TUSSENTIJDSE UPDATE: Beroep in Duitse aanbestedingszaak over privacyschending leidt tot andere uitkomst!

TUSSENTIJDSE UPDATE: BEROEP IN DUITSE AANBESTEDINGSZAAK OVER PRIVACYSCHENDING LEIDT TOT ANDERE UITKOMST!

In de editie van 5 september jl. bespraken wij een besluit van een aanbestedingskamer in Duitsland.  Dat besluit had vergaande gevolgen: een winnende inschrijver moest alsnog worden uitgesloten van een aanbesteding vanwege een (vermeende) privacyschending bij de uitvoering van de opdracht. Deze uit te sluiten inschrijver heeft beroep ingesteld en met succes: de rechter in hoger beroep (OLG Karlsruhe) heeft het besluit vernietigd. In deze tussentijdse update bespreken wij deze (nieuwe) uitspraak van OLG Karlsruhe.

WAAR GING DE ZAAK OOK AL WEER OVER?

Een Duits overheidsbedrijf houdt een Europese aanbesteding voor het leveren van software voor digitale administratie. Naleving van de toepasselijke privacyregels is een voorwaarde (een geschiktheidseis) voor een geldige inschrijving. Het overheidsbedrijf is voornemens de opdracht te gunnen aan Inschrijver A.

Volgens een afgewezen inschrijver zou de inschrijving van Inschrijver A echter niet voldoen aan de toepasselijke privacyregels. Inschrijver A zou namelijk (indirect) gebruik maken van diensten van een Amerikaanse onderneming (Amazon Web Services) en er zou sprake zijn van zogeheten ‘internationale doorgifte van persoonsgegevens’ naar een derde land  (namelijk: de Verenigde Staten), zonder dat voldoende waarborgen worden getroffen voor een dergelijke doorgifte. Volgens de afgewezen inschrijver handelt Inschrijver A daardoor in strijd met de Algemene verordening gegevensbescherming (AVG).

De overheidsdienst wijst de bezwaren af en de afgewezen inschrijver stapte vervolgens naar de aanbestedingskamer in Karlsruhe. Volgens de aanbestedingskamer in Karlsruhe handelt de winnende inschrijver inderdaad in strijd met de AVG, omdat sprake is van internationale doorgifte van persoonsgegevens naar een derde land, zonder dat voldoende waarborgen zijn getroffen voor deze doorgifte. De winnende inschrijver moet daarom alsnog worden uitgesloten van deelname aan de aanbesteding.

WAT IS HET OORDEEL VAN DE RECHTER IN HOGER BEROEP?

De rechter in hoger beroep (OLG Karlsruhe) oordeelt anders: de overheidsdienst hoeft de winnende inschrijver niet uit te sluiten. Daaraan ligt het volgende ten grondslag. Het enkele feit dat een inschrijver een moedermaatschappij heeft uit de Verenigde Staten maakt niet dat sprake is van doorgifte van persoonsgegevens naar de Verenigde Staten. De afwezigheid van een zogeheten ‘data transfer impact assessment’ maakt ook niet dat afgeweken wordt van de aanbestedingsvoorwaarden.

De (Amerikaanse) onderneming in kwestie (Amazon Web Services) blijkt bovendien contractueel toegezegd te hebben de betreffende persoonsgegevens alleen in de EU te verwerken. Deze toezegging maakt onderdeel uit van de bieding van de winnende inschrijver en de overheidsdienst mag in beginsel erop vertrouwen dat deze toezegging wordt nagekomen. Alleen wanneer de overheidsdienst concrete aanwijzingen heeft ontvangen waardoor gerede twijfel bestaat over het nakomen van de genoemde toezegging, zou de overheidsdienst nader onderzoek moeten verrichten. Dergelijke signalen heeft de overheidsdienst evenwel niet ontvangen. Er is derhalve geen sprake van gerede twijfel over de nakoming van de genoemde toezegging.

De overheidsdienst hoeft dan ook niet ervan uit te gaan dat sprake zal zijn van een privacyschending bij de uitvoering van de opdracht. De winnende inschrijver handelt niet in strijd met de voorschriften uit de aanbestedingsstukken en mag niet worden uitgesloten.

TIPS EN ADVIEZEN

• Als aanbestedende dienst ben je in de regel ‘verwerkingsverantwoordelijk’ en blijft je altijd verantwoordelijk voor de persoonsgegevens die je verwerkt. Ook wanneer je die verwerking uitbesteedt aan een marktpartij/verwerker. Klanten, burgers, patiënten etc. hebben hun persoonsgegevens immers met jou als aanbestedende dienst gedeeld, en niet met de verwerker. Als aanbestedende dienst moet je dus erop toezien dat een opdrachtnemer de privacyregels naleeft, waaronder de regels inzake de doorgifte van persoonsgegevens naar derde landen.
• Het is daarom raadzaam inschrijvers te laten toezeggen en onderbouwen (in hun inschrijving) dat zij alle privacyregels in acht nemen bij de uitvoering van de opdracht. Maak daar desgewenst een (sub)gunningscriterium van. De toezeggingen die inschrijvers in dat verband doen, maken onderdeel uit van de bieding van de betreffende inschrijver en kunnen na gunning in rechte worden afgedwongen.