KamR Göteborg mål 1748-17

KLAGANDE

Comenius Svenska AB, 556613-1636

I å

Ombud: Advokat Erik Olsson och juristen Tahmina Sahibli Advokatfirman Kahn Pedersen Box 16119 103 19 Stockholm

MOTPARTER

1. Edge HR AB, 556643-3248 Box 22109 104 22 Stockholm

2. Region Skåne 291 89 Kristianstad

ÖVERKLAGAT AVGÖRANDE

Förvaltningsrätten i Malmös dom den 24 mars 2017 i mål nr 9773-16, se bilaga A

SAKEN

Överprövning av offentlig upphandling

KAMMARRÄTTENS AVGÖRANDE

Kammarrätten beslutar att upphandlingen ska rättas på så sätt att en ny utvärdering görs varvid anbudet från Edge HR AB inte beaktas.

YRKANDEN M.M.

Comenius Svenska AB (Comenius) yrkar att kammarrätten ska besluta att upphandlingen får avslutas först sedan rättelse gjorts på så vis att en ny utvärdering genomförs utan beaktande av anbudet från Edge HR AB (Edge). Comenius anför följande. Edges anbud uppfyller inte de obligatoriska kraven som framgår av punkterna 6.37, 6.66, 6.79, 6.80 och 6.81 i förfrågningsunderlaget. Edge har beträffande samtliga dessa punkter inte tillhandahållit efterfrågade uppgifter genom att inte beskriva hur loggarna tillgängliggörs (I), omfattningen av sitt tekniska skydd mot skadliga program (ID, hur back-up av IT-stödet är utformat (III), hur all form av permanent lagring krypteras (IV) och hur nyckelhantering sker säkert (V). Edges svar är enbart en bekräftelse på att bolaget uppfyller vissa krav och inte beskrivningar enligt de angivna punkterna. En upphandlande myndighet har en strikt skyldighet att följa de krav som den själv har ställt upp i förfrågningsunderlaget och att förkasta alla anbud som inte uppfyller samtliga obligatoriska krav, Det finns således inget utrymme för den upphandlande myndigheten att frångå ska-krav som den själv har ställt eller på ett generöst sätt tolka huruvida ett anbud uppfyller ska-kraven.

Region Skåne anser att överklagandet ska avslås och anför att det som Comenius nu har anfört inte visar att regionen har brutit mot upphandlingslagstiftningen eller att Comenius har lidit skada på grund av de påstådda bristerna. Regionen hänvisar till vad den anfört i förvaltningsrätten.

Edge har fått tillfälle att svara, men har inte hörts av.

SKÄLEN FÖR KAMMARRÄTTENS AVGÖRANDE

Rättslig reglering

En upphandlande myndighet ska enligt 1 kap. 9 § lagen (2007:1091) om offentlig upphandling, förkortad LOU, behandla leverantörer på ett likvärdigt och icke-diskriminerande sätt samt genomföra upphandlingen på ett öppet sätt. Vid upphandlingar ska vidare principerna om ömsesidigt erkännande och proportionalitet iakttas.

I en upphandling utgör förfrågningsunderlaget en central del av förfarandet. En förutsättning för att underlaget ska kunna fylla sin konkurrensuppsökande funktion är att potentiella leverantörer kan vara säkra på att de obli gatoriska krav som ställs i underlaget upprätthålls under hela förfarandet. Likväl ska potentiella leverantörer kunna utgå från att ett ska-krav är av sådan vikt för den upphandlande myndigheten att den leverantör som inte anser sig kunna, eller vilja, uppfylla kravet avstår från att lämna ett anbud (fr HED 2016 ref. 37).

Kammarrättens bedömning

Kammarrätten instämmer i förvaltningsrättens bedömning vad gäller Edges beskrivning beträffande punkt 6.37 i förfrågningsunderlaget.

I kravspecifikationen anges beträffande punkt 6.66 följande.

Leverantörens servar ska vara försedda med skydd mot skadliga program/kod såsom virus och malware. Detta skydd ska uppdateras kontinuerligt. Anbudsgivaren ska redogöra för omfattningen av sitt tekniska skydd mot skadliga program samt rutinerna för att upprätthålla detta.

Under beskrivningen för kravet 6.66 har Edge angett ”Servrar kan förses och hanteras med de önskade programmen. Vi använder Linuxbaserade servrar och vi använder relevanta skydd för skadliga program. Servarna uppdateras kontinuerligt av driftleverantör.”

Kammarrätten konstaterar att kraven i punkterna 6.66 har en adekvat koppling till ändamålet med upphandlingen och inte kan anses oproportionerliga.

Under punkten 6.66 efterfrågas bl.a. en redogörelse för omfattningen av leverantörens tekniska skydd mot skadliga program. Edges svar bekräftar att företaget har skydd mot skadliga program men utgör enligt kammarrättens mening inte en tillräckligt precis beskrivning av det tekniska skyddets omfattning. Edge har därmed inte uppfyllt samtliga krav i punkt 6.66.

I kravspecifikationen anges beträffande punkterna 6.79, 6.80 och 6.81 följande.

Punkt, 6.79 Backup innehållande Region Skånes information ska vara krypterad. Anbudsgivaren ska beskriva hur backup av IT-stödet är utformat och vilka rutiner som gäller samt hur nycklar för kryptering hanteras.

Punkt 6.80 Region Skånes information ska vid all form av permanent lagring kunna krypteras. Anbudsgivaren ska beskriva hur detta säkerställs inklusive hur nycklar för kryptering hanteras.

Punkt 6.81 I de fall anbudsgivaren måste ha tillgång till nycklar som används för kryptering/dekryptering av Region Skånes information ska nyckelhantering ske säkert. Beskriv

Under beskrivningen för kravet 6.79 har Edge angett följande. ”Kryptering av databasbackuper är ej standard idag, emellertid kan de databasbackuper som tas dagligen krypteras med krypteringsprogramvaror (t.ex. med MySQL Enterprise Encryption). Om det är ett absolut krav att kryptering ska ske för VARJE backup som tas får vi utforma en lösning som utgår ifrån hur RS krypterar information idag, för att säkerställa att den krypteringslösning vi implementerar för attuppfyller RS och lagstadgade krav.”

När det gäller punkterna 6.80 och 6.81 har Edge under beskrivning angett ”Se svar 6.79 ovan”.

Kammarrätten konstaterar att kraven i punkterna 6.79, 6.80 och 6.81 har en adekvat koppling till ändamålet med upphandlingen och inte är oproportionerliga.

Under punkten 6.79 efterfrågas dels en beskrivning av hur back-up av ITstödet är utformat och vilka rutiner som gäller, dels hur nycklar för kryptering hanteras. Av Edges svar framgår att bolaget inte har kryptering av databasbackuper idag men att de kan utforma en lösning utifrån hur Region Skåne krypterar idag. Inget anges i svaret om hur nycklar för kryptering hanteras.

Kammarrätten anser att Edges svar inte beskriver någon erbjuden krypteringslösning utan innebär att en lösning kan utformas i framtiden. Edge ger ett exempel på en programvara som kan användas för ändamålet. I förvaltningsrätten har regionen anfört att Edge genom att ange den specifika programvaran har svarat på frågan eftersom det är ett allmänt känt program i branschen och att det programmets funktioner och rutiner för kryptering av nycklar är välkända. Regionen har hänvisat till en dom från Kammarrätten i Stockholm den 28 maj 2014 (mål nr 1097-14).

Kammarrätten anser, mot bakgrund av hur frågan är ställd i förfrågningsunderlaget i nu aktuellt mål där anbudsgivaren ska beskriva utformning av ITstöd samt rutiner för hur nycklar hanteras, att det svar som Edge har lämnat är allt för otillräckligt för att kunna godtas, även sett i ljuset av att den programvara som ges som exempel på lösning har vissa funktioner. Det noteras att i det kammarrättsmål som regionen hänvisar till rörde det sig om en erbjuden teknisk lösning, alltså inte en potentiell lösning och att den erbjudna lösningen hade den funktion som efterfrågades, vilket hade verifierats genom stickprov av den upphandlande myndigheten. Edge svarar dessutom inte alls på frågan om hur nycklarna för kryptering hanteras.

Svaren under 6.80 och 6.81 innebär endast hänvisningar till svaret under 6.79 och även med beaktande av att vissa förhållanden kan vara underförstådda och därmed besvarade när det gäller tekniska lösningar, anser kammarrätten att den beskrivning som efterfrågas av hur all form av permanent lagring ska kunna säkerställas och av att nyckelhantering sker säkert inte får något svar genom hänvisningen.

Sammantaget kan konstateras att Edge inte har uppfyllt samtliga krav i punkterna 6.66, 6.79, 6.80 och 6.81 i kravspecifikationen. Mot bakgrund härav finner kammarrätten att Region Skånes har agerat i strid med likabehandlingsprincipen genom att anta Edges anbud. Comenius, som har placerats efter Edge i utvärderingen, har lidit skada eller riskerar att lida skada genom att Edges anbud felaktigt har utvärderats. Det finns därmed anledning att besluta att upphandlingen ska rättas på så sätt att Edges anbud utesluts vid ny anbudsutvärdering. Överklagandet ska därför bifallas.

HUR MAN ÖVERKLAGAR, se bilaga B (formulär 9).

XZS

EA G vist

ÅKA

"Eva Römbo John Panbfsk referent — la ET

/Tofe Arvidsson

Bilaga

SÖKANDE

Comenius Svenska AB, 556613-1636

Bredbandet 1 392 30 Kalmar

Ombud: Advokat Erik Olsson och juristen Tahmina Sahibli Advokatfirman Kabn Pedersen KB Box 16119 103 23 Stockholm

MOTPART

Region Skåne

291 89 Kristianstad

SAKEN

Överprövning enligt lagen (2007:1091) om offentlig upphandling, LOU

FÖRVALTNINGSRÄTTENS AVGÖRANDE

Förvaltningsrätten avslår Comenius Svenska AB:s ansökan om ingripande enligt LOU.

Avdelning 1 BAKGRUND Region Skåne genomför en upphandling av IT-stöd för kompetensförsörjning, dnr 1501822. Upphandlingen genomförs med öppet förfarande enligt LOU. Efter utvärdering av inkomna anbud har Region Skåne beslutat att anta anbudet från Edge HR AB.

YRKANDEN

OCH INSTÄLLNING

Comenius Svenska AB, nedan Comenius, ansöker om överprövning av upphandlingen och yrkar i första hand rättelse på så sätt att en ny utvärdering genomförs varvid anbudet från Edge HR AB, nedan Edge, inte ska beaktas. I andra hand yrkar bolaget att upphandlingen ska göras om.

Som grund för sin ansökan anför bolaget bl.a. följande. Region Skåne har brutit mot principerna om likabehandling och transparens, och därmed mot 1 kap. 9 § LOU genom att anta anbudet från Edge trots att dess anbud inte uppfyller samtliga obligatoriska krav som ställts i upphandlingen. Comenius skulle, om det inte vore för Region Skånes överträdelser av LOU, ha placerat sig först i anbudsutvärderingen och därmed ha tilldelats avtal i upphandlingen. Bolaget har således lidit, eller riskerar i vart fall att lida, sådan skada som avses i 16 kap. 6 § LOU.

Edge HR AB:s anbud uppfyller inte kravet i punkten 6.37 enligt vilken anbudsgivaren ska beskriva hur processen för Region Skåne att ta del av loggar ser ut. I sitt svar har Edge enbart angett att kravet på att tillgängliggöra loggar är uppfyllt utan att redogöra för processen för att ta del av loggar. Edge har inte tillhandahållit någon information om hur det går till och hur deras process ser ut när Region Skåne begär att ta del av loggar. Det är inte tillräckligt för att uppfylla kravet att anbudsgivaren kan tillgängliggöra loggar, utan anbudsgivare måste därutöver beskriva sin process, Edges svar kan inte anses vara en kort beskrivning av processen. En sådan tolkning är dels osannolik mot bakgrund av syftet med kravet, dels oförenlig med förfrågningsunderlagets ordalydelse. Region Skåne kan inte i efterhand ändra det krav som den själv har ställt i förfrågningsunderlaget. Region Skåne har inte följt sin strikta skyldighet att följa sina egna krav och sin skyldighet att förkasta Edges anbud. Det är således uppenbart att samtliga anbudsgivare inte behandlats lika.

Edges anbud uppfyller inte kravet i punkten 6.66 enligt vilken anbudsgivare ska ha skydd mot skadliga program och redogöra för omfattningen av sitt tekniska skydd mot sådana program samt rutinerna för att upprätthålla detta. Edge har endast angett att de har skydd mot skadliga program men inte redogjort för omfattningen av sitt tekniska skydd. Edges beskrivning ger ingen information överhuvudtaget om vilket tekniskt skydd mot skadliga program som finns. Enbart en kort hänvisning till ”relevanta” skydd, som inte ger någon information överhuvudtaget avseende omfattningen av Edges tekniska skydd, kan omöjligt anses vara tillräckligt för att uppfylla kravet. Region Skåne kan inte i efterhand ändra kravet eller tolka kravet i motsats till förfrågningsunderlagets ordalydelse. Edges anbud innehåller inte efterfrågade uppgifter avseende omfattningen av bolagets tekniska skydd och borde därför rätteligen ha förkastats.

Edges anbud uppfyller inte kraven i punkterna 6.79, 6.80 samt 6.81. Enligt kravet i punkten 6.79 ska backup innehållande Region Skånes information krypteras och anbudsgivare ska beskriva hur backup av IT-stödet är utformat, vilka rutiner anbudsgivaren har samt hur anbudsgivare hanterar nycklar för kryptering. Edges svar är bristfälligt och beskriver inte dess rutiner eller hur nycklar för kryptering hanteras. Svaret om att de kan utforma en lösning som uppfyller Region Skånes krav kan inte anses vara tillräckligt. Edge har, genom att inte tillhandahålla den beskrivning som efterfrågas i förfrågningsunderlaget, inte uppfyllt kravet. Liknande krav har även ställs i punkterna 6.80 samt 6.81. Anbudsgivaren ska, enligt punkten 6.80, beskriva hur den säkerställer att Region Skånes information vid all form av permanent lagring krypteras inklusive hur de hanterar kryptering. Anbudsgivaren ska

Avdelning 1 vidare, i enlighet med punkten 6.81, beskriva hur den säkerställer att nyckelhantering sker säkert i de fall anbudsgivaren måste ha tillgång till nycklar som används för kryptering samt dekryptering av Region Skånes information. Under såväl punkten 6.80 som 6.81 har Edge hänvisat till sitt svar avseende punkten 6.79. Svaret under punkten 6.79 ger ingen information om någon av de efterfrågade uppgifterna i punkterna 6.80 och 6.81. Edge har således underlåtit att tillhandahålla Region Skåne med den efterfrågade informationen i de nämnda punkterna. Avsaknaden av de efterfrågade beskrivningarna innebär att anbudet inte uppfyllt något av kraven i punkterna 6.79, 6.80 samt 6.81. Edge har följaktligen inte uppfyllt samtliga obligatoriska krav i upphandlingen varför Region Skåne rätteligen borde ha förkastat Edges anbud.

Region Skåne har vidare brutit mot de grundläggande principerna i 1 kap. 9 § LOU, genom att tillämpa provuppställningsutvärdering, trots att upphandlingen genomförts som ett öppet förfarande. Dessutom har Edge tillåtits att komplettera sitt anbud efter provuppställningen i en mer betydande omfattning än bolaget. Region Skåne har utvärderat anbuden genom ett presentationsförfarande som är att jämställa med någon typ av förhandling där varje anbudsgivare fått presentera sin lösning på plats hos Region Skåne och sedan utvärderats utifrån denna presentation. Förfarandet har inneburit att utvärderingen skett på grundval av uppgifter som inte förekommit i anbudet och som tillkommit först efter det att anbud inlämnats, Förhandlat förfarande får, till skillnad från ett öppet förfarande, endast tillämpas i vissa i lagen angivna undantagssituationer. Provuppställningsförfarandet överensstämmer med den upphandlingsrättsliga definitionen av förhandling. Det är det faktiska förfarandet som ska bedömas vid avgörande om huruvida förfarandet är en typ av förhandling. Region Skåne har felaktigt använt sig av förhandling i upphandlingen trots att den genomförts som ett öppet förfarande. Detta har föranlett att anbudsgivare har olikbehandlats.

Region Skåne har, efter provuppställningen, tillåtit Edge att i betydande omfattning komplettera sitt anbud och sin presentation med vissa uppgifter som är tänkta att ligga till grund för utvärdering. Även Comenius har fått begäran om komplettering, dock inte i lika stor utsträckning som Edge.

Totalt är Comenius svar en och en halv sida lång. Edges svar däremot består av totalt cirka fyra sidor varav tre sidor verkar vara skärmdumpar eller övrigt exempel på systemet. Det är omöjligt att veta om huruvida kompletteringen har gått till på ett likabehandlande sätt och det kan inte uteslutas att

Edge har fått mer utrymme att presentera sin produkt än övriga anbudsgivare, vilket strider mot såväl likabehandlingsprincipen som transparensprincipen. Det kan vidare inte uteslutas att Edge, genom sin komplettering erhållit en högre utvärderingspoäng och gynnats av denna särbehandling. Det går inte heller att utesluta att kompletteringar begärts efter provuppställningen i syfte att tilldela högre poäng till Edge eller att Edge fått möjlighet att inkomma med uppgifter som legat till grund till utvärderingen i annan utsträckning än Comenius och därigenom fått en fördel. Comenius har lidit skada av att Region Skåne felaktigt använt en typ av förhandling i ett öppet förfarande och olikbehandlat anbudsgivare genom att tillåta Edge att komplettera sitt anbud i större utsträckning än Comenius.

Region Skåne bestrider Comenius ansökan och anför bl.a, följande. Upphandlingen strider inte mot LOU eller de principer som bär upp lagen. Det är den upphandlande myndigheten som får anses bäst lämpad att utvärdera lämnade anbud utifrån de krav som ställs i förfrågningsunderlaget. Utvärderingen har genomförts av en expertgrupp och den har genomförts i enlighet med vad som angivits förfrågningsunderlaget. Region Skåne har gjort bedömningen att Edge uppfyller de ställda kraven.

Kravet i punkt 6.37 i kravspecifikationen innebär endast att loggar generellt sett ska kunna göras tillgängliga för Region Skåne vid anmodan och att anbudsgivarna ska beskriva hur processen ser ut för Region Skåne att ta del av loggar. Något krav på att beskriva processen i detalj eller att vissa moment

Avdelning 1 måste vara med i beskrivningen finns inte. Inte heller finns något krav på att det i processbeskrivningen ska framgå hur lång tid tillgängliggörandet kan ta eller vem som har behörighet att ta del av loggar. En generell beskrivning utan några detaljer måste utifrån ordalydelsen av kravet godtas. Hade Region Skåne velat få in en mer detaljerad och specifik processbeskrivning hade detta behövt framgå av kravet. Edge har kortfattat beskrivit hur processen går till och att Region Skåne kan få ta del av loggarna efter en begäran.

Syftet med kravet har endast varit att få in en beskrivning av processen

Några andra krav på utformningen av beskrivningen har inte ställts. Anbudsgivare har att utgå från ett kravs ordalydelse och utifrån ordalydelsen av det aktuella kravet går det inte att läsa in någon skyldighet att lämna en mer detaljerad beskrivning än den som Edge har lämnat. Edge uppfyller således det uppställda kravet.

Inte heller avseende kravet i punkt 6.66 har det uppställts något krav på att anbudsgivarnas beskrivningar ska omfatta vissa detaljer utan såsom kravet är formulerat måste mer översiktliga beskrivningar godkännas. Syftet med kravet är att säkerställa att anbudsgivarna har relevant skydd mot skadliga program. Edge har uppgett att kravet är uppfyllt samt att servrar kan förses och hanteras med de önskade programmen och att de använder Linuxbaserade servrar med relevanta skydd för skadliga program. Det framgår således av Edges beskrivning att deras servrar är försedda med skydd mot skadli ga program. Det framgår således med all önskad tydlighet att det aktuella kravet är uppfyllt och beskrivningen innehåller dessutom information om omfattningen av skyddet, Edges svar uppfyller således både ordalydelsen av kravet samt Region Skånes syfte med kravet.

I kravspecifikationen har det under punkterna 6.79, 6.80 och 6.8 luppställts krav på att anbudsgivarna ska beskriva hur information krypteras och hur nycklar för kryptering hanteras. Edge har hänvisat till att kryptering sker med ett allmänt känt program i branschen och programmets funktioner, såsom rutiner för kryptering och hantering av nycklar, är välkända. Genom

Avdelning 1 att hänvisa till ett allmänt känt krypteringsprogram har således Edge angett hur kryptering sker samt hur nycklar för kryptering hanteras. Redan på denna grund framgår det att Edge uppfyller de aktuella kraven. Edge har dessutom angett att det är möjligt att utforma en lösning som utgår ifrån hur Region Skåne krypterar information idag. Edge har därmed angett att kryptering och hantering av nycklar kan utformas på ett sätt som baseras på Region Skånes nuvarande lösning och att krypteringen och hanteringen av nycklarna därmed uppfyller inte endast lagkraven utan även de krav som finns i kravspecifikationen. Edge har alltså inte endast hänvisat till ett specifikt krypteringsprogram utan även presenterat och beskrivit ytterliga en lösning för kryptering och hantering av nycklar.

Vidare har upphandlingen genomförts som ett öppet förfarande. Region Skåne har utvärderat de offererade produkterna i enlighet med vad som framgått av förfrågningsunderlaget. Någon förhandling har inte skett vid provuppställningen. Inte heller har anbudsgivarna fått möjlighet att anpassa sina anbud. Det har inte tillkommit någon ny produkt eller nya uppgifter utan det är endast den i anbudet offererade produkten som har utvärderats. Detta kan liknas med att en upphandlande myndighet inhämtar varuprover för att utvärdera en produkt och säkerställa att produkten uppfyller alla ställda krav. Region Skåne har i förfrågningsunderlaget varit tydliga med hur anbudsutvärderingen kommer att ske. För att kunna utvärdera produktens användarvänlighet samt användbarhet krävs att det görs en provuppställning. Alla anbudsgivare som uppfyllt alla ställda skall-krav har fått möjlighet att göra en provuppställning av det offererade IT-stödet. Kravet på provuppställning har varit klart och tydligt samt är en lämplig, effektiv och nödvändig åtgärd för att uppnå det eftersträvade syftet. Alla anbudsgivare har behandlats lika, Även om förvaltningsrätten skulle komma fram till att fel förfarande har tillämpats har Comenius inte visat på vilket sätt bolaget lidit eller riskerat att lida någon skada på grund av det påstådda felet.

Avdelning 1 I enlighet med LOU finns det en möjlighet för upphandlande myndighet att begära att ett anbud förtydligas. Region Skåne har begärt, både av Bolaget och av Edge, att vissa lämnade uppgifter skulle förtydligas. Båda anbudsgivarna har getts möjlighet till att förtydliga vissa uppgifter. Att anbudsgivarna lämnat olika långa svar medför inte att förtydligandena skulle strida mot LOU. Det har inte tillkommit några nya uppgifter utan det har endast rört sig om konkretisering av tidigare uppgifter. Även de skärmdumpar som Comenius hänvisar till är inte nya uppgifter utan visar endast den offererade produkten vilket även framgick under provuppställningen. Inget av det bolaget anfört eller åberopat visar att förtydligandena har skett i strid mot LOU eller de principer som bär upp lagen. Comenius har inte heller visat att förtydligandena inneburit någon särbehandling eller att det har tillkommit några nya uppgifter. Vad Comenius åberopat och anfört visar därmed inte att Region Skåne brutit mot LOU eller att bolaget lidit eller riskerat att lida någon skada på grund av de påstådda bristerna.

SKÄLEN FÖR AVGÖRANDET

Tillämpliga bestämmelser m.m.

I målet är lagen (2007:1091) om offentlig upphandling tillämplig, se p.4i övergångsbestämmelserna till lagen (2016:1145) om offentlig upphandling.

Enligt 1 kap. 9 § LOU ska upphandlande myndigheter behandla leverantörer på ett likvärdigt och icke-diskriminerande sätt samt genomföra upphandlingar på ett öppet sätt, Vid upphandlingar ska vidare principerna om ömsesidigt erkännande och proportionalitet iakttas.

Enligt 16 kap, 4 och 6 §§ LOU kan förvaltningsrätten pröva om en upphandlande myndighet har brutit mot någon bestämmelse i lagen och på talan av en leverantör som lidit eller kan komma att lida skada, besluta att en upphandling ska göras om eller får avslutas först sedan rättelse gjorts. Därvid gäller att förvaltningsrätten endast prövar de särskilt angivna frågor som sökanden tar upp.

Enligt 9 kap. 8 § LOU får en upphandlande myndighet begära att en anbudsansökan eller ett anbud förtydligas eller kompletteras om det kan ske utan risk för särbehandling eller konkurrensbegränsning.

Förvaltningsrätten gör följande bedömning.

Fråga om den vinnande anbudsgivaren uppfyller samtliga krav

En upphandlande myndighet får inte anta ett anbud som inte uppfyller kraven i förfrågningsunderlaget och inte heller göra prövningen och utvärderingen av anbuden mot andra kriterier än de som funnits med förfrågningsunderlaget. Vidare står det en upphandande myndighet fritt att själv bestämma hur förfrågningsunderlaget i en upphandling ska utformas och myndigheten väljer själv vad som ska tillmätas betydelse, så länge det sker inom ramen för offentliga upphandlingars grundläggande principer (RÅ 2002 ref. 50).

Comenius har i målet anfört att Region Skåne brutit mot bestämmelserna i

LOU genom att anta anbudet från Edge trots att det inte uppfyller samtliga obligatoriska krav som ställts i upphandlingen. Enligt Comenius skulle anbudet från Edge ha förkastats då det inte uppfyller kraven i punkterna 6.37

6.66, 6.79, 6.80 och 6.81 i kravspecifikationen.

I kravspecifikationen anges följande.

Punkt 6.37

Generellt selt ska loggar kunna göras tillgängliga för Region Skåne vid anmodan. Anbudsgivaren ska beskriva hur processen ser ut för Region Skåne att ta del av loggar. Finns det begränsningar över vilka loggar Region

Skåne kan ta del av ska detta beskrivas.

Avdelning 1 Punkt 6.66

Leverantörens servrar ska vara försedda med skydd mot skadliga program/kod såsom virus och malware. Detta skydd ska uppdateras kontinuerligt. Anbudsgivaren ska redogöra för omfattningen av sitt tekniska skydd mot skadliga program samt rutinerna för att upprätthålla detta.

Punkt 6.79 Backup innehållande Region Skånes information ska vara krypterad. Anbudsgivaren ska beskriva hur backup av IT-stödet är utformat och vilka rutiner som gäller samt hur nycklar för kryptering hanteras.

Punkt 6.50 Region Skånes information ska vid all form av permanent lagring kunna krypteras. Anbudsgivaren ska beskriva hur detta säkerställs inklusive hur nycklar för kryptering hanteras.

Punkt 6.81 I de fall anbudsgivaren måste ha tillgång till nycklar som används för kryptering/dekryptering av Region Skånes information ska nyckelhantering ske säkert. |

Av utredningen i målet framgår att Edge i sitt anbud angett att man uppfylller kraven samt under beskrivning för punkt 6.37 angett att ”Loggar kan göras tillgängliga på begäran”. Under beskrivning för punkt 6.66 har angetts följande: ”Servrar kan förses och hanteras med de önskade programmen. Vi använder Linuxbaserade servrar och vi använder relevanta skydd för skad- Se liga program. Servrarna uppdateras kontinuerligt av driftleverantör.” Under beskrivning för kravet 6.79 har angetts ”Kryptering av databasbackuper är ej standard idag, emellertid kan de databasbackuper som tas dagligen krypteras med krypteringsprogramvaror. Om det är ett absolut krav att kryptering ska ske för VARJE backup som tas får vi utforma en lösning som utgår ifrån hur RS krypterar information idag, för att säkerställa att den krypteringslösning vi implementerar för att uppfylla RS och lagstadgade krav”. När det gäller punkterna 6.80 och 6.81 har Edge under beskrivning angett ”Se svar 6.79 ovan”.

Förvaltningsrätten delar Comenius bedömning att Edges lämnade beskrivningar avseende nu aktuella krav i vissa delar får anses vara kortfattade.

Emellertid kan förvaltningsrätten konstatera att det i de aktuella kraven, utöver att beskrivning ska lämnas, inte anges hur omfattande eller detaljerade dessa efterfrågade beskrivningar ska vara. Det anges inte heller i kraven att vissa specifika moment ska vara med i beskrivningarna för att dessa ska kunna godtas eller för att kraven ska anses vara uppfyllda. En anbudsgivare har att utgå ifrån att en upphandlande myndighet upprätthåller ställda obligatoriska krav såsom de angetts i förfrågningsunderlaget (jfr HED 2016 ref. 37). Med hänsyn härtill och med beaktande av hur kraven är utformade och formulerade kan förvaltningsrätten inte finna att det skulle vara förenligt med bestämmelserna i LOU och de grundläggande EU-rättsliga principerna att förkasta Edges anbud på denna av Comenius anförda grunden. Enligt förvaltningsrättens mening får således Edge i sitt anbud anses ha lämnat sådana efterfrågade beskrivningar som, även om de i delar är kortfattade, uppfyller ställda krav. Skäl för ingripande enligt LOU på denna grund föreligger därför inte.

Fråga om upphandlingsförfarande och komplettering

Bolaget har i målet anfört att Region Skåne genom förfarandet med provuppställning felaktigt använt sig av förhandling i upphandlingen trots att den genomförts med öppet förfarande. Detta har enligt Comenius föranlett att anbudsgivare har olikbehandlats.

I förfrågningsunderlaget anges under punkten 2.1 att upphandlingen genomförs som ett öppet förfarande. Vidare anges under punkterna 2.13 och 2.14 bl.a. följande.

Avdelning 1 Region Skåne kommer att anta det anbud som uppfyller ställda skakrav och som bedöms vara det ekonomiskt mest fördelaktiga med hänsyn till följande kriterier: - Högst börkriteriepoäng i provuppställningen utifrån bedömningen användbarhet och användarvänlighet.

Anbudsgivare som klarar skakraven går vidare till en provuppställning. Syftet med provuppställningen är att utvärdera användarvänlighet samt användbarhet. Det i anbudet offererade systemets användbarhet och användarvänlighet kommer att bedömas av ett antal representanter från verksamheten, bestående av HR-representanter och chefer. Deltagarna representerar flera av Region Skånes verksamheter, såsom hälso- och Sjukvård inom både slutenvård och öppenvård, Regionservice, Skånetrafiken och Koncernkontoret.

Av utredningen i målet framgår att Region Skåne i nu aktuell upphandling utvärderat de offererade produkterna vid provuppställningar vid vilka respektive anbudsgivare som klarat de obligatoriska kraven deltagit, däribland Comenius. Enligt förvaltningsrättens mening finns det inte något principiellt hinder mot att en upphandlande myndighet använder en utvärderingsmodell med en provuppställning under förutsättning att förfarandet inte innebär att någon bestämmelse i LOU eller de EU-rättsliga principerna träds för när. Det är i målet inte visat annat än att Region Skåne genomfört utvärderingen i enlighet med vad som anges i förfrågningsunderlaget. Det är inte heller visat att några förhandlingar med anbudsgivarna skett vid aktuella provuppställningar eller att anbudsgivarna därvid fått möjlighet att anpassa eller | ändra sina anbud. Vidare är det, för att grund för ingripande mot upphandlingen ska föreligga, inte tillräckligt att sökanden anser sig ha lidit eller kunna komma att lida skada, utan sökanden ska visa att han bar lidit eller kan komma att lida skada av den eller de brister som påtalats (HFD 2013 ref. 53). Enligt förvaltningsrättens mening har Comenius i målet inte klargjort eller visat på vilket sätt de påstådda bristerna skulle medfört att bolaget

Avdelning 1 lidit eller riskerat att lida skada, Vid sådana förhållanden föreligger inte skäl för ingripande enligt LOU på denna av Comenius anförda grunden.

Comenius har vidare anfört att Region Skåne efter provuppställningen tillåtit Edge att komplettera sitt anbud i större utsträckning än Comenius och att bolaget därigenom riskerat att lida skada.

En upphandlande myndighet får begära att en anbudsansökan eller ett anbud förtydligas eller kompletteras om det kan ske utan risk för särbehandling eller konkurrensbegränsning. Bestämmelsen ska tillämpas restriktivt och det får inte handla om att ersätta tidigare uppgifter utan tvärtom att konkretisera dem på ett eller annat sätt.

Av utredningen i målet framgår att Region Skåne gett både Comenius och Edge möjlighet till att förtydliga sina anbud. Det är enligt förvaltningsrätten emellertid i målet inte visat att Region Skånes förfarande i denna del medfört någon form av särbehandling eller konkurrensbegränsning. Det är inte heller i övrigt visat att förfarandet har skett i strid mot bestämmelserna i LOU eller de principer som bär upp lagen. Den omständigheten att Edges komplettering utgör fler sidor än Comenius komplettering ändrar inte bedömningen. Det är inte heller visat att Comenius genom myndighetens förfarande lidit eller riskerat att lida skada, Skäl för ingripande enligt LOU på denna grund föreligger därmed inte.

Sammanfattning

Sammanfattningsvis finner förvaltningsrätten att de omständigheter som Comenius åberopat i målet inte visar att Region Skåne i det aktuella upphandlingsförfarandet har brutit mot bestämmelserna i LOU eller att Comenius har lidit eller riskerat att lida skada. Skäl för ingripande enligt LOU föreligger därmed inte. Comenius ansökan ska därför avslås.

HUR MAN ÖVERKLAGAR, se bilaga (DV 3109/1B LOU)

Loul$é af Klint

Sune Wennerberg har föredragit målet.