotyczących wymiany dobrych praktyk, ponieważ prawdopodobnie opisałyby one powszechnie znane kwestie bezpieczeństwa cyfrowego. Ponadto, ponieważ niektóre minuty mają ponad pięć lat, argumentował, że upływ czasu prawdopodobnie usunął ryzyko ujawnienia ich treści. Stwierdził również, że Komisja powinna była określić więcej protokołów z posiedzeń.

5. Komisja potwierdziła otrzymanie wniosku potwierdzającego i zapowiedziała, że udzieli odpowiedzi w obowiązujących terminach, przed dniem 30 listopada 2023 r. Po wysłaniu dwóch przypomnień, na które Komisja nie odpowiedziała, skarżący zwrócił się do Rzecznika w styczniu 2024 r.

W przedmiocie dochodzenia

6. Rzecznik wszczął dochodzenie w sprawie braku odpowiedzi Komisji na ponowny wniosek złożony przez skarżącego.

7. W związku z utrzymującym się opóźnieniem zespół dochodzeniowy Rzecznika zbadał sporne dokumenty.[7] Po przeglądzie dokumentów Rzecznik przedstawił propozycję rozwiązania, zgodnie z którym Komisja udzieli możliwie najszerszego dostępu do dokumentów.

8. 20 sierpnia 2024 r., czyli po znacznym opóźnieniu wynoszącym prawie rok, Komisja odpowiedziała na ponowny wniosek, a dwa miesiące później na wniosek Rzecznika Praw Obywatelskich dotyczący rozwiązania. Rzecznik umożliwił skarżącemu przedstawienie uwag do odpowiedzi Komisji, ale nie otrzymał żadnych uwag.

Propozycja Rzecznika Praw Obywatelskich dotycząca rozwiązania

9. Po zapoznaniu się z dokumentami przez zespół dochodzeniowy Rzecznik Praw Obywatelskich uznał, że Komisja powinna była udzielić częściowego dostępu do dokumentów, i w marcu 2024 r. przedstawił propozycję rozwiązania tego problemu.

10. Rzecznik uznał, że sporne dokumenty w dużej mierze nie zawierają informacji szczególnie chronionych, które w przypadku ich ujawnienia mogłyby stanowić dające się racjonalnie przewidzieć (a nie czysto hipotetyczne) zagrożenie dla bezpieczeństwa publicznego [8]. Większość protokołów jest sporządzona w sposób ogólny i nie zawiera szczególnie chronionych informacji na temat konkretnych prac operacyjnych właściwych organów krajowych specjalizujących się w cyberbezpieczeństwie. Ponadto znaczna część protokołów zawiera aktualne informacje od państw członkowskich na temat sposobu, w jaki transponowały one dwie odnośne dyrektywy UE [9]. Wydaje się, że ze względu na upływ czasu części te nie są objęte wyjątkiem dotyczącym bezpieczeństwa publicznego. Ponadto Rzecznik zasugerował, że należało zidentyfikować trzy dodatkowe dokumenty [10].

11. Rzecznik zauważył, że w swojej pierwotnej decyzji o odmowie dostępu Komisja oparła się na przepisach wewnętrznych [11] wyraźnie stwierdzających, że dyskusje grupy współpracy ds. bezpieczeństwa sieci i informacji nie powinny być otwarte dla publiczności. Stwierdziła, że Komisja powinna oprzeć swoją ocenę wniosku skarżącego o publiczny dostęp na przepisach rozporządzenia 1049/2001.

12. Rzecznik zaproponował następujące rozwiązanie:

Komisja powinna ponownie rozważyć swoje stanowisko w sprawie wniosku skarżącego w celu udzielenia możliwie najszerszego dostępu do dokumentów, w tym trzech dodatkowych dokumentów, które nie zostały zidentyfikowane na początkowym etapie [12].

13. W następstwie propozycji rozwiązania przedstawionej przez Rzecznika w sierpniu 2024 r. Komisja odpowiedziała na ponowny wniosek skarżącego. Komisja udzieliła dostępu do części 27 dokumentów: 24 protokoły z posiedzeń wskazane na etapie wstępnym oraz trzy dodatkowe protokoły, o których mowa we wniosku Rzecznika Praw Obywatelskich dotyczącym rozwiązania.

14. Komisja odmówiła ujawnienia niektórych części dokumentów ze względu na to, że ich ujawnienie naruszyłoby ochronę interesu publicznego w odniesieniu do bezpieczeństwa publicznego. Argumentowała, że dokumenty te zawierają szczegółowe i szczególnie chronione informacje na temat cyberbezpieczeństwa, w tym środki bezpieczeństwa przyjęte w odpowiedzi na konkretne kryzysy i wymianę informacji między organami ds. cyberbezpieczeństwa na temat potencjalnego ryzyka i zagrożeń. Zdaniem Komisji ujawnienie tych informacji zagroziłoby bezpieczeństwu publicznemu UE, ponieważ zapewniłoby społeczeństwu, w tym grupom wrogim, użyteczne informacje na temat cyberbezpieczeństwa, a tym samym osłabiłoby gotowość państw członkowskich. Komisja utajniła również niektóre części dokumentów, ponieważ nawet jeśli na pierwszy rzut oka informacje te mogą wydawać się nieszkodliwe, mogą one dostarczyć cennych informacji potencjalnym cyberprzestępcom.

15. Komisja utajniła również niektóre dane osobowe pracowników Komisji i członków innych organów. Ponadto Komisja poinformowała skarżącego, że wytyczne Komisji dotyczące dyrektywy w sprawie bezpieczeństwa sieci i informacji (o które skarżący wnioskował w swoim pierwotnym wniosku) są publicznie dostępne na jej stronie internetowej ^[13].

16. Po opóźnieniu Komisja przyjęła swoją odpowiedź na wniosek Rzecznika Praw Obywatelskich dotyczący rozwiązania w październiku 2024 r.[14] Komisja uznała, że spełniła wniosek Rzecznika Praw Obywatelskich, udzielając możliwie najszerszego dostępu do odnośnych dokumentów, biorąc pod uwagę zagrożenia dla bezpieczeństwa publicznego, jakie spowodowałoby szersze ujawnienie, jak wyjaśniono szczegółowo w decyzji potwierdzającej.

17. Komisja nie zgodziła się z opinią Rzecznika wyrażoną we wniosku dotyczącym rozwiązania, zgodnie z którą większość dokumentów nie wydaje się zawierać treści sensytywnych. Jak wyjaśniono w decyzji potwierdzającej, części dokumentów zawierają opinie i poglądy państw członkowskich na temat obecnych i przyszłych działań oraz dyskusji na szczeblu krajowym i transgranicznym. Zawierają one również informacje na temat incydentów i innych działań mających miejsce w państwach członkowskich. Odzwierciedlają one dyskusje na temat cyberbezpieczeństwa dotyczące konkretnych powiązanych kwestii, takich jak wybory europejskie w 2019 r., wdrażanie zaleceń Komisji, aktualna sytuacja i aktualizacje różnych działań, w tym wdrażanie zaleceń grupy, prace dotyczące sieci zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) oraz strategii UE w zakresie cyberbezpieczeństwa [15].

18. Komisja uznała, że publiczne ujawnienie tych części dokumentów naruszyłoby ochronę bezpieczeństwa publicznego, ponieważ zapewniłoby ogółowi społeczeństwa, w tym osobom lub grupom działającym w złym zamiarze, odpowiednie informacje na temat walki z cyberatakami. Komisja uznała, że naraziłoby to państwa członkowskie i Europę na incydenty i zagrożenia związane z bezpieczeństwem.

19. Komisja podkreśliła, że jej przepisy wewnętrzne [16] stanowią, że dyskusje grupy nie powinny być otwarte dla publiczności. Komisja uznała, że przy ocenie wniosku o publiczny dostęp na podstawie rozporządzenia 1049/2001 nie mogła pominąć wrażliwego charakteru działań odzwierciedlonych w dokumentach i celów współpracy w tej dziedzinie.

20. Ogólną misją grupy współpracy ds. bezpieczeństwa sieci i informacji, określoną w dyrektywie w sprawie bezpieczeństwa sieci i informacji, jest wspieranie strategicznej współpracy i wymiany informacji oraz zwiększanie zaufania między państwami członkowskimi. Ponieważ cyberbezpieczeństwa nie można osiągnąć bez współpracy organów państw członkowskich, Komisja uznała, że ujawnienie dyskusji zamieszczonych w żądanych dokumentach zagroziłoby zaufaniu i współpracy w dziedzinie cyberbezpieczeństwa. Fakt, że niektóre dokumenty pochodzą z 2017 r., nie zmienia poziomu ryzyka w przypadku ich ujawnienia, ponieważ są one ściśle związane z bieżącymi dyskusjami.

21. Ponadto Komisja nie zgodziła się z opinią Rzecznika Praw Obywatelskich, że części dokumentów dotyczące aktualizacji dotyczących transpozycji dyrektyw NIS i NIS 2 nie są wrażliwe. Komisja argumentowała, że transpozycja dyrektywy NIS 2 jest nadal w toku. Ponadto, mimo że transpozycja dyrektywy w sprawie bezpieczeństwa sieci i informacji została zakończona, dyskusje podsumowane w protokole dotyczą różnych działań podjętych przez państwa członkowskie w tym zakresie, w tym wariantów, które nie zostały przyjęte. Ujawnienie tych części dokumentów miałoby negatywny wpływ na bezpieczeństwo publiczne w odniesieniu do działań podejmowanych na szczeblu krajowym. Upływ czasu nie zmienia poziomu ryzyka, ponieważ opisane działania są nadal istotne dla walki z cyberprzestępczością.

Ocena Rzecznika Praw Obywatelskich po przedstawieniu propozycji rozwiązania

22. Instytucje Unii dysponują szerokim zakresem uznania przy ustalaniu, czy ujawnienie dokumentu naruszyłoby ochronę interesu publicznego w odniesieniu do bezpieczeństwa publicznego. Są one jednak nadal zobowiązane do wykazania „konkretnego i rzeczywistego ryzyka”, które jest racjonalnie przewidywalne, a nie czysto hipotetyczne [17].

23. Komisja udzieliła obecnie częściowego dostępu do spornych dokumentów, co Rzecznik przyjmuje z zadowoleniem. Rzecznik z zadowoleniem przyjmuje również uzasadnienie przedstawione przez Komisję w odniesieniu do pozostałych utajnień.

24. Na podstawie przedstawionych wyjaśnień Rzecznik uważa, że Komisja nie popełniła oczywistego błędu, argumentując, że niektóre dyskusje na temat konkretnych kwestii związanych z cyberbezpieczeństwem, takie jak wybory europejskie w 2019 r. lub ćwiczenia w zakresie przygotowania do cyberbezpieczeństwa (CyCLONe i Blue OLEx), zawierają wrażliwe elementy, które mogą zagrozić bezpieczeństwu publicznemu. Ponadto utajnienie danych osobowych wydaje się rozsądne, a skarżący nie zakwestionował ich.

25. Rzecznik zauważa jednak, że Komisja odmówiła dostępu do całych sekcji dotyczących podsumowań dyskusji między członkami grupy współpracy ds. bezpieczeństwa sieci i informacji na temat trwających prac.

26. Przeprowadzona kontrola wykazała, że streszczenia są sporządzane w sposób ogólny, opisując główne wyzwania i możliwości związane z danym tematem lub możliwe konwergencje. Rzecznikowi trudno jest zrozumieć, w jaki sposób takie ogólne streszczenia mogłyby zagrozić bezpieczeństwu publicznemu, gdyby zostały ujawnione. Trudno jest zatem zrozumieć, w jaki sposób i dlaczego istniałoby konkretne i rzeczywiste zagrożenie dla bezpieczeństwa publicznego, gdyby te części dokumentów miały zostać ujawnione.

27. Komisja stwierdziła, że te części dokumentów mogłyby dostarczyć cennych informacji potencjalnym cyberprzestępcom, gdyby zostały ujawnione. Wyjaśnienie to jest jednak sprzeczne z faktem, że niektóre z utajnionych części zawierają informacje, które są już publicznie dostępne.

28. Rzecznik uważa zatem, że Komisja mogła lepiej uzasadnić niektóre utajnienia, w szczególności te obejmujące ogólne streszczenia dyskusji grupy współpracy ds. bezpieczeństwa sieci i informacji. Biorąc jednak pod uwagę fakt, że Komisja udzieliła obecnie częściowego dostępu do protokołu posiedzenia, a skarżący nie przedstawił dalszych uwag do odpowiedzi Komisji, Rzecznik uważa, że dalsze dochodzenia w tej sprawie nie są uzasadnione.

29. Rzecznik zauważa, że w pierwotnej decyzji o odmowie dostępu Komisja oparła się na przepisach wewnętrznych [18], aby odmówić dostępu do całości dokumentów. W odpowiedzi na wniosek Rzecznika Praw Obywatelskich dotyczący rozwiązania Komisja wyjaśniła, że swoją ocenę wniosku o publiczny dostęp oparła na rozporządzeniu 1049/2001, ale nie mogła zignorować delikatnego charakteru dyskusji grupy współpracy ds. bezpieczeństwa sieci i informacji, utrzymując, że przepisy wewnętrzne stanowią, że dyskusje nie są otwarte dla publiczności. Rzecznik wyraża zadowolenie, że w tym przypadku ocena Komisji była zgodna z przepisami rozporządzenia 1049/2001 oraz że Komisja przyznaje, iż przepisów wewnętrznych stosowanych w tym przypadku w żaden sposób nie można interpretować jako pośredniego domniemania nieujawniania, a nawet powodu odmowy publicznego dostępu. W związku z tym Rzecznik z zadowoleniem przyjmuje wyjaśnienie Komisji, że wnioski o publiczny dostęp do dokumentów dotyczących posiedzeń grupy współpracy ds. bezpieczeństwa sieci i informacji powinny opierać się wyłącznie na przepisach zawartych w rozporządzeniu 1049/2001 [19].

30. Rzecznik jest zaniepokojony poważnym opóźnieniem w udzieleniu odpowiedzi na wniosek skarżącego o udzielenie dostępu w tej sprawie. Zgodnie z rozporządzeniem 1049/2001 instytucja UE powinna, w ciągu 15 dni roboczych od zarejestrowania ponownego wniosku, udzielić dostępu do żądanego dokumentu albo, w pisemnej odpowiedzi, podać przyczyny całkowitej lub częściowej odmowy. W wyjątkowych okolicznościach termin 15 dni roboczych może zostać przedłużony o kolejne 15 dni roboczych [20].

31. W tym przypadku podjęcie decyzji w sprawie ponownego wniosku skarżącego zajęło Komisji prawie jedenaście miesięcy.

32. Rzecznik Praw Obywatelskich wezwał już Komisję do zajęcia się systemowymi opóźnieniami w tej dziedzinie oraz do przestrzegania terminów określonych w rozporządzeniu 1049/2001 [21].

33. Rzecznik wyraża ubolewanie z powodu znacznego opóźnienia Komisji w odpowiedzi na wniosek skarżącego i ponownie wzywa Komisję do zajęcia się kwestią opóźnień w tej dziedzinie.

Wnioski

Na podstawie dochodzenia Rzecznik zamyka tę sprawę następującymi wnioskami:

Ponieważ Komisja przyznała obecnie szerszy dostęp do przedmiotowych dokumentów, Rzecznik uważa, że propozycja rozwiązania została częściowo zaakceptowana, i zamyka sprawę.

Rzecznik wyraża ubolewanie z powodu znacznego opóźnienia Komisji w udzieleniu odpowiedzi na wniosek skarżącego. Wyraźne nieprzestrzeganie terminów ustanowionych przez prawodawcę w rozporządzeniu 1049/2001 nie może być dobrą administracją.

Skarżący i Komisja zostaną poinformowani o niniejszej decyzji.

Teresa Anjinho
Europejski Rzecznik Praw Obywatelskich

Strasburg, 14 kwietnia 2025 r.

[1] Grupa została ustanowiona na podstawie dyrektywy (UE) 2016/1148 w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (dyrektywa w sprawie bezpieczeństwa sieci i informacji), dostępnej pod adresem: https://eur-lex.europa.eu/eli/dir/2016/1148/oj/eng .

[2] Więcej informacji można znaleźć na stronie: https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group

[3] Zgodnie z zasadami określonymi w rozporządzeniu (WE) nr 1049/2001 Parlamentu Europejskiego i Rady z dnia 30 maja 2001 r. w sprawie publicznego dostępu do dokumentów Parlamentu Europejskiego, Rady i Komisji, dostępnym pod adresem: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[4] Motywy 20 i 21 oraz art. 4 dyrektywy NIS 2, dostępne pod adresem: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555

[5] Zob. https://digital-strategy.ec.europa.eu/en/library/nis-cooperation-group-meetings-agendas.

[6] Art. 4 ust. 1 lit. a) tiret pierwsze rozporządzenia 1049/2001.

[7] Zakres dochodzenia Rzecznika Praw Obywatelskich obejmował jedynie protokoły posiedzeń, ponieważ skarżący nie zakwestionował sposobu, w jaki Komisja rozpatrzyła pozostałe aspekty jego pierwotnego wniosku (dotyczącego porządków obrad posiedzeń oraz wytycznych i wytycznych).

[8] Zob. wyrok Trybunału Sprawiedliwości z dnia 3 lipca 2014 r. w sprawie C-350/12 P, Rada przeciwko in 't Veld, pkt 52 i 64, dostępny pod adresem: https://curia.europa.eu/juris/liste.jsf?num=C-350/12

[9] Dyrektywa (UE) 2016/1148 i dyrektywa (UE) 2018/1972, odpowiednio dyrektywy NIS i NIS 2, zob. przypisy 1 i 4.

[10] Protokół z 16., 17. i 27. posiedzenia grupy współpracy ds. bezpieczeństwa sieci i informacji, ponieważ spotkania te znajdują się na stronie internetowej Komisji zawierającej wykaz porządków obrad wszystkich posiedzeń grupy współpracy ds. bezpieczeństwa sieci i informacji, ale nie zostały wskazane przez Komisję w pierwotnej odpowiedzi udzielonej skarżącemu.

[11] Decyzja wykonawcza Komisji (UE) 2017/179 z dnia 1 lutego 2017 r. ustanawiająca ustalenia proceduralne niezbędne do funkcjonowania grupy współpracy zgodnie z art. 11 ust. 5 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii, dostępna pod adresem: https://eur-lex.europa.eu/eli/dec_impl/2017/179/oj/eng

[12] Pełny tekst propozycji Rzecznika Praw Obywatelskich dotyczącej rozwiązania jest dostępny pod adresem: https://www.ombudsman.europa.eu/solution/200856

[13] https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-34-directive-eu-20222555-nis-2-directive oraz https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-4-1-and-2-directive-eu-20222555-nis-2-directive

[14] Odpowiedź Komisji jest dostępna pod adresem: https://www.ombudsman.europa.eu/doc/correspondence/200857

[15] https://digital-strategy.ec.europa.eu/en/policies/cybersecurity

[16] Art. 10 decyzji wykonawczej Komisji (UE) 2017/179 (zob. przypis 11).

[17] Wyrok Sądu z dnia 27 listopada 2019 r., Izuzquiza i Semsrott/Frontex, sprawa T-31/18, pkt 65–66: https://curia.europa.eu/juris/liste.jsf?num=T-31/18.

[18] Decyzja wykonawcza Komisji (UE) 2017/179 (zob. przypis 11).

[19] W swoim orzeczeniu w sprawie Pollinis Sąd wyjaśnił, że regulamin wewnętrzny przyjęty przez Komisję dla poszczególnych komitetów nie ma pierwszeństwa przed rozporządzeniem 1049/2001 w sprawie publicznego dostępu do dokumentów UE, co oznacza, że te przepisy wewnętrzne nie mogą zasadniczo wykluczać ujawnienia indywidualnych stanowisk państw członkowskich wyrażonych podczas dyskusji w ramach procedury komitetowej. Zob. wyrok Sądu z dnia 14 września 2022 r., Pollinis France/Komisja Europejska, sprawy połączone T‑371/20 i T‑554/20, pkt 96, dostępny pod adresem: https://curia.europa.eu/juris/liste.jsf?language=en&td=ALL&num=T-371/20

[20] Artykuł 8 rozporządzenia 1049/2001.

[21] Zalecenie w sprawie czasu rozpatrywania przez Komisję Europejską wniosków o publiczny dostęp do dokumentów (dochodzenie strategiczne OI/2/2022/OAM), dostępne pod adresem: https://www.ombudsman.europa.eu/en/recommendation/en/167661.