Leverandøren får ikke alltid vite hva som trakk tilbudet ned. Dersom vurderingen gjelder en navngitt konsulent, kan konsulenten selv ha krav på innsyn etter GDPR.
Oppdragsgiver skriver at referansene ga lav uttelling. Mer står det ikke i tildelingsbrevet.
Det kan være nok etter begrunnelsesplikten. Anskaffelsesforskriften §§ 10-1 og 25-1 krever at oppdragsgiver redegjør for det valgte tilbudets egenskaper og relative fordeler. Reglene krever ikke nødvendigvis at hele referansesamtalen gjengis.
Offentleglova gir ikke alltid svaret
Oppdragsgivers referat og egne vurderinger kan være organinterne dokumenter. Slike dokumenter kan unntas fra innsyn etter offentleglova § 14. Oppdragsgiver skal vurdere merinnsyn etter § 11, men vurderingen fører ikke nødvendigvis til at dokumentet blir utlevert.
Leverandøren kan derfor sitte igjen med en kort begrunnelse og et avslått innsynskrav, uten å vite hva som faktisk ble sagt om den tilbudte konsulenten.
Personen har et eget innsynskrav
Her gir personvernreglene et annet utgangspunkt.
Utsagn som «svak prosjektstyrer», «vanskelig å samarbeide med» eller «måtte følges tett opp» er personopplysninger når de gjelder en bestemt person. Det gjelder også når utsagnene bygger på skjønn.
Etter GDPR artikkel 15 kan personen kreve innsyn i alle personopplysninger oppdragsgiver behandler om ham eller henne. Retten omfatter også en kopi av opplysningene og, når de er hentet fra andre, tilgjengelig informasjon om hvor de kommer fra.
Det avgjørende er hvilke opplysninger som behandles om personen. At opplysningene står i et internt dokument, bringer dem ikke i seg selv utenfor artikkel 15.
Et internt dokument er ikke nok
Personopplysningsloven § 16 første ledd bokstav e gir ikke et generelt unntak for interne dokumenter. Innsyn kan bare nektes når opplysningene utelukkende finnes i tekst utarbeidet for intern saksforberedelse, teksten ikke er utlevert til andre, og det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser.
Nødvendighetsvilkåret er sentralt. Mens evalueringen pågår, kan det tenkes at oppdragsgiver har behov for å beskytte en intern avgjørelsesprosess. Etter at tildelingsbeslutningen er truffet, vil denne prosessen normalt være avsluttet. Da vil det som regel ikke lenger være nødvendig å nekte innsyn av hensyn til den interne avgjørelsesprosessen.
Utgangspunktet etter tildelingen er derfor at personopplysningene må utleveres etter GDPR artikkel 15, selv om dokumentet fortsatt er internt og kan unntas fra allmennhetens innsyn etter offentleglova § 14. Mener oppdragsgiver at unntaket likevel gjelder, må avslaget begrunnes skriftlig og vise presist til unntakshjemmelen, jf. § 16 andre ledd.
Feil kan kreves rettet
Innsynet kan vise at referansen har oppgitt feil prosjekt, feil rolle eller feil hendelsesforløp. Uriktige personopplysninger kan kreves rettet etter GDPR artikkel 16.
En negativ vurdering blir ikke uriktig bare fordi personen er uenig. Men oppdragsgiver må kunne skille mellom faktiske opplysninger og vurderinger, og ta stilling til en konkret påstand om at opplysningene er feil.
Slik kan kravet formuleres
Jeg ber etter GDPR artikkel 15 om innsyn i alle personopplysninger dere behandler om meg i forbindelse med konkurransen, herunder opplysninger innhentet fra referanser, notater og vurderinger som gjelder meg, og tilgjengelig informasjon om hvor opplysningene er hentet fra.
Leverandøren kan altså få en lovlig, men lite opplysende begrunnelse. Personen som referansen gjelder, kan likevel ha et selvstendig krav på innsyn etter personvernreglene.
Kilder
- Anskaffelsesforskriften § 10-1
- Anskaffelsesforskriften § 25-1
- Offentleglova §§ 11 og 14
- GDPR artikkel 15
- GDPR artikkel 16
- Personopplysningsloven § 16