Nyhedsbrev. Teknologi

Transkript

1 Nyhedsbrev Teknologi

2 TILLÆG TIL EKSISTERENDE IT-KONTRAKT UDEN FORUDGÅENDE UDBUD BLEV ERKLÆRET UDEN VIRKNING Klagenævnet for Udbud har i en nyligt afsagt kendelse erklæret et tillæg til en eksisterende IT-kontrakt uden virkning. Klagenævnet fandt, at tillægget ikke kunne anses for en forudsat ændring i medfør af kontrakten, men i stedet udgjorde en selvstændig aftale indgået uden udbud. Tillægget blev derfor erklæret for uden virkning og ordregiver - Moderniseringsstyrelsen - blev idømt en økonomisk sanktion på kr. Tillæg var en væsentlig ændring til en eksisterende kontrakt Moderniseringsstyrelsen udbød i 2012 en IT-kontrakt, som styrelsen indgik med en tilbudsgiver/it-leverandør. I maj 2015 bekendtgjorde styrelsen, at der var indgået en tillægsaftale om en webbaseret selvbetjeningsløsning for ansatte, HR-Løn, i Statens Lønsystem. En anden tilbudsgiver indgav herefter klage til Klagenævnet for Udbud over den direkte tildeling af tillægskontrakten, uden at styrelsen forinden havde haft tillægget i udbud. Klagenævnet fandt, at HR-Løn ikke var omfattet af udbuddet fra 2012 om Statens Lønsystem. Konkret fandt Klagenævnet, at kontrakten alene refererede til Statens Lønsystem og ikke til HR-Løn. Klagenævnet udtalte endvidere, at en ændring i medfør af en kontrakt forudsætter, at den oprindeligt udbudte kontrakt indeholder en klausul, der klart beskriver, hvornår og hvordan en ændring ville kunne finde sted. Da dette ikke var var tilfældet, var der ikke tale om en ændring i medfør af kontrakten. Kontakt Lau Normann Jørgensen Direkte: Mobil: LNJ@kromannreumert.com Jan Ussing Andersen Direkte: Mobil: JUS@kromannreumert.com Jeppe Lefevre Olsen Direkte: Mobil: jol@kromannreumert.com Charlotte Henriques Direkte: Mobil: chq@kromannreumert.com Carina Renate Czerwinski Dall fuldmægtig Direkte: Mobil: ccd@kromannreumert.com Hvis en ændring ikke kan foretages i medfør af kontrakten, skal det vurderes, om den ønskede ændring er uvæsentlig eller væsentligt. En uvæsentlig ændring vil kunne gennemføres uden afholdelse af nyt udbud, mens en væsentlig ændring af kontrakten kun kan gennemføres efter et udbud. I sagen fandt Klagenævnet, at der var tale om en væsentlig ændring af kontrakten, bl.a. fordi tillægskontrakten kostede 29 mio. kroner. Ordregivere skal udvise den fornødne omhu Sanktionen "uden virkning" medfører, at ordregiveren ikke må købe flere ydelser på kontrakten, og at kontrakten skal ophøre. For at sikre at en indgået kontrakt ikke erklæres for uden virkning, skal en ordregiver: offentliggøre en profylaksebekendtgørelse, som er ordregivers offentliggørelse af, at ordregiver har til hensigt at indgå kontrakten uden udbud, og hvorfor ordregiver ikke mener, at kontrakten er udbudspligtig vente med at indgå kontrakten til 10 dage fra dagen efter bekendtgørelsens offentliggørelse finde, at indgåelsen af kontrakten uden forudgående udbud er i overensstemmelse med udbudsreglerne. 2/8

3 Da Moderniseringsstyrelsen havde overholdt de første to betingelser, var den tredje betingelse omdrejningspunktet i sagen. Klagenævnet har i tidligere sager været tilbageholdende med at tilsidesætte ordregivers foretagne skøn over, hvorvidt en kontrakt var udbudspligtig. Dette var dog ikke tilfældet i denne konkrete sag, idet Klagenævnet fremhævede i overensstemmelse med praksis fra EU-Domstolen at ordregivere generelt skulle udvise den "fornødne omhu", når de vurderer, om en kontrakt er udbudspligtig. Klagenævnet er normalt tilbageholdende med at erklære kontrakter for uden virkning, når ordregiver har foretaget en vurdering af udbudspligten. I dette særlige tilfælde erklærede Klagenævnet imidlertid kontrakten for uden virkning, selvom styrelsen havde foretaget en sådan vurdering, da Klagenævnet fandt vurderingen åbenbart urigtig. Moderniseringsstyrelsen havde udover selv at gennemgå de relevante dokumenter rekvireret en advokatvurdering, som fandt det "umiddelbart nærliggende", at der var tale om en ikke udbudspligtig ændring i medfør af kontrakten. Ifølge Klagenævnet var dette dog ikke tilstrækkeligt, idet advokatvurderingen indeholdt en række forbehold og dermed ikke gav et klart svar. I sin vurdering inddrog Klagenævnet ligeledes, at advokatvurderingen kun var delvist fremlagt for Klagenævnet. Klagenævnet fandt på baggrund heraf, at Moderniseringsstyrelsen ikke havde udvist den fornødne omhu i forbindelse med deres vurdering af, om tillægget var udbudspligtig. Tillægget til kontrakten var uden virkning Den indgåede tillægskontrakt blev derfor erklæret for uden virkning, og Moderniseringsstyrelsen blev pålagt at bringe den til ophør med virkning fra den 1. august Klagenævnet idømte endvidere Moderniseringsstyrelsen en økonomisk sanktion på kr. Læs Klagenævnet for udbuds kendelse 3/8

4 EU-DOMSTOLENS GENERAL- ADVOKAT: DYNAMISKE IP-ADRESSER KAN ANSES FOR PERSONDATA, HVIS DER ER SUPPLERENDE OPLYSNINGER, SOM KAN IDENTIFICERE BRUGEREN EU-Domstolen var blevet bedt om at tage stilling til, om dynamiske IP-adresser kan anses for persondata, hvis en websiteudbyder ikke er i stand til at identificere brugeren via dennes dynamiske IP-adresse, men en tredjemand her internetudbyderen har yderligere oplysninger, som vil gøre det muligt. EU-Domstolen har tidligere taget stilling til IP-adresser men ikke i forhold til websiteudbydere Dynamiske IP-adresser tildeles automatisk til en enhed og bruges kun midlertidigt, dvs. disse bliver ændret næste gang, brugeren benytter sig af forbindelsen til internettet. I modsætning hertil tildeles statiske IP-adresser manuelt, og disse IP-adresser ændrer sig ikke. Lignende spørgsmål er tidligere behandlet hos EU-Domstolen, der fandt, at IP-adresserne blev anset for personoplysninger, som alene kan behandles, herunder opbevares, hvis en række krav er opfyldt. Tidligere afgørelser alene har dog forholdt sig til IP-adresser som personhenførbare oplysninger i forhold til internetudbydere og ikke i forhold til websiteudbydere, som ikke selv har adgang til den nødvendige information til at identificere den konkrete bruger. Kontakt Tina Brøgger Sørensen Direkte: Mobil: tib@kromannreumert.com Lau Normann Jørgensen Direkte: Mobil: LNJ@kromannreumert.com Jan Ussing Andersen Direkte: Mobil: JUS@kromannreumert.com Daiga Grunte-Sonne Direkte: Mobil: DSO@kromannreumert.com Charlotte Henriques Direkte: Mobil: chq@kromannreumert.com Dynamiske IP-adresser kan være persondata Ifølge Generaladvokaten skal dynamiske IP-adresser anses for at være persondata for en websiteudbyder, blot hvis internetudbyderen er i besiddelse af yderligere oplysninger om brugeren, som sammen med oplysningerne om IP-adressen kan identificere brugeren. Generaladvokaten lagde vægt på, at det fremgår af databeskyttelsesdirektivet (direktiv 95/46 EF), at der for at afgøre, om en person er identificerbar, skal tages "alle de hjælpemidler i betragtning, der med rimelighed kan tænkes bragt i anvendelse for at identificere den pågældende" enten af websiteudbyderen eller af "enhver anden person" i det konkrete tilfælde, internetudbyderen. Da den danske persondatalov bygger på direktivet, har afgørelsen betydning for den danske opfattelse af personoplysninger. EU-Domstolen følger sædvanligvis Generaladvokatens forslag, og det er derfor forventningen, at EU-Domstolen vil nå til samme resultat. EU-Domstolen forventes at være klar med en afgørelse inden for få måneder. Vi følger op på afgørelsen. Afgørelsen betyder, at internetbutikker og andre virksomheder, der indsamler oplysninger om brugernes IP-adresser gennem deres websites, skal betragte IP-adresserne som 4/8

5 persondata og sikre sig, at behandlingen heraf følger persondatalovens regler. Fremadrettet skal virksomhederne også sikre sig, at reglerne i den nye persondataforordning overholdes, når der indsamles IP-adresser. 5/8

6 NYT OM OVERFØRSEL AF PERSONDATA: EU-KOMMISSIONENS STANDARDKONTRAKTER ER I FARE, OG EU-PARLAMENTET ER KRITISK OVERFOR EU-US PRIVACY SHIELD Overførsel af persondata til tredjelande, bl.a. USA, har været genstand for meget opmærksomhed siden EU-Domstolens Safe Harbor-dom i oktober EU har arbejdet på en ny afløser til Safe Harbor-ordningen Privacy Shield men EU-Parlamentet er kritisk overfor forslaget til ordningen. Samtidig ser det også ud til, at EU-Kommissionens standardkontrakter nu kan lide samme skæbne som Safe Harborordningen. Dermed er grundlaget for at overføre personoplysninger til tredjelande i den grad udfordret. Det kan især ramme cloud-leverandører og virksomheder, der opbevarer persondata på servere placeret i USA. EU-Parlamentet er kritisk overfor forslag til ny Privacy Shield-ordning EU-Parlamentet har den 26. maj 2016 udtalt sig kritisk om den dataoverførselsaftale (Privacy Shield), som EU og USA har brugt mange kræfter på at få på plads efter faldet af Safe Harbor-ordningen. Artikel 29-gruppen, som bl.a. består af repræsentanter fra samtlige EU-persondatatilsynsmyndigheder, udtalte allerede i april, at aftalen ikke var tilstrækkelig til at yde den nødvendige beskyttelse for de EU-borgere, hvis personoplysninger overføres til USA, og anbefalingen lød på en række forbedringer. EU-Parlamentet har den samme opfattelse. Det har meldt ud, at der er brug for substantielle forbedringer, før aftalen kan blive en afløser for Safe Harbor-ordningen. Særligt anses de amerikanske myndigheders adgang til EU-borgeres persondata og mulighederne for at udføre masseovervågning som problematiske. Det var netop af disse grunde, at Safe Harbor-ordningen faldt. Desuden peger EU-Parlamentet på, at den amerikanske persondataombudsmand, som skal behandle klager over ulovlig behandling af EU-borgeres personoplysninger, ikke er tilstrækkelig uafhængig og mangler beføjelser i forhold til de opgaver, vedkommende skal kunne varetage. Kontakt Tina Brøgger Sørensen Direkte: Mobil: tib@kromannreumert.com Lau Normann Jørgensen Direkte: Mobil: LNJ@kromannreumert.com Jan Ussing Andersen Direkte: Mobil: JUS@kromannreumert.com Daiga Grunte-Sonne Direkte: Mobil: DSO@kromannreumert.com Charlotte Henriques Direkte: Mobil: chq@kromannreumert.com Forhandlingerne om Privacy Shield er genoptaget Kritikken af Privacy Shield-aftalen betyder, at EU-Kommissionen og USA må tilbage til forhandlingsbordet. Det var ellers hensigten at vedtage aftalen i juni 2016, men nu må forhandlingspartnerne og virksomheder, som ønsker at benytte sig af ordningen, væbne sig med tålmodighed. Overførsler af persondata fra EU til USA kan som udgangspunkt stadigvæk finde sted på baggrund af EU-Kommissionens standardkontrakter og Binding Corporate Rules samt forudgående, udtrykkeligt samtykke eller evt. andre undtagelsesbestemmelser, som kan finde anvendelse på den konkrete overførsel. EU-Kommissionens standardkontrakter er nu også i fare Efter faldet af Safe Harbor begyndte Facebook og mange andre cloud-leverandører og virksomheder med data opbevaret i USA at bruge EU-standardkontrakter for at overføre 6/8

7 persondata til USA. Det irske datatilsyn (Data Protection Commissioner) har dog den 25. maj 2016 oplyst, at det vil forelægge en sag for den højeste retsinstans i Irland (the Irish High Court) vedrørende lovligheden af overførsler af persondata fra EU til USA på baggrund af standardkontrakterne. Det frygtes derfor, at standardkontrakterne nu vil lide samme skæbne som Safe Harbor-ordningen. Beskytter EU-Kommissionens standardkontrakter mod masseovervågning i USA? Standardkontrakterne er godkendt af EU-Kommissionen og kan ifølge både Datatilsynet og Artikel 29-gruppen stadigvæk lovligt bruges til sådanne overførsler. Maximillian Schrems som første gang klagede over Facebooks overførsel af personoplysninger til USA via Safe Harbor-ordningen er overbevist om, at intet kontraktgrundlag kan beskytte hans persondata mod masseovervågning i USA. Ifølge ham kan udfordringen alene løses ved ændringer i amerikansk lovgivning, og han har derfor også klaget over Facebooks overførsler til USA på baggrund af standardkontrakter. Det irske datatilsyn har valgt at behandle klagen, og sagen vil blive forelagt den irske højesteret, hvor det forventes, at retten vil forelægge spørgsmålet for EU-Domstolen. Det er uvist, hvornår sagen vil blive behandlet, og hvilket resultat EU-Domstolen når. Sagsbehandlingstider ved EU-Domstolen kan være ganske lange, og overførsler af personoplysninger til USA på baggrund af EU-standardkontrakterne vil stadigvæk være gyldige, mens EU-Domstolen behandler sagen. Læs mere om Privacy Shield og EU-Komissionens standardkontrakter i vores persondataretsnyhedsbrev. 7/8

8 NY STANDARD FOR CLOUD-SLA'ER ER PÅ VEJ En ny ISO-standard for SLA'er til cloud-tjenester er i gang med at blive udarbejdet. Formålet er at gøre det lettere for leverandører at udarbejde forståelige og gennemsigtige SLA-vilkår, at minimere misforståelser mellem leverandører og kunder, samt at giver kunderne bedre mulighed for at sammenligne vilkår på tværs af leverandører. SLA-vilkårene skal være klarerere og mere gennemsigtige En leverandørs SLA kan have afgørende betydning for både den ydelse, kunden faktisk modtager, og for hvordan kunden er stillet i tilfælde af eksempelvis datatab. Imidlertid er cloud-markedet kendetegnet ved en stor mangfoldighed af forskellige SLA-vilkår, som kan være uforståelige og bygge på forskellige begreber, definitioner og servicemål. Dette besværliggør forståelsen og hæmmer kunderne i at foretage sammenligninger af leverandørers tilbud. For at skabe transparens omkring vilkårene, så kunden kan foretage valg af cloud-udbyder på et så oplyst grundlag som muligt, samtidig med at misforståelser mellem udbyder og kunde vedrørende serviceniveauet minimeres, er der derfor udviklet en ny ISO-standard. ISO-standard Standarden hedder ISO/IEC (Information Technology-Distributed Application Platforms and Services-Cloud Computing-Service Level Agreement (SLA) Framework and Terminology). Den består af tre dele, hhv. (1) Overview and concepts, (2) Metrics, og (3) Core conformance requirements. Den første del indeholder (i) en beskrivelse af forholdet mellem selve cloud-kontrakten og SLA'en, (ii) modelbestemmelser, der kan bruges til at udarbejde cloud-sla'er, og (iii) en oversigt over typisk anvendte cloud-begreber. Del 1 er pt. i godkendelsesfasen hos International Organization for Standardization og forventes udgivet i løbet af sommeren Del 2 og 3 forventes udgivet i slutningen af Vi følger op med en gennemgang af den nye standard, når den bliver udgivet. Kontakt Lau Normann Jørgensen Direkte: Mobil: LNJ@kromannreumert.com Jan Ussing Andersen Direkte: Mobil: JUS@kromannreumert.com Carl Emil Alexander Frost Direkte: Mobil: cef@kromannreumert.com Charlotte Henriques Direkte: Mobil: chq@kromannreumert.com Alexander Z. B. Lundkvist fuldmægtig Direkte: Mobil: all@kromannreumert.com 8/8