Okolnosti predchádzajúce sťažnosti

1. Skupina pre spoluprácu v oblasti sietí a informačných systémov (ďalej len „skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti“) bola zriadená [1] s cieľom zabezpečiť spoluprácu a výmenu informácií medzi členskými štátmi v oblasti kybernetickej bezpečnosti. Skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti sa skladá zo zástupcov členských štátov EÚ, Európskej komisie a Agentúry EÚ pre kybernetickú bezpečnosť (ENISA). Okrem iných činností skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti vypracúva nezáväzné usmernenia pre členské štáty s cieľom riešiť otázky politiky kybernetickej bezpečnosti, ako sú hrozby pre volebné procesy, bezpečnosť siete 5G alebo „správcovia mien domén najvyššej úrovne“[2].

2. Sťažovateľ v júli 2023 požiadal Komisiu, aby verejnosti poskytla prístup k dokumentom [3] týkajúcim sa zasadnutí skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti, konkrétne ku všetkým programom zasadnutí a zápisniciam z nich. Požiadal tiež o prístup verejnosti k usmerneniam a usmerneniam vypracovaným Komisiou v súlade s platnými pravidlami [4].

3. Komisia vo svojej pôvodnej odpovedi z 28. septembra 2023 vysvetlila, že všetky programy zasadnutí skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti sa uverejňujú online.[5] Identifikovala 24 dokumentov týkajúcich sa zápisnice z každého zasadnutia skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti od roku 2017 a zamietla prístup k dokumentom v celom rozsahu. Odvolala sa pritom na výnimku podľa právnych predpisov EÚ o prístupe verejnosti k dokumentom, pričom tvrdila, že ich zverejnenie by narušilo ochranu verejného záujmu, pokiaľ ide o verejnú bezpečnosť [6]. Takisto informovala sťažovateľa, že neidentifikovala žiadny dokument týkajúci sa „usmernení alebo usmerňujúcich poznámok“.

4. Sťažovateľ v októbri 2023 požiadal Komisiu, aby preskúmala svoje rozhodnutie (prostredníctvom „opakovanej žiadosti“), pričom tvrdil, že na dokumenty sa odôvodnene nemôže v plnej miere vzťahovať výnimka týkajúca sa „verejnej bezpečnosti“. Podľa jeho názoru mali byť zverejnené zápisnice zo zasadnutí týkajúcich sa vnútorných pravidiel skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti alebo jej pracovného programu. To isté platilo pre všetky informácie týkajúce sa výmeny osvedčených postupov, keďže by pravdepodobne opisovali všeobecne známe otázky digitálnej bezpečnosti. Okrem toho, keďže niektoré minúty majú viac ako päť rokov, tvrdil, že plynutie času pravdepodobne odstránilo riziká zverejnenia ich obsahu. Tvrdil tiež, že Komisia mala identifikovať viac zápisníc zo zasadnutí.

5. Komisia potvrdila prijatie opakovanej žiadosti a uviedla, že odpovie v príslušných lehotách do 30. novembra 2023. Po zaslaní dvoch upomienok, na ktoré Komisia neodpovedala, sa sťažovateľ v januári 2024 obrátil na ombudsmanku.

Vyšetrovanie

6. Ombudsmanka začala vyšetrovanie v súvislosti s tým, že Komisia neodpovedala na opakovanú žiadosť predloženú sťažovateľom.

7. Vzhľadom na pretrvávajúce oneskorenie vyšetrovací tím ombudsmana skontroloval predmetné dokumenty.[7] Po preskúmaní dokumentov ombudsman predložil návrh riešenia, aby Komisia poskytla čo najširší prístup k dokumentom.

8. Komisia 20. augusta 2024, t. j. po výraznom oneskorení o takmer jeden rok, odpovedala na opakovanú žiadosť a o dva mesiace neskôr na návrh riešenia, ktorý predložila ombudsmanka. Ombudsmanka poskytla sťažovateľovi príležitosť predložiť pripomienky k odpovedi Komisie, ale žiadne nedostala.

Návrh riešenia, ktorý predložila ombudsmanka

9. Po nahliadnutí do dokumentov vyšetrovacím tímom ombudsmanka zastávala názor, že Komisia mala udeliť čiastočný prístup k dokumentom, a v marci 2024 predložila návrh riešenia na tento účel.

10. Ombudsmanka sa domnievala, že predmetné dokumenty vo veľkej miere neobsahujú citlivé informácie, ktorých zverejnenie by mohlo predstavovať primerane predvídateľné (a nie čisto hypotetické) riziko pre verejnú bezpečnosť.[8] Väčšina zápisníc je vypracovaná všeobecne a neobsahuje citlivé podrobnosti o konkrétnej operačnej práci príslušných vnútroštátnych orgánov špecializovaných na kybernetickú bezpečnosť. Okrem toho veľká časť zápisníc sa týka aktuálnych informácií od členských štátov o tom, ako transponovali dve príslušné smernice EÚ.[9] Zdá sa, že na tieto časti sa vzhľadom na uplynutie času nevzťahuje výnimka týkajúca sa verejnej bezpečnosti. Ombudsmanka napokon navrhla, aby sa identifikovali tri ďalšie dokumenty [10].

11. Ombudsmanka poznamenala, že Komisia sa vo svojom pôvodnom rozhodnutí o zamietnutí prístupu opierala o vnútorné pravidlá [11], v ktorých sa výslovne uvádza, že diskusie skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti by nemali byť prístupné verejnosti. Uviedla, že Komisia by mala pri posudzovaní žiadosti sťažovateľa o prístup verejnosti vychádzať z ustanovení nariadenia č. 1049/2001.

12. Ombudsmanka navrhla toto riešenie:

Komisia by mala prehodnotiť svoje stanovisko k žiadosti sťažovateľa s cieľom poskytnúť čo najširší prístup k dokumentom vrátane troch ďalších dokumentov, ktoré neboli identifikované v počiatočnej fáze [12].

13. V nadväznosti na návrh ombudsmanky na riešenie Komisia v auguste 2024 odpovedala na opakovanú žiadosť sťažovateľa. Komisia poskytla prístup k častiam 27 dokumentov: 24 zápisníc zo schôdzí určených v počiatočnej fáze a tri ďalšie zápisnice uvedené v návrhu riešenia, ktorý predložila ombudsmanka.

14. Komisia odmietla zverejniť určité časti dokumentov z dôvodu, že ich zverejnenie by ohrozilo ochranu verejného záujmu, pokiaľ ide o verejnú bezpečnosť. Tvrdila, že dokumenty obsahujú podrobné a citlivé informácie o kybernetickej bezpečnosti vrátane bezpečnostných opatrení prijatých v reakcii na konkrétne krízy a výmeny informácií medzi orgánmi pre kybernetickú bezpečnosť o potenciálnych rizikách a hrozbách. Podľa Komisie by zverejnenie týchto informácií ohrozilo verejnú bezpečnosť EÚ, pretože by verejnosti vrátane zlomyseľných skupín poskytlo užitočné informácie o kybernetickej bezpečnosti, čím by sa oslabila pripravenosť členských štátov. Komisia takisto upravila niektoré časti dokumentov, pretože aj keď sa informácie na prvý pohľad môžu zdať neškodné, mohli by potenciálnym páchateľom počítačovej kriminality poskytnúť cenné poznatky.

15. Komisia takisto upravila niektoré osobné údaje zamestnancov Komisie a členov iných orgánov. Komisia okrem toho informovala sťažovateľa, že usmernenia Komisie k smernici NIS (ktoré sťažovateľ požadoval vo svojej pôvodnej žiadosti) sú verejne dostupné na jej webovom sídle ^[13].

16. Po oneskorení Komisia prijala svoju odpoveď na návrh riešenia, ktorý predložila ombudsmanka, v októbri 2024.[14] Komisia sa domnievala, že splnila návrh ombudsmanky tým, že poskytla čo najširší prístup k dotknutým dokumentom, pričom zohľadnila riziká pre verejnú bezpečnosť, ktoré by širšie zverejnenie spôsobilo, ako sa podrobne vysvetľuje v potvrdzujúcom rozhodnutí.

17. Komisia nesúhlasila s názorom ombudsmanky uvedeným v návrhu riešenia, že sa zdá, že väčšina dokumentov neobsahuje žiadny citlivý obsah. Ako sa vysvetľuje v potvrdzujúcom rozhodnutí, časti dokumentov obsahujú stanoviská a názory členských štátov na súčasné a budúce opatrenia a diskusie na vnútroštátnej a cezhraničnej úrovni. Obsahujú aj informácie o incidentoch a iných opatreniach, ktoré sa uskutočňujú v členských štátoch. Odzrkadľujú diskusie o kybernetickej bezpečnosti v konkrétnych súvisiacich otázkach, ako sú voľby do Európskeho parlamentu v roku 2019, vykonávanie odporúčaní Komisie, súčasný stav a aktualizácie rôznych opatrení vrátane vykonávania odporúčaní skupiny, práca týkajúca sa siete jednotiek pre riešenie počítačových bezpečnostných incidentov (CSIRT) a stratégie kybernetickej bezpečnosti EÚ [15].

18. Komisia zastávala názor, že zverejnenie týchto častí dokumentov by ohrozilo ochranu verejnej bezpečnosti, pretože by širokej verejnosti vrátane zlomyseľných jednotlivcov alebo skupín poskytlo relevantné informácie o boji proti kybernetickým útokom. Komisia sa domnievala, že by sa tým členské štáty a Európa stali zraniteľnými voči bezpečnostným incidentom a hrozbám.

19. Komisia trvala na tom, aby sa v jej vnútorných pravidlách [16] stanovilo, že diskusie skupiny by nemali byť prístupné verejnosti. Komisia sa domnievala, že pri posudzovaní žiadosti o prístup verejnosti podľa nariadenia č. 1049/2001 nemohla ignorovať citlivú povahu činností uvedených v dokumentoch a účely spolupráce v tejto oblasti.

20. Celkovým poslaním skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti, ako sa stanovuje v smernici o sieťovej a informačnej bezpečnosti, je podporovať strategickú spoluprácu a výmenu informácií a posilňovať dôveru medzi členskými štátmi. Keďže kybernetickú bezpečnosť nemožno dosiahnuť bez spolupráce orgánov členských štátov, Komisia sa domnievala, že zverejnenie diskusií uvedených v požadovaných dokumentoch by ohrozilo dôveru a spoluprácu v oblasti kybernetickej bezpečnosti. Skutočnosť, že niektoré dokumenty pochádzajú z roku 2017, nemení úroveň rizika, ak by boli dokumenty zverejnené, pretože úzko súvisia so súčasnými diskusiami.

21. Komisia okrem toho nesúhlasila s názorom ombudsmanky, že časti dokumentov týkajúce sa aktualizácií transpozície smerníc NIS a NIS2 nie sú citlivé. Komisia tvrdila, že transpozícia smernice NIS2 stále prebieha. Okrem toho, zatiaľ čo transpozícia smernice NIS bola dokončená, diskusie zhrnuté v zápisnici sa týkajú rôznych opatrení, ktoré v tejto súvislosti prijali členské štáty, vrátane možností, ktoré neboli prijaté. Zverejnenie týchto častí dokumentov by malo negatívny vplyv na verejnú bezpečnosť, pokiaľ ide o opatrenia prijaté na vnútroštátnej úrovni. Postupom času sa nemení úroveň rizika, keďže opísané opatrenia sú stále relevantné pre boj proti počítačovej kriminalite.

Posúdenie ombudsmana po návrhu riešenia

22. Inštitúcie Únie disponujú širokou mierou voľnej úvahy pri určovaní, či by zverejnenie dokumentu ohrozilo ochranu verejného záujmu, pokiaľ ide o verejnú bezpečnosť. Stále však musia preukázať „konkrétne a skutočné riziko“, ktoré je primerane predvídateľné, a nie čisto hypotetické [17].

23. Komisia teraz poskytla čiastočný prístup k sporným dokumentom, čo ombudsmanka víta. Ombudsmanka tiež víta odôvodnenie Komisie, pokiaľ ide o zostávajúce úpravy.

24. Na základe poskytnutých vysvetlení sa ombudsmanka domnieva, že nebolo zjavne nesprávne, aby Komisia tvrdila, že niektoré diskusie o konkrétnych otázkach súvisiacich s kybernetickou bezpečnosťou, ako sú voľby do Európskeho parlamentu v roku 2019 alebo cvičenia kybernetickej pripravenosti (CyCLONe a Blue OLEx), obsahujú citlivé prvky, ktoré by mohli ohroziť verejnú bezpečnosť. Okrem toho sa úpravy osobných údajov javia ako primerané a sťažovateľ ich nespochybnil.

25. Ombudsmanka však poznamenáva, že Komisia odmietla prístup k celým oddielom týkajúcim sa zhrnutí diskusií medzi členmi skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti o prebiehajúcej práci.

26. Uskutočnená inšpekcia preukázala, že zhrnutia sú vypracované všeobecným spôsobom, v ktorom sa opisujú hlavné výzvy a príležitosti danej témy alebo možné zbližovania. Pre ombudsmana je ťažké pochopiť, ako by takéto všeobecné zhrnutia mohli ohroziť verejnú bezpečnosť, ak by boli zverejnené. Preto je ťažké pochopiť, ako a prečo by existovalo konkrétne a skutočné riziko pre verejnú bezpečnosť, ak by sa tieto časti dokumentov mali zverejniť.

27. Komisia tvrdila, že tieto časti dokumentov by mohli potenciálnym páchateľom počítačovej kriminality poskytnúť cenné informácie, ak by boli zverejnené. Toto vysvetlenie je však v rozpore so skutočnosťou, že niektoré upravené časti obsahujú informácie, ktoré sú už verejne dostupné.

28. Ombudsmanka sa preto domnieva, že Komisia mohla lepšie odôvodniť niektoré úpravy, najmä tie, ktoré sa týkajú všeobecných zhrnutí diskusií skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti. Vzhľadom na to, že Komisia teraz poskytla čiastočný prístup k zápisnici zo zasadnutia a sťažovateľ nepredložil ďalšie pripomienky k odpovedi Komisie, ombudsmanka sa domnieva, že ďalšie vyšetrovanie v tejto veci nie je opodstatnené.

29. Ombudsman poznamenáva, že v pôvodnom rozhodnutí o zamietnutí prístupu sa Komisia pri zamietnutí prístupu k dokumentom v celom rozsahu opierala o vnútorné pravidlá [18]. V odpovedi na návrh riešenia, ktorý predložila ombudsmanka, Komisia vysvetlila, že svoje posúdenie žiadosti o prístup verejnosti založila na nariadení č. 1049/2001, ale že nemôže ignorovať citlivý charakter diskusií skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti, pričom tvrdila, že v interných pravidlách sa stanovuje, že diskusie nie sú prístupné verejnosti. Ombudsmanka je presvedčená, že v tomto prípade bolo posúdenie Komisie v súlade s ustanoveniami nariadenia č. 1049/2001 a že Komisia uznáva, že vnútorné pravidlá uplatňované v tomto prípade nemožno v žiadnom prípade vykladať ako nepriamu domnienku nezverejnenia alebo dokonca ako dôvod na zamietnutie prístupu verejnosti. Ombudsmanka preto víta objasnenie Komisie, že žiadosti verejnosti o prístup k dokumentom týkajúcim sa zasadnutí skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti by sa mali zakladať len na ustanoveniach uvedených v nariadení č. 1049/2001 [19].

30. Ombudsmanka je znepokojená vážnym oneskorením odpovede na žiadosť sťažovateľa o prístup v tomto prípade. Podľa nariadenia č. 1049/2001 by inštitúcia EÚ mala do 15 pracovných dní od registrácie opakovanej žiadosti buď udeliť prístup k požadovanému dokumentu, alebo v písomnej odpovedi uviesť dôvody úplného alebo čiastočného zamietnutia. Lehota 15 pracovných dní sa môže vo výnimočných prípadoch predĺžiť o ďalších 15 pracovných dní [20].

31. V tomto prípade trvalo Komisii takmer jedenásť mesiacov, kým prijala rozhodnutie o opakovanej žiadosti sťažovateľa.

32. Ombudsmanka už naliehala na Komisiu, aby riešila systémové oneskorenia v tejto oblasti a dodržiavala lehoty stanovené v nariadení č. 1049/2001 [21].

33. Ombudsmanka vyjadruje poľutovanie nad značným oneskorením, ktoré Komisii vzniklo pri odpovedi na žiadosť sťažovateľa, a opäť naliehavo vyzýva Komisiu, aby sa zaoberala otázkou oneskorení v tejto oblasti.

Závery

Na základe vyšetrovania ombudsmanka uzatvára tento prípad s týmito závermi:

Keďže Komisia teraz poskytla širší prístup k predmetným dokumentom, ombudsmanka sa domnieva, že návrh riešenia bol čiastočne prijatý, a prípad uzatvára.

Ombudsmanka vyjadruje poľutovanie nad značným oneskorením, ktoré Komisii vzniklo pri odpovedi na žiadosť sťažovateľa. Jasným nedodržaním lehôt stanovených normotvorcom v nariadení č. 1049/2001 nemôže byť riadna správa vecí verejných.

Sťažovateľ a Komisia budú o tomto rozhodnutí informovaní.

Teresa Anjinho
európska ombudsmanka

Štrasburg, 14. apríla 2025

[1] Skupina bola zriadená na základe smernice (EÚ) 2016/1148 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii (smernica NIS), ktorá je k dispozícii na adrese: https://eur-lex.europa.eu/eli/dir/2016/1148/oj/eng.

[2] Ďalšie informácie sú k dispozícii na adrese: https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group

[3] Podľa pravidiel stanovených v nariadení Európskeho parlamentu a Rady (ES) č. 1049/2001 z 30. mája 2001 o prístupe verejnosti k dokumentom Európskeho parlamentu, Rady a Komisie, k dispozícii na adrese: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[4] Odôvodnenia 20 a 21, ako aj článok 4 smernice NIS2, k dispozícii na adrese: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555

[5] Pozri https://digital-strategy.ec.europa.eu/en/library/nis-cooperation-group-meetings-agendas.

[6] Článok 4 ods. 1 písm. a) prvá zarážka nariadenia č. 1049/2001.

[7] Vyšetrovanie ombudsmana sa týkalo len zápisnice zo zasadnutia, keďže sťažovateľ nespochybnil, ako Komisia vybavila ostatné aspekty jeho pôvodnej žiadosti (ktorá sa týkala programov zasadnutí a usmernení a usmerňujúcich poznámok).

[8] Pozri rozsudok Súdneho dvora z 3. júla 2014 vo veci C-350/12 P, Rada/in 't Veld, body 52 a 64, k dispozícii na adrese: https://curia.europa.eu/juris/liste.jsf?num=C-350/12

[9] Smernica (EÚ) 2016/1148 a smernica (EÚ) 2018/1972, v uvedenom poradí smernica NIS a smernica NIS 2, pozri poznámky pod čiarou č. 1 a 4.

[10] Zápisnica zo 16., 17. a 27. zasadnutia skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti, keďže tieto zasadnutia sú uvedené na webovom sídle Komisie so zoznamom programov všetkých zasadnutí skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti, ale Komisia ich vo svojej pôvodnej odpovedi sťažovateľovi neidentifikovala.

[11] Vykonávacie rozhodnutie Komisie (EÚ) 2017/179 z 1. februára 2017, ktorým sa stanovujú procesné opatrenia potrebné na fungovanie skupiny pre spoluprácu podľa článku 11 ods. 5 smernice Európskeho parlamentu a Rady (EÚ) 2016/1148 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii, dostupné na adrese https://eur-lex.europa.eu/eli/dec_impl/2017/179/oj/eng

[12] Úplné znenie návrhu riešenia, ktorý predložila ombudsmanka, je k dispozícii na adrese: https://www.ombudsman.europa.eu/solution/200856

[13] https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-34-directive-eu-20222555-nis-2-directive a https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-4-1-and-2-directive-eu-20222555-nis-2-directive

[14] Odpoveď Komisie je k dispozícii na adrese: https://www.ombudsman.europa.eu/doc/correspondence/200857

[15] https://digital-strategy.ec.europa.eu/en/policies/cybersecurity

[16] Článok 10 vykonávacieho rozhodnutia Komisie (EÚ) 2017/179 (pozri poznámku pod čiarou č. 11).

[17] Rozsudok Všeobecného súdu z 27. novembra 2019, Izuzquiza a Semsrott/Frontex, vec T-31/18, body 65 – 66: https://curia.europa.eu/juris/liste.jsf?num=T-31/18.

[18] Vykonávacie rozhodnutie Komisie (EÚ) 2017/179 (pozri poznámku pod čiarou č. 11).

[19] Všeobecný súd vo svojom rozsudku vo veci Pollinis objasnil, že vnútorný rokovací poriadok prijatý Komisiou pre konkrétne výbory nemá prednosť pred nariadením 1049/2001 o prístupe verejnosti k dokumentom EÚ, čo znamená, že tieto vnútorné pravidlá vo všeobecnosti nemôžu brániť zverejneniu jednotlivých pozícií členských štátov vyjadrených počas rokovaní o komitológii. Pozri rozsudok Všeobecného súdu zo 14. septembra 2022, Pollinis France/Európska komisia, spojené veci T‐371/20 a T‐554/20, bod 96, k dispozícii na adrese: https://curia.europa.eu/juris/liste.jsf?language=en&td=ALL&num=T-371/20

[20] Článok 8 nariadenia č. 1049/2001.

[21] Odporúčanie o čase, ktorý Európska komisia potrebuje na vybavenie žiadostí o prístup verejnosti k dokumentom (strategické vyšetrovanie OI/2/2022/OAM), k dispozícii na adrese: https://www.ombudsman.europa.eu/en/recommendation/en/167661.