KAMMARRÄTTEN I GÖTEBORG Avdelning 1 KLAGANDE SamresAB,556433-7417 Sida1 (9) Mål nr3931-13 DOM 2014 -01- 2 8 Meddelad i Göteborg KONKURRENSVERKET 20!4 -01- 2 9 j,.,,5· Avd Ombud: Advokat Kristian Pedersen, advokat Erik Woodcock, jur. kand. Erik Olsson och chefsjurist Pär C ronhult Advokatfirman Delphi KB Box 1432 111 84 Stockholm MOTPART Västtrafik AB, 556558-5873 Ombud: Advokaterna Anders Nilsson, Henrik Seeliger och Lars B Melin Advokatfirman Lindahl KB Box11911 404 39 Göteborg ÖVERKLAGAT AVGÖRANDE Förvaltningsrätten i Göteborgs dom den 10 oktober 2012 i mål nr 10211-12 , se bilaga A SAKEN Offentlig upphandling KAMMARRÄTTENS AVGÖRANDE Kammarrätten avslår överklagandet. Kammarrättens interimistiska beslut den 25 juni 2013 upphör därmed att gälla. Dnr KSnr Aktbil Dok.Id 268008 Postadress Box 1531 401 50 Göteborg Besöksadress Stora Nygatan 21 Telefon Telefax 031-732 74 00 031-732 76 00 E-post: kammarratten.goteborg@dom.se www.kammarratten.goteborg.se Expeditionstid måndag - fredag 08:00-16:00 (, KAMMARRÄTTEN I DOM Sida2 GÖTEBORG Mål nr 3931-13 YRKANDEN M.M. Samres AB yrkar att upphandlingen f'ar avslutas först sedan rättelse har gjorts. Västtrafik AB anser att överklagandet ska avslås. SKÄLEN FÖR KAMMARRÄTTENS AVGÖRANDE Bakgrund Västtrafik upphandlar Beställningscentraltjänst och kundservice 1:a linje. Beställningscentralen hanterar beställningar av anropsstyrda resor så som sjukresor och färdtjänst. I uppdraget ligger att leverantören för Västtrafiks räkning ska hantera stora mängder personuppgifter, t.ex. uppgifter om namn, adresser, personnummer samt sjukdoms- och hälsotillstånd. Västtrafik ställer i upphandlingen krav på att personuppgifter endast får överföras till tredje land om landet har tillträtt Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter, förkortad Dataskyddskonventionen, eller av EU-kommissionen har bedömts ha en adekvat skyddsnivå för personuppgifter. Med tredje land avses stat som inte ingår i EU eller är ansluten till EES. Samres, som har delar av sin verksamhet förlagd till Senegal, har begärt överprövning av upphandlingen. Enligt 33 § första stycket personuppgiftslagen (1998:204),förkortad PUL, är det förbjudet att till tredje land föra över perso�uppgifter som är under behandling om landet inte har en adekvat nivå för,�kyddet av personupp­ gifterna. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Enligt bestämmelsens andra stycke ska frågan om en skydds­ nivå är adekvat bedömas med hänsyn till samtliga omständigheter som har }v\MMARRÄTTEN I GÖTEBORG DOM Sida3 Mål nr 3931-13 samband med överföringen. Särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungs­ landet, det slutliga bestämmelselandet och de regler som finns för behand­ lingen i det tredje landet (jfr artikel25.1 och2 i Europaparlamentets och rådets direktiv95/46/ EG, förkortat dataskyddsdirektivet). Av 34 § andra stycket PU L följer att det är tillåtet att föra över person­ uppgifter för användning enbart i en stat som har anslutit sig till Dataskyddskonventionen. Enligt13 § första stycket1 och2 personuppgiftsförordningen (1998:1191) får personuppgifter föras över till tredje land om och i den utsträckning EU­ kommissionen har konstaterat att landet har en adekvat nivå för skyddet av personuppgifter i enlighet med artikel 25.6 i dataskyddsdirektivet, eller om personuppgifterna förs över med tillämpning av ett avtal som innehåller sådana standardavtalsklausuler som kommissionen enligt artikel26.4 i data­ skyddsdirektivet har beslutat erbjuder tillräckliga garantier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas samt för utövningen av motsvarande rättigheter. Frågorna i målet och parternas uppfattningar Västtrafiks villkor för upphandlingen - att personuppgifter endast får överföras till tredje land som godkänts av EU-kommissionen eller som anslutit sig till Dataskyddskonventionen - begränsar möjligheterna att överföra personuppgifter till tredje land i förhållande till vad som gäller enligt PU L och dataskyddsdirektivet. Frågorna i målet är om Västtrafik som upphandlande myndighet kan ställa högre krav än de som följer av EU-rätten och om de krav som ställs i den aktuella upphandlingen i så fall är oproportionerliga. Kt\MMARRÄTTEN I GÖTEBORG DOM Sida 4 Mål nr3931-13 Samres menar att Västtrafik, som del av staten i EU-rättslig mening, inte kan bortse från skyldigheten enligt dataskyddsdirektivet och PU L att acceptera överföring med stöd av standardavtalsklausuler eller att göra en självständig bedömning av om det tredje landet har en adekvat nivå för skyddet av personuppgifter. Enligt Samres är dataskyddsdirektivet ett "totalharmoniseringsdirektiv" och det är därmed inte möjligt att i en upp­ handling kräva ett mer långtgående skydd. Samres menar också att kravet är oproportionerligt. Västtrafik anser att det inte finns något generellt hinder mot att en upp­ handlande myndighet vid en offentlig upphandling uppställer krav på en produkt eller tjänst som är mer långtgående än vad som följer av tillämplig unionslagstiftning. Detta gäller oavsett om regleringen är helt harmoniserad eller inte. Västtrafik anser också att det uppställda kravet är proportionerligt. Kan Västtrafik ställa högre krav än EU-rätten? Dataskyddsdirektivet avser att säkerställa det fria flödet av personuppgifter och att samtidigt garantera en hög skyddsnivå för rättigheter och intressen för de personer som dessa uppgifter avser. Direktivet innebär i princip en fullständig harmonisering på området (jfr EU-domstolens avgöranden i mål nrC-101/01 p.96 ochförenademålenC-468/10 ochC-469/10 p.29). Att EU-regleringen på ett område är helt harmoniserad innebär att en enskild medlemsstat i sin lagstiftning inte kan upprätthålla mer långtgående krav än vad som följer av unionsrätten. Däremot finns det enligt kammar­ rättens bedömning inte något generellt förbud mot att en upphandlande myndighet vid offentlig upphandling ställer upp krav på den produkt/ tjänst som ska upphandlas eller utförandevillkor som är �er långtgående än vad som följer av tillämplig unionslagstiftning, oavsett ?m regleringen är helt harmoniserad eller inte (jfr Kammarrättens i Stockholm dom i mål nr2841-11_samt SOU 2013:12 s.391 och392). KAMMARRÄTTEN I GÖTEBORG DOM SidaS Mål nr 3931-13 Västtrafik har således rätt att ställa högre krav på den tjänst som ska upp­ handlas än vad som följer av EU- rätten på området. Kravet måste dock vara kopplat till det som ska upphandlas och får inte strida mot de grundläggande upphandlingsrättsliga principerna, varav en är proportionalitetsprincipen Gfr RÅ2010 ref. 78). En proportionalitetsbedömning i tre steg Frågan är då om Västtrafiks krav på att personuppgifter endast får göras tillgängliga i tredje land som har tillträtt Dataskyddskonventionen eller som av EU-kommissionen bedömts ha en adekvat skyddsnivå är oproportioner­ ligt i förhållande till villkorets syfte. Västtrafik har formulerat syftet som att få högsta möjliga skyddsnivå för de aktuella personuppgifterna. Med hänsyn till hur Västtrafik i övrigt utformat sin talan framgår att syftet är att skyddsnivån ska bli tillräckligt hög för de personuppgifter som är i fråga och att det ska vara möjligt att göra en rationell prövning av skyddsnivån inom ramen för upphandlingen. Som skäl för den åsyftade skyddsnivån hänvisar Västtrafik till att det handlar om känsliga uppgifter och att Västtrafik inte ska riskera straff- eller skadeståndsansvar. Det finns inte skäl att anta annat än att kravet verkligen ställts upp för att säkerställa skyddet för personuppgifter och inte i sig syftar till att begränsa kretsen av leveran­ törer, eller har andra syften som inte är förenliga med LOU . Av praxis följer att proportionalitetsprövningen ska göras i tre steg. För det första ska prövas om åtgärden är en lämplig och effektiv åtgärd för att uppnå det eftersträvade syftet. För det andra ska prövas om åtgärden är nödvändig för att uppnå det eftersträvade syftet, såtillvida att det inte finns något mindre ingripande alternativ. För det tredje ska prövas om den negativa effekt som kravet får på det intresse eller den rättighet som kravet inskränker är oproportionerlig eller överdriven jämfört med det efter­ strävade syftet. KAMMARRÄTTEN I DOM Sida6 GÖTEBORG Mål nr3931-13 Lämplig och effektiv åtgärd? Västtrafiks krav för överföring av personuppgifter till tredje land är enligt kammarrättens bedömning en lämplig och effektiv åtgärd för att uppnå det angivna syftet. Kan syftet uppnås genom en mindre ingripande åtgärd? Den aktuella upphandlingen förutsätter att en stor mängd personuppgifter som kan vara av mycket känslig natur behandlas av leverantören. Det är därför enligt kammarrättens bedömning befogat att kräva en hög skyddsnivå för uppgifterna. Samres har ingen invändning mot skyddsnivån som sådan, men anser att standardavtalsklausuler ger en lika hög skyddsnivå som Dataskyddskon­ ventionen och EU-kommissionens godkännande. Västtrafik anser att den höga skyddsnivå som krävs inte kan garanteras enbart på avtalsrättslig grund. I denna del hänvisar Västtrafik till Kammar­ rätten i Stockholms dom i mål nr 89 72-12 enligt vilken Dataskyddskon­ ventionen, till skillnad från standardavtalsklausulerna, ställer upp långt­ gående krav på nationell lagstiftning med sanktioner och rättsmedel samt oberoende granskningsmyndigheter. Enligt kammarrättens mening finns det väsentliga skillnader i skyddsnivå mellan å ena sidan ett avtalsrättsligt grundat skydd med skadestånd som sanktion och å andra sidan ett offentligrättsligt grundat skydd i ett land som prövats och godkänts av EU-kommissionen eller som anslutit sig till Dataskyddskonventionen. Vilka möjligheter det i praktiken finns att upp­ rätthålla ett avtalsrättsligt grundat skydd är bl.a. be�oende av tillgången till effektiva rättsmedel i det aktuella landet. Tillämpni�gen av standardavtals­ klausuler ger därför inte motsvarande skyddsnivå som den som följer av Västtrafiks krav. I förhållande till standardavtalsklausuler får därmed KAMMARRÄTTEN I DOM Sida 7 GÖTEBORG Mål nr 3931-13 åtgärden att ställa högre krav anses nödvändig för att uppnå det eftersträ­ vade syftet. Samres anser vidare att det är tillräckligt att ställa krav på att en leverantör ska kunna visa att det land till vilket personuppgifter ska överföras har en tillräcklig skyddsnivå, i vart fall i kombination med standardavtalsklausuler. Bolaget menar att Västtrafiks förbud mot vissa bevismedel urskillningslöst utesluter en rad länder och sätt att behandla personuppgifter som mycket väl hade kunnat uppfylla det föreskrivna syftet. Västtrafik invänder att de ställda kraven är nödvändiga då det inte är möjligt för upphandlande myndighet att göra en individuell bedömning av varje enskilt lands nationella lagar, regler och kontrollmöjligheter. Västtrafik uppger att för det fall en upphandlande myndighet felaktigt skulle göra bedömningen att adekvat skyddsnivå föreligger i ett tredje land och därmed tillåta överföring av personuppgifter kan såväl straffansvar som skade­ ståndsskyldighet aktualiseras. Vid bedömningen av om det eftersträvade syftet kan uppnås genom att leverantörerna fritt får föra bevisning om standarden på skyddet för person­ uppgifter i tredje land bör man enligt kammarrättens mening ta stor hänsyn till vilka konsekvenser en sådan ordning får för upphandlande myndigheter. Det kan vara mycket svårt för den personuppgiftsansvarige att på förhand avgöra om ett tredje land har adekvat skyddsnivå och således om en överfö­ ring är tillåten eller inte. En samlad bedömning ska göras varvid särskild vikt ska läggas bl.a. vid de regler för behandlingen som finns i det tredje landet. Härmed avses inte bara landets lagstiftning som sådan utan även den faktiska efterlevnaden av reglerna (prop. 1999/2000:11 s. 20). Det säger sig självt att det i ett upphandlingsförfarande är svårt för den upphandlande myndigheten att värdera den information som leverantören presenterar om förhållandena i det tredje landet. Inom ramen för en och samma upphand- �MARRÄTTEN I DOM Sida 8 GÖTEBORG Mål nr 3931-13 ling kan det också bli fråga om att pröva om ett stort antal länder har en adekvat skyddsnivå för personuppgifter. Det skulle innebära tidskrävande bedömningar och en risk för att på felaktiga grunder acceptera överföring till ett land som senare visar sig inte ha en adekvat skyddsnivå. Enligt dataskyddsdirektivet ska medlemsstaterna visserligen tillåta överfö­ ring av uppgifter till tredje land med stöd av den personuppgiftsansvariges egen bedömning av landets skyddsnivå. Det bör dock hållas i minnet att det som medlemsstaterna ska tillhandahålla är en möjlighet och inte en skyldig­ het att ta den risk som är förenad med bedömningen. Den personuppgifts­ ansvarige kan avstå från att göra egen bedömning och endast acceptera överföring till tredje land som godkänts av EU-kommissionen eller som har anslutit sig till Dataskyddskonventionen. EU-kommissionens prövning och det ramverk som finns för denna får anses innebära mindre risker för att personuppgifterna hanteras på ett felaktigt sätt än vad som gäller i ett land som inte är godkänt. Motsvarande bör gälla för överföring till ett land som anslutit sig till dataskyddskonventionen (jfr prop. 1997/98:44 s. 97). I förevarande fall är det fråga om behandling av en stor mängd personupp­ gifter som kan vara av mycket känslig natur. Med hänsyn härtill och särskilt med beaktande av den personuppgiftsansvariges ansvar för behandlingen av uppgifterna är det inte rimligt att den upphandlande myndigheten tvingas göra en egen bedömning av ett tredje lands skyddsnivå. Västtrafiks krav får därför anses nödvändigt för att uppnå det eftersträvade syftet. Oproportionerlig eller överdriven effekt? Frågan är då om den negativa effekt som Västtrafiks krav får på det intresse eller den rättighet som kravet inskränker är oproportionerlig eller överdriven jämfört med det eftersträvade syftet. Kravet innebär visserligen en begränsning i anbudsgivarnas möjligheter att överföra personuppgifter till tredje land. Kravet utesluter dock inte per KAMMARRÄTTEN I DOM Sida9 GÖTEBORG Mål nr 3931-13 automatik någon leverantör från att ge in anbud. Med hänsyn till att det finns goda skäl för en hög skyddsnivå för de aktuella personuppgifterna och till att Västtrafik vid en felaktig bedömning riskerar straff- och skadestånds­ ansvar finner kammarrätten att de negativa effekterna inte är oproportioner­ liga. Sammanfattning Kammarrättens bedömning är att Västtrafik har rätt att ställa högre krav på behandlingen av personuppgifter än vad som följer av EU-rätten. Kravet att personuppgifter inte får överföras till andra tredje länder än sådana som är anslutna till Dataskyddskonventionen eller godkända av kommissionen strider inte mot proportionalitetsprincipen. Det som Samres anfört utgör således inte grund för ingripande enligt LOU , varför överklagandet ska avslås. HU R MAN ÖVERKLAGAR, se bilaga B (formulär 1). Möjligheten till domstolsprövning kan påverkas av händelser som inträffar inom den i bilagan angivna överklagandetiden tre veckor, se 16 kap. LOU . Åsa Ståhl referent Anders Bengtsson / Marie Andersson FÖRVALTNJNGSRÄTTEN DOM i»�� 10211-12 E Enhet2 :6 Sida1 (8) I GÖTEBORG Avdelning2 SÖKANDE Samres AB, 556433-7417 Kyrkogatan19 222 22 Lund MOTPART 2012-10-10 Meddelad i Göteborg Västtrafik AB, 556558-5873 Box123 541 23 Skövde Ombud: Advokat Henrik Seeliger Advokatfirman Lindahl KB Mäster Samuelsgatan20 10139 Stockholm SAKEN Överprövning enligt lagen (2007:1091) om offentlig upphandling, LOU DOMSLUT Förvaltningsrätten avslår ansökan. Dok.Id 166715 Sida 2 FÖRVALTNINGSRÄTTEN DOM 10211-12 E I GÖTEBORG Avdelning2 BAKGRUND Västtrafik AB (Västtrafik) inbjöd.den12 mars2012 leverantörer att lämna in ansökan om deltagande i anbudsgivningen avseende Västtrafiks upp­ handling av Beställningscentraltjänst och Kundservice1 :a (upphandling­ en). Den 7 juni 2012 inbjöds sedan kvalificerade leverantörer att inkomma med anbud senast den20 augusti2012. Enligt bilaga.G till förfrågningsun­ derlaget "Avtal avseende hantering av personuppgifter" ska leverantören teckna ett separat avtal som reglerar hur personuppgifter rar hanteras. Detta avtal ska ingås mellan personuppgiftsansvarig, Västtrafik och personupp­ giftsbiträdet,leverantören. Avsektion5.5{hädanefterbenämntkravet) framgår följande. PuB (personuppgiftsbiträdet) får överföra personuppgifter som behandlas för PuA:s (personuppgiftsansvariges) räkning enligt Tjänsteavtalet till tredje land om aktuellt tredje land är anslutet till europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Anslutna länder framgår av bilaga till personuppgiftsförordning (1998:119). Överföring av personuppgifter till annat tredje land f'ar inte förekomma. Kravet utgör ett tilläggsvillkor som tillkom tillsammans med hela bilaga G den 7 augusti2012. Vid ansökan om överprövning hade ännu inget tilldel­ ningsbeslut meddelats. ANSÖKAN M.M. Samres AB (bolaget) ansöker om överprövning och yrkar på rättelse på så sätt att användning av standardavtalsklausuler tillåts. Bolaget anför bl.a. följande. Västtrafik publicerade den 7 augusti2012 en kompletterande bi­ laga som innehöll kravet. Från Västtrafiks svar på publika frågor den 7 augusti2012 framgår också att Västtrafik inte kommer att teckna avtal en­ ligt standardavtalsklausuler som godkänts av EU-kommissionen. I svar på publik fråga från den 25 juni 2012 svarade däremot Västtrafik att det inte skulle komma att ställas några krav på var kontraktcentrat skulle förläggas avseende land eller ort. Det var först den 7 augusti som Västtrafik tvärte- DOM Sida 3 FÖRVALTNINGSRÄTTEN 1 0211-12 E I GÖTEBORG Avdelning 2 mot beskedet den25 juni och i strid med proportionalitetsprincipen medde­ lade att man inte kommer att tillåta överforing enligt standardavtalsklausu­ lerna. Kravet får till följd att sådana leverantörer som avser att överföra personuppgifter till andra länder med tillämpning av s.k. standardavtals­ klausuler som har godkänts av EU-kommissionen far minskade möjligheter .. att utföra tjänsten trots att adekvat skyddsnivå för personuppgifter ändå uppnås. Enligt personuppgiftslagen (1998:204, PUL) är det tillåtet att över­ föra personuppgifter till tredje länder vid tecknande av ett avtal som inne­ håller standardavtalsklausuler godkända av EU-kommissionen. Att teckna sådana avtal alternativt att ge tydligt mandat till leverantören att teckna sådana avtal med underleverantören är ett lämpligt medel att motverka konkurrensbegränsningen som följer av kravet. Ett sådant avtal innebär att även känsliga personuppgifter kan behandlas med hög skyddsnivå. En hög skyddsnivå för personuppgifter kan därmed uppnås med åtgärder som är mindre ingripande på konkurrensen än de som har valts av Västtrafik. Skyddsnivån är inte högre för att den regleras i lag än om den regleras i avtal. Bolaget riskerar att lida skada eftersom bolaget f'ar sämre möjligheter att delta i upphandlingen utifrån de specifika konkurrensfördelar bolaget har. Bolaget har i sitt nu ingivna anbud utgått från risken att inte tillåtas arivända sig av underleverantören i Senegal, vilken påverkat bolagets be­ räkning av pris i anbudet. Kravet har således medfört att bolagets möjlighet till framgång i upphandlingen kommit att försämras genom att bolaget inte fullt ut kunnat utnyttja sina konkurrensfördelar. Det har varit känt för Väst­ trafik sedan den 18 april att bolaget avsåg att anlita dotterbolag i Senegal. Västtrafik har inte ändrat svaret från den 25 juni innebärande att det inte ställs några krav var kontraktcentrat ska förläggas. Dessa motstridiga upp­ gifter har medfört en osäkerhet om huruvida det är möjligt för bolaget att anlita samtliga dotterbolag i koncernen. Västtrafik anser att ansökan ska avslås och anför bl.a. följande. De villkor som Västtrafik ställt upp avseende det sätt på vilka personuppgifter rar Sida 4 FÖRVALTNINGSRÄTTEN DOM 1 0211 -12 E I GÖTEBORG Avdelning2 överföras till tredje land är inte oproportionerliga o�h står inte i strid med upphandlingsreglema. Det förhållande att det inte :llireligger något förbud .. · enligt PUL innebär inte att det i det enskilda fallet är önskvärt eller lämp- ligt att personuppgifterna hanteras på ett sådant sätt. Vilka krav som bör · ställas på hantering av personuppgifter f'ar bedömas i fall till fall. Inom ramen för utförande av uppdrag avseende upphandlingen kommer den framtida leverantören att behandla stora mängder personuppgifter av mycket känslig karaktär. Utöver den mer sedvanliga typen av personupp­ gifter som namn, adresser och personuppgifter kommer leverantören även att hantera personuppgifter innefattande uppgifter om enskilda personers sjukdoms- och hälsotillstånd, funktionshinder, särskilda behov, samt upp­ gifter om när och mellan vilka destinationer resor sker. Sådana personupp­ gifter är givetvis av särskilt känslig karaktär enligt definitionen i1 3 § PUL. Skyddsintresset för sådan uppgift är särskilt högt. Västtrafiks syfte med de aktuella föreskrifterna är att upprätthålla en så hög skyddsnivå som möjligt för personuppgifterna och på detta sätt tillgodose kundernas önskemål om att personuppgifter ska hanteras med största försiktighet. Med anledning härav vill Västtrafik undvika att personuppgifter förs ut till tredje länder som inte har en adekvat skyddsnivå. Det säger sig självt att risken för att personuppgifter hanteras på ett integritetskränkande sätt är större i ett land som saknas adekvat skydd även om en aktör i landet förbundit sig att han­ tera _personuppgifterna på ett tillfredsställande sätt på avtalsrättslig grund. . Om överföring sker till ett land utan adekvat lagstiftning finns ett skydd på avtalsrättslig basis. Om överföringen sker till ett land med adekvat lagstift­ ning finns ett skydd både på avtalsrättslig basis och genom· lagstiftning. Den avtalsrättsliga regleringen innehåller av förklarliga skäl inga straff­ sanktioner. Som Västtrafik förstått bolagets talan menar bolaget att Väst­ trafik i ett försent skede preciserat de aktuella föreskrifterna. Även om Förvaltningsrätten skulle finna att preciseringen skett så sent att detta i sig utgör ett brott mot LOU, vilket Västtrafik bestrider, kan bolaget omöjligen ha lidit eller riskerat att lida någon skada härav. Bolaget menar att man Sida5 FÖRVALTNINGSRÅTTEN DOM 1021 1-12 E Avdelning2 hade offererat ett lägre pris i upphandlingen om bolaget hade kunnat an­ vända sig av underleverantören i Senegal. Detta kan inte vitsordas av Väst­ trafik. Bolaget har bevisbördan för påståendet. DOMS-KÄL Tillämpliga bestämmelser m.m. Upphandlande myndigheter ska behandla leverantörer på ett likvärdigt och icke-diskriminerande sätt samt genomföra upphandlingar på ett öppet sätt. Vid upphandlingar ska vidare principerna om ömsesidigt erkännande och proport­ ionalitet iakttas (l kap. 9 § LOU). Om den upphandlande myndigheten har brutit mot de grundläggande princi­ perna i 1 kap. 9 § eller någon annan bestämmelse i LOU och detta har medfört att leverantören har lidit eller kan komma att lida skada, ska rätten besluta att upphandlingen ska göras om eller att den får avslutas först sedan rättelse har gjorts (16 kap. 6 § första stycket LOU). Förvaltningsrättens bedömning Den 7 augusti2012 bifogades 4et avtal avseende skydd för personuppgifter som Västtrafik och vinnande leverantören skulle signera vid avtalsstart. Av avtaletföljerattöverföringavpersonuppgiftertilltredjelandsomintean­ slutits till Europarådets konvention om skydd för enskilda vid automatisk behandling av personuppgifter inte f"ar ske. Kravet som införlivades i för­ frågningsunderlaget innebär indirekt att Kontraktcentrat inte kan förläggas i valfritt land. Även med beaktande av Västtrafiks tidigare yttrande i vilket man förordade fri placeringsrätt kan kravet inte förstås på annat sätt än enligt ovan. LOU innehåller inte någon reglering av nivån på de krav som får ställas på leverantören eller den tjänst som ska tillhandahållas. Vilken kravnivå som är tillåten i en enskild upphandling får i stället avgöras med tillämpning av I GÖTEBORG Sida6 FÖRVALTNINGSRÅTTEN DOM 10211-12 E I GÖTEBORG Avdelning 2 de grundläggande gemenskapsrättsliga principerna, av vilken proportional- itetsprincipen är en. Av EG-rättslig praxis följer att proportionalitetsbedömningen ska göras i tre steg. För det första ska en bedömning göras av om åtgärden är en lämp­ lig och effektiv åtgärd för att uppnå det eftersträvade syftet. Det är ostridigt att syftet med aktuellt krav har varit att upprätta en så hög skyddsnivå som möjligt för aktuella personuppgifter. I och med kravet skyddas personupp­ gifterna både genom avtal och genom lagstiftningen i det land där Kon­ traktcentrat är placerat och dit personuppgifterna överförts. Mot denna bakgrund är det förvaltnings�ättens bedömning att kravet utgjort en lämplig och effektiv åtgärd för att uppnå syftet. För det andra ska en bedömning göras av om åtgärden är nödvändig för att uppnå det eftersträvade syftet, såtillvida att det inte finns något mindre ingripande alternativ. Bolaget hävdar härvid att tecknande av ett avtal som innehåller standardavtalsklausuler godkända av EU-kommissionen innebär att känsliga personuppgifter kan behandlas med hög skyddsnivå. Det finns enligt bolaget inte någon skillnad i detta avseende om personuppgiftsöver­ föringen sker till företag i länder med en lagstiftad adekvat skyddsnivå eller till företag i länder där skyddsnivån garanteras av standardavtalsklau­ suler. Förvaltningsrätten konstaterar inledningsvis att den typ av person­ uppgifter som ska hanteras, dvs. enskilda personers sjukdoms- och hälso­ tillstånd, funktionshinder, särskilda behov, samt uppgifter om när och mel­ lan vilka destinationer resor sker måste anses som mycket känsliga. Detta innebär att nivån på skydd kan och bör ställas högre. Genom de av EU­ kommissionen godkända standardavtalsklausulerna tillhandahålls ett av­ talsrättsligt skydd på så sätt att leverantören förbinder sig vid skadestånds­ ansvar att upprätthålla skyddet för personuppgifterna både i förhållande till Västtrafik och den vars personuppgifter registrerats. Ett offentligrättsligt skydd i placeringslandet saknas dock ·vilket enligt förvaltningsrättens me".' Sida 7 FÖRVALTNINGSRÄTTEN DOM 10211-12 E I GÖTEBORG Avdelning 2 ning skulle kunna föranleda svårigheter för leverantören att upprätthålla det avtalsrättsliga skyddet. Respekten för behovet av skydd för personupp­ gifter torde också vara lägre i länder som saknar adekvat lagstiftning vilket k� innebära att risken ökar för att uppgifterna behandlas på ett integritets­ kränkande sätt. Något straffansvar finns heller inte för det fall personupp­ gifter skulle behandlas felaktigt. Mot denna bakgrund kan det konstateras att samma höga skydd som kravet tillhandahåller inte kan åstadkommas genom användandet av de av EU- kommissionen godtagna standardavtals­ klausulerna. Åtgärden är således nödvändig för att uppnå det eftersträvade syftet. För det tredje skall bedömas om den negativa effekten som kravet rar, på det intresse eller den rättighet som kravet inskränker, är oproportionerlig eller överdriven järnfort med det eftersträvade syftet. Den negativa effekten av kravet är att anbudsgivarna inte har kunnat välja placeringsland fritt vilket enligt bolaget inneburit att man inte kunnat lämna sitt mest konkur­ renskraftiga anbud. Vid en intresseavvägning mellan avsaknaden av denna möjlighet samt möjligheten att tillhandahålla högsta möjliga skydd för känsliga personuppgifter anser dock förvaltningsrätten att kravet varken är oproportionerligt eller överdrivet jämfört med det eftersträvade syftet. Kravet bedöms sammanfattningsvis inte strida mot proportionalitetsprinci­ pen. Bolaget har också indikerat att kravet tillkommit sent i upphandlingen. Någon argumentation kring på vilket sätt detta strider mot LOU har dock inte framförts. Inte heller har det framförts att bolaget lidit skada av tidsa­ spekten. Det finns således inte heller på denna grund skäl att ingripa mot upphandlingen. Mot bakgrund av ovanstående ska ansökan om överprövning avslås. Sida 8 FÖRVALTNINGSRÅTTEN DOM 1 0211 -12 E I GÖTEBORG Avdelning2 HUR MAN ÖVERKLAGAR, se bilaga (DV31 0 9/1 B LOU) � ��/��V-1� Rådman Föredragande i målet har varit Anna Wennergren. . HUR MAN ÖVERKLAGAR Den som vill överklaga kammarrättens avgörande ska skriva till Högsta förvaltningsdomstolen. Skrivelsen ställs alltså till Högsta förvaltningsdomstolen men ska skickas eller lämnas till kammarrätten. Överklagandet ska ha kommit in till kammarrätten inom tre veckor från den dag då klagandenfickdelavbeslutet.Ombeslutetharmeddelatsvidenmuntligförhandling, eller det vid en sådan förhandling har angetts när beslutet kommer att meddelas, ska dock överklagandet ha kommit in inom tre veckor från den dag domstolens beslut meddelades. Tiden för överklagande för det allmänna räknas dock från den dag beslutet meddelades. Om sista dagen för överklagande infaller på en lördag, söndag eller helgdag, midsommar-, jul- eller nyårsafton, räcker det att skrivelsen kommer in nästa vardag. För att ett överklagande ska kunna tas upp i Högsta förvaltningsdomstolen krävs att prövningstillstånd meddelas. Högsta förvaltningsdomstolen lämnar prövningstillstånd om det är av vikt för ledning av rättstillämpningen att överklagandet prövas eller om det finns synnerliga skäl till sådan prövning, såsom att det finns grund för resning eller att målets utgång i kammarrätten uppenbarligen beror på grovt förbiseende eller grovt misstag. Omprövningstillståndintemeddelasstårkammarrättensbeslutfast.Detärdärförviktigtatt detklartochtydligtframgåravöverklagandettillHögstaförvaltningsdomstolenvarför man anser att prövningstillstånd bör meddelas. Bilaga Skrivelsen med överklagande ska innehålla följande uppgifter; 1 . 2. 3. 4. 5. den klagandes namn, person-/organisationsnummer, postadress, e-postadress och telefonnummer till bostadenochmobiltelefon.Dessutomskaadressochtelefonnummertillarbetsplatsenocheventuellannan plats där klaganden kan nås för delgivning lämnas om dessa uppgifter inte tidigare uppgetts i målet. Om klaganden anlitar ombud, ska ombudets namn, postadress, e-postadress, telefonnummer till arbetsplatsen ochmobiltelefonnummeranges.Omnågon person-elleradressuppgiftändrasärdetviktigtattanmälan snarast görs till Högsta förvaltningsdomstolen det beslut som överklagas med uppgift om kammarrättens namn, målnummer samt dagen för beslutet de skäl som klaganden vill åberopa för sin begäran om att fä prövningstillstånd den ändring av kammarrättens beslut som klaganden vill få till stånd och skälen för detta de bevis som klaganden vill åberop� och vad han/hon vill styrka med varje särskilt bevis. DV68J Formulär 1