Borgarting: EUS tilbud kunne avvises i Doffin-konkurransen

BORGARTING LAGMANNSRETT

Ingen begrensninger i adgangen til offentlig gjengivelse

KJENNELSE

Avsagt: 14.05.2013

Saksnr.: 13-064251ASK-BORG/04

Dommere: Lagdommer Tonje Vang Lagdommer Agnar A. Nilsen jr. Lagdommer Hedda Remen

Ankende part EUS Holding Limited Advokat Espen Isaksen Bakken

Ankemotpart Staten v/ Direktoratet for Forvaltning og IKT Advokat Helge Røstum

Saken gjelder begjæring om midlertidig forføyning for å forby videreføring av en konkurranse etter regelverk for offentlige anskaffelser.

Direktoratet for Forvaltning og IKT kunngjorde 30. august 2011 anbudskonkurranse om en operatøravtale for drift av den nasjonale databasen for offentlige innkjøp (Doffin). Konkurransen var en begrenset anbudskonkurranse etter forskrift om offentlige anskaffelser kapittel III. Oppdragsavtalen har en ramme på 40 millioner kroner og en varighet på åtte år, og kan fornyes i ytterligere inntil fem år. Tilbudsfristen var 16. januar 2012. EUS Holding Limited (heretter EUS Holding) og Millstream Associates Ltd (heretter Millstream Associates) leverte hvert sitt tilbud innen fristen.

Direktoratet for Forvaltning og IKT besluttet å innstille Millstream Associates som kontraktspart ved konkurransen. Dette meddelte direktoratet i e-post 14. april 2012 til EUS Holding. EUS Holding sendte klage til direktoratet over tildelingen, men beslutningen ble opprettholdt. EUS Holding klaget deretter til Klagenemnda for offentlige anskaffelser. Ved nemndas avgjørelse 13. august 2012 fikk EUS Holding medhold i klagen. Nemnda konkluderte med at tilbudet fra Millstream Associates måtte avlyses fordi det inneholdt vesentlige avvik fra kravspesifikasjonene, jf. forskriften § 20-13 første ledd bokstav e.

Direktoratet meddelte i brev 16. august 2012 til EUS Holding at beslutningen om å tildele kontrakten til Millstream Associates var annullert. Direktoratet meddelte dernest ved brev 29. oktober 2012 til EUS Holding at tilbudet fra EUS også måtte avvises på grunn av vesentlige avvik fra minimumskrav i konkurransegrunnlaget, og at direktoratet derfor ønsket å avlyse konkurransen fordi man ikke sto igjen med gyldige tilbud. Det heter blant annet i direktoratets brev:

Tilbudet fra EUS Holding LTD, heretter omtalt som EUS, er blitt avvist i henhold til forskriften § 20-13

(1) bokstav e, fordi tilbudet inneholder vesentlig avvik fra kravspesifikasjonen.

I kravspesifikasjonen punkt 2.11 var det satt som krav at "Operatøren skal ha på plass tiltak som forhindrer spredning av virus og skadelig programvare i opplastede dokumenter." Kravet var angitt som et "må"-krav. EUS har svart "Ja" på at kravet vil bli oppfylt, men dokumenterer en tilbudt løsning som ikke tilfredsstiller må- kravet.

I henhold til forskriften § 20-13

(1) bokstav e har oppdragsgiver plikt til å avvise et tilbud som "inneholder vesentlige avvik fra kravspesifikasjonene i kunngjøringene eller konkurransegrunnlaget." EUS manglende oppfyllelse av kravet i punkt 2.11 er her vurdert å være et vesentlig avvik fra kravspesifikasjonen og tilbudet skal derfor avvises.

I nytt brev 29. oktober 2012 fra direktoratet til EUS Holding ble det informert om at konkurransen var avlyst, og at man ønsket forhandlinger med begge tilbydere etter forskriften § 14-4. Direktoratet skrev blant annet:

På bakgrunn av Klagenemndas avgjørelse i sak 2012/0142, hvor KOFA vurderte at Millstreams tilbud burde vært avvist, ble det som informert i brev fra Difi datert 16. august 2012, besluttet å annullere tildelingen.

Difi nedsatte en ny evalueringsgruppe og har gjennomgått konkurransen og evaluert tilbudene på nytt. Konklusjonen av denne gjennomgangen ble at begge tilbudene måtte avvises i henhold til forskriften § 20-13

(1) bokstav e, fordi tilbudene inneholdt vesentlig avvik fra kravspesifikasjonen. På denne bakgrunn har Difi konkludert med at konkurransen må avlyses da det ikke foreligger noen akseptable tilbud.

Difi er av den oppfatning at det er mulig å få på plass en tilfredsstillende avtale uten vesentlige endringer i kontraktsvilkårene og ønsker således å invitere tilbyderne i konkurransen til forhandling uten forutgående kunngjøring i h.t. § 14-4 i Forskrift om offentlige anskaffelser.

EUS Holding klaget over avvisningen i brev 14. november 2012 til direktoratet. EUS Holding fremmet deretter 22. november 2012 begjæring om midlertidig forføyning overfor staten ved Direktoratet for Forvaltning og IKT med følgende påstand:

1. Direktoratet for IKT og Forvaltning forbys å videreføre konkurransen "Operatør- avtale om drift av den nasjonale kunngjøringstjenesten Doffin" frem til det ved rettskraftig dom er avgjort om Direktoratet for IKT og Forvaltning er berettiget til å avvise EUS Holding Limited fra videre deltagelse i konkurransen.
2. Direktoratet for IKT og Forvaltning plikter å betale sakskostnader for EUS Holding Limited.

Muntlig forhandling ble gjennomført ved Oslo byfogdembete 10. januar 2013. Oslo byfogdembete avsa deretter kjennelse 16. januar 2013 med slik slutning:

1. Begjæring om midlertidig forføyning fra EUS Holding Limited tas ikke til følge.
2. EUS Holding Limited skal betale kr. 62.032 i saksomkostninger til Staten v/ Direktoratet for Forvaltning og IKT innen to uker fra forkynnelse av denne kjennelse.

EUS Holding Limited har anket saken til Borgarting lagmannsrett og anfører i korte trekk:

Det er feil rettsanvendelse når byfogden legger til grunn at tilbyderne har plikt til å gi opplysninger i tilbudet som går utover de minimumskrav som følger av konkurransegrunnlagets ordlyd. Slike mangler på tilleggsopplysninger utgjør ikke et vesentlig avvik. Funksjonskravet og dokumentasjonskravet i konkurransegrunnlaget gjelder forskjellige sider av løsningen, og dokumentasjonskravet i 2.11.2.3 kan ikke forstås slik at det skal underbygge funksjonskravet i 2.11.1-2. Det er klart at tilbudet samsvarer med kravet i konkurransegrunnlaget for så vidt gjelder funksjonskravet. Det ligger implisitt

i byfogdens avgjørelse at dokumentasjonskravet i konkurransegrunnlaget må besvares slik at det dokumenterer hvordan funksjonskravet er oppfylt. Oppdragsgiver må ha ansvar og risiko for manglende og/eller uklar etterspørsel av opplysninger i konkurransegrunnlaget. Det kan ikke være slik at tilbyderen skal gjette seg til hva oppdragsgiveren har ment å etterspørre av dokumentasjon, eller avvises fordi man ikke har svart på mer enn det oppdragsgiver faktisk spør om. Byfogden har feilaktig lagt ansvaret for disse forholdene over på tilbyder.

Byfogden har videre feiltolket kravene til dokumentasjon i konkurransegrunnlaget ved å fristille seg fra ordlyden og basere forståelsen av dokumentasjonskravene på formålsbetraktninger. Dokumentasjonskravet gjelder "eventuelle" rutiner for å sikre trygg opp- og nedlasting av dokumenter. Det er ikke grunnlag for å avvise tilbudet fordi det ikke er gitt slike opplysninger. Det prinsipielle utgangspunkt må være at det er opp til oppdragsgiver å definere og beskrive de dokumentasjonskrav som skal gjelde for den enkelte anbudsrunde. Det er et gjennomgående trekk i konkurransegrunnlaget at funksjonskrav og dokumentasjonskrav i begrenset grad er tilpasset hverandre. Det var derfor ikke forutsigbart for EUS Holding at direktoratet ønsket full dokumentasjon for samtlige funksjonskrav uavhengig av om slik dokumentasjon faktisk ble etterspurt.

Det er videre feil rettsanvendelse når byfogden har lagt til grunn at funksjonskravet i punkt 2.11.1-2 ikke ble oppfylt i tilbudet fra EUS Holding, til tross for at tilbyder krysset av for "ja". Byfogden har feilaktig lagt til grunn at EUS Holdings "ja" må settes til side fordi det ikke er "åpenbart" at tilbudet inneholder en slik funksjonalitet. Det riktige må i stedet være at tilbyders opplysninger legges til grunn med mindre det er åpenbart at disse ikke er riktige. Opplysningene fra tilbyder har kontraktsrettslige virkninger, og leveransen skal leveres i samsvar med opplysninger som er gitt om produktet. Det er ikke riktig slik byfogden synes å ha lagt til grunn, at EUS Holding har misforstått spørsmålet i konkurransegrunnlaget. EUS Holding tilbød en allerede eksisterende løsning, som er i samsvar med nevnte krav.

Det er ikke motstrid mellom det "ja" som gis under funksjonskravet og den beskrivelse som gis under dokumentasjonskravet. Det vises til at funksjonskravet gjelder håndtering av allerede opplastede dokumenter og innebærer at opplastede dokumenter med virus ikke skal spres videre gjennom serverdelen av løsningen. Når det gjelder dokumentasjonskravet, anføres det at dette gjelder opp- og nedlasting, og at EUS Holding har beskrevet hvordan opplasting skjer og hvordan den sikres.

Byfogden har ikke lagt tilstrekkelig vekt på det forhold at direktoratet først besluttet å avvise tilbudet fra EUS Holding, og fant en oppkonstruert begrunnelse for avvisningen i etterkant. Direktoratets håndtering av saken kan vanskelig forstås på annen måte enn at direktoratet hadde en preferanse for den nåværende leverandøren Millstream Associates.

Sakens prinsipielle og tekniske karakter tilsier at det avholdes muntlig forhandling i saken.

Det er nedlagt slik påstand:

1. Direktoratet for IKT og Forvaltning forbys å videreføre konkurransen "Operatøravtale om drift av den nasjonale kunngjøringstjenesten Doffin" frem til det ved rettskraftig dom er avgjort om Direktoratet for IKT og Forvaltning er berettiget til å avvise EUS Holding Limited fra videre deltakelse i konkurransen.
2. Direktoratet for IKT og Forvaltning plikter å betale sakskostnader for EUS Holding Limited.

Staten v/Direktoratet for Forvaltning og IKT har inngitt tilsvar og anfører i korte trekk:

Det foreligger et "vesentlig avvik" fra minstekravene i konkurransegrunnlaget. EUS Holding har ikke tilbudt eller dokumentert at de har tilbudt en løsning som "forhindrer" spredning av virus og skadelig programvare i tilgjengeliggjorte dokumenter på Doffin i tråd med minstekravene i konkurransegrunnlaget. Avviket er vesentlig, jf. forskriften § 20-13 første ledd, og tilbudet må avvises. Kravspesifikasjonen må forstås slik at den påla tilbyderen å dokumentere/beskrive hvordan deres løsning ville oppfylle minstekravet om å forhindre virusspredning.

Vurderingen av om det foreligger et avvik fra konkurransegrunnlaget skal baseres på tilbudet slik det forelå på tilbudstidspunktet. Opplysninger i ettertid om hva som egentlig er tilbudt, er som følge av likebehandlingsprinsippet og forhandlingsforbudet ikke relevant.

Dokumentasjonskravet for minstekravet om tiltak for å forhindre virusspredning mv. fremgikk under punkt 2.11.2.3, under overskriften "Trygg opp- og nedlasting". Den naturlige forståelse av dette dokumentasjonskravet er at tilbyderne skal beskrive hvordan deres løsning, i form av rutiner og tiltak, ivaretar minstekravet om å forhindre virusspredning i punkt 2.11.1 nr. 2. Dette blir særlig klart når man leser dokumentasjonskravet i sammenheng med forklaringen av forholdet mellom dokumentasjons- og funksjonskrav i kravspesifikasjonens punkt 1.6.

Når tilbyderen i punkt 2.11.2.3 er bedt om å dokumentere "eventuelle" rutiner og tiltak, så betyr ikke det annet enn at dersom tilbyderen ikke har rutiner og tiltak mot virusspredning, så trenger man heller ikke beskrive dette. Dersom tilbyder derimot har rutiner, skal dette beskrives. Dokumentasjonskravet kan ikke leses på en måte som innebærer at både minstekravet og dokumentasjonskravet i realiteten settes til side og gjøres overflødig.

EUS Holdings tilbud avvek fra minstekravet, og direktoratet kunne ikke legge til grunn at de ville få en kontrakt i henhold til kravene i konkurransegrunnlaget. Den avvikende beskrivelsen under konkurransegrunnlaget gjorde at direktoratet uansett ikke kunne være

sikker på at EUS Holding kunne levere en kontraktsmessig ytelse, selv om man skulle se det slik at selskapet var kontraktsrettslig forpliktet til å levere en løsning i tråd med funksjonskravet. Atter subsidiært gjøres det gjeldende at dokumentasjonskravet uansett skapte en uklarhet om hvordan tilbudet skulle forstås, som ga direktoratet plikt til å avvise tilbudet.

Den naturlige språklige forståelse av beskrivelsen i tilbudet til EUS Holding er at løsningen ikke kunne "forhindre" virusspredning, men ville i stedet gi brukerne et varsel når et dokument kan være virusinfisert. Varslet vil bidra til å redusere risikoen for virusspredning, men kan ikke forhindre det ettersom undersøkelser viser at én av tre brukere ignorerer virusvarsler. Det forhold at EUS Holding har krysset av "ja" under funksjonskravet, kunne ikke føre til at direktoratet så bort fra at selskapet under dokumentasjonskravet ville levere en annen og avvikende løsning. Dersom en slik avkrysning skulle være avgjørende, ville dokumentasjonskravet være uten mening.

Det er lagt ned slik påstand:

1. Anken forkastes.
2. Staten tilkjennes sakskostnader for lagmannsretten.

Lagmannsretten bemerker innledningsvis at EUS Holding har begjært muntlige forhandlinger, men lagmannsretten har ikke funnet grunn til å fravike hovedregelen om at anker over kjennelser behandles skriftlig, jf. tvisteloven § 29-15. Saken gjelder etter lagmannsrettens oppfatning en konkret tolkning av kravspesifikasjonene i konkurransegrunnlaget og om det foreligger avvik i et tilbud som er gitt.

Hovedkravet fra EUS Holding er at direktoratet ikke har rett til å avlyse konkurransen "Operatøravtale om drift av den nasjonale kunngjøringstjenesten Doffin" fordi direktoratet ikke var berettiget til å avvise EUS Holdings tilbud, jf. forskrift om offentlige anskaffelser § 20-13 første ledd bokstav e. Lagmannsretten har kommet til at EUS Holding ikke har sannsynliggjort et hovedkrav, jf. tvisteloven § 34-2, og at direktoratet – som følge av EUS Holdings svar under konkurransegrunnlaget punkt 2.11 – hadde plikt til å avvise tilbudet fra EUS Holding, jf. forskriften § 20-13 første ledd.

Lagmannsretten tar først stilling til hvordan konkurransegrunnlaget skal tolkes.

EUS Holding har anført at konkurransegrunnlaget ikke oppstilte en plikt til å dokumentere funksjonskravet i punkt 2.11.1. nr. 2. Lagmannsretten er ikke enig i dette, og legger til grunn at konkurransegrunnlaget påla tilbyderne å dokumentere og eller beskrive hvordan de ville oppfylle minstekravet om å forhindre virusspredning.

Lagmannsretten bemerker at kravspesifikasjonene til konkurransegrunnlaget er basert på et funksjonskrav, hvor det i grunnlaget er beskrevet en ønsket funksjon og det formål en ønsker å oppnå. Funksjonskravet i punkt 2.11.1 nr. 2 er formulert slik:

Operatøren skal ha på plass tiltak som forhindrer spredning av virus og skadelig programvare i opplastede dokumenter.

Kravet er markert som et "må"-krav, og tilbyderne skal svare "ja" eller "nei" for å vise om kravet er oppfylt, samt svare på kravets tilgjengelighet om det enten er: U=utvikling, T=tilpasning eller E=eksisterer. Lagmannsretten bemerker at kravspesifikasjonen må forstås slik at det ble oppstilt som et minstekrav at løsningen måtte ha en funksjonalitet som gjorde at det ikke var mulig å laste opp og gjøre tilgjengelig dokumenter som var virusinfiserte. Dette synes partene å være enige om. EUS Holding svarte "ja" og "E" på at dette kravet var oppfylt.

Det følger videre av kravspesifikasjonen i pkt. 2.11.2.3 et dokumentasjonskrav om "Trygg opp- og nedlasting":

Presiser eventuelle rutiner og tiltak for å sikre trygg opp- og nedlasting av dokumenter, som for eksempel kontroll og virussjekk av dokumentene.

Funksjonskravet må leses i sammenheng med dokumentasjonskravet. Denne sammenhengen er beskrevet i pkt 1.6, hvor det fremgår at "[u]nder hvert punkt blir det også listet opp dokumentasjonskrav som presiserer hvordan tilbyder skal dokumentere hvordan kravene blir innfridd og hvordan tilbudt tjeneste bidrar til å innfri formålene med Doffin".

Funksjonskravet må videre leses i sammenheng med formålet med spesifikasjonene. Om formålet med kravspesifikasjonene heter det i pkt. 1.6:

Formålet med kravspesifikasjonen er å presisere anskaffelsesbehovet samt å stille krav til informasjon om Operatøren og Operatørens leveranse, som gjør Difi i stand til å:

• vurdere om tilbudt leveranse er tilfredsstillende
• …. … Kravene tar utgangspunkt i et funksjonelt behov der det presiseres et formål kravet skal bidra til å innfri. Det blir videre presisert minimumskrav (må-krav) Operatøren må tilfredsstille for at tilbudt tjeneste kan aksepteres. Det skal her presiseres om funksjonalitet er på plass (E), om det er behov for tilpasninger av eksisterende funksjonalitet (T) eller om det må utvikles (U).

Lagmannsretten bemerker at tilbudet fra EUS Holding skal fortolkes objektivt slik det fremsto på tilbudstidspunktet og i lys av konkurransegrunnlaget. Dette følger av fast KOFA-praksis, se blant annet KOFA-2012-142. Kontrakten er videre mellom profesjonelle

parter, og kontraktens ordlyd må tillegges stor vekt, se blant annet Rt. 2012 side 1729 avsnitt 57.

Når lagmannsretten leser dokumentasjonskravet i sammenheng med funksjonskravet og formålet med kravspesifikasjonen, er det ikke særlig tvilsomt at konkurransegrunnlaget må forstås slik at det påla tilbyderne å dokumentere eller beskrive hvordan minstekravet skulle oppfylles. Når det i punkt 2.11.2.3 bes om dokumentasjon for rutiner og tiltak for trygg opp- og nedlastning av dokumenter, må det nettopp være for at tilbyderen skal vise hvordan operatøren konkret vil forhindre spredning av virus og skadelig programvare. Bare en slik tolkning vil være i samsvar med formålet om å gjøre direktoratet i stand til å vurdere om tilbudt leveranse er tilfredsstillende. Lagmannsretten kan ikke se at ordlyden i punkt 2.11.2.3 om at tilbyderen er bedt om å dokumentere "eventuelle" rutiner og tiltak, og anførselen om manglende sammenheng mellom funksjonskrav og dokumentasjonskrav, kan lede til en annen forståelse.

Lagmannsretten har etter dette kommet til at konkurransegrunnlaget påla tilbyderne å dokumentere og/eller beskrive hvordan de ville oppfylle minstekravet om å forhindre virusspredning.

Lagmannsretten vil dernest behandle spørsmålet om EUS Holdings tilbud oppfylte minstekravet, slik det er beskrevet ovenfor.

EUS Holding har anført at tilbudet fra selskapet oppfylte minstekravet. Det anføres herunder at det må legges avgjørende vekt på at det ble svart "ja" på at kravet var oppfylt, og at EUS Holding således var kontraktsrettslig forpliktet til å levere en løsning i tråd med kravspesifikasjonene. Anførselen kan ikke føre frem.

Som det fremgår ovenfor, var det i kravspesifikasjonen i pkt. 2.11.2.3 et dokumentasjonskrav om "Trygg opp- og nedlasting, med slik formulering: "Presiser eventuelle rutiner og tiltak for å sikre trygg opp- og nedlasting av dokumenter, som for eksempel kontroll og virussjekk av dokumentene".

Til dette dokumentasjonskravet svarte EUS Holding følgende i tilbudet:

Alle dokument som lastes opp eller ned i Doffin skannes for virus når de legges inn i noen arkiv. Et uskannet eller smittet dokument vises med et spesielt ikon som gjør det tydelig at brukeren ikke bør stole på filen. Alle filoverføringer skjer innenfor den SSL-kryptering som systemet bruker, og det går derfor ikke å finne ut av informasjon om filene som overflyttes.

Som det fremgår ovenfor, avviste direktoratet tilbudet fra EUS Holding i brev 29. oktober 2012. Følgende begrunnelse ble gitt:

Difi forstår EUS sitt tilbud slik at tiltaket består i å skanne dokumenter som lastes opp til eller ned fra Doffin ("opp eller ned i Doffin"). Dokumenter som skanningen identifiserer å inneholde virus eller annet skadelig innhold, eller dokumenter som ikke er skannet, varsles med et ikon. Av sammenhengen må det forstås slik at dokumentet er tilgjengelig for brukeren (det sies intet om at dokumentet er utilgjengelig), men dokumentet utstyres med et varsel. Varselet er begrenset til at brukeren "ikke bør stole på filen", noe som kan få betydning for hvordan brukeren forholder seg til varselet. Difi finner at det ikke er holdepunkter for å tolke tilbudet på annen måte enn at brukeren overlates risiko og ansvar for å være påpasselig slik at et virusinfisert dokument ikke lastes opp til Doffin og senere lastes ned fra Doffin.

Difi har ved vurderingen tatt i betraktning at det forhold at ansvarliggjøring av brukeren er en mye brukt fremgangsmåte som fritar operatøren fra ansvar og risiko – to forhold som har betydning for pris. Det er imidlertid ikke noe formål her å bli kvitt ansvar og risiko og dytte dette over på brukeren. Tvert om tar Difi ansvar og oppstiller et strengt krav etter sin ordlyd, som språklig sett må forstås som at tiltaket skal sørge for at virusspredning ikke skjer. Også Difi erkjenner at det uansett gjenstår en risiko knyttet til hvorvidt virusinfiserte dokumenter identifiseres ved skanningen eller ikke. EUS tilbyr imidlertid en løsning som ikke hindrer spredning av dokumenter identifisert som virusinfiserte, men som tvert om tillater at slike dokumenter lastes ned, og som også tillater at uskannede dokumenter (uten at det er forklart hvorfor uskannede dokumenter kan være tilgjengelig, se dog avsnittet nedenfor) blir lastet ned.

Praktisk må kravet ivaretas enten ved å stenge for (oppdragsgivers) opplasting av dokumentet på Doffin eller ved å blokkere for brukernes nedlastning av dokumentet (i begge tilfeller bør oppdragsgiver varsles). Slike løsninger forhindrer spredning. Elektronisk behandling av virusinfisert dokument som så gjøres tilgjengelig, innebærer uansett en risiko for spredning, og vil vanskelig kunne oppfylle kravet. […]

Byfogdembetet har også lagt til grunn at EUS Holdings beskrivelse ikke oppfyller minimumskravene, og begrunnet dette slik:

EUS opplyser at man vil skanne alle dokumenter for virus, og således undersøke om de kan være virusinfiserte. Det er videre riktig som EUS har anført at viruskontrollen må skje på serveren som drifter Doffin-basen. Den praktiske løsningen er at dette skjer ved at dokumentene blir kontrollert før de eventuelt slippes inn i basen. EUS opplyser videre at de dokumenter som er identifisert som "smittet", dvs. virusinfisert blir merket. EUS opplyser ikke noe om merkede dokumenter blir sluppet inn i Doffin-basen eller blir stengt ute fra basen. Det EUS opplyser er at smittede dokumenter blir merket med et spesielt ikon "som gjør det tydelig at brukeren ikke bør stole på filen". Spørsmålet er hvordan dette skal forstås. Et spørsmål hvordan begrepet "bruker" skal forstås.

Staten har vist til at "bruker" er definert innledningsvis i kravspesifikasjonen på side 3 som

"Fellesbetegnelse på Oppdragsgivere, Oppdragssøkere og øvrige som drar nytte av, herunder andre systemløsninger, av hele eller deler av tjenestetilbudet på Doffin".

I innledningen til kravspesifikasjonen pkt. 2 er det tatt inn en illustrasjon på de forskjellige brukergrupper og deres roller i Doffin.

EUS har anført at bruker i punkt 2.11.2.3 kun er oppdragsgiver, og viser til at den eneste aktuelle brukeren på dette punkt er oppdragsgiver, se blant annet innledningen til punkt 2.11 Laste opp tilleggsinformasjon og vedlegg til kunngjøringen, hvor det heter:

"Formål: En oppdragsgiver skal enkelt og trygt kunne laste opp konkurranseinformasjon til kunngjøringen, som for eksempel tilleggsinformasjon og vedlegg."

Retten vil bemerke at den bruker som "laster opp" dokumenter vil være oppdragsgiver, mens de brukere som "laster ned" dokumenter mv. vil være både oppdragsgivere, oppdragssøkere og andre interesserte. Spørsmålet i punkt 2.11.2.3 – og EUS svar på samme spørsmål - gjelder både opp- og nedlasting av dokumenter. Retten finner således at "bruker" da ikke bare kan forstås som oppdragsgiver, men kan også omfatte oppdragssøkere og andre interesserte. Retten vil også peke på at dersom det bare er meningen å varsle oppdragsgiver om at et dokument er infisert, vil det være mest naturlig å gi oppdragsgiver klar beskjed om at dokumentet er avvist fordi det er virusinfisert.

Hovedspørsmålet er om svaret fra EUS kan forstås slik at virusinfiserte dokumenter blir sluppet inn i Doffin-basen etter kontrollen, eller om dokumentet forblir holdt i "karantene" uten å bli sluppet inn i basen, og at det blir gitt melding til oppdragsgiver om virus-problemet. EUS har svart "ja" på at selskapet vil ha på plass tiltak som forhindrer spredning av virus mv. Det kan hevdes at det er åpenbart at man ikke vil slippe inn i basen en virusinfisert dokument når man svarer "ja" på dette spørsmål. Retten finner ikke at dette er åpenbart. Det er også en klar mulighet for at tilbyderen kan ha ment at det er tilstrekkelig å varsle både tilbyderen og oppdragssøkere mv. om at dokumentet er virusinfisert, slik at det ikke bør lastes ned uten ytterligere kontroll av dokumentet. Difi har forstått EUS' tilbud på denne måte. Retten vil peke på at EUS ikke sier noe om at infiserte dokumenter vil bli avvist, kun at de vil bli merket.

Nettopp fordi hensikten med punkt 2.11.2.3 er å dokumentere hvordan funksjonskravet i punkt 2.11.1 skal oppfylles, ville det vært naturlig for EUS å presisere at infiserte dokumenter ville bli avvist og ikke sluppet inn i Doffin-basen, dersom man mente det. Retten finner etter en samlet vurdering at en objektiv fortolkning av svaret fra EUS i punkt 2.11.2.3 er at EUS' løsning ikke vil avvise infiserte dokumenter, men kun merke dem. Med andre ord at infiserte dokumenter vil bli sluppet inn i Doffin-basen, men dog merket med et ikon, slik at det er tydelig for brukeren at man ikke bør stole på filen.

Retten finner således at Difi ved sin vurdering har lagt en naturlig objektiv forståelse til grunn ved vurderingen av tilbudet fra EUS. Slik forstått tilfredsstiller den løsning som er angitt i tilbudet fra EUS ikke kravet i punkt 2.11.1 nr. 2 om tiltak som forhindrer spredning av virus. Difi har da rett til å avvise tilbudet fra EUS forutsatt at dette er et "vesentlig avvik", jf. FOA § 20-13 første ledd bokstav e).

Lagmannsretten er enig i den forståelse som direktoratet har lagt til grunn om at beskrivelsen fra EUS Holding må forstås slik at den ikke forhindrer spredning av virus i opplastede dokumenter. Lagmannsretten viser herunder til den begrunnelse som

byfogdembetet har gitt, og kan i det vesentlige tiltre denne. Lagmannsretten bemerker at EUS Holding har beskrevet en løsning som gjør at brukere av Doffin får et varsel når et dokument kan være virusinfisert, men som ikke er til hinder for at virusinfiserte dokumenter lastes opp og gjøres tilgjengelig i Doffin. Dette oppfyller ikke minstekravet.

Det forhold at EUS Holding har krysset "ja" for at minimumskravet er oppfylt, kan ikke tillegges avgjørende vekt. Som det fremgår ovenfor, må kravspesifikasjonene leses i sammenheng med dokumentasjonskravet og formålet med kravspesifikasjonene. Som det fremgår av punkt 1.6, skulle informasjonskravene gjøre direktoratet i stand til å vurdere om tilbudt leveranse var tilfredsstillende. I dette tilfellet avdekket beskrivelsen under dokumentasjonskravet at leveransen likevel ikke var tilfredsstillende.

EUS Holding har videre anført at det ikke er motstrid mellom det "ja" som gis under funksjonskravet og den beskrivelse som gis under dokumentasjonskravet. Det vises til at funksjonskravet gjelder håndtering av allerede opplastede dokumenter og innebærer at opplastede dokumenter med virus ikke skal spres videre gjennom serverdelen av løsningen. Når det gjelder dokumentasjonskravet, anføres det at dette gjelder både opp- og nedlasting, og at EUS Holding har beskrevet hvordan opplasting skjer og hvordan den sikres.

Lagmannsretten kan ikke se at dette kan føre frem. Lagmannsretten bemerker at ordlyden i funksjonskravet i punkt 2.11.1 nr. 1 og dokumentasjonskravet i punkt 2.11.2.3 er noe ulik. Ordlyden i funksjonskravet viser til opplastede dokumenter, mens i dokumentasjonskravet vises det til opp- og nedlasting av dokumenter.

Dette kan likevel ikke bety at konkurransegrunnlaget kan forstås slik at tilbyder bare bes om å dokumentere tiltak for å hindre at dokumenter som lastes opp på Doffin har virus, og ikke hvordan den videre håndtering av dokumentet forhindrer virusspredning. Som det fremgår ovenfor må funksjonskravet leses i sammenheng med dokumentasjonskravet, samt formålet med kravspesifikasjonene. Når det i dokumentasjonskravet bes om dokumentasjon eller beskrivelse av rutiner for å sikre en trygg opplasting og nedlasting, er det ikke tvilsomt at funksjonskravet omfatter en løsning som forhindrer spredning av virus i både opplastede og nedlastede dokumenter. Det avgjørende er at tilbyder må dokumentere at den tilbudte løsning har på plass tiltak som forhindrer at mulige virusinfiserte dokumenter spres gjennom Doffin, uansett om dette skjer gjennom nedlasting eller opplastning.

EUS Holding har videre anført at det i vurderingen må legges vekt på at selskapet uansett kan tilby en løsning som er i samsvar med minstekravet. Heller ikke denne anførselen kan føre frem. Som det fremgår ovenfor, har lagmannsretten lagt til grunn at en objektiv tolkning av tilbudet, slik det forelå ved tilbudsåpningen, ikke tilfredsstilte minimumskravene. En annen forståelse av tilbudet, i lys av de opplysninger som EUS

Holding i ettertid har gitt om hvilken løsning selskapet faktisk kan tilby, vil være i strid med likebehandlingsprinsippet og forhandlingsforbudet i forskriften § 21-1 første ledd.

Etter dette legger lagmannsretten til grunn at EUS Holding i sitt tilbud under dokumentasjonskravet har beskrevet en annen løsning enn den som ble oppstilt som et minstekrav i punkt 2.11.1 nr. 2. Tilbudet oppfylte således ikke minimumskravet, og det foreligger et avvik mellom kravspesifikasjonen og tilbudet som er gitt.

Lagmannsretten behandler til slutt spørsmålet om det aktuelle avvik fra kravspesifikasjonen og tilbudet er vesentlig, jf. forskriften § 20-13 første ledd.

Bestemmelsen i forskriften § 20-13 første ledd lyder slik:

Et tilbud skal avvises når: e. det inneholder vesentlige avvik fra kravspesifikasjonene i kunngjøringen eller konkurransegrunnlaget.

Om dette har byfogdembetet uttalt følgende:

Punkt 2.11.1 nr. 2 er et "må-krav", og Difi har som vilkår at slike minimumskrav må være tilfredsstilt for at tilbudet kan aksepteres. KOFA har i sin praksis lagt til grunn at unnlatelse av å oppfylle minimumsvilkår som et klart utgangspunkt er vesentlig avvik. Det vises til KOFA-2008-58 premiss 46:

"Ved vurderingen av om avviket er vesentlig må det ses hen til blant annet hvor stort avviket er, hvor viktig innholdet det avvikes fra er, og i hvilken grad et avvik vil kunne forrykke konkurransen. Der oppdragsgiver uttrykkelig har benevnt et forhold som et minstekrav, vil vilkåret i hvert fall som et klart utgangspunkt være oppfylt."

Dette er i tråd med EU-domstolens avgjørelse i sak T-40/01. Ved vurderingen av hvorvidt et avvik er vesentlig, er det sentralt hvor viktig kravet det avvikes fra er, se KOFA-2012-142 premiss 34. Kravet som det avvikes fra er her kravet om å forhindre spredning av virus mv. i punkt 2.11.1 nr. 2. Å forhindre spredning av virus er meget viktig. Dersom brukere av Doffin risikerer å laste ned dokumenter som er virusinfiserte, vil det lett ødelegge tilliten til Doffin og til Difi. Doffin kan karakteriseres som selve "navet" ved konkurransen om offentlige anskaffelser. Dette taler klart for at et avvik på dette punkt er vesentlig og vil gi grunnlag for å avvise tilbudet fra EUS.

EUS har anført at man i vesentlighetsvurderingen må ta hensyn til situasjonen i denne saken, hvor Difi ved den første gjennomgangen av tilbudene fant at EUS oppfylte alle minimumskrav og hadde levert et tilfredsstillende tilbud, som ble rangert som marginalt dårligere enn det valgte tilbud fra Millstream. Når Millstreams tilbud senere ble avvist, står man bare igjen med tilbudet fra EUS som eneste tilbyder. En avvisning vil være meget uheldig for EUS, og ingen andre parter lider noe tap. Det er ikke andre deltagere i konkurransen å ta hensyn til. En ny konkurranse eller forhandling med de to tilbydere Millstream og EUS, vil også stille

tilbyderne i en helt ny situasjon, da begge tilbydere har fått innsyn i hverandres tilbud og priser. Det endrer hele konkurransesituasjonen.

Retten har forståelse for at en avvisning vil være meget uheldig for EUS, men er ikke enig i at det skal legges en annen vesentlighetsstandard til grunn i denne situasjon enn i andre saker. Man må legge til grunn den vesentlighetsstandard som KOFA har formulert i de ovennevnte saker. Retten vil også bemerke at det var berettiget at Difi å foreta en ny gjennomgang av tilbudet fra EUS etter at KOFA 13. august 2012 hadde uttalt at Difi hadde brutt FOA § 20-13 første ledd bokstav e) ved ikke å avvise Millstreams tilbud. Det var da klart at Difi ved gjennomgang av tilbudet fra Millstream ikke hadde anvendt riktig standard ved vurderingen av avvik fra "må- krav". Dette har også Difi erkjent. I en slik situasjon var det riktig og naturlig å undersøke om den samme type feilvurdering var foretatt ved gjennomgang av det andre innleverte tilbud, tilbudet fra EUS.

Når Difi ved den fornyede gjennomgang fant at EUS ikke oppfylte minimumskravet i punkt 2.11.1 nr. 2, og dette som det fremgår ovenfor er et vesentlig avvik, var det saklig og berettiget av Difi å avvise tilbudet fra EUS. Difi hadde da rett til å avlyse konkurransen om operatøravtale om drift av Doffin. Difi har rett til å videreføre konkurransen om denne avtale blant annet ved invitere tilbyderne til forhandling uten forutgående kunngjøring, jf. FOA § 14-4.

Lagmannsretten er enig i byfogdembetets begrunnelse, og slutter seg til denne. Det har i anken og etterfølgende prosesskrift ikke kommet frem nye anførsler av betydning for vesentlighetsvurderingen.

EUS Holding har etter dette ikke sannsynliggjort noe hovedkrav. Det er da ikke nødvendig å vurdere spørsmål om sikringsgrunn. Anken blir etter dette å forkaste.

Staten har vunnet saken og har krav på saksomkostninger, jf. tvisteloven § 20-2 første ledd. Lagmannsretten har vurdert, men ikke funnet grunnlag for å gjøre unntak etter bestemmelsens tredje ledd. Staten har ikke levert omkostningsoppgave. Sakskostnadene settes skjønnsmessig til 8 000 kroner.

Kjennelsen er enstemmig.

SLUTNING

1. Anken forkastes.
2. I sakskostnader for lagmannsretten betaler EUS Holding Limited til staten ved Direktoratet for Forvaltning og IKT 8 000 – åttetusen – kroner innen to uker fra forkynnelse av denne kjennelse.

Tonje Vang Agnar A. Nilsen jr. Hedda Remen

Bekreftes for førstelagmannen: