Bästa ordförande!

Jag skriver för att dela med mig av mina preliminära synpunkter i detta mål och för att klargöra ett antal frågor som har uppstått.

Ärendet rör Europeiska kommissionens vägran att ge allmänheten tillgång till 2023 års riskbedömningsrapport som utarbetats av leverantören av X, en mycket stor onlineplattform enligt rättsakten om digitala tjänster.

I det inledande skedet vägrade kommissionen att ge allmänheten tillgång på grund av behovet av att skydda den berörda plattformens kommersiella intressen. Klaganden bad sedan kommissionen att ompröva detta beslut och ifrågasatte den känsliga karaktären hos informationen i dokumentet. Han hävdade också att det finns ett övervägande allmänintresse av att veta vilka åtgärder plattformen vidtar för att hantera eventuella risker.

Kort därefter, i december 2023, inledde kommissionen [1] en formell granskning av plattformens efterlevnad av rättsakten om digitala tjänster. Kommissionen ansåg särskilt att plattformen inte omsorgsfullt hade bedömt vissa systemrisker i EU som härrörde från utformningen och driften av dess system eller från användningen av dess tjänster.

I juni 2024 antog kommissionen ett bekräftande beslut och vidhöll sitt avslag på ansökan om tillgång till den omtvistade rapporten. I samband med detta åberopade kommissionen också behovet av att skydda sin pågående utredning enligt rättsakten om digitala tjänster och hävdade att en allmän presumtion om konfidentialitet tillämpades och att de två undantagen för skydd av affärsintressen och för skydd av utredningar hade ett nära samband.

I sitt svar på klagomålet uppgav kommissionen också att de preliminära slutsatser som utfärdades sommaren 2024 endast gällde en del av dess utredning av rättsakten om digitala tjänster och att den återstående delen fortfarande befinner sig i ett tidigt skede. Dessutom är det oklart när utredningen kommer att slutföras. Kommissionen förklarade också att den berörda plattformen måste offentliggöra riskbedömningsrapporten i fråga senast den 27 november 2024 och ansåg att den inte kan offentliggöra (någon del av) rapporten innan denna tidsfrist löper ut.

På grundval av granskningen av den information som lämnats till min byrå och den omtvistade rapporten anser jag preliminärt att det är orimligt att tillämpa en allmän presumtion om sekretess på en riskbedömningsrapport som utarbetats i enlighet med artikel 34 i rättsakten om digitala tjänster.

Såsom kommissionen själv har medgett har det hittills inte fastställts i rättspraxis att en allmän presumtion kan tillämpas på handlingar som rör utredningar enligt artikel 66.1 i rättsakten om digitala tjänster. Relevant rättspraxis skulle därför i bästa fall kunna tillämpas analogt. De relevanta delar av rättsakten om digitala tjänster som är tillämpliga på riskbedömningsrapporter avviker dock avsevärt från de omständigheter under vilka unionsdomstolarna tidigare har fastställt möjligheten att använda en allmän presumtion.

Framför allt bygger rättspraxis om allmänna presumtioner till stor del på det faktum att de relevanta rättsliga ramarna föreskriver restriktiv tillgång till kommissionens administrativa akter och att ett utlämnande skulle undergräva syftet med dessa regler om privilegierad tillgång. Detsamma kan dock inte sägas om riskbedömningsrapporter enligt rättsakten om digitala tjänster.

Närmare bestämt måste plattformen själv, såsom kommissionen har medgett, göra riskbedömningsrapporter tillgängliga för allmänheten. Även om rättsakten om digitala tjänster tillåter [2] att viss information undanhålls när plattformen offentliggör rapporten, med tanke på skyldigheten att offentliggöra, förefaller det inte rimligt av denna bestämmelse att riskbedömningsrapporter skulle innehålla känslig information genomgående.

Dessutom börjar tidsfristen för offentliggörande av rapporten löpa oberoende av om en utredning enligt artikel 66.1 i rättsakten om digitala tjänster har inletts eller pågår. Den berörda plattformen är snarare enligt lag skyldig att offentliggöra rapporten även om en utredning har inletts eller inte har slutförts inom tidsfristen för offentliggörande. I så fall löper tidsfristen för offentliggörande ut den 27 november 2024. På grundval av de uppgifter som kommissionen har lämnat förefaller det dock omöjligt att dess undersökning kommer att ha slutförts vid den tidpunkten. Eftersom rättsakten om digitala tjänster inte föreskriver ett tillfälligt upphävande eller en förlängning av den relevanta tidsfristen i fall där det pågår en utredning, förefaller det orimligt att riskbedömningsrapporter måste hållas inne i sin helhet medan en utredning enligt artikel 66.1 i rättsakten om digitala tjänster pågår.

Av samma skäl kan den omständigheten att de berörda parternas rätt till försvar omfattar rätten att få tillgång till kommissionens handlingar i ärendet inte rimligen förstås som ett förbud mot att offentliggöra riskbedömningsrapporten.

När det gäller kravet på tystnadsplikt i artikel 84 i rättsakten om digitala tjänster noterar jag att detta endast omfattar känsliga uppgifter. Detta innebär dock inte att all information som kommissionen erhåller enligt rättsakten om digitala tjänster i sig bör betraktas som konfidentiell.

På grundval av detta är jag inte övertygad om att kommissionen hade fog för att tillämpa en allmän presumtion om sekretess på den aktuella riskbedömningsrapporten, en handling som de medlagstiftare som fastställts bör delas med allmänheten, och det är min preliminära uppfattning att detta utgjorde ett administrativt missförhållande.

Jag anser följaktligen att kommissionen borde ha bedömt innehållet i rapporten för att avgöra huruvida allmänhetens tillgång, inbegripet partiell tillgång, kan ges. I detta syfte skulle kommissionen ha kunnat samråda med den berörda plattformen för att inhämta dess synpunkter på i vilken utsträckning den skulle kunna betrakta rapporten som kommersiellt känslig.

Dessutom anser jag inte att den nära förestående utgången av tidsfristen för plattformen att offentliggöra rapporten gör kommissionens bedömning i detta skede föråldrad. Även om plattformen offentliggör rapporten inom den föreskrivna tidsfristen kommer den inte att göra samma bedömning när det gäller proaktivt offentliggörande som kommissionen när den besvarar en begäran om allmänhetens tillgång till handlingar enligt förordning (EG) nr 1049/2001. I detta sammanhang kan plattformens syn på i vilken utsträckning rapporten bör lämnas ut till allmänheten skilja sig från kommissionens ståndpunkt efter en bedömning enligt förordning 1049/2001.

Jag uppskattar dock att rättsakten om digitala tjänster är en relativt ny ram som ger upphov till rättsliga frågor som ännu inte har diskuterats. Därför vore jag tacksam om kommissionen också kunde besvara följande frågor:

1. Övervakar kommissionen (eller någon annan enhet) att mycket stora onlineplattformar offentliggör riskbedömningsrapporter i tid? Om ja, vilka åtgärder vidtas om en plattform inte offentliggör rapporten i tid?

2. Om en mycket stor onlineoperatör undanhåller delar av en riskbedömningsrapport när den offentliggör den, bedömer kommissionen om redigeringarna är förenliga med artikel 42.5 i rättsakten om digitala tjänster? Om ja, vilka blir konsekvenserna om den anser att de redigeringar som görs av plattformen är överdrivna?

3. Hur förstår kommissionen i allmänhet förhållandet mellan proaktiv och reaktiv insyn i riskbedömningsrapporter enligt rättsakten om digitala tjänster?

4. Hur tolkar kommissionen artikel 42.5 i rättsakten om digitala tjänster mot bakgrund av förordning 1049/2001 och undantagen i artikel 4 i den förordningen?

Jag vore tacksam för kommissionens svar på mina preliminära synpunkter och frågor senast den 17 februari 2025 [3].

Slutligen vore jag tacksam om kommissionen kunde informera mitt kontor om den anser att någon information i denna skrivelse är konfidentiell, om möjligt senast den 22 november 2024. Om kommissionen bekräftar att skrivelsen inte innehåller några konfidentiella uppgifter avser jag att dela den med klaganden och offentliggöra den på ombudsmannens webbplats.

Med vänliga hälsningar,

Emily O'Reilly
Europeiska ombudsmannen

Strasbourg den 15 november 2024

[1] I enlighet med artikel 66.1 i rättsakten om digitala tjänster.

[2] Artikel 42.5 i rättsakten om digitala tjänster.

[3] Om du vill lämna in handlingar eller uppgifter som du anser vara konfidentiella och som inte bör lämnas ut till klaganden, markera dem som ”konfidentiella”. Krypterade e-postmeddelanden kan skickas till vår dedikerade brevlåda.