1. Sammanfattning
- Enligt kammarrätten är det tillåtet att i en upphandling ställa krav som går längre än vad som följer av EU-rätten, även på områden där lagstiftningen är harmoniserad. Denna slutsats är dock inte självklar, och kammarrättspraxis på området är motstridig.
- Upphandlande myndigheter som genomför upphandlingar som berörs av totalharmoniserad EU-rätt ställs därför inför svåra överväganden om de överväger att ställa krav som går längre än vad som följer av EU-rätten. Detsamma gäller leverantörer som försöker bedöma om ett visst sådant krav är tillåtet eller inte.
- I just detta fall var frågan mer nyanserad än i tidigare avgöranden, eftersom regleringen på personuppgiftsområdet visserligen är totalharmoniserad, men den harmoniserade regleringen ålägger medlemsstaterna att ge dem som behandlar personuppgifter ett visst handlingsutrymme. Det kan argumenteras för att Västtrafik genom sina krav använde sig av det handlingsutrymmet.
- Harmoni definieras i SAOL bl.a. som ett ”tillstånd av balans och frid”. När det gäller frågan om upphandlande myndigheter får ställa krav som går längre än vad som följer av totalharmoniserad EU-lagstiftning tycks dock såväl balans som frid än så länge vara långt borta.
2. Fakta i målet
Västtrafik bjöd den 12 mars 2012 in leverantörer att lämna in ansökan om deltagande i anbudsgivningen avseende en upphandling som innefattade hantering av stora mängder personuppgifter. Västtrafik ställde i en bilaga till förfrågningsunderlaget bl.a. krav på att personuppgifter endast fick överföras till ett land utanför EU eller EES om landet i fråga tillträtt Europarådets s.k. dataskyddskonvention, eller om landet av EU-kommissionen bedömts ha en tillräcklig skyddsnivå för personuppgifter.
Bolaget Samres, vars verksamhet delvis var förlagd till Senegal, ansökte om överprövning och begärde att upphandlingen skulle rättas genom att användning av så kallade standardavtalsklausuler skulle tillåtas. Samres anförde att eftersom EU:s dataskyddsdirektiv är ett så kallat totalharmoniseringsdirektiv så är det inte tillåtet att i en upphandling kräva ett mer långtgående skydd än vad som följer av EU-rätten, samt att kravet dessutom var oproportionerligt. Västtrafik å andra sidan anförde att Senegal saknade en adekvat skyddsnivå rörande personuppgiftshantering och att Samres verksamhet således inte uppfyllde det i förfrågningsunderlaget uppställda kravet, även om verksamheten i och för sig var förenlig med EU:s lagstiftning. Efter att förvaltningsrätten i Göteborg hade avslagit Samres begäran om överprövning överklagade bolaget domen till Kammarrätten i Göteborg.
Om regleringen på ett område är totalharmoniserad får inte EU:s medlemsstater i sin lagstiftning ställa upp krav som går längre än vad som följer av EU-rätten. Dataskyddsdirektivet och personuppgiftslagen innehåller regler om när personuppgifter får föras över till länder utanför EU eller EES. Av dataskyddsdirektivet följer, såvitt är av intresse för frågan i målet, att medlemsstater måste tillåta att den som behandlar personuppgifter, om han bedömer att landet har ett tillräckligt skydd för uppgifterna, för över uppgifter till sådana länder.
Domstolens bedömning
Kammarrätten konstaterade inledningsvis att de av Västtrafik uppställda villkoren begränsade möjligheterna att överföra personuppgifter till tredje land och därvid gick längre än vad som gäller enligt personuppgiftslagen och dataskyddsdirektivet. Enligt kammarrätten innebär dock en totalharmonisering visserligen att en enskild medlemsstat i sin lagstiftning inte får upprätthålla mer långtgående krav än som följer av unionsrätten, men att harmonisering inte hindrar att en upphandlande myndighet i en upphandling ställer upp mer långtgående krav (domstolen hänvisade härvid till Kammarrätten i Stockholms dom i mål nr 2841-11 samt SOU 2013:12 s. 391 och 392).
Kammarrätten tog sedan ställning till om det aktuella kravet var proportionerligt. Utan närmare motivering konstaterade domstolen att kravet för var en lämplig och effektiv åtgärd för att uppnå syftet att säkerställa skyddet för personuppgifter. Vidare ansågs det enligt kammarrätten befogat att kräva en hög skyddsnivå för uppgifterna i fråga, som kunde vara av mycket känslig natur (t.ex. uppgifter om namn, adresser, personnummer samt sjukdoms- och hälsotillstånd). Enligt domstolen finns det väsentliga skillnader i skyddsnivå mellan å ena sidan ett avtalsrättsligt grundat skydd (här åsyftades bolagets avtal med den Senegalesiska underleverantören), och å andra sidan ett offentligrättsligt grundat skydd i ett land som prövats och godkänts av EU-kommissionen eller som anslutit sig till dataskyddskonventionen.
Domstolen konstaterade att medlemsstaterna enligt dataskyddsdirektivet visserligen ska tillåta överföring av uppgifter till tredje land med stöd av den personuppgiftsansvariges egen bedömning av landets skyddsnivå. Det betonades dock att detta innebär en möjlighet och inte en skyldighet att ta den risk som är förenad med bedömningen och att den personuppgiftsansvarige kan avstå från detta och endast acceptera överföring till tredje land som godkänts av EU-kommissionen eller som har anslutit sig till dataskyddskonventionen. Med hänsyn till ovanstående samt den svårighet som det innebär för den personuppgiftsansvarige att på förhand avgöra om ett tredje land har adekvat skyddsnivå ansåg domstolen att Västtrafiks krav även var nödvändigt för att uppnå det eftersträvade syftet. Slutligen uttalade domstolen att de negativa effekterna som kravet medförde inte var oproportionerliga eller överdrivna jämfört med det eftersträvade syftet, bl.a. med hänsyn till det straff- och skadeståndsansvar som Västtrafik riskerade vid en felaktig bedömning. Samres överklagande avslogs därför.
Analys och konsekvens
Frågan om upphandlande myndigheter kan ställa högre krav än som följer av EU-rätten har ofta diskuterats i den svenska upphandlingsdebatten samt har även tidigare varit föremål för domstolsprövning på kammarrättsnivå.
Kammarrätten uttalade i detta mål att det är tillåtet för en upphandlande myndighet att ställa krav som går längre än vad som följer av totalharmoniserad EU-rätt.
I sitt avgörande i mål nr 2841-11, vilket kammarrätten med gillande hänvisade till, uttalade även Kammarrätten i Stockholm att det inte finns något generellt förbud mot att en upphandlande myndighet ställer upp mer långtgående krav än vad som följer av EU-rätten, oavsett om regleringen på det aktuella området är harmoniserad eller inte. I målen 2216-2221-10 uttalade däremot Kammarrätten i Göteborg, d.v.s. samma domstol som avgjorde detta mål, att krav som ställts i ett förfrågningsunderlag och som varit mer långtgående än de som ställts i ett EU-direktiv utgjorde otillåtna importrestriktioner och därför stred mot principen om icke-diskriminering i 1 kap. 9 § LOU.
Det är inte helt självklart att det går att göra en jämförelse mellan dessa två avgöranden(vilka dessutom till synes talar mot varandra) och det nu aktuella målet. I de förstnämnda rättsfallen tycks det ha varit relativt klart att myndighetens krav gick längre än vad som följde av EU-rätten, även om detta inte innebar att domstolarna nådde samma slutsats avseende kravens tillåtlighet. Det är dock tveksamt om det utförandevillkor som uppställdes av Västtrafik i det här refererade fallet verkligen går längre än den harmoniserade EU-rätten i fråga. Som kammarrätten påpekade i sina domskäl ålägger dataskyddsdirektivet medlemsstaterna att tillhandahålla en möjlighet, och inte en skyldighet, för den som behandlar personuppgifter att ta den risk som är förenad med att bedöma om överföring av personuppgifter till tredje land är tillräckligt säker. Detta skulle i så fall innebära att direktivet visserligen syftar till en full harmonisering på området, men ändå ger den som hanterar personuppgifter ett visst handlingsutrymme. Med denna tolkning går det att argumentera för att Västtrafiks utnyttjande av detta handlingsutrymme inte strider mot EU-rätten.
Att rättsläget är oklart framgår som antytts av de olika meningar som företrätts i debatten, och framför allt av en splittrad kammarrättspraxis. Upphandlande myndigheter och enheter vars upphandlingar berörs av harmoniserad EU-lagstiftning ställs därför inför en svår uppgift där komplicerade bedömningar aktualiseras. Det är sannolikt att sista ordet i frågan inte är sagt.
Målnummer och domstol
Kammarrätten i Göteborg, mål nr 3931-13.
