FÖRVALTNINGSRÄTTEN I STOCKHOLM Avdelning 31 DOM 2018-01-19 Meddelad i Stockholm Mål nr 22496-17 SÖKANDE CSC Sverige AB, 556479-6802 Ombud: Advokaterna Lukas Granlund och Olof Hallberg Advokatfirman Lindahl KB Box 1065 101 39 Stockholm MOTPART Arbetsförmedlingen 113 99 Stockholm Ombud: Jur.kand. Martin Bogg AdvokatfirmanDelphi Box 1432 11 84 Stockholm SAKEN Offentlig upphandling FÖRVALTNINGSRÄTTENS AVGÖRANDE Förvaltningsrätten avslår ansökan. 7 �.," �, (•., .__,..·-. ,..., ., - . 1 Dok.Id 933084 Postadress 115 76 Stockholm Besöksadress Tegeluddsvägen I Telefon Telefax 08-561 680 00 08-561 680 01 E-post: forvaltningsrattenistockholm@dom.se ,Vvvw.domstol.se/forvaltningsratt Expeditionstid måndag-fredag 08:00-16:30 Avd Dnr KSnr Aktbil KONKURRENSVERKEJ FÖRVALTNINGSRÄTTEN DOM 22496-17 I STOCKHOLM BAKGRUND Arbetsförmedlingen genomförde en upphandling av digital arbetsplats - drift, förvaltning och support (dnr 2017/00086502). Upphandlingen annonserades den 16 mars 2017, vilket innebär att lagen (2016:1145) om offentlig upphandling, LOU, är tillämplig. CSC Sverige AB (bolaget) tilldelades kontraktet efter utvärdering den 6 juli 2017. Avtalsspärren löpte ut utan att någon leverantör ansökte om överprövning. Arbetsförmedlingen beslutade den 20 september 2017 att avbryta upp­ handlingen med motiveringen att förändrade förutsättningar uppkommit avseende informationssäkerhet och hantering av information som innehåller sekretess. Något avtal har inte tecknats. YRKANDEN M.M. Bolaget yrkar att Arbetsförmedlingens beslut att avbryta upphandlingen ska ogiltigförklaras samt att upphandlingen ska slutföras genom kontrakts­ tecknande. Bolaget anser att upphandlingen avbrutits utan att sakligt godtagbara skäl förelegat och att bolaget till följd av detta lidit skada. Arbetsförmedlingen yrkar att bolagets ansökan om överprövning ska avslås och anser att det funnits sakligt godtagbara skäl att avbryta upphandlingen. PARTERNAS TALAN Arbetsförmedlingen har gjort gällande två olika bristområden till varför upphandlingen måste avbrytas, dels brister gällande säkerheten och dels brister gällande hanteringen av personuppgifter. Nedan följer vad parterna anfört inom respektive bristområde. 2 3 FÖRVALTNINGSRÄTTEN DOM 22496-17 Säkerhetsbrister Arbetsförmedlingen har anfört bl.a. följande. Upphandlingen avser en mycket omfattande IT-outsourcing av samtliga anställdas IT-miljö kopplat till den digitala arbetsplatsen. Samma dag som tilldelningsbeslut meddela­ des briserade en skandal i samband med en stor offentlig upphandling avseende IT-outsourcing hos en annan statlig myndighet. Det uppkom då allvarliga farhågor att även den IT-outsourcing som aktuell upphandling avsåg hade brister gällande dataskydd och informationssäkerhet. Detta i synnerhet då stora delar av informationen som ingår i upphandlingen tidigare bedömts ha högsta skyddsvärdesnivå. En säkerhetsskydds­ bedömning genomfördes vilket resulterade i säkerhetschefens rekommen­ dation att avbryta upphandlingen då underlaget och avtalspaketet innehåller brister gällande informationssäkerhet. För att komma till rätta med dessa brister måste väsentliga förändringar genomföras i kraven utifrån nya analyser och kartläggningar. Det framkommer bl.a. att allt som användare n kan komma åt kommer den administratör som tillfälligt har kontroll över datorn att kunna komma åt. Varje informationsobjekt som omfattas av upphandlingen innehåller olika typer av underliggande information som var och en för sig kan innehålla skyddsvärd information. Den absoluta mer­ parten av de 15-20 nya obligatoriska krav som redan identifierats som nödvändiga är mycket kostnadsdrivande, t.ex. att personal måste befinna sig i Sverige, utbildningsåtgärder, säkerhetsprövningar, särskilda krav på IT­ system som hanterar hemliga uppgifter m.m. Att genomföra sådana omfattande förändringar är varken tillåtet eller lämpligt inom ramen för en redan påbörjad upphandling och skulle dessutom innebära följdändringar i underlaget i övrigt. Det får anses sannolikt att en utvärdering på grundval av ett i grunden omarbetat underlag hade kunnat leda till ett helt annat resultat. Det framgår även att det inte kan garanteras att realistiska lösningar kan finnas på problemen kring informationssäkerhet, varför en IT-outsourcing, i I STOCKHOLM 4 FÖRVALTNINGSRÄTTEN DOM 22496-17 vart fall i denna omfattning, kanske inte alls går att genomföra som det var tänkt. Bolaget har anfört bl.a. följande. Det är Arbetsförmedlingen som innehar all infrastruktur och leverantören får endast åtkomst till vissa delar av infra­ strukturen i den mån det behövs. All data ska lagras i Sverige, i kundens datacenter, i kundens infrastruktur. Det är inte något fel i sig att låta personal från andra länder än Sverige handha uppgifter som kan vara känsliga. Det närmare tillvägagångssättet avseende vilken personal i vilket land som kommer ha behörighet till vilken information är ännu inte bestämt. Bolaget avser att sköta drift och underhåll av tjänsten med säkerhetsklassad personal placerade inom EU. Därutöver kommer ingen av personalen från bolaget, inte ens den personal med högst behörighet, ha tillgång till all information på användarnas datorer, utan endast sådan information som är tillhöriga sådana applikationer som inte kräver särskild inloggning. Att bolaget ska sköta drift, förvaltning och support av ett antal standard­ applikationer innebär inte nödvändigtvis att bolagets personal får tillgång till data tillhörande den specifika användaren. Bolaget behöver inte på något sätt tillgång till data lagrat i informationsobjektet för att utföra sina åtagan­ den med anledning av kontraktet i upphandlingen. Det säkerhetsskydd som ändå anses behövas kan hanteras inom ramen för det avtal som har utannonserats. Personuppgiftsbrister Arbetsförmedlingen har anfört bl.a. följande. Den juridiska avdelningens utredning gällande hantering av personuppgifter utmynnade i en rekommen­ dation att avbryta upphandlingen. Arbetsförmedlingen är i egenskap av personuppgiftsansvarig ansvarig för efterlevnaden av såväl personuppgifts­ lagen (PUL) som den nya dataskyddsförordningen som träder i kraft under våren. Syftet med personuppgiftsbiträdesavtalet har varit att återspegla I STOCKHOLM FÖRVALTNINGSRÄTTEN DOM 22496-17 I STOCKHOLM bestämmelserna enligt PUL och för att Arbetsförmedlingen inte ska göra sig skyldig till överträdelser av dataskyddsförordningen krävs en mängd viktiga ändringar. Dessa ändringar innebär att nya krav behöver ställas som medför ökade kostnader, vilka antingen bolaget eller Arbetsförmedlingen skulle behöva bära. Arbetsförmedlingen kan inte förlita sig på att parterna hinner komma överens om en godtagbar reglering av dessa frågor i tid. dataskydds­ förordningen innehåller krav som förutsätter konkreta åtgärder av bolaget i form av organisatoriska och tekniska lösningar och anpassningar, aktivt samarbete med Arbetsförmedlingen och i vissa fall överlämnande till Arbetsförmedlingen av för bolaget potentiellt mycket känslig information. Arbetsförmedlingen behöver ställa ett stort antal nya krav på de tjänster som upphandlingen avser, eftersom avtalets nuvarande utformning är bristfälligt i flera avseenden i förhållande till dataskyddsförordningens bestämmelser. Dessa krav är i många fall kostnadsdrivande för leverantören. Det vore förenat med oacceptabla risker och nackdelar för Arbetsförmedlingen att inom ramen för upphandlingen försöka korrigera de brister som identifierats gällande hantering av personuppgifter. Det föreligger även en beaktansvärd risk för att sådana omfattande ändringar under alla omständigheter skulle anses vara otillåtna ur ett upphandlingsrättsligt perspektiv. Då flera krav är kostnadsdrivande för leverantören får det anses sannolikt att utfallet i utvärdering hade kunnat bli ett annat om en mer adekvat kravställning använts i upphandlingen. Bolaget har anfört bl.a. följande. Arbetsförmedlingens påstådda brister hänför sig till rena spekulationer om framtida krav på ersättningar från bolaget. Arbetsförmedlingen framhåller att myndigheten kommer att behöva tillgodose krav som förutsätter konkreta åtgärder av bolaget i form av organisatoriska och tekniska lösningar och anpassningar, aktivt samarbete med Arbetsförmedlingen och i vissa fall överlämnande till Arbets­ förmedlingen av för bolaget potentiellt mycket känslig information. Bolaget ser inga skäl till att till följd av detta göra några prisjusteringar eller att detta 5 FÖRVALTNINGSRÄTTEN DOM 22496-17 I STOCKHOLM på annat sätt inte ska kunna ske inom ramen för nu aktuell upphandling. Bolaget har uppfattat bestämmelsen i personuppgiftsbiträdesavtalet täckande på så sätt att bolaget inte kan begära ytterligare ersättning till följd av ändringar med anledning av dataskyddsförordningens ikraftträdande. SKÄLEN FÖR AVGÖRANDET Prövningsramen I avbrytandebeslutet framkommer att Arbetsförmedlingen beslutat att avbryta upphandlingen på grund av förändrade förutsättningar avseende informationssäkerhet och hantering av information som innehåller sekretess. Bolaget har gjort gällande att de skäl för beslutet att avbryta upphandlingen som Arbetsförmedlingen fört fram först i sitt yttrande till förvaltningsrätten utgör en otillåten taleändring då dessa inte framkom i själva beslutet. Förvaltningsrätten konstaterar att det i mål om överprövning av beslut att avbryta en upphandling förekommer att den upphandlande myndigheten vid skriftväxlingen utvecklar de tidigare angivna skälen för beslutet, eller anger nya skäl för beslutet som inte har angetts i beslutsunderrättelsen. Enligt 12 kap. 12 § andra stycket LOU är upphandlande myndigheter skyldiga att i en underrättelse till anbudssökande och anbudsgivare ange skälen för sitt beslut att avbryta en påbörjad upphandling. Syftet med motiverings­ skyldigheten är bland annat att ge leverantörer en möjlighet att ta ställning till om beslutet varit rättsstridigt. I flera kammarrättsavgöranden har domstolarna visat upp en förhållandevis tillåtande attityd, åtminstone i fråga om omständigheter som förelåg vid tidpunkten för det överprövade avbrytandebeslutet (jfr t.ex. Kammarrätten i Stockholms dom den 27 januari 2010 i mål nr 3613-09). Den kontroll som överprövningen innebär får anses röra frågan huruvida beslutet var riktigt snarare än frågan om beslutet var tillräckligt motiverat (se Asplund m.fl. Överprövning av upphandling: och 6 7 FÖRVALTNINGSRÄTTEN DOM 22496-17 andra rättsmedel enligt LOU och LUF, Jure, Stockholm, 2012, s. 311 f.). De två utredningar gällande säkerhetsbrister och personuppgiftsbrister som Arbetsförmedlingen hänvisat till i yttrande till förvaltningsrätten skedde parallellt och båda rekommenderade att upphandlingen skulle avbrytas. Förvaltningsrätten anser mot denna bakgrund att den utveckling av talan som Arbetsförmedlingen gjort berör de omständigheter som förelåg redan vid beslutsfattandet. Förvaltningsrätten noterar även att både brister i säkerhet och brister i personuppgiftshanteringen kan tolkas in i den angivna beslutsmotiveringen. Med anledning av detta finns det, enligt förvaltnings­ rättens mening, inte något hinder mot att pröva även de omständigheter som Arbetsförmedlingen fört fram inom ramen för överprövningsprocessen. Förvaltningsrättens bedömning EU-domstolen har uttalat att gemenskapsreglema inte innebär en skyldighet att fullfölja en påbörjad upphandling (C-92/00 HI Krankenhaustechnik). Vidare har EU-domstolen uttalat att beslut att avbryta en upphandling inte är förbehållet undantagssituationer eller då det finns tungt vägande skäl (C-27/98 Fracasso och Leitschutz). En upphandlande myndighet har rätt att avbryta en upphandling fram till dess ett upphandlingskontrakt föreligger, men avbrytandet måste vila på sakligt godtagbara skäl, får inte vara godtyckligt och måste följa de grundläggande reglerna i fördraget (RÅ 2009 ref. 43, jfr även Kammarrätten i Jönköpings dom den 11 oktober 2010 i mål nr 1706-10). Förvaltningsrätten har att pröva om Arbetsförmedlingen hade sakligt godtagbara skäl för att avbryta upphandlingen. Som framgår av utredningen ovan har Arbetsförmedlingen gjort gällande två olika bristområden till varför upphandlingen måste avbrytas, dels gällande informationssäkerhet och dels gällande hanteringen av personuppgifter. Bolaget har bestridit att I STOCKHOLM 8 FÖRVALTNINGSRÄTTEN DOM 22496-17 dessa brister föreligger och att de skulle utgöra sakligt godtagbara skäl för beslutet att avbryta upphandlingen. Bland skäl som i praxis har ansetts vara sakligt godtagbara för att avbryta en upphandling kan nämnas exempelvis omständigheten att endast ett anbud återstår och att bristande konkurens därmed föreligger, att en upphandlande myndighet efter att ha bedömt anbuden inser att den med hänsyn till upphandlingsdokumentet inte har möjlighet att välja det bästa anbudet samt för dyra anbud. Arbetsförmedlingen har hänvisat till den skandal gällande en annan statlig myndighets upphandling av IT-tjänster, vilket ledde till farhågor kring säkerheten i den nu aktuella upphandlingen. Arbetsförmedlingen har vidare hänvisat till en ny lagstiftning som träder i kraft under våren, vilken inte inkorporerats tillräckligt i aktuell upphandling. Av utredningen i målet framkommer ett antal områden där obligatoriska krav saknas eller är felställda. Det framkommer vidare att det skulle innebära omfattande förändringar av upphandlingsdokumenten för att genomföra de ändringar som Arbetsförmedlingens säkerhetsenhet respektive juridiska avdelning funnit nödvändiga. Av parternas yttranden i målet framkommer att bolaget anser att eventuella förändringar kan ske inom ramen för befintlig upphandling. Enligt yttrande i förvaltningsrätten avser bolaget använda svenskspråkig personal placerad i Sverige för vissa tjänster och planerar även att sköta drift och underhåll med säkerhetsklassad personal. Det kan dock konstateras att den omständigheten att bolaget avser att utföra tjänster på vissa sätt inte innebär att det nödvändigtvis ställts tillräckliga krav i upphandlingsdokumentet avseende detta. I STOCKHOLM 9 FÖRVALTNINGSRÄTTEN DOM 22496-17 I STOCKHOLM De brister som Arbetsförmedlingen funnit nödvändiga att åtgärda har uppkommit som en konsekvens av en ökad riskmedvetenhet efter den uppmärksammade upphandlingsskandalen gällande liknande IT-tjänster. Även gällande hantering av personuppgifter framkommer det att Arbetsförmedlingen haft nu gällande lagstiftning i åtanke snarare än den kommande, vilken kräver andra åtgärder. Förvaltningsrätten konstaterar att LOU inte innehåller några detaljerade regler kring hur upphandlingsdokument utformas eller kan ändras. En upphandlande myndighet är inte förhindrad att vidta vissa åtgärder under förutsättning att detta inte medför väsentliga förändringar i förhållande till det ursprungliga upphandlingsdokumentet. En ändring i ett obligatoriskt krav bör dock normalt ses som en väsentlig förändring (jfr Kammarrätten i Jönköpings dom den 11 oktober 2010 i mål nr 1706-10). Förvaltningsrätten finner inte skäl att betvivla att de brister som Arbets­ förmedlingen lyft fram i upphandlingsdokumenten är sådana som, i ljuset av vad som hänt i den omnämnda skandalen, måste hanteras. Förvaltnings­ rätten anser även att dessa förändringar förefaller vara så omfattande att de inte skulle kunna genomföras inom ramen för befintlig upphandling. Sammanfattningsvis bedöms således att Arbetsförmedlingen har haft saklig grund för att avbryta upphandlingen. Beslutet kan inte anses strida mot gemenskapsrättsliga regler. Ansökan om överprövning ska därmed avslås. HUR MAN ÖVERKLAGAR Detta avgörande kan överklagas. Information om hur man överklagar finns i bilaga (DV 3109/lA LOU). Per-Erik Nister Tf. rådman Johanna Broo har föredragit målet. I0 www.domstol.se Bilaga HUR MAN ÖVERKLAGAR - PRÖVNINGSTILLSTÅND db SVERIGES DOMSTOLAR Den som vill överklaga förvaltningsrättens avgörande ska skriva till Kammarrätten i Stockholm. Skrivelsen ska dock skickas eller lämnas till förvaltningsrätten. Adressen till förvaltningsrätten framgår av avgörandet. Överklagandet ska ha kommit in till förvalt­ ningsrätten inom tre veckor från den dag då klaganden fick del av avgörandet. Om avgör­ andet har meddelats vid en muntlig förhand­ ling, eller det vid en sådan förhandling har angetts när det kommer att meddelas, ska dock överklagandet ha kommit in inom tre veckor från den dag som avgörandet med­ delades. För offentlig part räknas tiden för överklagande alltid från den dag avgörandet meddelades. Om sista dagen för överklagandet infaller på lördag, söndag eller helgdag, midsommar­ afton, julafton eller nyårsafton räcker det att skrivelsen kommer in nästa vardag. Prövningstillstånd i kammarrätten För att ett överklagande ska kunna tas upp i kammarrätten fordras att prövningstillstånd meddelas. Kammarrätten lämnar prövnings­ tillstånd om 1. detfinnsanledningattbetvivlariktigheten av det slut som förvaltningsrätten har kommit till, 2. detinteutanattsådanttillståndmeddelas går att bedöma riktigheten av det slut som förvaltningsrätten har kommit till, 3. detäravviktförledningav rättstillämpningen att överklagandet prövas av högre rätt, eller 4. det annars finns synnerliga skäl att pröva överklagandet. Om prövningstillstånd inte meddelas står förvaltningsrättens avgörande fast. Det är därför viktigt att det klart och tydligt framgår av överklagandet till kammarrätten varför man anser att prövningstillstånd bör meddelas. Överklagandets innehåll Skrivelsen med överklagande ska innehålla 1. I