Antecedentes da denúncia

1. O grupo de cooperação para as redes e os sistemas de informação («grupo de cooperação SRI») foi criado [1] para assegurar a cooperação e o intercâmbio de informações entre os Estados-Membros em matéria de cibersegurança. O grupo de cooperação SRI é composto por representantes dos Estados-Membros da UE, da Comissão Europeia e da Agência da UE para a Cibersegurança (ENISA). Entre outras atividades, o grupo de cooperação SRI elabora orientações não vinculativas destinadas aos Estados-Membros para abordar questões de política de cibersegurança, como as ameaças aos processos eleitorais, a segurança das redes 5G ou os «registos de nomes de domínio de topo»[2].

2. Em julho de 2023, o autor da denúncia solicitou à Comissão que concedesse acesso público aos documentos [3] relativos às reuniões do grupo de cooperação SRI, a saber, todas as ordens do dia e atas das reuniões. Solicitou igualmente o acesso do público às orientações e notas de orientação elaboradas pela Comissão em conformidade com as regras aplicáveis [4].

3. Na sua resposta inicial de 28 de setembro de 2023, a Comissão explicou que todas as ordens do dia das reuniões do grupo de cooperação SRI são publicadas em linha [5]. Identificou 24 documentos relativos às atas de cada reunião do grupo de cooperação SRI desde 2017 e recusou o acesso aos documentos na sua totalidade. Ao fazê-lo, invocou uma exceção ao abrigo da legislação da UE em matéria de acesso do público aos documentos, alegando que a sua divulgação prejudicaria a proteção do interesse público no que diz respeito à segurança pública [6]. Informou igualmente o autor da denúncia de que não tinha identificado qualquer documento relacionado com «orientações ou notas de orientação».

4. Em outubro de 2023, o autor da denúncia solicitou à Comissão que revisse a sua decisão (através de um «pedido confirmativo»), alegando que os documentos não podiam razoavelmente ser plenamente abrangidos pela exceção relativa à «segurança pública». Na sua opinião, as atas das reuniões relacionadas com as regras internas do grupo de cooperação SRI ou o seu programa de trabalho deveriam ter sido divulgadas. O mesmo se aplicava a todas as informações relativas ao intercâmbio de boas práticas, uma vez que provavelmente descreveriam questões de segurança digital de conhecimento comum. Além disso, como alguns minutos têm mais de cinco anos, ele argumentou que a passagem do tempo provavelmente eliminou os riscos de divulgar seu conteúdo. Alegou igualmente que a Comissão deveria ter identificado mais atas das reuniões.

5. A Comissão acusou a receção do pedido confirmativo e declarou que responderia dentro dos prazos aplicáveis, antes de 30 de novembro de 2023. Após ter enviado dois avisos, aos quais a Comissão não respondeu, o queixoso dirigiu-se à Provedora de Justiça em janeiro de 2024.

O inquérito

6. A Provedora de Justiça abriu um inquérito sobre a ausência de resposta da Comissão ao pedido confirmativo apresentado pelo queixoso.

7. Tendo em conta o atraso persistente, a equipa de inquérito do Provedor de Justiça inspecionou os documentos em causa [7]. Na sequência de uma revisão dos documentos, o Provedor de Justiça apresentou uma proposta de solução para que a Comissão concedesse o acesso mais amplo possível aos documentos.

8. Em 20 de agosto de 2024, ou seja, após um atraso significativo de quase um ano, a Comissão respondeu ao pedido confirmativo e, dois meses mais tarde, à proposta de solução da Provedora de Justiça. O Provedor de Justiça deu ao queixoso a oportunidade de apresentar observações sobre a resposta da Comissão, mas não recebeu quaisquer observações.

Proposta de solução do Provedor de Justiça

9. Na sequência da inspeção dos documentos pela equipa de inquérito, a Provedora de Justiça considerou que a Comissão deveria ter concedido acesso parcial aos documentos e apresentou uma proposta de solução para o efeito em março de 2024.

10. O Provedor de Justiça considerou que os documentos em causa, em grande medida, não contêm informações sensíveis que, se divulgadas, possam constituir um risco razoavelmente previsível (e não puramente hipotético) para a segurança pública [8]. A maior parte das atas são redigidas em termos gerais e não fornecem pormenores sensíveis sobre o trabalho operacional concreto das autoridades nacionais competentes especializadas em cibersegurança. Além disso, uma grande parte das atas abrange atualizações dos Estados-Membros sobre a forma como transpuseram as duas diretivas pertinentes da UE [9]. Estas partes não parecem estar abrangidas pela exceção relativa à segurança pública, dada a passagem do tempo. Por último, o Provedor de Justiça sugeriu que deveriam ter sido identificados três documentos adicionais [10].

11. O Provedor de Justiça observou que, na sua decisão inicial de recusa de acesso, a Comissão se baseou em regras internas [11] que estabelecem explicitamente que os debates do grupo de cooperação SRI não devem ser abertos ao público. Afirmou que a Comissão deveria basear a sua avaliação do pedido de acesso do público apresentado pelo queixoso nas disposições do Regulamento n.o 1049/2001.

12. O Provedor de Justiça propôs a seguinte solução:

A Comissão deve reconsiderar a sua posição sobre o pedido do autor da denúncia, com vista a conceder o acesso mais amplo possível aos documentos, incluindo os três documentos adicionais que não foram identificados na fase inicial [12].

13. Na sequência da proposta de solução da Provedora de Justiça, em agosto de 2024, a Comissão respondeu ao pedido confirmativo do queixoso. A Comissão concedeu acesso a partes de 27 documentos: as 24 atas de reuniões identificadas na fase inicial e as três atas adicionais mencionadas na proposta de solução do Provedor de Justiça.

14. A Comissão recusou-se a divulgar determinadas partes dos documentos com o fundamento de que a sua divulgação prejudicaria a proteção do interesse público no que diz respeito à segurança pública. Alegou que os documentos contêm informações pormenorizadas e sensíveis sobre cibersegurança, incluindo medidas de segurança adotadas em resposta a crises específicas e intercâmbios entre autoridades de cibersegurança sobre potenciais riscos e ameaças. Para a Comissão, a divulgação destas informações comprometeria a segurança pública da UE, uma vez que forneceria ao público, incluindo grupos malévolos, informações úteis sobre cibersegurança, enfraquecendo assim a preparação dos Estados-Membros. A Comissão também expurgou determinadas partes dos documentos porque, embora as informações possam parecer inofensivas à primeira vista, podem fornecer informações valiosas para potenciais cibercriminosos.

15. A Comissão também expurgou alguns dados pessoais de membros do seu pessoal e de outras autoridades. Além disso, a Comissão informou o autor da denúncia de que as orientações da Comissão sobre a Diretiva SRI (que o autor da denúncia solicitou no seu pedido inicial) estão disponíveis ao público no seu sítio Web ^[13].

16. Na sequência de um atraso, a Comissão adotou a sua resposta à proposta de solução da Provedora de Justiça em outubro de 2024 [14]. A Comissão considerou que tinha cumprido a proposta da Provedora de Justiça ao conceder o acesso mais amplo possível aos documentos em causa, tendo em conta os riscos para a segurança pública que uma divulgação mais ampla criaria, tal como explicado em pormenor na decisão confirmativa.

17. A Comissão discordou da opinião do Provedor de Justiça, expressa na proposta de solução, de que a maioria dos documentos não parece conter qualquer conteúdo sensível. Tal como explicado na decisão confirmativa, partes dos documentos contêm pareceres e pontos de vista dos Estados-Membros sobre ações e debates atuais e futuros a nível nacional e transfronteiriço. Contêm igualmente informações sobre incidentes e outras ações em curso nos Estados-Membros. Refletem os debates sobre cibersegurança sobre questões conexas específicas, como as eleições europeias de 2019, a aplicação das recomendações da Comissão, o ponto da situação e as atualizações das diferentes ações, incluindo a aplicação das recomendações do grupo, os trabalhos relativos à rede de equipas de resposta a incidentes de segurança informática (CSIRT) e a Estratégia da UE para a Cibersegurança [15].

18. A Comissão considerou que a divulgação pública destas partes dos documentos prejudicaria a proteção da segurança pública, uma vez que forneceria ao público em geral, incluindo indivíduos ou grupos mal-intencionados, informações pertinentes sobre a luta contra os ciberataques. A Comissão considerou que tal tornaria os Estados-Membros e a Europa vulneráveis a incidentes e ameaças de segurança.

19. A Comissão insistiu no facto de as suas regras internas [16] estabelecerem que os debates do grupo não devem ser abertos ao público. A Comissão considerou que, na apreciação do pedido de acesso do público ao abrigo do Regulamento n.o 1049/2001, não podia ignorar o caráter sensível das atividades refletidas nos documentos e os objetivos da cooperação neste domínio.

20. A missão geral do grupo de cooperação SRI, tal como estabelecido na Diretiva SRI, consiste em apoiar a cooperação estratégica e o intercâmbio de informações e reforçar a confiança entre os Estados-Membros. Uma vez que a cibersegurança não pode ser alcançada sem a cooperação das autoridades dos Estados-Membros, a Comissão considerou que a divulgação dos debates reproduzidos nos documentos solicitados comprometeria a confiança e a cooperação no domínio da cibersegurança. O facto de alguns documentos datarem de 2017 não altera o nível de risco se os documentos forem divulgados, uma vez que estão estreitamente ligados aos debates em curso.

21. Além disso, a Comissão discordou da opinião da Provedora de Justiça de que as partes dos documentos relacionadas com atualizações relativas à transposição das Diretivas SRI e SRI 2 não são sensíveis. A Comissão argumentou que a transposição da Diretiva SRI 2 ainda está em curso. Além disso, embora a transposição da Diretiva SRI tenha sido concluída, os debates resumidos na ata dizem respeito às várias medidas tomadas pelos Estados-Membros a este respeito, incluindo opções que não foram adotadas. A divulgação destas partes dos documentos teria um impacto negativo na segurança pública no que diz respeito às medidas tomadas a nível nacional. A passagem do tempo não altera o nível de risco, uma vez que as ações descritas ainda são relevantes para a luta contra o cibercrime.

Avaliação do Provedor de Justiça após a proposta de solução

22. As instituições da União dispõem de uma ampla margem de apreciação para determinar se a divulgação de um documento prejudicaria a proteção do interesse público em matéria de segurança pública. No entanto, continuam a ser obrigados a demonstrar um «risco específico e real» razoavelmente previsível e não puramente hipotético [17].

23. A Comissão deu agora acesso parcial aos documentos em causa, o que o Provedor de Justiça acolhe com agrado. O Provedor de Justiça congratula-se igualmente com o raciocínio apresentado pela Comissão no que diz respeito às restantes ocultações.

24. Com base nas explicações fornecidas, a Provedora de Justiça considera que não foi manifestamente errado a Comissão argumentar que determinados debates sobre questões específicas relacionadas com a cibersegurança, como as eleições europeias de 2019 ou os exercícios de ciberpreparação (CyCLONe e Blue OLEx), contêm elementos sensíveis que podem comprometer a segurança pública. Além disso, as ocultações de dados pessoais afiguram-se razoáveis e o autor da reclamação não as contestou.

25. Dito isto, o Provedor de Justiça observa que a Comissão recusou o acesso a secções inteiras relativas a resumos dos debates entre os membros do grupo de cooperação SRI sobre os trabalhos em curso.

26. A inspeção efetuada demonstrou que os resumos estão redigidos de forma geral, descrevendo os principais desafios e oportunidades de um tema ou possíveis convergências. É difícil para o Provedor de Justiça compreender de que forma esses resumos gerais podem comprometer a segurança pública se forem divulgados. Por conseguinte, é difícil ver como e por que razão haveria um risco específico e real para a segurança pública se estas partes dos documentos fossem divulgadas.

27. A Comissão alegou que estas partes dos documentos poderiam fornecer informações valiosas aos potenciais cibercriminosos se fossem divulgadas. No entanto, esta explicação está em desacordo com o facto de algumas das partes expurgadas conterem informações que já estão disponíveis ao público.

28. Por conseguinte, o Provedor de Justiça considera que a Comissão poderia ter fundamentado melhor algumas das ocultações, em especial as que abrangem os resumos gerais dos debates do grupo de cooperação SRI. No entanto, uma vez que a Comissão concedeu agora acesso parcial à ata da reunião e que o queixoso não apresentou mais observações sobre a resposta da Comissão, o Provedor de Justiça considera que não se justificam novos inquéritos sobre esta questão.

29. O Provedor de Justiça observa que, na decisão inicial de recusa de acesso, a Comissão se baseou em regras internas [18] para recusar o acesso aos documentos na sua totalidade. Em resposta à proposta de solução do Provedor de Justiça, a Comissão explicou que baseou a sua avaliação do pedido de acesso do público no Regulamento n.o 1049/2001, mas que não podia ignorar o caráter sensível dos debates do grupo de cooperação SRI, sustentando que as regras internas estabelecem que os debates não devem ser abertos ao público. O Provedor de Justiça considera que, neste caso, a avaliação da Comissão estava em conformidade com as disposições do Regulamento (CE) n.o 1049/2001 e que a Comissão aceita que as regras internas aplicadas neste caso não podem, de modo algum, ser interpretadas como uma presunção indireta de não divulgação, ou mesmo como uma razão para recusar o acesso do público. Assim, o Provedor de Justiça congratula-se com a clarificação da Comissão de que os pedidos de acesso do público a documentos relativos às reuniões do grupo de cooperação SRI devem basear-se apenas nas disposições do Regulamento n.o 1049/2001 [19].

30. O Provedor de Justiça está preocupado com o grave atraso na resposta ao pedido de acesso do queixoso neste caso. Nos termos do Regulamento (CE) n.o 1049/2001, uma instituição da UE deve, no prazo de 15 dias úteis a contar do registo do pedido confirmativo, conceder acesso ao documento solicitado ou, mediante resposta escrita, indicar os motivos da recusa total ou parcial. O prazo de 15 dias úteis pode ser prorrogado por mais 15 dias úteis em circunstâncias excecionais [20].

31. Neste caso, a Comissão demorou quase onze meses a tomar uma decisão sobre o pedido confirmativo do autor da denúncia.

32. O Provedor de Justiça já instou a Comissão a resolver os atrasos sistémicos neste domínio e a respeitar os prazos previstos no Regulamento n.o 1049/2001 [21].

33. A Provedora de Justiça lamenta o atraso significativo incorrido pela Comissão na resposta ao pedido do queixoso e insta novamente a Comissão a resolver a questão dos atrasos neste domínio.

Conclusões

Com base no inquérito, a Provedora de Justiça encerra este caso com as seguintes conclusões:

Uma vez que a Comissão concedeu agora um acesso mais amplo aos documentos em causa, o Provedor de Justiça considera que a proposta de solução foi parcialmente aceite e encerra o processo.

A Provedora de Justiça lamenta o atraso significativo incorrido pela Comissão na resposta ao pedido do queixoso. Uma clara inobservância dos prazos estabelecidos pelo legislador no Regulamento n.o 1049/2001 não pode ser uma boa administração.

O autor da denúncia e a Comissão serão informados desta decisão.

Teresa Anjinho Provedora
de Justiça Europeia

Estrasburgo, 14/04/2025

[1] O grupo foi criado com base na Diretiva (UE) 2016/1148 relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União (Diretiva SRI), disponível em: https://eur-lex.europa.eu/eli/dir/2016/1148/oj/eng .

[2] Para mais informações, consultar: https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group

[3] Em conformidade com as regras estabelecidas no Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho, de 30 de maio de 2001, relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão, disponível em: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[4] Considerandos 20 e 21, bem como artigo 4.o da Diretiva SRI 2, disponível em: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555

[5] Ver https://digital-strategy.ec.europa.eu/en/library/nis-cooperation-group-meetings-agendas

[6] Artigo 4.o, n.o 1, alínea a), primeiro travessão, do Regulamento (CE) n.o 1049/2001.

[7] O âmbito do inquérito do Provedor de Justiça abrangia apenas as atas das reuniões, uma vez que o queixoso não tinha contestado o tratamento dado pela Comissão aos outros aspetos do seu pedido inicial (que diziam respeito às ordens do dia das reuniões e às orientações e notas de orientação).

[8] Ver acórdão do Tribunal de Justiça, de 3 de julho de 2014, no processo C-350/12 P, Conselho/in 't Veld, n.os 52 e 64, disponível em: https://curia.europa.eu/juris/liste.jsf?num=C-350/12

[9] Diretiva (UE) 2016/1148 e Diretiva (UE) 2018/1972, respetivamente Diretiva SRI e Diretiva SRI 2, ver notas de rodapé 1 e 4.

[10] As atas das 16.a, 17.a e 27.a reuniões do grupo de cooperação SRI, uma vez que estas reuniões constam do sítio Web da Comissão que enumera as ordens do dia de todas as reuniões do grupo de cooperação SRI, mas não foram identificadas pela Comissão na sua resposta inicial ao autor da denúncia.

[11] Decisão de Execução (UE) 2017/179 da Comissão, de 1 de fevereiro de 2017, que estabelece as disposições processuais necessárias ao funcionamento do grupo de cooperação nos termos do artigo 11.o, n.o 5, da Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União, disponível em https://eur-lex.europa.eu/eli/dec_impl/2017/179/oj/eng

[12] O texto integral da proposta de solução do Provedor de Justiça está disponível em: https://www.ombudsman.europa.eu/solution/200856

[13] https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-34-directive-eu-20222555-nis-2-directive e https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-4-1-and-2-directive-eu-20222555-nis-2-directive

[14] A resposta da Comissão está disponível em: https://www.ombudsman.europa.eu/doc/correspondence/200857

[15] https://digital-strategy.ec.europa.eu/en/policies/cybersecurity

[16] Artigo 10.o da Decisão de Execução (UE) 2017/179 da Comissão (ver nota de rodapé 11).

[17] Acórdão do Tribunal Geral de 27 de novembro de 2019, Izuzquiza e Semsrott/Frontex, T-31/18, n.os 65-66: https://curia.europa.eu/juris/liste.jsf?num=T-31/18.

[18] Decisão de Execução (UE) 2017/179 da Comissão (ver nota de rodapé 11).

[19] No seu acórdão Pollinis, o Tribunal Geral esclareceu que o regulamento interno adotado pela Comissão para comités específicos não prevalece sobre o Regulamento (CE) n.o 1049/2001 relativo ao acesso do público aos documentos da UE, o que significa que, de um modo geral, estas regras internas não podem impedir a divulgação das posições individuais dos Estados-Membros expressas durante os debates sobre comitologia. Ver acórdão do Tribunal Geral de 14 de setembro de 2022, Pollinis France/Comissão Europeia, processos apensos T‑371/20 e T‑554/20, n.o 96, disponível em: https://curia.europa.eu/juris/liste.jsf?language=en&td=ALL&num=T-371/20

[20] Artigo 8.o do Regulamento (CE) n.o 1049/2001.

[21] Recomendação sobre o tempo que a Comissão Europeia demora a tratar os pedidos de acesso do público a documentos (inquérito estratégico OI/2/2022/OAM), disponível em: https://www.ombudsman.europa.eu/en/recommendation/en/167661.