KamR Stockholm mål 1534-25
KLAGANDE
Region Uppsala Ombud: regionjurist
MOTPART
Medlo AB, 559116-5526 Ombud: advokat och biträdande jurist
ÖVERKLAGAT AVGÖRANDE
Förvaltningsrätten i Uppsalas dom den 25 februari 2025 i mål nr 7808-24, se bilaga A
SAKEN
Offentlig upphandling
KAMMARRÄTTENS AVGÖRANDE
Kammarrätten bifaller överklagandet och upphäver förvaltningsrättens dom i den del som avser anbudet från Avoki Solutions AB.
YRKANDEN M.M.
Region Uppsala yrkar att förvaltningsrättens dom ska upphävas och att ansökan om överprövning från Medlo AB ska avslås. Regionen för fram bl.a. följande. Rätten att åberopa ett annat företags kapacitet är central inom offentlig upphandling och får endast begränsas i undantagssituationer. Hindret att åberopa annans kapacitet vid certifiering av kvalitets- och miljöledningssystem, som tar sikte på hela anbudsgivarens verksamhet, bör inte utvidgas till andra former av certifiering såsom ISO 27001. Avoki Solutions AB har uppfyllt upphandlingens kvalificeringskrav för informationssäkerhet genom att åberopa ett annat företags kapacitet. Avoki kommer inte att hantera några personuppgifter. Informationssäkerhet gäller endast ett visst slags verksamhet och anbudsgivaren bör i sådana fall kunna åberopa annat företags kapacitet. Tidigare avgöranden från kammarrätterna tar inte sikte på denna situation.
Medlo AB anser att överklagandet ska avslås och för fram bl.a. följande. Möjligheten att åberopa annan aktörs kapacitet kan begränsas. Ett tydligt exempel på när så är fallet är när krav av individuell eller organisations- och verksamhetsspecifik karaktär endast kan uppfyllas av anbudsgivaren själv. Det är till exempel inte tillåtet att åberopa ett annat företags kvalitets- och miljöledningssystem eftersom ledningssystem utarbetas individuellt för det enskilda företaget. Det är därför endast detta företag som kan anses vara bundet av ledningssystemet. Krav på ledningssystem utgör även ett kvalitetskrav och inte ett krav att inneha viss kapacitet för att utföra en tjänst. Det är inte heller tillåtet att åberopa annans kapacitet för att uppfylla krav om att inneha ISO-certifiering då den är exklusiv för det företag som innehar certifieringen. Det saknas anledning att göra avsteg från detta i aktuellt fall enbart av den anledningen att den certifiering som avses är ISO 27001. Det är tydligt att det åberopade företaget inte kommer att utföra hela uppdraget som upphandlingen avser. Avoki kommer att utföra delar av uppdraget och då behandla information och personuppgifter. Därtill utgör aktuellt krav inte ett kvalificeringskrav utan ett krav på föremålet för upphandlingen som annans kapacitet inte kan åberopas för.
SKÄLEN FÖR KAMMARRÄTTENS AVGÖRANDE
Frågan i målet är om Avoki genom att åberopa Bemalong AB:s tekniska och yrkesmässiga kapacitet har uppfyllt det obligatoriska kravet i punkt 2.11.1 i Kravspecifikationen på att inneha ISO 27001-certifiering för informationssäkerhet.
En leverantör får för ett visst kontrakt åberopa andra företags kapacitet för att uppfylla krav som avser bl.a. teknisk och yrkesmässig kapacitet (14 kap. 6 § lagen [2016:1145] om offentlig upphandling, LOU). Krav på teknisk och yrkesmässig kapacitet får innebära att leverantören ska förfoga över nödvändiga personalresurser och tekniska resurser samt ha sådan erfarenhet som behövs för att kontraktet ska kunna fullgöras enligt en ändamålsenlig kvalitetsstandard (14 kap. 5 § LOU). Det är endast i undantagsfall som möjligheten till åberopande av annat företags kapacitet får begränsas (Swm Costruzioni 2 SpA och Mannocchi Luigino DI, C-94/12, EU:C:2013:646, punkterna 35 och 36).
Kammarrätten anser att kravet på certifiering för informationssäkerhet utgör ett kvalificeringskrav och att det avser det som upphandlas. Det får även ses som ett sådant krav på teknisk och yrkesmässig kapacitet som avses i 14 kap. 6 § LOU. Vad Medlo har fört fram om bl.a. kvalitetskrav och kravets placering medför ingen annan bedömning. Det har inte förts fram att regionen särskilt undantagit rätten att åberopa annat företags kapacitet avseende kravet. Det har inte heller i övrigt kommit fram att det skulle vara fråga om en sådan undantagssituation där ett annat företags kapacitet inte får åberopas.
Kammarrätten anser alltså att Avoki har haft rätt att åberopa Bemalongs yrkesmässiga och tekniska kapacitet för att uppfylla kravet på certifiering för informationssäkerhet i punkt 2.11.1 i Kravspecifikationen. Genom detta åberopande har Avoki uppfyllt upphandlingens krav på certifiering för informationssäkerhet. Vad Medlo har fört fram om att även Avoki kommer att behandla personuppgifter medför ingen annan bedömning. Skäl för att utesluta Avoki på denna grund finns därför inte heller. Regionen har alltså rätteligen kvalificerat och därefter antagit anbudet från Avoki. Överklagandet ska därför bifallas och förvaltningsrättens dom upphävas i den del som avser anbudet från Avoki.
HUR MAN ÖVERKLAGAR, se bilaga B (KR-09).
I avgörandet har deltagit lagmannen Eva Lindeblad (ordförande), kammarrättsrådet Magnus Schultzberg (referent) och kammarrättsrådet Petra Jansson.
Föredragande har varit fiskalen Niclas Lundgren.