FÖRVALTNINGSRÄTTEN I STOCKHOLM Allmänna avdelningen SÖKANDE . DOM 2012-12-05 Meddelad i Stockholm Mål nr 20384-12 Enhet 15 Sida 1 (15) Samres Aktiebolag, 556433-7417 Kyrkogatan 19 222 22 Lund KONKURRENSVERKET Avd 2012 -12- 0 5 Dnr Ombud: Advokat Kristian Pedersen och Erik Woodcock, jur. kar cbciwk Olsson och chefsjurist Pär Cronhult Advokatfirman Delphi Box 1432 111 84 Stockholm MOTPART AB Storstockholms Lokaltrafik, 556013-0683 105 73 Stockholm Ombud: Che:fjurist Sara Catoni och bolagsjurist Daniel Angerman Adress som ovan SAKEN Överprövning enligt lagen (2007:1091) om offentlig upphandling-LOD DOMSLUT Förvaltningsrätten avslår Samres Aktiebolags ansökan om ingripande enligt LOU. Aktbil Dok.Id 296284 Postadress Besöksadress Telefax 08-561 680 01 forvaltningsrattenistockhoim@dom.se 115 76 Stockholm E-post: Tegeluddsvägen 1 08-561 680 00 Telefon Expeditionstid måndag - fredag 09:00-15:00 Sida2 FÖRVALTNINGSRÄTTEN DOM 20384-12 I STOCKHOLM Allmänna avdelningen BAKGRUND AB Storstockholm Lokaltrafik (SL) genomför en offentlig upphandling av callcentertjänster till färdtjänstverksamhet (SL-2012-02140). Upphandlingen genomförs som ett öppet förfarande med avsikt att anta det ånbud som är ekonomiskt mest fördelaktigt. Något tilldelningsbeslut har så vitt upplysts ännu inte fattats. YRKANDEN M.M. Samres Aktiebolag (hädanefter bolaget) ansöker om överprövning av upphandlingen och yrkar att upphandlingen inte f'ar avslutas innan felen har rättats och att upphandlingen ska fortsätta först efter det att rättelse har gjorts. Upphandlingen ska rättas genom att villkoren ändras på så sätt att · användningavstandardavtalsklausulertillåtsochattöverföringtillstater som anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (nedan Europarådets konvention) tillåts. SL bestrider bolagets yrkande om att upphandlingen ska rättas på det sätt som bolaget begär och ansökan om överprövning. GRUNDER OCH PARTERNAS UTVECKLING AV TALAN Bolaget har till stöd för sin talan anfört i huvudsak följande. Enligt förfrågningsunderlaget - Avtal avseende behandling av personuppgifter - ska leverantören teckna ett avtal som reglerar hur personuppgifter får hanteras. Enligt avtalet är det inte "tillåtet att föra över personuppgifter till tredje land om landet inte har en adekvat nivå för skyddet av personuppgifterna". Texten måste rimligen tolkas som att de enda länder i . vilka SL anser att det kan uppnås en adekvat skyddsriivå för Sida3 FÖRVALTNINGSRÄTTEN DOM 20384-12 Allmänna avdelningen personuppgifter är i länder inom EU/EES och de länder som EU­ kommission särskilt godkänt. Det betyder att enligt förfrågningsunderlaget är det inte tillåtet för en leverantör att bedriva verksamhet i ett land som inte tillhör EU/EES eller särskilt godkänts av EU-kommissionen, även om landet har anslutit sig till Europarådets konvention eller om avtal tecknas enligt de så kallade standardavtalsklausulerna som EU-kommissionen fastställt. Villkoret att personuppgifter bara får överföras till ovan angivna länder är för långtgående enligt proportionalitetskravet eftersom det av Personuppgiftslagen (1998:204 -PuL) och personuppgiftsförordningen (1998:1191 - PuF) och EU-kommissionens beslut tydligt framgår att undantag från förbudet mot överföring till tredje land medg�s vid överföring till länder som anslutit sig till Europarådets konvention och vid användandet av standardavtalsklausuler. Syftet, att nå en adekvat skyddsnivå för hanteringen av personuppgifterna, kan uppnås med åtgärder som är mindre ingripande på konkurrensen än de som valts av SL. SL kan teckna avtal enligt standardavtalsklausuler alternativt ge mandat åt leverantören att teckna sådant avtal med en underleverantör och därmed uppnå en adekvat skyddsnivå för skyddet för personuppgifter. PuL och PuF utgör i stora delar den svenska implementeringen av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (direktivet). Syftet med detta direktiv är att avskaffa hinder mot översändande av personuppgifter från en medlemsstat till en annan, och att säkerställa en . likvärdig skyddsniyå för behandling av.personuppgifter i alla medlemsstater. I artikel 26 i direktivet :framgår att kommissionen, med avs'eende på överföring till tredje land, kan besluta att vissa standardavtalsklausuler erbjuder tillräckliga·garantier för ett adekvat skydd I STOCKHOLM Sida 4 FÖRVALTNINGSRÄTTEN DOM 203 84-12 I STOCKHOLM Allmänna avdelningen av personuppgifter, och att medlemsstatema är skyldiga att vidta nödvändiga åtgärder för att följa kommissionens beslut i detta avseende. Kommissionen har i beslut 2010/87/EU beslutat om just sådana standardavtalsklausuler och medlemsstatema är således skyldiga att vidta samtliga nödvändiga åtgärder för att respektera dessa, vilket omfattar alla förgreningar av staten som exempelvis SL. I artikel l i kommissionens beslut anges klart och tydHgt att standardavtalsldausulerna ska anses ge ett tillräckligt skydd för personuppgifter. Direktivet är totalharmoniserande och det är därmed inte möjligt för en medlemsstat att kräva ett strängare eller mer långtgående skydd än vad dessa klausuler medger. Det kan konstateras att intresseavvägningen mellan å ena sidan leverantörers rätt till fri rörlighet och möjlighet att offerera sina tjänster i offentliga upphandlingar och å andra sidan intresset av ett effektivt och verksamt skydd för känsliga personuppgifter redan har gjorts i och med direktivets införande. Något utrymme för proportionalitetsbedömning av det förbud SL ställt upp finns därför inte, utan förbudet strider per definition mot unionsrätten, PuL och PuF. Även om direktivet inte vore totalharmociserande vad avser möjligheterna till uppgi:ftsöverföring, skulle en proportionalitetsbedömning av det aktuella förbudet ändå :r;nedföra att förbudet skulle vara oproportionerligt. Bolaget bestrider att det aktuella förbudet skulle vara en lämplig och effektiv åtgärd för att uppnå syftet att upprätthålla en så hög skyddsnivå · som möjligt och att säkerställa att personuppgifter ska hanteras med största försiktighet. Någon skillnad i sk:yddsnivån mellan om överföring till tredje land tillåts med användning av de standardavtalsklausuler som kommissionen beslutat om, respektive om sådan överföring inte tillåts, · föreligger inte. Den person vars personuppgifter behandlas kan rikta såväl skadeståndsrättsliga anspråk som få till stånd andra sanktioner enligt PuL Sida5 FÖRVALTNINGSRÄTTEN DOM 20384-12 I STOCKHOLM Allmänna avdelningen mot SL i dess roll som personuppgiftsansvarig alldeles oavsett var beställningscentralen geografiskt placeras. Det är SL som åläggs att följa PuL och detta förändras inte på något sätt av var beställningscentralen placeras. Kravet framstår därför inte som lämpligt för att uppnå det eftersträvade syftet. Vidare kan konstateras att SL kommer att ha ett avtal med bolaget, som är ett svenskt bolag, och således kan rikta anspråk mot sin avtalspartner i Sverige, om de� är avtalsrättsligt skydd för SL som eftersträvas. Under alla omständigheter är det i princip en teknisk omöjlighet att någon medarbetare i Senegal eller Moldavien skulle kunna komma över och nyttja uppgifterna i någon omfattning. Bolaget och SL har sina servrar i Sverige och bolagets medarbetare får endast, via personliga inloggningsuppgifter, tillgång till den information som behövs för att behandla ett enskilt ärende under den tid som behandlingen av detta ärende pågår. När behandlingen av ärendet avslutas stängs även uppgifterna ned. Uppgifterna laddas inte ned och lagras aldrig i Senegal eller Moldavien. Alldeles oavsett var en verksamhet är placerad finns det således tekniska lösningar som minimerar risken för en felaktig behandling av personuppgifterna. Till det ska läggas att den medarbetare som på ett felaktigt sätt hanterar uppgifter skulle göra sig skyldig till såväl ett uppsägningsgrundande brott mot sitt anställningsavtal som överträdelse av annan eventuell lagstiftning, t.ex. rörande företagshemligheter. Att en anställd vid Samres Senegal eller Samres Moldavien skulle riskerar dessa konsekvenser för att kunna sprida det begränsade antal {ippgifter söm denne har tillgång till förefaller ytterst osannolikt. Det aktuella kravet innebär således inte någon som helst förbättring med avseende på det eftersträvade syftet. Förbudet är inte nödvändigt för att uppnå det eftersträvade syftet. Eftersom bolaget genom tekniska lösningar, genom att tillämpa kommissionens Sida 6 FÖRVALTNINGSRÄTTEN DOM 20384-12 standardavtalsklausuler pch genom sekretessförbindelser för sina medarbetare kan garantera samma skyddsnivå som finns i Sverige är det på· intet sätt nödvändigt att uppställa det aktuella kravet. Det förhållandet att ett land inte är medlem i EU eller EES, eller att kommissionen inte uttryckligen beslutat att detta land har en adekvat skyddsnivå, behöver i sig inte innebära �tt landet i fråga saknar en adekvat skyddsnivå. Det saknas helt grund för SL:s påstående att de länder som inte uttryckligen-bii:vit godkända av kommissionen skulle sakna en skyddslagstiftning som motsvarar sk:yddslagstiftningen.i de länder som blivit godkända. Kommissionen har genom sitt beslut om standardavtalsklausuler klart och tydligt angett vilka åtgärder som är nödvändiga för att säkerställa en adekvat skyddsnivå som motsvarar derr som finns i EU:s och EES medlemsstater, och i de stater som kommissionen uttryckligen godkänt. Något ytterligare förbud eller villkor för överföring av personuppgifter är således varken nödvändigt eller ens tillåtet. Förbudet är vare sig lämpligt, effektivt eller nödvändigt för att uppnå det eftersträvade syftet. Redan på dessa grunder är förbudet oproportionerligt. Då det inte på något sätt är visat att förbudet föranleder en högre skyddsnivå för behandling av personuppgifter är den skada som förbudet orsakar bolaget uppenbart oproportionerlig i förhållande till det eftersträvade syftet. Eftersom Moldavien har tillträtt konventionen ska tilläggas att det i formell · mening inte ens är nödvändigt att tillämpa standardavtalsklausulerna avseende verksamhet i MokJavien. Bolaget överväger att inkomma med anbud i upphandlingen. En förutsättning för detta är emellertid att bolaget :far använda sig ·av den verksamhetsstruktur som bolaget normalt använder, där eldar av verksamheten är lokaliserad i Moldavien respektive Senegal. Bolaget har I STOCKHOLM Allmänna avdelningen Sida 7 FÖRVALTNINGSRÄTTEN DOM 20384-12 I STOCKHOLM Allmänna avdelningen använt denna verksamhetsstruktur i tidigare uppdrag som utförts för SL utan att SL har haft något att invända mot detta. Om bolaget inte tillåts använda sig av de möjligheter till uppgiftsöverföring som PuL föreskriver kommer bolaget inte att kunna inkomma med sitt ekonomiskt mest fördelaktiga anbud. SL:s förbud innebär således en allvarlig begränsning i bolagets möjlighet att inkomma med anbud. Något hinder mot att förvaltningsrätten förordnar om rättelse på sätt som yrkats finns inte. SL har till stöd för sin talan anföit i huvudsak följande. Det krav SL ställt upp angående på vilket sätt personuppgifter får överföras till tredje land innebär ingen oproportionerlig begränsning av hur personuppgifter får behandlas utanför EU/EES. Det yrkande om rättelse som bolaget framställt kan vidare inte bifallas av förvaltningsrätten eftersom det skulle innebära att domstolen beslutar att föra in en ny skrivning i SL:s kravspecifikation. Domstolen är förhindrad att föra in nya krav i en upphandling. Om SL skulle vilja genomföra den förändring som bolaget vill ha måste upphandlingen avbrytas och annonseras på nytt. Den anbudsgivare som kommer att erhålla uppdraget kommer att, inom ramen för uppdraget, behandla personuppgifter av delvis mycket känslig karaktär. Exempel på personuppgifter som kommer att behandlas är uppgifter om namn, personnummer, adress, funktionshinder, hälsotillstånd, resmål och särskilda behov i samband med resan. Uppgifterna omgärdas av stränga sekretessregler och enligt offentlighets- och sekretesslagen (2009:400) gäller att uppgifterna inte får lämnas ut, om det i�te står klart att uppgiften kan röj�s utan att den enskilde eller någon närstående till denna lider men. Sida 8 FÖRVALTNINGSRÄTTEN DOM 20384-12 Den anbudsgivare som kommer att erhålla uppdraget att tillhandahålla callcentertjänster utgör personuppgiftsbiträde enligt PuL. Ett personuppgiftsbiträde får behandla personuppgifter endast i enlighet med instruktioner från den som ansvarar för personuppgiftsbehandlingen. Det aktuella kravet beträffande överföring av personuppgifter till tredje land uttrycks i avtalsbilaga 2, Avtal avseende behandling av personuppgifter, punkt 2.2 andra stycket näst sista meningen satnt kravspecifikationen till förfrågningsunderlaget, punkt 7.2. Enligt nämnda avtal är det inte tillåtet att föra över personuppgifter till tredje land om landet inte har en adekvat nivå för skyddet av personuppgifter. Vidare anges i laavspecifikationen att personuppgifter endast får göras tillgängliga i länder som är medlemmar i EU eller EES eller i sådana länder som EU­ kommissionen bedömt ha en adekvat skyddsnivå för personuppgifter. Pu.L sätter en minimistandard för hur personuppgifter får hanteras. Enligt 33 § PuL gäller ett generellt förbud att till tredje land föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifter. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Frågan om en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandling i det tredje landet. Regeringen har meddelat undantag från förbudet i 33 § PuL att föra över personuppgifter till tredje land. Undantaget innebär en möjlighet att trots det_generellaförbudetföraöverpersonuppgiftertilltredjelandomochi _ den utsträckning EU-kommissionen har konstaterat att landet har en adekvat nivå för skyddet av personuppgifter i enlighet med artikel 25.6 i I STOCKHOLM Allmänna avdelningen _ Sida 9 FÖRVALTNINGSRÄTTEN DOM 20384-12 I STOCKHOLM Allmänna avdelningen direktivet eller om personuppgifterna förs över med tillämpning av ett avtal som innehåller sådana standarsavtalsklausuler som kommissionen enligt artikel 26.4 i direktivet har beslutat erbjuder tillräckliga garantier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas samt för utövning av motsvarande rättigheter. Användandet av standardavtalsklausuler ger en principiell möjlighet att föra över personuppgifter till tredje land även om landet i fråga inte erbjuder adekvat nivå för skyddet av personuppgifter. Det är dock helt upp till den personuppgi:ftsansvarige att bestämma om dessa standardavtalsklausuler är tillräckliga med hänsyn till skyddsintresset. Att det således finns en mqjlighet är inte detsamma som en skyldighet att acceptera dessa i förhållande till personuppgiftsbiträdet, i detta fall leverantören. Mot bakgrund av att skyddsintresset för de personuppgifter som kommer att behandlas är särskilt högt har det bedömts att personuppgifternas art och ändamålet med behandlingen är av sådan karaktär att det är lämpligt och ändamålsenligt att föreskriva att de personuppgifter som är aktuella i upphandlingen endast får behandlas inom EU/EES eller i sådant land som EU-kommissionen har bedömt har motsvarande, adekvat nivå för skyddet av personuppgifter. Att tillåta en överföring av personuppgifter- till tredj e land som saknar motsvarande skyddslagstiftning för personuppgifter respektive adekvat skyddsnivå endast med stöd av ett avtal som innehåller ovan nämnda standardavtalsklausuler har bedömts vara otillräckligt med hänsyn till skyddsintresset för de aktuella personuppgifterna. Syftet med det uppställda villkoret, att personuppgifter inte får överföras till tredje land som inte bedöms ha adekvat skyddsnivå, är att säkerställa en så hög skyddsnivå som möjligt för de aktuella personuppgifterna. Genom villkoret skyddas personuppgifterna såväl genom det personuppgiftsbiträdesavtal som ska tecknas med leverantören som genom lagstiftning och det offentligrättsliga skyddet i det land där Sida 10 FÖRVALTNINGSRÄTTEN DOM 20 384-12 Allmänna avdelningen personuppgifterna kommer behandlas. Villkoret utgör följaktligen en lämplig och effektiv åtgärd för att uppnå det eftersträvade syftet. Villkoret är också nödvändigt för att uppnå det angivna syftet. Om SL skulle tillåta överföring av personuppgifter med stöd av EU­ kommissionens godkända standardavtalsklausuler uppnås visserligen ett avtalsrättsligt skydd såtillvida att leverantören förbinder sig vid skadeståndsansvar att upprätthålla skyddet för personuppgifterna. Ett sådant, endast på standardavtalsvillkor baserat skydd innebär dock risker eftersom uppgifterna kan komma att överföras till länder som inte har någon adekvat skyddsnivå eller vars offentligrättsliga skyddsnivå rent av är obefintlig. Avsaknaden av offentligrättsligt skydd, lagstiftning och tillsynsmyndigheter försämrar givetvis skyddet för personuppgifterna. Det kan vidare inte heller utgås ifrån att det finns något straffrättsligt ansvar för felaktig hantering av personuppgifter i dessa länder. Mot nu angiven bakgrund anser SL att ett personuppgiftsskydd baserat endast på standardavtalsvillkor inte säkerställer samma höga skydd för uppgifterna som SL har bedömt vara lämpligt i upphandlingen. Villkoret kan möjligen fä till följd att anbudsgivare som avser att bedriva verksamhet i vissa länder får något inskränkt valfrihet vad gäller lokaliseringen. Vid en avvägning av å ena sidan potentiella anbudsgivares eventuellt minskade valfrihet att lokalisera driften av sin. verksamhet och å andra sidan behovet av att sälcerställa en lämplig skyddsnivå för personuppgifter anser SL att villkoret varken är oproportionerligt eller överdrivet i förhållande till det eftersträvade syftet. I STOCKHOLM Sida 1 1 FÖRVALTNINGSRÄTTEN DOM 20384- 1 2 I STOCKHOLM Allmänna avdelningen D OMSKÄL Tillämpliga bestämmelser m. m. I 1 kap. 9 § LOU stadgas följande. Upphandlande myndigheter ska behandla leverantörer på ett likvärdigt och icke-diskriminerande sätt samt genomföra upphandlingar på ett öppet sätt. Vid upphandlingar ska vidare principerna om ömsesidigt erkännande och proportionalitet iakttas. Av 16 kap. 6 § LOU framkommer följande. Om den upphandlande myndigheten har brutit mot de grundläggande principerna i 1 kap. 9 § eller någon annan bestämmelse i denna lag ocp. detta har medfört att leverantören har lidit eller kan komma att lida skada, ska rätten besluta att upphandlingen ska göras om eller att den får avslutas först sedan rättelse har gjorts. Prövningen i förvaltningsrätten utgör en kontroll av om det på grundval av vad sökanden har framfört i målet finns anledning att vidta sådana åtgärder som anges i 16 kap. 6 § LOU. Enligt praxis (RÅ 2009 ref. 69) är huvudregeln att det är den part som gör gällande att en upphandling är felaktig på ett klart sätt ska anges på vilka omständigheter talan är grundad. Förvaltningsrätten kan, oavsett hur yrkandet utformats, som åtgärd vid prövning av en pågående upphandling välja mellan att besluta att upphandlingen ska göra om eller att den ska rättas. Särskilt om principen om proportionalitet I målet är fråga om ett krav som uppställts i förfrågningsunderlaget, utifrån vad bolaget har anfört, kan anses stå i strid med proportionalitetsprincipen. Sida 12 FÖRVALTNINGSRÄTTEN DOM 20384-12 Allmänna avdelningen Att notera i sammanhanget är att en upphandlande myndighet har stor frihet att välja vad man vill upphandla och vilka krav som ska ställas på det som upphandlas. Proportionalitetsprincipen förutsätter dock att kraven på upphandlingsförfarandet står i rimlig proportion till de mål som eftersträvas. Upphandlingens art och värde ska därför beaktas exempelvis när villkoren för att få delta i upphandlingen fastställs. Uppställda krav får inte heller vara onödiga eller oproportionerliga (se t.ex. mål nr C-234/03, Contse, REG 2005 s. I-09315, p. 43 och 55). (prop. 2009/10:180 s. 91) Av_,_ unionsrättslig praxis rörande proportionalitetsprincipen framgår att en bedömning ska göras i tre steg (se tex. KRNJ mål nr 1171-10). För det första ska en bedömning göras om åtgärden är en lämplig och effektiv åtgärd för att uppnå det eftersträvade syftet. För det andra ska en bedömning göras om åtgärden är nödvändig för att uppnå det eftersträvade syftet, såtillvida att det inte finns något mindre ingripande alternativ. För det tredje ska bedömas om den negativa effekten som åtgärden får är oproportionerlig eller överdriven jämfört med det eftersträvade syftet. Strider det uppställda kravet mot LOU? I förfrågningsunderlaget, Kravspecifikation avseende callcentertj änster till . fårdtjänstverksamhet, punkten 7 .2 Skyddsnivå för personuppgifter anges följ ande. "Personuppgifter tillåts endast göras tillgängliga i länder som är medlemmar i EU, medlemmar i EES eller som EU kommissionen bedömt har en adekvat skyddsnivå för personuppgifter. Leverantörens driftställe, det ställe där anbudsgivaren planerar att besvara samtalen, får därför inte placeras geografiskt på platser där skyddsnivån för personuppgifter inte kan garanteras." I förfrågningsunderlaget, Avtalsbilaga 2: Avtal avseende behandling av personuppgifter, punkten 2.2 Behandling av personuppgifter stycke två, tredje meningen anges följande. I STOCKHOLM Sida 13 FÖRVALTNINGSRÄTTEN DOM 20384-12 I STOCKHOLM Allmänna avdelningen "Det är inte tillåtet att föra över personuppgifter till tredje land om landet inte haren adekvat nivå för skyddet av personuppgifterna." Bolaget har bl.a. anfört att det inte finns något utrymme för en proportionalitetsbedömning av det för.bud �om SL ställt upp, utan att förbudet per definition strider mot unionsrätten, PuL och PuF. SL å sin sida har anfört att användandet av standardavtalsklausuler ger en principiell möjlighet att föra över personuppgifter till tredje land även om· landet i fråga inte erbjuder adekvat nivå för skyddet av personuppgifter. Det är dock helt upp till den personuppgiftsansvarige att bestämma om dessa standardavtalsklausuler är tillräckliga med hänsyn till skyddsintresset. Förvaltningsrätten konstaterar att det mellan parterna synes ostridigt att det finns en principiell möjlighet att med stöd av bestämmelserna i PuL föra över personuppgifter av nu aktuellt slag till tredje land utanför EU/EES och länder som särskilt godkänts av EU-kommissionen. Förvaltningsrätten anser att bolaget i målet inte har visat att SL därtill har en skyldighet att använda sig av dessa undantagsbestämmelser och att det redan av denna orsak skulle innebära att SL har uppställt ett oproportionerligt krav. Vad gäller huruvida det uppställda kravet i övrigt är_ oproportionerligt gör förvaltningsrätten följ�nde bedömning. SL har anfört att syftet med det uppställda kravet är att säkerställa en så hög skyddsnivå som möjligt för de aktuella personuppgifterna och att den leverantör som tilldelas kontraktet i upphandlingen kommer att hantera sådana personuppgifter som anses särskilt känsliga och där sekretesskyddet är högt ställt enligt svensk lagstiftning. I och med detta krav skydd� personuppgifterna geno_m lagstiftningen också i det land till vilket de överförs och inte enbart avtalsrättsligt. Sida 14 FÖRVALTNINGSRÄTTEN DOM 20384-12 I STOCKHOLM Allmänna avdelningen Med beaktande av bl.a. att det är tal om känsliga personuppgifter som ska överföras anser förvaltningsrätten att det uppställda kravet utgör en lämplig och effektiv åtgärd för att uppnå syftet genom att uppgifterna därigenom kommer att skyddas även genom lagstiftning i det landet dit verksamheten är lokaliserad. Att en person som skulle lida skada om personuppgifter röjs alltjämt skulle kunna vända sig mot SL i Sverige, och att SL i sin tur skulle kunna vända sig mot en avtalspartner i Sverige, kan inte anses innebära att den eftersträvade skyddsnivån garanteras. Förvaltningsrätten finner vidare att vad bolaget har anfört om att det finns tekniska lösningar, sekretessförbindelser för medarbetare, att medarbetare i Senegal och Moldavien har litet intresse av personuppgifterna, osv, inte kan anses garantera samma skyddsnivå som det uppställda kravet i förfrågningsunderlaget. Förvaltningsrätten finner därför att det aktuella kravet får anses nödvändig för att säkerställa det eftersträvade skyddet för de personuppgifter som ska hanteras. Bolaget har vidare anfört att om det inte tillåts använda sig av de möj ligheter till uppgi:ftsöverföring som PuL föreskriver kommer bolaget inte att kunna inkomma med sitt ekonomiskt mest fördelaktiga .anbud i upphandlingen. Med beaktande av bl.a. att det är känsliga personuppgifter som ska hanteras och att kravet inte innebär någon begränsning vad gäller lokaliseringen inom EU/EES och länder som EU-kommissionen särskilt har godkänt anser förvaltningsrätten dock att det inte har framkommit att kravet i denna aspekt är oproportionerligt eller överdrivet jämn.fört med syftet. Förvaltningsrätten finner sammanfattningsvis att bolaget inte har visat att det av SL uppställda kravet strider mot proportionalitetsprincipen. Bolagets ansökan om övetprövning ska därför avslås. Sida 15 FÖRVALTNINGSRÄTTEN DOM 20384-12 I STOCKHOLM Allmänna avdelningen HUR MAN ÖVERKLAGAR, se bilaga (DV 3109/lA LOU) , förvalingsrättsfiskal Föredragande har varit Maja Löfgren. _,,/, Ij' . Mfkaela Ne1Jd ./>{_,,... .{<'.C'­ HUR MAN ÖVERKLAGAR � PRÖVNINGSTILLSTÅND Den somvill överklaga förvaltoingsrättens beslut ska skriva till Kammarrätten i Stockholm. Skrivelsen ska dock skickas eller lämnas till förvaltni11gsrätten. Överklagandet ska ha kommit in till förvaltningsrätten inom tre veckor från den dag då klaganden fick del av beslutet Tiden för överklagandet för offentligpart räknas emellertid från den dag beslutet meddelades. Om sista dagen för överklagandet infaller på lördag, söndag eller helgdag, midso!IJ.:trulrafton, julafton eller nyårsafton räcker det att skrivelsen kommer in nästa vardag. För att ett överklagande ska kunna tas upp i kuntnarrätten fordras att prövningstillstånd meddelas. Kammarrätten lämnar pröV1ungstillstånd om det är av vikt för ledning av rättstillämpningen att överklagandet prövas, anledning förekom1ner till ändring i det slut vartill förvaltningsrätten kommit eller det anruu:s finns synnerliga skäl att pröva överklagandet. Om prövningstillstånd inte meddelas står förvaltningsrättens beslut fast. Det är därför viktigt att det klart och tydligt fratngår av överklagandet till kammarrätten varför man anser att prövningstillstånd bör meddelas. Skrivelsen med överklagande ska innehålla 3. 4. 5. detbeslut som överklagas meduppgift om förvaltningsrättens namn, trui.lnununer samt dagen för beslutet, de skäl som klaganden anger till stöd för begäran om prövningstillstånd, den ändring av förvaltoingsrättens beslut som klagandenvill få till stånd, de bevis som klaganden vill åberopa och vad han/hon vill styrka med varje 1 . den klagandes namn, personnum1net, yrke, postadress och telefonnummer. Dessutom ska adress och · telefonnummer till arbetsplatsen och eventuell annan plats där klaganden kan nås för delgivning lämnas om dessa uppgifter inte tidigare uppgetts i målet. Om någon person- eller adressuppgift ändras är det viktigt att anmälan snarast görs till kammarrätten, Skrivelsen ska vara undertecknad av klaganden eller hans ombud. Adressen till fötvaltningsrätten framgår av beslutet. Om klaganden anlitar ombud ska denne sända in :full.trutkt i original samt uppge sitt namn, adress och telefonnutnmer. Om någon person- eller adressuppgift ändras, ska Ni utan dröjsmål anmäla ändringen till kammarrätten. I mål om överprövning enligt lagen (2007:1091) om offentlig upphandling eller lagen (2007:1 092) om upphandling inom områdena vatten, energi, transporter och posttjänster får avtal slutas innan tiden för överklagande av rättens dom eller beslut har löpt ut. I de flesta fall f'ar avtal slutas när tio dagar har gått från det att rätten avgjort målet eller upphävt ett interimistiskt beslut. I vissa fall får avtal slutas omedelbart. Ett överklagande av rättens avgörande får inte prövas sedan avtal har slutits. Fullständig information finns i 16 kapitlet i de ovan angivna lagarna. Behöver Ni fler upplysrungar om hur man överklagar kan Ni vända Er till förvaltningsrätten. DV 3109/1A LOU 2. 6. särskilt bevis.