Bakgrund till klagomålet

1. I april 2018 begärde klaganden allmänhetens tillgång till Europeiska kommissionens internrevisionsrapport om ändamålsenligheten i åtgärderna för att hantera manuella ingripanden i kommissionens system för periodiserad redovisning (ABAC) och till tillhörande handlingar.

2. Kommissionen vägrade att ge tillgång till alla de handlingar som den hade konstaterat omfattades av klagandens begäran.

3. Klaganden begärde en översyn av detta beslut (hon lämnade in en så kallad bekräftande ansökan) i juni 2018.

4. Kommissionen förlängde den föreskrivna tidsfristen för sitt svar och informerade klaganden i juli 2018, strax innan den förlängda tidsfristen löpte ut, om att den inte skulle kunna hålla den förlängda tidsfristen. Det angavs inte när klaganden kunde förvänta sig att få ett svar.

5. Eftersom klaganden inte hade fått något svar i sak vände han sig till ombudsmannen i oktober 2018.

Utredningen

6. Ombudsmannen inledde en undersökning av kommissionens underlåtenhet att svara på klagandens begäran om översyn och bad kommissionen att svara.

7. Efter hennes inlägg och därefter en påminnelse mottog ombudsmannen kommissionens svar på klagandens begäran om omprövning och beviljade allmänheten partiell tillgång till tio handlingar [1]. Klaganden kommenterade därefter kommissionens svar.

8. Eftersom klaganden ifrågasatte om alla redigeringar som gjorts av kommissionen var motiverade beslutade ombudsmannen att även undersöka ärendet i sak.

9. I detta syfte granskade ombudsmannens undersökningsgrupp de begärda handlingarna och träffade företrädare för kommissionen för att få förtydliganden om sin ståndpunkt, som klaganden sedan kommenterade.

Argument som framförts till ombudsmannen

10. Kommissionen åberopade undantagen för att skydda det allmänna samhällsintresset i fråga om allmän säkerhet, en fysisk eller juridisk persons affärsintressen samt den enskildes privatliv och integritet [2]. Företaget hävdade att de begärda handlingarna innehåller uppgifter av organisatorisk, teknisk och riskrelaterad art, såsom namn på avdelningar och personer vars uppgifter har samband med kommissionens ABAC, den teknik och de instrument som används samt tekniska uppgifter om deras tillämpning och uppgifter om skyddsåtgärder och riskfaktorer för kommissionens ABAC. Om denna information lämnas ut skulle allmänheten få en övergripande förståelse av kommissionens finansiella system, inbegripet dess svagheter. Detta skulle avsevärt öka risken för en cyberattack. Ett sådant angrepp skulle kunna ha en negativ inverkan på stödmottagarnas och kommissionens andra avtalsparters kommersiella intressen, till exempel om känslig affärsinformation hackades. Det skulle också äventyra en av kommissionens huvuduppgifter, nämligen genomförandet av EU:s budget.

11. Klaganden godtog att vissa delar av handlingarna i princip måste redigeras för att förhindra cyberattacker mot kommissionens finansiella system. Hon var dock oroad över att de redigeringar som gjorts är överdrivna, eftersom de går utöver vad som är nödvändigt för att uppnå detta mål. Hon ansåg att kommissionen hade redigerat information som inte alls skulle underlätta cyberattacker, såsom antalet användare med privilegierade rättigheter, eller detaljer om de svagheter i systemet som hade identifierats i revisionsrapporten. Hon hävdade att eftersom revisionsrapporten är mer än två år gammal bör revisorernas rekommendationer som syftar till att åtgärda dessa brister genomföras nu och de identifierade riskerna bör inte längre vara verkliga. Klaganden hänvisade till två exempeldokument [3] och uppgav också att en del av den redigerade informationen redan var offentlig.

12. Kommissionen hävdade att även om liknande information som den i revisionsrapporten hade offentliggjorts någon annanstans, skulle det fortfarande vara nödvändigt att göra redigeringarna. Den uppgav att handlingarna var nya. Dessutom noterade den revisionsrapportens karaktär och höga grad av noggrannhet och tillförlitlighet, och betonade att risken för en cyberattack har ökat avsevärt under de senaste åren. Kommissionen sade att behovet av att skydda allmänintresset när det gäller allmän säkerhet och de kommersiella intressen som berörs har ökat. Dessutom finns det mer information som måste betraktas som känslig.

13.  När det gäller revisorernas rekommendationer för att åtgärda de identifierade bristerna sade kommissionen att riskreducerande åtgärder hade vidtagits för att sänka riskerna till en acceptabel nivå. Noll risk kan dock aldrig uppnås. Vissa av slutsatserna är således fortfarande mycket känsliga och ett utlämnande av dem skulle öka säkerhetsrisken för kommissionens finansiella system.

14. Klaganden hävdade att även om den information som redan är offentlig är jämförelsevis gammal är den fortfarande korrekt, eftersom kommissionen inte verkar ha ändrat sitt redovisningssystem sedan 2006. Klaganden lämnade dessutom in ytterligare handlingar som är offentliga och som enligt hennes uppfattning innehåller uppgifter som maskerats i de begärda handlingarna. Hon hävdade att EU-anställda är skyldiga att lämna ut information som redan är offentlig.

15. Slutligen hävdade klaganden att en av handlingarna, ett e-postmeddelande till Europaparlamentet, borde lämnas ut i sin helhet eftersom den inte hade markerats som konfidentiell vid den tidpunkt då den skickades.

16. Klaganden invände inte mot att personuppgifterna i de begärda handlingarna maskerades.

Ombudsmannens bedömning

17. Vid tillämpningen av undantagen i artikel 4.1 a i förordning (EG) nr 1049/2001, inbegripet undantaget för skydd av det allmänna samhällsintresset i fråga om allmän säkerhet, har institutionerna ett stort utrymme för skönsmässig bedömning [4]. Standarden på domstolarnas, och följaktligen ombudsmannens, kontroll ”måste begränsas till en kontroll av att förfarandereglerna och motiveringsskyldigheten har iakttagits, att de faktiska omständigheterna är materiellt riktiga, att bedömningen av dessa omständigheter inte är uppenbart oriktig och att det inte förekommit maktmissbruk”[5].

18. Kommissionen gav klaganden utförliga förklaringar till varför den har maskerat vissa uppgifter med hänvisning till undantaget för skydd av den allmänna säkerheten. Dessa förklaringar förefaller rimliga. Handlingarna innehåller mycket tekniska och detaljerade uppgifter om kommissionens redovisningssystem som, om de offentliggjordes, säkerligen skulle ge en bred förståelse av kommissionens finansiella system. Denna detaljerade kunskap skulle kunna underlätta cyberattacker. Kommissionen var därför berättigad att redigera den mer specifika informationen i dokumenten för att förhindra sådan brottslig verksamhet [6], samtidigt som den lämnade ut den mer allmänna informationen om sitt redovisningssystem.

19. Efter att ha granskat handlingarna är ombudsmannen övertygad om att alla redigeringar var nödvändiga. Även om en del av denna information kan finnas tillgänglig någon annanstans skulle det vara mycket användbart för dem som planerar en cyberattack att få bekräftelse på dess relevans och korrekthet från en revisionsrapport. Kommissionen hade således fog för att göra de berörda redigeringarna för att begränsa risken för en cyberattack mot sina system för finansiell kontroll.

20. När det gäller förseningen i detta fall anser ombudsmannen att den tid som har förflutit mellan utgången av den förlängda tidsfristen för kommissionens svar på klagandens bekräftande ansökan och beviljandet av partiell tillgång till de begärda handlingarna (nästan fyra månader) är oacceptabel. Kommissionen angav inte när den skulle försöka svara klaganden och när den slutligen svarade upprepade och utvecklade den huvudsakligen de argument som den redan hade framfört i sitt ursprungliga beslut. Ombudsmannen anser därför att denna försening utgjorde ett administrativt missförhållande. Ombudsmannen kommer dock inte att lämna någon rekommendation i detta avseende, eftersom detta inte skulle tjäna något syfte i detta skede.

Slutsats

På grundval av undersökningen avslutar ombudsmannen detta ärende med följande slutsatser:

Kommissionen har inte gjort sig skyldig till något administrativt missförhållande i sin delvisa vägran att ge allmänheten tillgång till handlingar.

Kommissionens betydande dröjsmål med att besvara klagandens begäran om översyn utgjorde ett administrativt missförhållande.

Klaganden och kommissionen kommer att underrättas om detta beslut.

Emily O'Reilly

Europeiska ombudsmannen

Strasbourg den 19 juni 2019

[1] Totalt sett identifierade kommissionen tolv handlingar, varav två redan var allmänt tillgängliga.

[2] I enlighet med artikel 4.1 a första strecksatsen, 4.2 första strecksatsen och 4.1 b i förordning (EG) nr 1049/2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar, som finns på https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32001R1049&from=EN.  

[3] Två exempel på texter om skydd av personuppgifter (dvs. anmälningar om skydd av personuppgifter från 2006).

[4] Tribunalens dom av den 11 juli 2018, ClientEarth/kommissionen, T-644/16, punkterna 23–25, http://curia.europa.eu/juris/document/document.jsf?text=&docid=203913&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=6019725..

[5] ibidem, punkt 25.

[6] Förstainstansrättens dom av den 17 juni 1998, Svenska Journalistförbundet mot rådet, T-174/95, http://curia.europa.eu/juris/document/document.jsf?text=&docid=43954&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=6016433.