Oslo byfogdembete: avvisning av tilbud i Doffin-konkurranse

OSLO BYFOGDEMBETE

KJENNELSE

Avsagt: 16.01.2013 i Oslo byfogdembete, Oslo

Sak nr.: 12-188718TVI-OBYF

Dommer: Dommer Leif Villars-Dahl

Saken gjelder: Midlertidig forføyning

EUS Holding Limited Advokat Espen Isaksen Bakken

mot

Staten Advokat Helge Røstum v/ Direktoratet for Forvaltning og IKT

Ingen begrensninger i adgangen til offentlig gjengivelse

KJENNELSE

Advokat Espen Bakken fremsatte 22. november 2012 på vegne av EUS Holding Limited begjæring om midlertidig forføyning overfor Staten v/ Direktoratet for Forvaltning og IKT med følgende påstand:

1. Direktoratet for IKT og Forvaltning forbys å videreføre konkurransen "Operatør- avtale om drift av den nasjonale kunngjøringstjenesten Doffin" frem til det ved rettskraftig dom er avgjort om Direktoratet for IKT og Forvaltning er berettiget til å avvise EUS Holding Limited fra videre deltagelse i konkurransen.
2. Direktoratet for IKT og Forvaltning plikter å betale sakskostnader for EUS Holding Limited.

Hovedspørsmålet i saken er om Direktoratet for Forvaltning og IKT (heretter forkortet Difi) har brutt regelverket for offentlige anskaffelser ved å avvise tilbudet fra EUS Holding Limited (heretter forkortet EUS), og om det var uberettiget av Difi å avlyse konkurransen om drift av Doffin.

Sakens bakgrunn

Difi kunngjorde 30. august 2011 anbudskonkurranse om innkjøp av operatøravtale om drift av kunngjøringstjenesten Doffin. Doffin er den obligatoriske nasjonale tjeneste for publisering av kunngjøringer relatert til anskaffelser, konsesjoner mv. På Doffin offentlig- gjøres alle offentlige anbudskonkurranser med verdi over kr. 500.000 som ikke er unntatt. Doffin gir mulighet for oppdragsgivere til å kunngjøre sine konkurranser, samtidig som oppdragstagerne kan søke etter aktuelle konkurranser man ønsker å delta i. Oppdrags- avtalen har en ramme på kr. 40 mill. og en varighet på åtte år og kan fornyes i ytterligere inntil fem år. Konkurransen var en begrenset anbudskonkurranse etter forskrift om offentlige anskaffelser (FOR-2006-04-07 nr. 402), heretter forkortet FOA, kapittel III.

Tilbudsfristen var 16. januar 2012. EUS og Millstream Associates Ltd (heretter forkortet Millstream) leverte hvert sitt tilbud innen fristen.

Difi besluttet å innstille Millstream som kontraktspart ved konkurransen. Dette ble meddelt EUS i e-post av 14. april 2012 fra Difi. Millstream er i dag leverandør av disse tjenester for drift av Doffin.

EUS sendte den 20. april 2012 klage over tildelingen til Difi som besvarte klagen den 18. mai 2012 og opprettholdt tildelingen til Millstream. EUS sendte den 29. mai 2012 klage til KOFA. KOFA avsa den 13. august 2012 avgjørelse hvor konklusjonen var at Difi hadde brutt FOA § 20-13 første ledd bokstav e) ved ikke å avvise Millstreams tilbud, da Mill- stream hadde svart "nei" på et av de oppstilte minimumskravene i kravspesifikasjonen.

Difi sendte den 16. august 2012 brev hvor det ble meddelt at beslutningen om å tildele kontrakten til Millstream var annullert, og at Difi ville vurdere videre oppfølging av kontrakten. Difi gjennomførte så en ny intern vurdering av saksbehandlingen ved konkurransen og av tilbudet fra EUS. I brev av 29. oktober 2012 meddelte Difi at tilbudet fra EUS også måtte avvises på grunn av vesentlige avvik fra minimumskrav i konkurranse- grunnlaget, og at Difi derfor ønsket å avlyse konkurransen fordi man ikke stod igjen med gyldige tilbud. Det heter blant annet i Difis brev:

"Tilbudet fra EUS Holding LTD, heretter omtalt som EUS, er blitt avvist i henhold til forskriften § 20-13

(1) bokstav e, fordi tilbudet inneholder vesentlig avvik fra kravspesifikasjonen.

I kravspesifikasjonen punkt 2.11 var det satt som krav et "Operatøren skal ha på plass tilbake som forhindrer spredning av virus og skadelig programvare i opplastede dokumenter." Kravet var angitt som et "må"-krav. EUS har svar "Ja" på at kravet vil bli oppfylt, men dokumenterer en tilbudt løsning som ikke tilfredsstiller må-kravet.

I henhold til forskriften § 20-13

(1) bokstav e har oppdragsgiver plikt til å avvise et tilbud som "inneholder vesentlige avvik fra kravspesifikasjonene i kunngjøringene eller konkurransegrunnlaget." EUS manglende oppfyllelse av kravet i punkt 2.11 er her vurdert å være et vesentlig avvik fra kravspesifikasjonen og tilbudet må derfor avvises."

I et annet brev av 29. oktober 2012 til EUS meddelte Difi at konkurransen var avlyst, og at man ønsket forhandlinger med begge tilbydere etter FOA § 14-4. Difi skrev blant annet:

"På bakgrunn av Klagenemndas avgjørelse i sak 2012/0142, hvor KOFA vurderte at Millstreams tilbud burde vært avvist, ble det som informert i brev fra Difi datert 16. august 2012, besluttet å annullere tildelingen.

Difi nedsatte en ny evalueringsgruppe og har gjennomgått konkurransen og evaluert tilbudene på nytt. Konklusjonen av denne gjennomgangen ble at begge tilbudene måtte avvises i henhold til forskriften § 20-13

(1) bokstav e, fordi tilbudene inneholdt vesentlig avvik fra kravspesifikasjonen. På denne bakgrunn har Difi konkludert med at konkurransen må avlyses da det ikke foreligger noen akseptable tilbud.

Difi er av den oppfatning at det er mulig å få på plass en tilfredsstillende avtale uten vesentlige endringer i kontraktsvilkårene og ønsker således å invitere tilbyderne i konkurransen til forhandling uten forutgående kunngjøring i h.t. § 14-4 i Forskrift om offentlige anskaffelser."

EUS klaget over avvisningen i brev av 14. november 2012 til Difi. Da EUS ikke fikk raskt svar på klagen, ble som ovenfor nevnt begjæring om midlertidig forføyning sendt retten

22. november 2012.

Regjeringsadvokaten v/advokat Helge Røstum har den 11. desember 2012 sendt inn tilsvar på vegne av Staten v/Difi. Muntlig forhandling ble gjennomført 10. januar 2012. Begge parter møtte og avgav forklaring. Det vises for øvrig til rettsboken.

Det omstridte spørsmål i saken er først og fremst om EUS' svar under konkurranse- grunnlagets punkt 2.11 gir Difi plikt til å avvise tilbudet fra EUS, jf. FOA § 20-13 første ledd bokstav e), hvor det heter:

"Et tilbud skal avvises når: e. det inneholder vesentlige avvik fra kravspesifikasjonene i kunngjøringen eller konkurransegrunnlaget."

I konkurransegrunnlagets innledning heter det i pkt. 1.6 om forklaring til krav- spesifikasjonen:

"Formålet med kravspesifikasjonen er å presisere anskaffelsesbehovet samt å stille krav til informasjon om Operatøren og Operatørens leveranse, som gjør Difi i stand til å:

• vurdere om tilbudt leveranse er tilfredsstillende
• …. … Kravene tar utgangspunkt i et funksjonelt behov der det presiseres et formål kravet skal bidra til å innfri. Det blir videre presisert minimumskrav (må-krav) Operatøren må tilfredsstille for at tilbudt tjeneste kan aksepteres. Det skal her presiseres om funksjonalitet er på plass (E), om det er behov for tilpasninger av eksisterende funksjonalitet (T) eller om det må utvikles (U). Under hvert punkt blir det også listet opp dokumentasjonskrav som presiserer hvordan tilbyder skal dokumentere hvordan kravene blir innfridd og hvordan tilbudt tjeneste bidrar til å innfri formålene i Doffin."

I kravspesifikasjonen fra Difi er det i punkt 2.11.1 nr. 2 et funksjonskrav om at:

"Operatøren skal ha på plass tiltak som forhindrer spredning av virus og skadelig programvare i opplastede dokumenter".

Kravet er markert som et "må"-krav, og tilbyderne skal svare "ja" eller "nei", for å vise om kravet er oppfylt, samt svare på kravets tilgjengelig het om det enten er: U=utvikling, T=tilpasning eller E=eksisterer. EUS svarte "ja" og "E" på dette kravet.

Det følger videre av kravspesifikasjonen i pkt. 2.11.2.3 et dokumentasjonskrav om "Trygg opp- og nedlasting":

"Presiser eventuelle rutiner og tiltak for å sikre trygg opp- og nedlasting av dokumenter, som for eksempel kontroll og virussjekk av dokumentene".

EUS svarte i tilbudet på dette:

"Alle dokument som lastes opp eller ned i Doffin skannes for virus når de legges inn i noen arkiv. Et uskannet eller smittet dokument vises med et spesielt ikon som gjør det tydelig at brukeren ikke bør stole på filen. Alle filoverføringer skjer innenfor den SSL-kryptering som systemet bruker, og det går derfor ikke å finne ut av informasjonen om filene som overflyttes."

Saksøkeren, EUS Holding Limited, har i det vesentlige anført: Difi har til hensikt å avlyse konkurransen om drift av Doffin og mener å ha saklig grunn for dette, jf. FOA § 22-1 første ledd. Begrunnelsen er at Difi ikke står igjen med noen leverandører i konkurransen, da også EUS er avvist på grunn av vesentlige avvik fra kravspesifikasjonen, jf. FOA § 20-13 første ledd bokstav e). EUS anfører prinsipalt at tilbudet ikke inneholder vesentlige avvik fra kravspesifikasjonen og subsidiært at et eventuelt avvik ikke er så vesentlig at det gir Difi saklig grunn for å avlyse konkurransen.

Temaet for begjæringen om midlertidig forføyning er ikke om Difi har saklig grunnlag for avlysningen, jf. FOA § 22-1 første ledd, men om Difi har hjemmel til å avvise tilbudet fra EUS, jf. FOA § 20-13 første ledd bokstav e).

Difi har ved sin opprinnelige gjennomgang av tilbudene vurdert det slik at både tilbudet fra Millstream og fra EUS oppfyller kravene i tilbudet og er gode leverandører. Vurderingen av tilbudene viser også liten forskjell, Millstream fikk 9,65 poeng og EUS fikk 9.48 poeng. Etter KOFAs avgjørelse om at tilbudet fra Millstream skulle ha vært avvist, beordret Difi en streng og grundig gjennomgang av EUS' tilbud for å undersøke om dette tilbud omfattet alle minimumskravene. Det var først etter denne andre gjennomgang at Difi fant at EUS' tilbud ikke oppfylte minimumskravene på ett punkt. Difi har i partsforklaring for retten bekreftet at avvisningen av EUS utelukkende er begrunnet med at Difi mener EUS ikke har oppfylt minimumskravet i konkurransegrunnlaget pkt. 2.11.

Oppdragsgiver har etter FOA § 22-13 første ledd bokstav e) plikt til å avvise et tilbud som "inneholder vesentlige avvik fra kravspesifikasjonene i kunngjøringen eller konkurranse- grunnlaget". Spørsmålet er det foreligger avvik, beror i første rekke på hvordan krav- spesifikasjonen skal forstås.

EUS svarte "ja" og "E" uten forbehold på funksjonskravet i kravspesifikasjonens punkt 2.11.1 underpunkt 2. Det er ingen tvil om at EUS har forpliktet seg til å levere en løsning hvor det er på plass tiltak som forhindrer spredning av virus og skadelig programvare i opplastede dokumenter.

Dokumentasjonskravet i pkt. 2.11.2.3 spør imidlertid om noe annet, nemlig:

"Presiser eventuelle rutiner og tiltak for å sikre trygg opp- og nedlasting av dokumenter, som for eksempel kontroll og virussjekk av dokumentene".

Spørsmålet må sees i den kontekst at dette dreier seg om en nettbasert tjeneste hvor forutsetningen er at brukeren ikke skal installere noe utover en nettleser for å bruke tjenesten, se kravspesifikasjonen pkt. 3.2.1 nr. 10. Kravspesifikasjonen stiller også andre dokumentasjonskrav under pkt. 2.11, slik som pkt. 2.11.2.2 om kobling til eksterne nettsteder, som heller ikke gjelder å forhindre virus mv. i opplastede dokumenter. Difi gjør

således noe annet enn det som er beskrevet i pkt. 1.6 i innledningskapitlet i krav- spesifikasjonen, hvor det heter:

"Under hvert punkt blir det også listet opp dokumentasjonskrav som presiserer hvordan tilbyder skal dokumentere hvordan kravene blir innfridd og hvordan tilbudt tjeneste bidrar til å innfri formålene i Doffin."

Dette er et spørsmål om eventuelle tiltak ved opp- og nedlasting av dokumenter, dvs. i den vertikale relasjonen, i h.h.t. hjelpedokumentets illustrasjon. Funksjonskravet gjelder derimot spørsmålet om å hindre spredning av virus mv. i opplastede dokumenter, dvs. i den horisontale relasjonen i hjelpedokumentet.

Ved at dokumentasjonskravet i pkt. 2.11.2.3 gjelder noe annet enn funksjonskravet i 2.11.1 nr. 2., bortfaller plikten for EUS til å dokumentere at forhindring av spredning av virus mv. Det står ingen steder i tilbudet at EUS' løsning vil spre infiserte dokumenter. Det er en slutning som Difi har ved en misforståelse har gjort ved fortolkning av EUS' tilbud. Poenget med EUS' svar er at en oppdragsgiver skal få beskjed om hvorfor hans dokument ikke blir lastet ned på Doffin.

Fordi det forutsettes at det ikke skal lastes ned noen virusprogrammer e.l. hos brukeren, må kontrollen av opplastede dokumenter skje på serveren. Denne kontrollen for skjer en egen "kontrollsone", og hvor dokumentene vil være "i karantene" til de er ferdig kontrollert. Brukerne må derfor kunne laste opp dokumentene på serveren før de kan kontrolleres for virus mv. (dette er den vertikale forbindelsen i hjelpedokumentet), men dokumentene vil ikke bli "sluppet inn" i databasen for Doffin, før de er kontrollert. Bare de dokumenter som ikke er infisert, vil bli sluppet inn i databasen (dette er den horisontale forbindelsen i hjelpedokumentet).

EUS understreker at det er svart "ja" på funksjonskravet. Det forhold at EUS videre i pkt. 2.11.2.3 opplyser at løsningen har en tilleggsfunksjon ved at bruker får varsel dersom dokumenter inneholder virus, er ment som en verdifull informasjon til bruker. Det kan vise seg å være svært viktige dokumenter som ved denne funksjonen ikke lar seg laste opp. Det er avgjørende at bruker gjøres oppmerksom på dette, slik at han kan finne andre former for å få innholdet lastet opp, slik at den endelige dokumentasjonen som skal på Doffin blir komplett og korrekt. Dersom systemet bare forhindret og ikke varsel bruker, vil det være betydelig risiko for at man kunne fått tilfeller med mangelfull dokumentasjon, enten fra oppdragsgiver knyttet til kunngjøringer eller fra tilbyder dersom noe skulle lastes opp fra tilbyder, med svært uheldige konsekvenser for anskaffelsen som sådan. Beskrivelsen under pkt. 2.11.2.3 er følgelig knyttet til å få frem at EUS er opptatt av at bruker varsles, slik at alternative metoder og/eller formater kan vurderes for å sikre komplett dokumentasjon.

Dette handler med andre ord ikke om tiltak for å forhindre spredning av virus mv.

Den dokumentasjon som er beskrevet underbygger at løsningen fra EUS har tiltak på plass som forhindrer spredning av virus og skadelig programvare i opplastede dokumenter. Det er således ingen motstrid mellom "ja" på funksjonskravet og beskrivelsen i dokumenta- sjonen. Det er ikke grunnlag for å hevde at det foreligger avvik fra kravspesifikasjonen.

Etter FOA § 20-13 første ledd bokstav e), er det et krav om at avviket skal være et vesentlig avvik for at tilbudet skal kunne avvises. EUS anfører at selv om man skulle komme til at det foreligger et avvik, er i alle tilfeller dette avviket ikke vesentlig. Det må vurderes ut fra situasjonen i denne saken, hvor EUS står igjen som eneste tilbyder. En avvisning vil være til vesentlig skade for EUS. På den annen side lider ingen andre parter tap. Millstream har ikke oppfylt minstekravene. Avviket i seg selv er heller ikke vesentlig. EUS reiser også spørsmål om hvorfor ikke tilbudet fra EUS ble avvist ved Difis første gjennomgang av tilbudene. Det er ikke kommet frem noe nytt faktum eller ny rettspraksis etter KOFAs avgjørelse i august. Det eneste nye er at Difi har uttalt at man ikke ønsket å bli felt i KOFA eller domstolene på nytt. Et eventuelt avvik er således ikke så vesentlig at det gir grunnlag for avvisning.

Oppsummeringsmessig anfører EUS at det etter dette ikke er rettslig grunnlag for å avvise tilbudet fra EUS, da det ikke inneholder vesentlige avvik fra kravspesifikasjonen. Hoved- kravet for midlertidig forføyning er således sannsynliggjort, jf. tvisteloven § 34-2 første ledd.

EUS anfører videre at det foreligger sikringsgrunn, jf. tvisteloven § 34-1 første ledd bokstav b). Dersom EUS avvises fra konkurransen i strid med selskapets rettigheter, vil det føre til vesentlig skade og ulempe ved at EUS da mister muligheten til å få tildelt kontrakten i henhold til den utlyste konkurransen. EUS vil i så fall kun sitte igjen med en mulighet til å delta i en eventuell ny konkurranse om tilsvarende kontrakt. Utfallet av en slik ny konkurranse er høyst usikkert. En ny konkurranse vil uansett ha redusert verdi- potensiale fordi leverandørene nå har fått se hverandres tidligere tilbud. Dersom EUS' tilbud ikke skal avvises, vil EUS derimot stå igjen som eneste tilbyder i konkurransen. For alle praktiske formål vil det innebære at EUS får tildelt kontrakten.

Sikring er nødvendig for å oppnå den midlertidige løsning at en eventuell beslutning om avvisning utsettes til tvisten om avvisningsspørsmålet er rettskraftig avgjort.

Verdien av kontrakten som ønskes sikret er betydelig, både i økonomisk forstand og med tanke på markedsføringsverdi. Kravene til sikringsgrunn i tvisteloven § 34-1 er dermed sannsynliggjort. At det foreligger sikringsgrunn er ikke bestridt av staten.

EUS er innforstått med at retten vil sette en frist for å reise søksmål om kravet, jf. tvisteloven § 34-3 tredje ledd. Fristen kan passende settes til en måned.

EUS Holding Limited har nedlagt slik påstand

1. Direktoratet for Forvaltning og IKT forbys å videreføre konkurransen "Operatør- avtale om drift av den nasjonale kunngjøringstjenesten Doffin" frem til det ved rettskraftig dom er avgjort om Direktoratet for Forvaltning og IKT er berettiget til å avvise EUS Holding Limited fra videre deltagelse i konkurransen.
2. Direktoratet for Forvaltning og IKT plikter å betale sakskostnader for EUS Holding Limited.

Saksøkte, Staten v/Direktoratet for forvaltning og IKT, har i det vesentlige anført: Staten mener Difi hadde en plikt til å avvise tilbudet, jf. FOA § 20-13 første ledd bokstav e). EUS Holding har således intet hovedkrav som kan gi grunnlag for forføyning, jf. tvisteloven § 34-2 første ledd. Av den grunn må begjæringen forkastes.

Årsaken til at tilbudet fra EUS ble vurdert på nytt av en ny evalueringsgruppe etter KOFAs avgjørelse 13. august 2012 var at Difi ønsket å forsikre seg om at det ikke var begått en feil også ved vurderingen av EUS' tilbud. KOFA fant at Difi begikk en feil ved at Millstream ikke ble avvist fra konkurransen. Difis nye evalueringsgruppe konkluderte med at det også for EUS' tilbud forelå et vesentlig avvik fra kravspesifikasjonen, som innebar at Difi etter regelverket pliktet å avvise tilbudet, jf. FOA § 20-13 første ledd bokstav e).

Staten vil også nevne at Difi har sagt seg villig til å avvente videre skritt i saken inntil det foreligger en avgjørelse fra en klagebehandling av avvisningsbeslutningen i KOFA. Gjennomsnittlig saksbehandlingstid i KOFA for prioriterte saker er ca. to måneder. I denne saken foreligger det kun én juridisk problemstilling, og det er derfor grunn til å tro at saksbehandlingstiden vil være kortere. EUS har gitt uttrykk for at selskapet ikke ønsker en klagebehandling i KOFA.

Staten vil for øvrig ikke bestride at det foreligger sikringsgrunn.

Staten gjør gjeldende at EUS ikke har sannsynliggjort noe hovedkrav. Etter FOA § 20-13 første ledd bokstav e) plikter oppdragsgiver å avvise tilbud som inneholder "vesentlige avvik" fra kravspesifikasjonen i konkurransegrunnlaget. I Difis kravspesifikasjon ble det i pkt. 2.11 oppstilt som et absolutt minstekrav at tilbyderne måtte ha på plass tiltak som "forhindrer spredning av virus og skadelig programvare i opplastede dokumenter". Dette minstekrav må forstås slik at leverandørene må tilby en funksjon som "forhindrer" virus og annen skadelig programvare fra å kunne følge med opplastede dokumenter. Naturligvis med den selvsagte presisering at det er umulig å forhindre ethvert nytt eller ukjent virus.

Det første spørsmål i saken er om tilbudet fra EUS avviker fra dette minimumskrav i krav- spesifikasjonen. Dette må i utgangspunktet vurderes på grunnlag av tilbudet slik det fremsto på tilbudstidspunktet. Vurderingen av om tilbudet har avvik skal skje ut fra en

objektiv tolkning av tilbudet i lys av konkurransegrunnlaget. Det må også sees i lys av forhandlingsforbudet i FOA § 21-1 første ledd. Det er bare i helt begrenset grad adgang til å avklare eventuelle uklarheter, og ikke hvis det foreligger vesentlig avvik, jf. bestemmelsen annet ledd.

I kravspesifikasjonen pkt. 2.11.1 har Difi oppstilt et absolutt minstekrav om tiltak som "forhindrer" spredning av virus og skadelig programvare i opplastede dokumenter. Minstekravet fremstår som klart og staten kan ikke se at kravet kan være gjenstand for nevneverdig tolkningstvil. Tilbyderne er bedt om å svare "ja" eller "nei" på om de oppfyller dette minstekravet. EUS har i sitt tilbud svart "ja" på dette.

Tilbyderne er videre i pkt. 2.11.3 bedt om å beskrive på hvilken måte de vil oppfylle minstekravet ved å beskrive sin løsning. Dette er et dokumentasjonskrav som gjør det mulig for oppdragsgiver å vurdere om tilbudet oppfyller kravspesifikasjonen. Minimums- kravet og dokumentasjonskravet må sees som et hele og i sammenheng med krav- spesifikasjonen pkt. 1.6. Det må i tilbudet alltid følge med en beskrivelse/dokumentasjon av hvordan tilbyder vil oppfylle et obligatorisk funksjonskrav. Staten kan ikke se at det foreligger noe avvik eller uklarhet i spesifikasjonen. Det bes om en beskrivelse av hvordan løsningen forhindrer virus ved opp- og nedlasting. Ordet "eventuelle" henspeiler på om slike løsninger foreligger. Den andre leverandøren, Millstream, har for øvrig oppfattet kravene på samme måte som Difi. EUS har derimot ikke beskrevet hva selskapet leverer. EUS konstruerer uklarheter i kravspesifikasjonen.

EUS har i tilbudet pkt. 2.11.2.3 som tidligere nevnt opplyst at alle dokument som lastes opp eller ned i Doffin skannes for virus når de legges inn i noe arkiv og at et uskannet eller smittet dokument vises med et spesielt ikon som gjør det tydelig at brukeren ikke bør stole på filen. EUS har derved ikke dokumentert/beskrevet en løsning som oppfyller minimums- kravet i pkt. 2.11.1 nr. 2. Den naturlige forståelsen av EUS' beskrivelse/dokumentasjon er at EUS har tilbudt en varslingsløsning som innebærer at brukere av Doffin vil bli varslet om at et dokument er virusinfisert eller inneholder skadelig programvare. Ut fra denne beskrivelse i tilbudet vil imidlertid ikke brukeren være forhindret fra å laste opp eller ned dokumenter som er virusinfiserte eller inneholder skadelig programvare. Med andre ord kan den beskrevne løsning bidra til å spre virus og skadelig programvare. Hvem som er bruker er definert i kravspesifikasjonen side 3, og det er:

"Fellesbetegnelse på Oppdragsgivere, Oppdragssøkere og øvrige som drar nytte, herunder andre systemløsninger, av hele eller deler av tjenestetilbudet på Doffin."

Staten mener dette innebærer at EUS i sitt tilbud klart avviker fra kravet i krav- spesifikasjonens punkt 2.11 om at tilbyderne skal ha på plass tiltak som "forhindrer" spredning av virus og skadelig programvare i opplastede dokumenter.

EUS argumenterer med at deres beskrivelse i tilbudets pkt. 2.11.3 er formulert på denne måte for å få tydelig frem at brukeren får et varsel når det er funnet virus, slik at man kan ta alternative skritt for å få lastet opp et fullstendig konkurransegrunnlag og/eller lastet ned et fullstendig konkurransegrunnlag. Staten kan ikke se at det er noen motsetning mellom det å tilby en tjeneste som forhindrer spredning av virus, og det å gi bruker av Doffin relevant og nødvendig informasjon. Det er heller ikke dette tilbyderne er blitt bedt om å beskrive under pkt. 2.11.3. Tilbyderne er i dette punkt bedt om å dokumentere/beskrive på hvilken måte de oppfyller minstekravet om å forhindre spredning av virus og skadelig programvare. Poenget er at den beskrivelse EUS har gitt må forstås slik at det er mulig å laste opp/ned dokumenter som virusinfiserte eller inneholder skadelig programvare.

EUS kan ikke høres med at beskrivelsen under pkt. 2.11 er supplerende informasjon som ivaretar behov for informasjon om at et dokument er virusinfisert. Det er ikke dette som tilbyderne er bedt om å dokumentere/beskrive. Tilbyderne skal dokumentere hvordan man vil forhindre at virus mv. blir spredt. Det er ikke da tilstrekkelig å beskrive at virus mv. blir påvist. Virus mv. må stanses.

EUS' tilbud har således et avvik fra kravet i pkt. 2.11, og dette er et minimumskrav (må- krav).

Det andre spørsmålet i saken er om avviket er vesentlig, jf. FOA § 20-13 første ledd bokstav e). Dersom det først konstateres at det foreligger et avvik av et minimumskrav, kan staten vanskelig se noe annet enn at avviket er vesentlig. Det vises til at det i krav- spesifikasjonen pkt. 1.6 heter: "Det blir videre presisert minimumskrav (må-krav) Operatøren må tilfredsstille for at tilbudt tjeneste kan aksepteres". KOFA har i sin praksis lagt til grunn at avvik fra de absolutte minstekravene i konkurransegrunnlaget som et klart utgangspunkt må anses som vesentlige. Det er ikke krav til noen høyere grad av "vesentlig avvik" i denne sak enn ellers. Dette er en fast, objektiv standard, og av hensyn til alle deltagere generelt.

Uansett ville det være svært uheldig om databasen for offentlige innkjøp tilbød en drifts- løsning som gjorde det mulig for brukere å laste opp/ned dokumenter som er identifisert med virus eller skadelig programvare. Difi og databasen Doffin er helt avhengig av at brukerne har høy tillit til tjenestens sikkerhet. Dersom det er mulig å laste opp/ned virus- infiserte dokumenter, vil denne tilliten åpenbart bli betydelig svekket. Det er således helt uakseptabelt med en driftsløsning for Doffin som ville gjøre det mulig for brukere å laste opp/ned virusinfiserte dokumenter eller skadelig programvare. Avviket er også av denne grunn vesentlig.

Difi hadde plikt til å avvise tilbudet fra EUS. EUS har ikke sannsynliggjort noe hovedkrav.

Staten v/Direktoratet for Forvaltning og IKT har nedlagt slik påstand

1. Begjæringen om midlertidig forføyning forkastes.
2. Staten v/Direktoratet for Forvaltning og IKT tilkjennes sakskostnader.

Rettens vurdering

For at en begjæring om midlertidig forføyning skal kunne tas til følge, må saksøkeren sannsynliggjøre så vel et hovedkrav som en sikringsgrunn, jf. tvisteloven § 34-2.

Retten vil først vurdere om EUS har sannsynliggjort hovedkravet, som er at Difi ikke har rett til å avlyse konkurransen "Operatøravtale om drift av den nasjonale kunngjørings- tjenesten Doffin", fordi Difi ikke var berettiget til å avvise EUS' tilbud, jf. FOA § 20-13 første ledd bokstav e).

Difi sendte den 29. oktober 2012 brev til EUS og meddelte at tilbudet måtte avvises på grunn av vesentlige avvike fra minimumskrav i konkurransegrunnlaget punkt 2.11.1 nr. 2, hvor det heter:

"Operatøren skal ha på plass tiltak som forhindrer spredning av virus og skadelig program- vare i opplastede programmer."

Dette er et funksjonskrav som er markert som et "må"-krav, og tilbyderne skal svare "ja" eller "nei". EUS svarte "ja" og "E" (=eksisterer). I tilknytning til funksjonskravene i punkt 2.11.1 var det i punkt 2.11.2 flere dokumentasjonskrav, blant annet punkt 2.11.2.3: "Trygg- opp og nedlastning", hvor det heter:

"Presiser eventuelle rutiner og tiltak for å sikre trygg opp- og nedlasting av dokumenter, som for eksempel kontroll og virussjekk av dokumentene".

Det ble også bedt om dokumentasjon av andre forhold, slik som å knytte dokumenter til kunngjøringen og kobling til eksterne nettsteder. EUS svarte følgende på punkt 2.11.2.3:

"Alle dokument som lastes opp eller ned i Doffin skannes for virus når de legges inn i noen arkiv. Et uskannet eller smittet dokument vises med et spesielt ikon som gjør det tydelig at brukeren ikke bør stole på filen. Alle filoverføringer skjer innenfor den SSL-kryptering som systemet bruker, og det går derfor ikke å finne ut av informasjonen om filene som overflyttes."

I brevet av 29. oktober 2012 hvor Difi avviser tilbudet fra EUS skriver Difi:

"Difi forstår EUS sitt tilbud slik at tiltaket består i å skanne dokumenter som lastes opp til eller ned fra Doffin ("opp eller ned i Doffin"). Dokumenter som skanningen identifiserer å inneholde virus eller annet skadelig innhold, eller dokumenter som ikke er skannet, varsles med et ikon. Av sammenhengen må det forstås slik at dokumentet er tilgjengelig for brukeren (det sies intet om at dokumentet er utilgjengelig), men dokumentet utstyres med et

varsel. Varselet er begrenset til at brukeren "ikke bør stole på filen", noe som kan få betydning for hvordan brukeren forholder seg til varselet. Difi finner at det ikke er holde- punkter for å tolke tilbudet på annen måte enn at brukeren overlates risiko og ansvar for å være påpasselig slik at et virusinfisert dokument ikke lastes opp til Doffin og senere lastes ned fra Doffin.

Difi har ved vurderingen tatt i betraktning at det forhold at ansvarliggjøring av brukeren er en mye brukt fremgangsmåte som fritar operatøren fra ansvar og risiko – to forhold som har betydning for pris. Det er imidlertid ikke noe formål her å bli kvitt ansvar og risiko og dytte dette over på brukeren. Tvert om tar Difi ansvar og oppstiller et strengt krav etter sin ordlyd, som språklig sett må forstås som at tiltaket skal sørge for at virusspredning ikke skjer. Også Difi erkjenner at det uansett gjenstår en risiko knyttet til hvorvidt virusinfiserte dokumenter identifiseres ved skanningen eller ikke. EUS tilbyr imidlertid en løsning som ikke hindrer spredning av dokumenter identifisert som virusinfiserte, men som tvert om tillater at slike dokumenter lastes ned, og som også tillater at uskannede dokumenter (uten at det er forklart hvorfor uskannede dokumenter kan være tilgjengelig, se dog avsnittet nedenfor) blir lastet ned.

Praktisk må kravet ivaretas enten ved å stenge for (oppdragsgivers) opplasting av dokumentet på Doffin eller ved å blokkere for brukernes nedlastning av dokumentet (i begge tilfeller bør oppdragsgiver varsles). Slike løsninger forhindrer spredning. Elektronisk behandling av virusinfisert dokument som så gjøres tilgjengelig, innebærer uansett en risiko for spredning, og vil vanskelig kunne oppfylle kravet. …"

EUS anfører at dokumentasjonskravet i punkt 2.11.2.3 spør om noe annet enn funksjons- kravet i punkt 2.11.1 nr. 2. EUS har således ikke svart på hvordan man skal forhindre spredning av virus mv., men på teknikken ved opp- og nedlasting av dokumenter. Det anføres at retten således må fortolke hvordan spørsmålene i konkurransegrunnlagets punkt 2.11.1 nr. 2 og punkt 2.11.2.3 skal forstås. Retten bemerker at konkurransegrunnlaget må fortolkes på et objektivt grunnlag slik det fremstår. Retten finner det også klart at funksjonskravene og dokumentasjonskravene må leses i sammenheng. Retten vil vise til at det i konkurransegrunnlagets pkt. 1.6 fremgår at kravene tar utgangspunkt i et funksjonelt behov med det formål som krav skal bidra til å innfri. Videre heter det:

"Under hvert punkt blir det også listet opp dokumentasjonskrav som presiserer hvordan tilbyder skal dokumentere hvordan kravene blir innfridd og hvordan tilbudt tjeneste bidrar til å innfri formålene til Doffin".

Når det i punkt 2.11.2.3 bes om dokumentasjon for rutiner og tiltak for trygg opp- og nedlastning av dokumenter, må det etter rettens skjønn nettopp være for å dokumentere hvordan operatøren (her EUS) vil forhindre spredning av virus og skadelig programvare. Med andre ord hvordan EUS' løsning konkret vil hindre spredning av virus mv.

Tilbudet fra EUS skal fortolkes objektivt slik det fremsto på tilbudstidspunktet, og i lys av konkurransegrunnlaget. Dette følger av fast KOFA-praksis, se blant annet KOFA-2012-

142. Partene er enige om dette. Kontrakter mellom profesjonelle parter må som utgangs- punkt fortolkes objektivt, det vil si at kontraktens ordlyd må tillegges stor vekt, se blant annet Rt-2012-1729 avsnitt 57. Prinsippet får en særlig styrke ved anbudskonkurranser, hvor konkurransegrunnlaget og tilbudet fra tilbyder således må fortolkes objektivt. En

objektiv fortolkning er også av vesentlig betydning for likebehandling av tilbyderne. Det vises også til forhandlingsforbudet i FOA § 21-1 første ledd.

EUS opplyser at man vil skanne alle dokumenter for virus, og således undersøke om de kan være virusinfiserte. Det er videre riktig som EUS har anført at viruskontrollen må skje på serveren som drifter Doffin-basen. Den praktiske løsningen er at dette skjer ved at dokumentene blir kontrollert før de eventuelt slippes inn i basen. EUS opplyser videre at de dokumenter som identifisert som "smittet", dvs. virusinfisert blir merket. EUS opplyser ikke noe om merkede dokumenter blir sluppet inn i Doffin-basen eller blir stengt ute fra basen. Det EUS opplyser er at smittede dokumenter blir merket med et spesielt ikon "som gjør det tydelig at brukeren ikke bør stole på filen". Spørsmålet er hvordan dette skal forstås. Et spørsmål hvordan begrepet "bruker" skal forstås.

Staten har vist til at "bruker" er definert innledningsvis i kravspesifikasjonen på side 3 som

"Fellesbetegnelse på Oppdragsgivere, Oppdragssøkere og øvrige som drar nytte av, herunder andre systemløsninger, av hele eller deler av tjenestetilbudet på Doffin".

I innledningen til kravspesifikasjonen pkt. 2 er det tatt inn en illustrasjon på de forskjellige brukergrupper og deres roller i Doffin.

EUS har anført at bruker i punkt 2.11.2.3 kun er oppdragsgiver, og viser til at den eneste aktuelle brukeren på dette punkt er oppdragsgiver, se blant annet innledningen til punkt 2.11 Laste opp tilleggsinformasjon og vedlegg til kunngjøringen, hvor det heter:

"Formål: En oppdragsgiver skal enkelt og trygt kunne laste opp konkurranseinformasjon til kunngjøringen, som for eksempel tilleggsinformasjon og vedlegg."

Retten vil bemerke at den bruker som "laster opp" dokumenter vil være oppdragsgiver, mens de brukere som "laster ned" dokumenter mv. vil være både oppdragsgivere, oppdragssøkere og andre interesserte. Spørsmålet i punkt 2.11.2.3 – og EUS svar på samme spørsmål - gjelder både opp- og nedlasting av dokumenter. Retten finner således at "bruker" da ikke bare kan forstås som oppdragsgiver, men kan også omfatte oppdrags- søkere og andre interesserte. Retten vil også peke på at dersom det bare er meningen å varsle oppdragsgiver om at et dokument er infisert, vil det være mest naturlig å gi oppdragsgiver klar beskjed om at dokumentet er avvist fordi det er virusinfisert.

Hovedspørsmålet er om svaret fra EUS kan forstås slik at virusinfiserte dokumenter blir sluppet inn i Doffin-basen etter kontrollen, eller om dokumentet forblir holdt i "karantene" uten å bli sluppet inn i basen, og at det blir gitt melding til oppdragsgiver om virus- problemet. EUS har svart "ja" på at selskapet vil ha på plass tiltak som forhindrer spredning av virus mv. Det kan hevdes at det er åpenbart at man ikke vil slippe inn i basen en virusinfisert dokument når man svarer "ja" på dette spørsmål. Retten finner ikke at dette er åpenbart. Det er også en klar mulighet for at tilbyderen kan ha ment at det er

tilstrekkelig å varsle både tilbyderen og oppdragssøkere mv. om at dokumentet er virus- infisert, slik at det ikke bør lastes ned uten ytterligere kontroll av dokumentet. Difi har forstått EUS' tilbud på denne måte. Retten vil peke på at EUS ikke sier noe om at infiserte dokumenter vil bli avvist, kun at de vil bli merket. Nettopp fordi hensikten med punkt 2.11.2.3 er å dokumentere hvordan funksjonskravet i punkt 2.11.1 skal oppfylles, ville det vært naturlig for EUS å presisere at infiserte dokumenter ville bli avvist og ikke sluppet inn i Doffin-basen, dersom man mente det. Retten finner etter en samlet vurdering at en objektiv fortolkning av svaret fra EUS i punkt 2.11.2.3 er at EUS' løsning ikke vil avvise infiserte dokumenter, men kun merke dem. Med andre ord at infiserte dokumenter vil bli sluppet inn i Doffin-basen, men dog merket med et ikon, slik at det er tydelig for brukeren at man ikke bør stole på filen.

Retten finner således at Difi ved sin vurdering har lagt en naturlig objektiv forståelse til grunn ved vurderingen av tilbudet fra EUS. Slik forstått tilfredsstiller den løsning som er angitt i tilbudet fra EUS ikke kravet i punkt 2.11.1 nr. 2 om tiltak som forhindrer spredning av virus. Difi har da rett til å avvise tilbudet fra EUS forutsatt at dette er et "vesentlig avvik", jf. FOA § 20-13 første ledd bokstav e).

Spørsmålet er om tilbudet fra EUS pkt. 2.11.2.3, slik det er forstått av retten og av Difi, innebærer et "vesentlig avvik". I kravspesifikasjonen punkt 1.6 heter det:

"Det blir videre presisert minimumskrav (må-krav) Operatøren må tilfredsstille for at tilbudt tjeneste kan aksepteres".

Punkt 2.11.1 nr. 2 er et "må-krav", og Difi har som vilkår at slike minimumskrav må være tilfredsstilt for at tilbudet kan aksepteres. KOFA har i sin praksis lagt til grunn at unnlatelse av å oppfylle minimumsvilkår som et klart utgangspunkt er vesentlig avvik. Det vises til KOFA-2008-58 premiss 46:

"Ved vurderingen av om avviket er vesentlig må det ses hen til blant annet hvor stort avviket er, hvor viktig innholdet det avvikes fra er, og i hvilken grad et avvik vil kunne forrykke konkurransen. Der oppdragsgiver uttrykkelig har benevnt et forhold som et minstekrav, vil vilkåret i hvert fall som et klart utgangspunkt være oppfylt."

Dette er i tråd med EU-domstolens avgjørelse i sak T-40/01. Ved vurderingen av hvorvidt et avvik er vesentlig, er det sentralt hvor viktig kravet det avvikes fra er, se KOFA-2012- 142 premiss 34. Kravet som det avvikes fra er her kravet om å forhindre spredning av virus mv. i punkt 2.11.1 nr. 2. Å forhindre spredning av virus er meget viktig. Dersom brukere av Doffin risikerer å laste ned dokumenter som er virusinfiserte, vil det lett ødelegge tilliten til Doffin og til Difi. Doffin kan karakteriseres som selve "navet" ved konkurransen om offentlige anskaffelser. Dette taler klart for at et avvik på dette punkt er vesentlig og vil gi grunnlag for å avvise tilbudet fra EUS.

EUS har anført at man i vesentlighetsvurderingen må ta hensyn til situasjonen i denne saken, hvor Difi ved den første gjennomgangen av tilbudene fant at EUS oppfylte alle minimumskrav og hadde levert et tilfredsstillende tilbud, som ble rangert som marginalt dårligere enn det valgte tilbud fra Millstream. Når Millstreams tilbud senere ble avvist, står man bare igjen med tilbudet fra EUS som eneste tilbyder. En avvisning vil være meget uheldig for EUS, og ingen andre parter lider noe tap. Det er ikke andre deltagere i konkurransen å ta hensyn til. En ny konkurranse eller forhandling med de to tilbydere Millstream og EUS, vil også stille tilbyderne i en helt ny situasjon, da begge tilbydere har fått innsyn i hverandres tilbud og priser. Det endrer hele konkurransesituasjonen.

Retten har forståelse for at en avvisning vil være meget uheldig for EUS, men er ikke enig i at det skal legges en annen vesentlighetsstandard til grunn i denne situasjon enn i andre saker. Man må legge til grunn den vesentlighetsstandard som KOFA har formulert i de ovennevnte saker. Retten vil også bemerke at det var berettiget at Difi å foreta en ny gjennomgang av tilbudet fra EUS etter at KOFA 13. august 2012 hadde uttalt at Difi hadde brutt FOA § 20-13 første ledd bokstav e) ved ikke å avvise Millstreams tilbud. Det var da klart at Difi ved gjennomgang av tilbudet fra Millstream ikke hadde anvendt riktig standard ved vurderingen av avvik fra "må-krav". Dette har også Difi erkjent. I en slik situasjon var det riktig og naturlig å undersøke om den samme type feilvurdering var foretatt ved gjennomgang av det andre innleverte tilbud, tilbudet fra EUS.

Når Difi ved den fornyede gjennomgang fant at EUS ikke oppfylte minimumskravet i punkt 2.11.1 nr. 2, og dette som det fremgår ovenfor er et vesentlig avvik, var det saklig og berettiget av Difi å avvise tilbudet fra EUS. Difi hadde da rett til å avlyse konkurransen om operatøravtale om drift av Doffin. Difi har rett til å videreføre konkurransen om denne avtale blant annet ved invitere tilbyderne til forhandling uten forutgående kunngjøring, jf. FOA § 14-4.

EUS har etter dette ikke sannsynliggjort noe hovedkrav. Det er da ikke nødvendig å vurdere spørsmål om sikringsgrunn. Begjæringen om midlertidig forføyning tas ikke til følge.

Staten har vunnet saken og har krav på saksomkostninger, jf. tvisteloven § 20-2 første ledd. Retten har vurdert, men ikke funnet grunnlag for å gjøre unntak etter § 20-2 tredje ledd. Advokat Helge Røstum har fremlagt en omkostningsoppgave, jf. tvisteloven § 20-5 på kr. 62.032 for 44 timers arbeid. Advokat Bakken har ikke fremsatt innsigelser. Retten finner at omkostningene er nødvendige og rimelige. Omkostningene fastsettes i tråd med oppgaven.

SLUTNING

1. Begjæring om midlertidig forføyning fra EUS Holding Limited tas ikke til følge.
2. EUS Holding Limited skal betale kr. 62.032 i saksomkostninger til Staten v/ Direktoratet for Forvaltning og IKT innen to uker fra forkynnelse av denne kjennelse.

Leif Villars-Dahl