De Cloud, AVG en aanbestedingsrecht

Aanbestedingsrecht is complex, maar in het onderstaande geval is direct duidelijk wat de link met de cloud en de AVG is. Lang verhaal kort: de combinatie van cloud en AVG blijft problemen geven. En dat er een rechter aan te pas moet komen illustreert dat maar al te goed.

Europese aanbesteding

De zaak gaat om de IT behoefte van een overheidsdienst. Welke dat is blijft vooralsnog onbekend, omdat de zaak bij de rechter in Karlsruhe is beland zal het wel om een Duitse dienst gaan. Dat is verder voor het verhaal totaal onbelangrijk. Aanbestedingsrecht is namelijk in principe overal in de EU gelijk. Met andere woorden: dit kan dus net zo goed in Den Haag of Leeuwarden gebeuren.

De dienst maakt de IT behoefte kenbaar en dat leidt tot een Europese aanbesteding. Bedrijf A krijgt de klus krijgt toegewezen omdat het aan alle criteria voldoet en daarbij de beste prijs hanteert. De dienst gaat worden ondergebracht in de Europese, Duitse, omgeving van een Amerikaanse cloudprovider. Tussen de IT dienstverlener A en de Europese tak van het cloudplatform is een apart contract opgesteld dat er voor moet zorgen dat de data, verwerking en de rest conform de AVG verloopt.

Een concurrent, bedrijf B, ziet dat A de aanbesteding heeft gewonnen en trekt aan de bel. Het wijst erop dat niet aan de voorwaarden is voldaan. De data komt immers op servers te staan waar een derde land (de Amerikaanse overheid) toegang toe heeft. Door dat niet te vermelden is bedrijf A de fout in gegaan, daarom vindt B dat de toekenning moet worden ingetrokken.

AVG en Privacy Shield

De overheidsdienst geeft aan daar niet in mee te gaan. Dat escaleert snel verder. B stapt naar de rechter in Karsruhe. Die stelt vast dat de overheidsdienst te kort is geschoten bij het beoordelen van de offerte. Wat A heeft geboden is in strijd met de AVG. Zowel A als de personen die de offertes moesten beoordelen hadden dat moeten weten. Er volgt een directe verwijzing naar het ongeldig verklaren van Privacy Shield. Dat is een pijnlijke terechtwijzing van de overheidsdienst. Voor bedrijf A kan het nog erger worden. Bewust liegen bij aanbestedingen kan reden voor toekomstige uitsluiting zijn.

Klager B krijgt daarmee grotendeels gelijk. Het aanbod van mag niet meer doorgaan voor de beste aanbieding. De overheidsdienst wordt veroordeeld tot de kosten van de procedure. Het echte vuurwerk is natuurlijk dat met deze uitspraak en elke verwijzing die daarin is gemaakt naar Privacy Shield, Cloud Act en andere Amerikaanse wetgeving menig lopende aanbesteding onderuit kan worden gehaald. Ook al is er hoger beroep aangetekend, deze uitspraak inzake   saai aanbestedingsrecht laat zien wat het probleem cloud en AVG is.

(bron)