Bästa ordförande!

Jag skriver för att söka en lösning på detta ärende ^[1], som grundar sig på ett klagomål som jag mottog den 30 januari 2024. Klaganden har väntat på ett svar på sin bekräftande ansökan sedan den 30 november 2023.

Klaganden begärde allmänhetens tillgång till handlingar [2] rörande mötena i samarbetsgruppen för nät- och informationssystem som inrättats genom direktivet om nät- och informationssäkerhet [3], nämligen dagordningarna och protokollen från mötena.

Kommissionen identifierade 24 handlingar som omfattades av begäran, liksom alla dagordningar för möten. Kommissionen informerade klaganden om att mötesdagordningarna redan finns allmänt tillgängliga på kommissionens webbplats och vägrade att lämna ut de återstående 24 handlingarna i deras helhet, med motiveringen att ett utlämnande skulle undergräva skyddet för den allmänna säkerheten.

Mitt kontor inledde en undersökning av detta klagomål och bad, mot bakgrund av den pågående förseningen, kommissionen att förse min utredningsgrupp med kopior av de omtvistade handlingarna.

Efter inspektionen av handlingarna anser jag att kommissionen borde ha beviljat omfattande partiell tillgång till handlingarna.

För det första har EU-institutionerna ett stort utrymme för skönsmässig bedömning när de beslutar om vad skyddet för den allmänna säkerheten kräver när det gäller utlämnande av handlingar, men de är fortfarande skyldiga att visa att det föreligger en risk för den allmänna säkerheten som rimligen kan förutses och inte är rent hypotetisk.[4] Den inspektion som genomförts av min utredningsgrupp tyder på att så inte är fallet. De granskade handlingarna [5] verkar i mycket stor utsträckning inte innehålla något känsligt innehåll: Protokollen är avfattade i ganska allmänna ordalag och innehåller inga känsliga detaljer om NIS-myndigheternas konkreta operativa arbete. Känsligt innehåll eller känsliga presentationer verkar ha delats med medlemmarna i samarbetsgruppen för nät- och informationssäkerhet via en säker plattform (ReDACTED), och dokumenten innehåller endast otillgängliga länkar till den plattformen. Alla personuppgifter i dokumenten kan lätt redigeras.

Dessutom gäller en stor del av diskussionerna uppdateringar från medlemsstaterna om deras införlivande av det första NIS-direktivet, eller ståndpunkter om översynen av direktivet, eller uppdateringar om införlivandet av NIS 2-direktivet [6]. Med tanke på tidens gång är det svårt att se hur dessa aspekter kan anses vara känsliga och därmed omfattas av undantaget för allmän säkerhet.

För det andra har klaganden i sin bekräftande ansökan gjort gällande att kommissionen inte identifierade alla handlingar som omfattades av hans begäran. Han har särskilt gjort gällande att kommissionen borde ha identifierat (och gett tillgång till) protokollen från det 16:e, 17:e, 27:e och 28:e mötet, eftersom dessa möten återfinns på kommissionens webbplats med en förteckning över dagordningarna för alla möten i samarbetsgruppen för nät- och informationssäkerhet.

Efter min undersökningsgrupps inspektion av dessa fyra ytterligare handlingar anser jag att kommissionen faktiskt borde ha identifierat tre av dem och beviljat omfattande partiell tillgång till dem, av de skäl som anges ovan. Protokollet från det 28:e mötet färdigställdes efter det att klaganden hade lämnat in sin begäran och omfattas därför inte av dess tillämpningsområde.

Slutligen noterar jag att kommissionen i sitt ursprungliga beslut om avslag på ansökan om tillgång hävdade att det i kommissionens genomförandebeslut (EU) 2017/179 uttryckligen anges att gruppens diskussioner inte ska vara öppna för allmänheten. Såsom klaganden har påpekat fastställs dock i artikel 10.1 i samma genomförandebeslut att ”ansökningar som riktas till gruppen om tillgång till handlingar som rör dess verksamhet ska behandlas av kommissionen i enlighet med förordning (EG) nr 1049/2001.” och i artikel 10.3 att ”handlingar som lämnas till gruppens medlemmar, företrädare för tredje parter och experter får inte lämnas ut till allmänheten, såvida inte tillgång beviljas till dessa handlingar i enlighet med punkt 1 eller de på annat sätt offentliggörs av kommissionen.” (vår understrykning) Jag är övertygad om att kommissionen håller med om att den bör grunda sin bedömning av klagandens ansökan om tillgång till handlingar på bestämmelserna i förordning 1049/2001.

Mot bakgrund av det ovan anförda föreslår jag följande lösning i förevarande mål:

Kommissionen bör ompröva sin ståndpunkt i fråga om klagandens begäran, i syfte att ge största möjliga tillgång till handlingarna, inbegripet de tre ytterligare handlingar som inte identifierades i det inledande skedet [7].

Jag vore tacksam om Ni kunde svara på mitt förslag inom tre månader, dvs. senast den 21 juni 2024.

I detta skede är lösningsförslaget och dess åtföljande bilaga konfidentiella. Min utredningsgrupp har dock informerat klaganden om min avsikt att söka en lösning i detta fall.^[8] Observera att vår sedvanliga praxis är att skicka en kopia av lösningsförslaget till klaganden för synpunkter, tillsammans med en kopia av institutionens svar på det, när vi har mottagit det svaret. Jag skulle därför vilja be kommissionen att informera oss om någon information i lösningsförslaget, eller i dess svar, inte bör delas med klaganden.^[9] Eftersom klagomålet är på franska skulle jag dessutom vara tacksam om kommissionen kunde utarbeta sitt svar på franska.

Med vänliga hälsningar,

Emily O'Reilly
Europeiska ombudsmannen

Strasbourg den 21 mars 2024

[1] I enlighet med artikel 2.10 i Europeiska ombudsmannens stadga (förordning 2021/1163 av den 24 juni 2021 om föreskrifter och allmänna villkor för ombudsmannens ämbetsutövning) finns på https://www.ombudsman.europa.eu/en/legal-basis/statute/en.

[2] Enligt bestämmelserna i Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar, som finns på https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX%3A32001R1049

[3] Artikel 11 i Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen, finns på https://eur-lex.europa.eu/eli/dir/2016/1148/oj

[4] Se domstolens dom av den 3 juli 2014 i mål C-350/12 P, rådet mot in 't Veld, punkterna 52 och 64, som finns på https://curia.europa.eu/juris/liste.jsf?num=C-350/12

[5] Min utredningsgrupp identifierade dock flera dokument där vissa diskussionspunkter kunde avslöja operativa detaljer. De rör bland annat kriget i Ukraina, hur medlemsstaterna tillämpar sanktioner och sanktioner, specifika tredjeländers verksamhet, scenarier för storskaliga attacker mot energisektorn eller medlemsstaternas presentationer om den senaste tidens större cyberattacker (dokumenten 9, 13, 17, 20 och 21).

[6] Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148, finns på https://eur-lex.europa.eu/eli/dir/2022/2555/oj

[7] Protokollen från de 16:e, 17:e och 27:e mötena i samarbetsgruppen för nät- och informationssäkerhet.

[8] I enlighet med artikel 2.10 i ombudsmannens stadga.

[9] Om du vill lämna in handlingar eller uppgifter som du anser vara konfidentiella och som inte bör lämnas ut till den klagande, markera dem med ”Konfidentiellt”. Krypterade e-postmeddelanden kan skickas till vår dedikerade brevlåda. Information och handlingar av detta slag kommer att raderas från Europeiska ombudsmannens akter kort efter det att undersökningen har avslutats.