Protinus IT wint kort geding tegen Het Waterschapshuis

Protinus en het Waterschapshuis hebben aan de voorzieningenrechter laten weten dat zij geen bezwaar tegen tussenkomst van SoftwareONE in dit kort geding hebben. De voorzieningenrechter heeft daarna, bij mondeling vonnis, het verzoek van SoftwareONE om te mogen tussen te komen in het kort geding toegewezen.

Er zijn twee vragenronden gehouden waarin gegadigden vragen konden stellen over de aanbestedingsprocedure. Dat heeft geresulteerd in een Nota van Inlichtingen van:
- 7 maart 2022 (hierna: de eerste NvI),

- 22 maart 2022 (hierna de eerste versie van de tweede NvI), en
- 23 maart 2022 (hierna de tweede versie van de tweede NvI).
De reden dat er twee versies zijn van de tweede NvI is dat er per ongeluk in de eerste versie van de tweede NvI een individuele vraag van een gegadigde onder vraag 93 is vermeld. Het antwoord op die individuele vraag is daarbij niet vermeld.

De meer subsidiaire vordering zal worden toegewezen, omdat geoordeeld wordt dat de aanbestedingsprocedure in strijd is met het transparantie- en gelijkheidsbeginsel.

Hierna wordt uitgelegd waarom dit zo is.

Standpunt Protinus
3.2. Protinus voert aan dat de inschrijving van SoftwareONE ongeldig is, omdat deze niet voldoet aan één van de eisen/voorwaarden zoals gesteld in de aanbestedingsdocumenten. In artikel 2.13.13. van de Aanbestedingsleidraad is bepaald dat de inschrijving dan ongeldig wordt verklaard en als gevolg daarvan niet meer voor gunning in aanmerking komt. De opdracht moet daarom, zo stelt Protinus, aan Protinus worden gegund. De eis/voorwaarde waaraan niet is voldaan, is eis 11.8 van het PvE in relatie met E8 van de BIO Eisen Webportaal (bijlage 05) en dat weer in relatie met het antwoord op vraag 19 van de eerste NvI.

Uit deze bepalingen volgt volgens Protinus dat als eis/voorwaarde is gesteld dat:

- als uitgangspunt geldt dat de gegevensverwerking in de EU/EER plaatsvindt, en dat
- de gegevensverwerking buiten de EER mag plaatsvinden als een adequaatheids-
besluit is afgegeven door de Europese Commissie2, of de doorgifte niet repetitief
(dus éénmalig) is en een beperkt aantal gegevens betreft.

Verweer het Waterschapshuis en SoftwareONE
3.3. Het Waterschapshuis en SoftwareONE betwisten dat deze eis/voorwaarde is gesteld. Zij stellen zich op het standpunt dat als eis/voorwaarde is gesteld dat:
- als uitgangspunt geldt dat de gegevensverwerking uitsluitend in Nederland
plaatsvindt, en dat

- de gegevensverwerking buiten de EER mag plaatsvinden als het Waterschapshuis
daarvoor haar schriftelijke toestemming heeft gegeven, en als is voldaan aan één
van de waarborgen zoals vermeld in (vooral artikel 46 lid 2 van) de Algemene
Verordening Gegevensverwerking (AVG).
Dat deze eis/voorwaarde is gesteld volgt volgens het Waterschapshuis en SoftwareONE uit het bepaalde in artikel 8.4. van de Verwerkersovereenkomst en uit het individuele antwoord dat zij aan SoftwareONE heeft gegeven.

Verschil van mening over de uitleg van de aanbestedingsdocumenten
3.4. Partijen verschillen dus van mening over de uitleg van de aanbestedingsdocumenten, en meer in het bijzonder welke eisen/voorwaarden er in die
documenten zijn gesteld met betrekking tot de gegevensverwerking.

Toetsingskader
3.5. Bij de uitleg van aanbestedingsstukken moet worden uitgegaan van de “CAO-norm”. Deze norm houdt in dat moet worden gekeken naar de bewoordingen van de tekst van deze eis, gelezen in het licht van de gehele tekst van, in beginsel, alle aanbestedingsstukken. Daarbij komt het aan op de betekenis die naar objectieve maatstaven volgt uit de bewoordingen waarin de stukken zijn gesteld. De bedoelingen van de aanbestedende dienst zijn daarbij dus niet van belang, tenzij deze bedoelingen uit de aanbestedingsdocumenten en de toelichting kenbaar zijn. Verder gaat het erom of alle behoorlijk geïnformeerde en normaal oplettende inschrijvers (de ‘maatman’) de juiste draagwijdte van een bepaalde eis/voorwaarde hebben kunnen begrijpen.

Bepalingen waarop partijen zich beroepen
3.6. Eis 11.8 van het PvE en E8 van bijlage 05 (waarop Protinus een beroep doet) luiden als volgt.

“11.8. Het webportaal voldoet aan de wettelijke eisen die gesteld worden aan de BIO en de AVG. Minimaal voldoet het webportaal aan de eisen in Bijlage 5a.”

“E8 Opslag en verwerking van gegevens in de EU of EER”

“ De verwerker mag de persoonsgegevens uitsluitend verwerken in Nederland. Doorgifte naar andere landen is uitsluitend toegestaan na voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke en met inachtneming van de toepasselijke wet- en regelgeving.”

Is het transparant welk gebied voor de gegevensverwerking tot uitgangspunt geldt?
3.8. Het is op grond van deze bepalingen niet transparant welk gebied voor de gegevensverwerking tot uitgangspunt geldt. De aanbestedingsdocumenten (het PvE en de Verwerkersovereenkomst) bevatten wat dit punt betreft, zoals Het Waterschapshuis ook onderkent, een tegenstrijdigheid. Op grond van het PVE geldt als uitgangspunt dat de gegevensverwerking in “de EU/EER” plaatsvindt, terwijl op grond van de Verwerkersovereenkomst als uitgangspunt geldt dat de gegevensverwerking “uitsluitend in Nederland” plaatsvindt. De in 3.5. bedoelde inschrijver zal dit zo hebben begrepen.

“ De volgorde in prioriteit (in aflopend belang) in geval van strijdigheid tussen de
contractdocumenten is:
1. Raamovereenkomst
2. Nadere Overeenkomst
3. Verwerkersovereenkomst
4. Aanbestedingsstukken en de nota(‘s) van inlichtingen (laatste versie/datum als
hoogste in de rangorde)
5. SLA
6. DAP
7. AWBIT 2018
8. Inschrijving Opdrachtnemer
9. Nadere Offerte.”

Niet transparant welke eisen/voorwaarden gelden voor de gegevensverwerking buiten de EER
3.13. Het is ook niet transparant welke eisen/voorwaarden op grond van de aanbestedingsdocumenten gelden voor de gegevensverwerking buiten de EER. Dit komt doordat de eisen/voorwaarden op grond van de aanbestedingsdocumenten niet voor iedere gegadigde hetzelfde waren; zij waren voor Protinus en SoftwareONE verschillend. Hierna wordt toegelicht waarom dit zo is.

De uitleg waarvan Protinus kon uitgaan
3.14. Als het voor de in 3.5. bedoelde inschrijver op grond van artikel 11.8. van het PvE in relatie met E8 van de Bio Eisen Webportaal en artikel 8.4. van de Verwerkersovereenkomst (zie 3.6. en 3.7.) al duidelijk moet zijn geweest dat als eis/voorwaarde voor gegevensverwerking buiten de EER geldt dat is voldaan aan één van de waarborgen zoals vermeld in de AVG, dan is daarin verandering gekomen door het antwoord dat het Waterschapshuis in de eerste NvI heeft gegeven op vraag 19.

Vraag:
Gegadigde maakt binnen haar dienstverlening gebruik van sub-verwerkers buiten Nederland en de EER, dit in lijn met de huidige wet- en regelgeving en met inachtneming van alle wettelijke regels voor het verwerken van persoonsgegevens buiten de EER. Indien de Aanbestedende Dienst niet akkoord gaat met een verwerking van persoonsgegevens buiten de EER, kan Gegadigde haar dienstverlening niet verzorgen. Natuurlijk is het aan de Aanbestedende dienst om na gunning te beoordelen of de door Gegadigde getroffen maatregelen afdoende zijn. Het niet toestaan van verwerkingen buiten Nederland zou betekenen dat Gegadigde op voorhand wordt uitgesloten, terwijl zij wel aan de gestelde wetten/regels voldoet voor verwerkingen buiten de Nederland en de EER.

Het Waterschapshuis heeft daarop het volgende antwoord gegeven:

“ Als Opdrachtnemer/verwerker persoonsgegevens doorgeeft aan een land of internationale organisatie buiten de EER, dan moet voor dit land of die organisatie een adequaatheidsbesluit zijn afgegeven door de Europese Commissie of de doorgifte moet niet repetitief (dus eenmalig) zijn en een beperkt aantal gegevens betreffen. Opdrachtgever toetst of wordt voldaan aan bovengenoemde. Opdrachtnemer dient in de verificatiefase aan te geven welke landen het betreft en welke gegevens er worden doorgegeven buiten de EER en waarom deze doorgeven.”

Dit antwoord van Het Waterschapshuis is duidelijk en niet voor uitleg vatbaar.
Er staat letterlijk dat als er persoonsgegevens worden doorgegeven aan een land of internationale organisatie buiten de EER dat er dan voor dit land of die organisatie een adequaatheidsbesluit moet zijn afgegeven door de Europese Commissie of de doorgifte moet niet repetitief (dus eenmalig) zijn en een beperkt aantal gegevens betreffen.

Er wordt met dit antwoord geen opening gelaten voor de toepassing van de andere mogelijkheden die de AVG biedt. De boodschap is dat dit de twee voorwaarden zijn waaronder gegevensverwerking buiten de EER is toegestaan en dat aan die voorwaarden zal worden getoetst. De stelling van het Waterschapshuis en SoftwareONE dat de mogelijkheden die het Waterschapshuis in haar antwoord noemt slechts als voorbeeld dienen, gaat dan ook niet op.

Overigens heeft ook SoftwareONE, één van de gegadigden, het antwoord op de hiervoor genoemde manier begrepen, wat de uitleg van het antwoord zoals hiervoor vermeld, onderstreept. Dat SoftwareONE dit zo heeft begrepen, blijkt uit de individuele vraag die zij vervolgens naar aanleiding van het door het Waterschapshuis gegeven antwoord heeft gesteld. Deze individuele vraag van SoftwareONE luidde als volgt:

“ De Aanbestedende Dienst geeft in haar antwoord aan dat indien Opdrachtnemer Persoonsgegevens doorgeeft aan een land of een internationale organisatie buiten de EER, voor dit land een adequaatheidsbesluit moet zijn afgegeven danwel dat deze doorgifte niet repetitief (dus eenmalig) is en een beperkt aantal gegevens betreft.
De Aanbestedende Dienst vraagt in deze Aanbesteding bij Gegadigde een webportaal uit voor het creëren van een eenduidig inkoop/bestelproces. Gegadigde maakt deel uit van een internationale organisatie, positioneert haar diensten wereldwijde en maakt daardoor dus gebruik van sub-verwerkers buiten de EER. Het gebruik van sub-verwerkers buiten de EER is noodzakelijk voor Gegadigde om een schaalbare en goed geprijsde dienst te kunnen leveren, waar de Aanbestedende Dienst op haar beurt van kan profiteren. Gegadigde wenst daarnaast te benadrukken dat veel Software Vendoren tevens ook gebruik maken van sub-verwerkers buiten de EER. Deze verwerkingen zijn veelal repetitief en niet eenmalig. De Aanbestedende Dienst beperkt zichzelf dus onnodig met deze eis, nu de AVG juist de mogelijkheid biedt om gegevens buiten de EER te verwerken volgens de doorgifte-instrumenten zoals deze benoemd staan in artikel 45 t/m 57 AVG.
Gegadigde verzoekt de Aanbestedende Dienst om deze eis aan te passen in lijn met voorgaande, indien de Aanbestedende Dienst hier niet akkoord mee gaat, dan verzoekt Gegadigde om een gemotiveerde uitleg.”

Deze omstandigheden zijn allemaal te ver gezocht. Het zijn geen omstandigheden op grond waarvan het de in 3.5. bedoelde inschrijver “duidelijk” moest zijn dat het door het Waterschapshuis gegeven antwoord niet in overeenstemming was met de bedoeling van het Waterschapshuis.
Dat er volgens 8.4. van de Verwerkersovereenkomst ruimere voorwaarden golden, maakt nog niet dat het voor de inschrijver zoals bedoeld in 3.5. duidelijk moest zijn dat het antwoord op vraag 19 in de eerste NvI niet klopte. Deze inschrijver kan ook hebben gedacht dat sprake was van voortschrijdend inzicht van het Waterschapshuis. Bovendien was het antwoord juist een reactie op een vraag die mede betrekking had op dit artikel 8.4. van de Verwerkersovereenkomst. De in 3.5. bedoelde inschrijver kan door het antwoord van het Waterschapshuis ook hebben gedacht dat dit artikel van meet af aan te ruim was geformuleerd.

Uit het onbeantwoord laten van de individuele vraag in de eerste versie van de tweede NvI volgt evenmin duidelijk dat het antwoord op vraag 19 in de eerste NvI niet in overeenstemming was met de bedoeling van het Waterschapshuis.

De andere genoemde omstandigheden zijn evenmin relevant.

Nog afgezien dat de rangordebepalingen zoals hiervoor al is overwogen niet transparant zijn, geldt dat dit standpunt van het Waterschapshuis niet opgaat.

Het antwoord op vraag 19 in de eerste NvI was, zoals hiervoor al is overwogen, een verduidelijking van de eis/voorwaarde zoals vermeld in artikel 8.4. van de Verwerkersovereenkomst.

In die situatie doet zich geen rangordekwestie voor; er is geen sprake van tegenstrijdigheid tussen een eis/een voorwaarde/een document en een andere eis/voorwaarde/document.

Overigens is het beroep op de rangordebepalingen in de gegeven omstandigheden naar maatstaven van redelijkheid en billijkheid onaanvaardbaar. Het Waterschapshuis heeft een duidelijk niet voor uitleg vatbaar antwoord gegeven in de NvI en daarmee de inschrijver zoals bedoeld in 3.5. op een bepaald spoor gezet. Zij heeft vervolgens, toen zij door de individuele vraag er achter kwam dat zij de gegadigden op een verkeerd spoor had gezet niets ondernomen om dit te corrigeren. Sterker nog, zij heeft alleen aan de individuele vraagsteller laten weten dat dit niet de bedoeling was. Er had niets aan in de weg gestaan als zij dit ook aan de andere gegadigden had laten weten. Zij had dit eenvoudig kunnen doen zonder daarbij de bedrijfsvertrouwelijkheid van de individuele vraagsteller (SoftwareONE) te schenden. Zij had dat ook moeten doen. Het Waterschapshuis heeft dus stilgezeten, waar zij tot actie had moeten overgaan.

Protinus en andere gegadigden mochten er gezien het voorgaande vanuit gaan dat voor gegevensverwerking buiten de EER de eis/voorwaarde gold zoals genoemd in

3.20.

De uitleg waarvan SoftwareONE kon uitgaan

Het Waterschapshuis heeft deze vraag als volgt aan SoftwareONE beantwoord:

“ Het gaat dus niet om een eenmalige verwerking en er is geen adequaatheidsbesluit voor alle landen aan wie opdrachtnemer persoonsgegevens doorgeeft, zo begrijp ik. Opdrachtnemer verwijst naar de artikelen 45 t/m 47 AVG. Dat is correct en dan is m.n. van belang artikel 46. Dat biedt namelijk de mogelijkheid dat opdrachtnemer aantoont passende waarborgen te hebben te hebben getroffen. Dat kan op één van de wijzen die in artikel 46, tweede lid AVG worden genoemd. Als opdrachtnemer dus kan aantonen dat zij passende waarborgen met verwerkers buiten de EER heeft getroffen op de wijze zoals vermeld in artikel 46, tweede lid AVG, kan dit punt worden opgelost. In de verwerkersovereenkomst kan op dit punt worden opgenomen dat opdrachtnemer passende waarborgen heeft getroffen ter beveiliging van de persoonsgegevens die worden gedeeld met verwerkers buiten de EER, welke waarborgen zijn beschreven in een bijlage die gevoegd wordt bij de verwerkersovereenkomst.”

Protinus heeft vóór haar inschrijving geen kennis genomen van het aan SoftwareONE gegeven individuele antwoord. Zij wist dus niet beter of er gold de eis/voorwaarde zoals die is vermeld in het hiervoor besproken antwoord op vraag 19 van

de eerste NvI.

Conclusie

De conclusie is dat de ene gegadigde (Protinus) mocht uitgaan van de eisen/voorwaarden zoals kenbaar uit het antwoord op vraag 19 van de eerste NvI en de andere gegadigde (SoftwareONE) mocht uitgaan van het eis/voorwaarde zoals kenbaar uit het aan hem gegeven individuele antwoord. Dit betekent dat sprake is van strijd met het

transparantie- en gelijkheidsbeginsel. Ook is er hierdoor door het Waterschapshuis een ongelijk speelveld gecreëerd.

Wel voldoende belang in de zin van artikel 3:303 BW
3.31. Het Waterschapshuis en SoftwareONE voeren nog aan dat Protinus geen voldoende belang bij haar primaire en meer subsidiaire vordering heeft, omdat Protinus

geen andere inschrijving zou hebben gedaan dan zij nu heeft gedaan. Zij worden daarin niet gevolgd. Het belang van Protinus is erin gelegen dat zij de opdracht gegund krijgt, althans een nieuwe kans krijgt om de opdracht te verwerven. Overigens mist de stelling dat Protinus geen andere inschrijving zou hebben gedaan dan zij nu heeft gedaan feitelijke grondslag. Protinus heeft dit betwist. De landen waarvoor een adequaatheidsbesluit wordt afgegeven, zo hebben partijen tijdens de zitting opgemerkt, zijn beperkt. Uit de individuele vraag die SoftwareONE heeft gesteld, valt op te maken dat het voor de prijs uitmaakt of de gegevensverwerking buiten de EER alleen mag als er een adequaatheidsbesluit is afgegeven of ook mag op grond van de andere mogelijkheden die de AVG biedt.

Geen rechtsverwerking

De vorderingen van Protinus nader bekeken
3.34. Het voorgaande betekent dat niet gezegd kan worden dat de inschrijving van SoftwareONE ongeldig is; de eisen/voorwaarden zijn immers niet transparant en onduidelijk. De daarop gebaseerde primaire vordering moet daarom worden afgewezen.

De meer subsidiaire vordering strekkende tot een verbod om uitvoering te geven aan de voorlopige gunningsbeslissing, een gebod om de aanbestedingsprocedure te staken en gestaakt te houden en een gebod om de opdracht voor perceel 2 opnieuw aan te besteden, als het Waterschapshuis die opdracht nog in de markt wil zetten, zal echter wel worden toegewezen. Er is immers sprake van een ernstig fundamenteel gebrek in de aanbestedingsprocedure met betrekking tot perceel 2. Er is sprake van strijd met het transparantie- en gelijkheidsbeginsel en er is een ongelijk speelveld gecreëerd. Dat betekent dat de opdracht voor perceel 2 niet op grond van de huidige aanbestedingsprocedure mag worden gegund, en dat de opdracht voor perceel 2 opnieuw moet worden aanbesteed, als het Waterschapshuis die opdracht nog in de markt wil zetten. Protinus wordt niet gevolgd in haar stelling dat dit ook voor perceel 1 zou moeten gelden. Er zijn geen aanknopingspunten dat die aanbestedingsprocedure ook gebrekkig is.

De door Protinus in verband met de meer subsidiaire vorderingen gevorderde dwangsommen zullen worden afgewezen. Een dwangsom wordt opgelegd als er een prikkel voor nakoming van het vonnis nodig is. Het vooralsnog niet gebleken dat die prikkel nodig is. Het Waterschapshuis heeft toegezegd het vonnis na te komen. Er is op dit moment geen reden om daaraan te twijfelen.

De vorderingen van SoftwareONE

SoftwareONE heeft ook nog gevorderd dat het Waterschapshuis wordt geboden om de opdracht met betrekking tot perceel 1 definitief aan haar te gunnen. Ook die vordering wordt afgewezen, omdat daarover geen debat is gevoerd. Het is in deze zaak alleen maar gegaan om perceel 2.

Proceskostenveroordelingen
In het incident
3.39. In het incident is nog geen beslissing genomen over de proceskosten. Deze kosten worden gecompenseerd in die zin dat iedere partij de eigen kosten draagt.

In de hoofdzaak tussen Protinus aan de ene kant en het Waterschapshuis en SoftwareONE aan de andere kant
3.40. Het Waterschapshuis en SoftwareONE zullen als de grotendeels in het ongelijk gestelde partij in de proces- en nakosten van Protinus te vermeerderen met wettelijke rente worden veroordeeld.

3.40.1.

De door het Waterschapshuis aan Protinus te betalen proceskosten worden begroot op € 1.800,41. Dit bedrag is als volgt opgebouwd:
- betekening oproeping € 108,41

- griffierecht 676,00

- salaris advocaat 1.016,00

Totaal € 1.800,41

3.40.2.

De door SoftwareONE aan Protinus te betalen proceskosten worden begroot op
€ 1.016,00 voor salaris advocaat.

3.40.3.

De door het Waterschapshuis en SoftwareONE aan Protinus te betalen nakosten zullen op de in de beslissing te noemen manier worden begroot.