MAO:198/19

Asian tausta

Väestörekisterikeskus (jäljempänä myös hankintayksikkö) on ilmoittanut 14.10.2017 julkaistulla EU-hankintailmoituksella ja 1.12.2017 julkaistulla korjausilmoituksella avoimella menettelyllä toteutettavasta Suomi.fi-viestien tulostus-, kuoritus- ja postituspalvelun palveluhankinnasta 48 kuukauden sopimuskaudelle.

Väestörekisterikeskus on 19.1.2018 tekemällään hankintapäätöksellä VRK/43452/2017 valinnut Edita Prima Oy:n tarjouksen.

Hankinnan ennakoitu arvonlisäveroton kokonaisarvo on hankintailmoituksen mukaan ollut noin 2.000.000–80.000.000 euroa.

Hankintasopimusta ei hankintayksikön ilmoituksen mukaan ole allekirjoitettu.

Asian käsittely markkinaoikeudessa

Valitus

Vaatimukset

PostNord Strålfors Oy on vaatinut, että markkinaoikeus kumoaa muutoksenhaun kohteena olevan hankintapäätöksen, kieltää hankintayksikköä jatkamasta virheellistä hankintamenettelyä ja velvoittaa hankintayksikön korjaamaan virheellisen menettelynsä. Lisäksi valittaja on vaatinut, että markkinaoikeus velvoittaa hankintayksikön korvaamaan sen arvonlisäverottomat oikeudenkäyntikulut 19.322,50 eurolla viivästyskorkoineen sisältäen 6.000 euron oikeudenkäyntimaksun.

Perusteet

Tarjouspyyntö on ollut puutteellinen eikä se ole mahdollistanut yhteismitallisia tarjouksia. Tarjoajien olisi tullut saada riittävät tiedot palvelua hyödyntävistä tahoista ja hankinnan laajuudesta.

Hankintayksikkö ei ole yksilöinyt palvelun tosiasiallisia tilaajia eikä sitä, onko se itse yksi hankintaan sitoutuneista tilaajista. Hankintayksikkö ei ole yksilöinyt hankintayksikköjä viittaamalla tiettyyn hankintaviranomaisten ryhmään, tai muullakaan tavalla, jolla asianomaiset hankintaviranomaiset olisi tunnistettu yksiselitteisesti. Yhdenkään viranomaisen ei tarvitse edellä mainitun lain nojalla hankkia tulostus-, kuoritus- ja postituspalvelua (jäljempänä "TKP-palvelu") nyt kilpailutetun sopimuksen kautta. Realistisesta hankintamäärästä ei ole ollut lainkaan tietoa. Tarjoajat eivät siten ole voineet laatia vertailukelpoisia tarjouksia, jotka olisivat perustuneet yhdenmukaisille käsityksille hankinnan laajuudesta. Tarjouspyynnössä on ainoastaan todettu, että käyttäjäorganisaatiot on määritelty hallinnon yhteisistä sähköisen asioinnin tukipalveluista annetussa laissa (jäljempänä "KaPA-laki").

Hankinnan kohteen laajuus on jäänyt avoimeksi myös volyymitietojen osalta. Tarjouspyynnön mukaan hankinnan ennakoitua arvoa ei ole voitu arvioida tarkasti etukäteen, koska se on ollut riippuvainen palvelun käyttäjiksi liittyvien käyttäjäorganisaatioiden määrästä, käyttäjäorganisaatioiden lähettämien viestien määrästä sekä loppukäyttäjien määrästä. Tarjouspyyntöasiakirjojen perusteella tarjoajat eivät ole kyenneet arvioimaan, mikä on ollut hankinnan tosiasiallinen laajuus, sillä hankintayksikkö on ilmoittanut hankinnan ennakoiduksi arvoksi vaihteluvälin. Minimi- ja maksimiarvon ero on ollut valtava, sillä hankinnan ennakoiduksi arvoksi on ilmoitettu 2.000.000–80.000.000 euroa.

Hankintaan on sisällytetty lisäpalveluita hankintasäännösten vastaisesti. Tarjouspyynnön mukaan hankintayksikkö on voinut myös hankkia valitulta toimittajalta lisähankintana tarjouspyynnössä esitetyn palvelun lisäksi palvelua, jolla käyttäjäorganisaatioille voidaan tarjota TKP-palvelua ehdoin, joka täyttää erityisesti tietoturvallisuuden osalta tiukempia vaatimuksia tietojen ja asiakirjojen käsittelyssä sekä hankittavan palvelun tuottamisessa. Kyseisiä lisäpalveluita ei ole määritelty tarkemmin, eikä niiden arvosta tai määrästä ole esitetty arviota. Tarjouspyynnöstä ei ole käynyt ilmi, millä tavalla hankittavat lisäpalvelut ovat eronneet varsinaisesta kilpailutettavasta palvelusta eikä sitä, miksi niitä ei ole sisällytetty kilpailutettavaan hankintaan. Hankintayksiköllä on oikeus tehdä suorahankinta, mikäli hankintailmoituksessa on mainittu siitä.

Asiakastietojen käsittelyä koskeva maavaatimus on ollut suhteellisuusperiaatteen vastainen ja syrjivä. Hankintayksikkö ei ole perustellut, miksi asiakastietoja on tullut käsitellä ainoastaan Suomessa tai miksi tekniset tukijärjestelmät ovat voineet sijaita vain Suomessa. Hankinta-asiakirjoihin kuuluva turvallisuussopimus on asettanut useita vaatimuksia asiakastietojen käsittelylle, sillä sopimuksen mukaan sen tarkoituksena on ollut varmistaa palvelun tietoturvallisuus ja tietosuoja, palveluntuotannon jatkuvuus ja varmistaa aineiston luottamuksellisuus, eheys ja saatavuus. Kaikki edellä mainitut tavoitteet on ollut mahdollista saavuttaa myös ilman vaatimusta siitä, että asiakastietoja käsitellään vain Suomessa tai siitä, että tekniset tukijärjestelmät sijaitsevat Suomessa.

Edellä mainitulla turvallisuussopimuksen vaatimuksella on suosittu täysin kotimaisia tarjoajia ja puolestaan syrjitty kansanvälisiä tarjoajia, joiden IT-infrastruktuuri, kuten pääkonesali tai varmistus, sijaitsee hajautetusti esimerkiksi Pohjoismaissa, vaikka TKP-palvelu suoritettaisiin Suomessa. Se, että osa tarjoajista käyttää hajautettua IT-infrastruktuuria, ei ole vaikuttanut tietoturvan tasoon, kun muut turvallisuussopimuksen ehdot täytetään. Palveluntarjoajalle aiheutuisi merkittäviä lisäkustannuksia, mikäli kansainvälinen toimija joutuisi rakentamaan koko IT-infrastruktuurinsa Suomeen.

Kun hankintayksikkö on ilmoittanut toimivansa Suomi.fi-viestit -palvelun käyttäjäorganisaatioiden puolesta, olisi hankinta tullut kilpailuttaa puitejärjestelynä.

Vastine

Vaatimukset

Väestörekisterikeskus on vaatinut, että markkinaoikeus hylkää valituksen ja velvoittaa valittajan korvaamaan sen arvonlisäverottomat oikeudenkäyntikulut 3.500 eurolla viivästyskorkoineen.

Perusteet

Tarjouspyyntö on mahdollistanut yhteismitallisten tarjousten antamisen ja hankintaa hyödyntävät tahot eli käyttäjäorganisaatiot on määritelty riittävällä tavalla tarjousten tasapuolisen laatimisen ja hinnoittelun mahdollistamiseksi alalla ammattimaisesti toimiville tarjoajille.

Hankinnan luonteeseen liittyvät muuttujat ja niiden vaikutus hankinnan ennakoituun arvoon ovat olleet tarjoajien tiedossa hankinta-asiakirjojen perusteella. TKP-palvelua mahdollisesti hyödyntävät käyttäjäorganisaatiot on määritelty KaPA-lain 5 §:ssä, johon hankintayksikkö on myös hankinta-asiakirjoissa viitannut. Hankintayksikkö on lisäksi hankintailmoituksessa ja tarjouspyynnössä tuonut selvästi ja avoimesti etukäteen tarjoajien tietoon, että hankintayksikkö tai mikään mukaan taho ei ole voinut etukäteen tietää, kuinka monta käyttäjäorganisaatiota päättää liittyä TKP-palvelun käyttäjäksi. Voimassa oleva lainsäädäntö ei velvoita käyttäjäorganisaatioita liittymään TKP-palvelun käyttäjäksi, vaan liittyminen on vapaaehtoista.

Hankintayksikkö on hankintahetkellä kyennyt antamaan ainoastaan valistuneimman arvion tulevasta TKP-palvelun volyymimäärästä ja tämä on tuotu avoimesti tarjoajien tietoon. Omalla alallaan ammattimaisesti toimivat tarjoajat ovat olleet varsin tietoisia vallitsevasta tilanteesta ja ovat osallistuneet hankintaan omalla riskillään.

Hinnoittelumekanismiin ja hankinnan volyymiin liittyen hankintayksikkö on tarjouspyynnön hintalomakkeessa pyytänyt hinnoittelemaan tarjoukset volyymiryhmittäin. Hintojen pyytäminen eri hinta-/volyymiryhmille on taannut sen, että tarjoajat ovat yhdenvertaisesti pystyneet hinnoittelemaan tarjouksensa riippumatta siitä, mikä tulee olemaan TKP-palvelun todellinen käyttöaste. Toimittajalle ei makseta käyttäjäorganisaatioiden määrän mukaan vaan TKP-palvelun kautta kulkevien viestien määrän mukaan. Hinnoittelumalli on mahdollistanut sen, että tarjoajat ovat kyenneet hinnoittelemaan tarjouksensa ilman tarkkaa faktatietoa käyttäjäorganisaatioiden määrästä. Käyttäjäorganisaatioiden maantieteellisellä sijainnilla tai muullakaan käyttäjäorganisaation yksilöintitiedolla ei ole ollut tosiasiallista merkitystä hankinnan volyymin suhteen eikä siten tarjouksen laatimisenkaan suhteen.

Valittajan näkemys lisäpalveluiden hankintasäännösten vastaisuudesta on virheellinen. Hankintayksikkö on varannut hankintailmoituksessa oikeuden hankkia tarjouspyynnön perusteella tehtävällä sopimuksella valituksi tulleelta toimittajalta lisähankintana tarjouspyynnössä esitetyn palvelun lisäksi palvelua, jolla käyttäjäorganisaatioille voidaan tarjota TKP-palvelua ehdoin, joka täyttää erityisesti tietoturvallisuuden osalta tiukempia vaatimuksia tietojen ja asiakirjojen käsittelyssä sekä hankittavan palvelun tuottamisessa. Tarjouspyynnön perusteella tehtävällä sopimuksella voidaan ostaa myös vaihtoehtoisia tulostus-, kuoritus- ja/tai postitus-/toimituspalveluja valitulta toimittajalta erikseen sovittavalla hinnalla.

Edellä kuvatulla varaumalla hankintayksikkö on pyrkinyt varmistamaan sen, että sopimuskauden aikana valitun toimittajan kanssa olisi tarpeen vaatiessa mahdollista tarkentaa hankintasopimusta siten, että palvelussa olisi mahdollista huomioida esimerkiksi tietoturvallisuuden osalta tiukempia vaatimuksia asiakirjojen käsittelyssä sekä palvelun tuottamisessa. Tällaiset muutokset voivat olla seurauksia esimerkiksi lainsäädännön muutoksista tai viranomaismääräyksistä johtuen, jolloin palvelu- ja tietoturvatasoa on tarvittaessa muutettava. Lisäksi hankintayksikön on lakisääteisenä TKP-palvelun tuottajana otettava huomioon erilaisten käyttäjäorganisaatioiden tarpeet. Esimerkiksi tilanteessa, jossa turvallisuusviranomaiset kuten poliisi, tulli tai puolustusvoimat liittyisivät palveluun, tietoturvallisuuden osalta on oltava mahdollisuus tehdä pieniä muutoksia TKP-palvelun sisältöön. Tällaisiin muutoksiin on varauduttu myös sopimusluonnoksessa. Varauma ei ole suorahankintaan lisähankintana oikeuttava optiomahdollisuus.

Hankintayksikön turvallisuussopimuksen asiakastietojen käsittelyä koskeva vaatimus kohdassa 7.5 on ollut täysin perusteltu huomioiden hankittavan palvelun luonne ja siihen sisältyvät tietoturvaan liittyvät näkemykset. TKP-palvelun kautta voi liikkua erittäin arkaluontoista materiaalia liittyen viranomaisiin ja yksittäisiin kansalaisiin. Vääriin käsiin joutuessaan tiedot voisivat aiheuttaa vakavia uhkia yksittäisille kansalaisille ja Suomen valtion turvallisuudelle. Julkisen organisaation on sijoitettava toiminnot ja palvelut tietoturva- ja varautumistasoille niiden tarpeiden mukaisesti.

Hankintayksikön tuottamat tukipalvelut on tuotettava ja kehitettävä siten, että perustason tai korotetun tason tietoturvallisuusvaatimukset täyttävien tietojen käsittely-ympäristöjen muodostaminen on mahdollista.

Hankintayksikkö on omassa riskiarvioinnissaan asteikolla 1–5, jossa 1 on lievä ja 5 on vakava, arvioinut TKP-palvelun luokkaan 4, jolloin TKP-palvelu luokitellaan kriittiseksi palveluksi. Hankintayksikkö on katsonut, että tällaisen palvelun yhteydessä on riskien minimoimiseksi oikeasuhtaista vaatia tietojen käsittelyä vain Suomen valtion alueella. Mitä laajemmalla alueella tietoja käsitellään maantieteellisesti, sitä suuremmat riskit tietojen käsittelyyn liittyy. Uhkaympäristö on tällöin laajempi ja ennalta-arvaamattomampi. Näin voisi olla tilanteessa, jossa arkaluontoinen data sijaitsisi muualla kuin Suomessa eikä hankintayksikön tai Suomen valtion viranomaisten olisi mahdollista kohdistaa tarkastuksia tai muita vastaavia toimenpiteitä datan sijaintipaikkaan, sääntely sijaintimaassa eroaisi esimerkiksi tietojen suojattavuuden osalta, sijaintimaan sääntelyn tuntemus olisi todennäköisesti VRK:ssa Suomen sääntelyn tuntemusta heikompaa ja tosiallinen prosessin läpivienti sijaintimaassa voisi pitkittyä kohtuuttomasti. Data-aineiston sijaintipaikka voisi vaikeuttaa myös merkittävästi esimerkiksi henkilöturvallisuusselvitysten teettämistä sellaisten henkilöiden osalta, jotka ovat tekemisissä datan kanssa muualla kuin Suomessa.

TKP-palvelun kautta välitetään käytännössä erittäin suuria määriä dataa, joissa käsitellään henkilötietoja. Tiedot voivat olla erittäin arkaluontoisia ja ne voivat liittyä esimerkiksi kansalaisten terveystietoihin tai vaikkapa valtion puolustukseen. Tällöin tietoturvanäkökulmat korostuvat entuudestaan, jolloin kansalaisten yleisen luottamuksen ja Suomen valtion turvallisuuden näkökulmasta on perusteltua rajoittaa tietojen käsittelyä vain Suomen valtion alueelle. Kokonaisuuteen sisältyisi huomattavasti enemmän riskejä ja epävarmuutta, jos tiedot sijaitsivat Suomen valtion lisäksi jonkin toisen valtion alueella.

Hankinnassa asetetut tietoturvavaatimukset ovat olleet suhteellisuusperiaatteen mukaisia ja hankinnan kohteen kannalta perusteltuja.

Valittaja on osallistunut tarjouskilpailuun kuuden tarjoajan ohella, mikä on osaltaan myös osoittanut, ettei tarjouspyynnön vaatimukset ole olleet valittajalle tai muillekaan tarjoajille esteenä osallistua tarjouskilpailuun eikä tarjouspyynnön vaatimuksia siten voida pitää syrjivänä tai kilpailua rajoittavana. Valittajan tarjous on sijoittunut tarjousvertailussa viimeiseksi ja sen vertailuhinta on ollut selvästi muita tarjouksia kalliimpi kaikilla vertailuhintaan vaikuttavilla osa-alueilla. On erittäin vaikea nähdä, että valittaja olisi edes teoriassa voinut voittaa tarjouskilpailua silloinkaan, jos hankinnan tietoturvavaatimukset olisivat olleet eri muotoisia. Tietoturvavaatimuksilla tai muillakaan hankinnan laajuuteen liittyvillä tiedoilla, joita valitus koskee, ei ole ollut vaikutusta hankintamenettelyn lopputulokseen.

Kyseessä oleva palvelu- ja sopimusmuoto ei ole ollut puitejärjestely. Digitalisaatioon perustuvassa TKP-palvelussa ja sen tuottamista koskevassa sopimuksessa ei kuitenkaan pohjimmiltaan ole ollut kyse hankintasäännösten tarkoittamasta puitejärjestelystä. Hankinnan perusteella tehdään yksi sopimus. Sopijapuolina ovat hankintayksikkö ja valituksi tuleva toimittaja. Käyttäjäorganisaatiot eivät ole suorassa sopimussuhteessa toimittajan kanssa, vaan ne voivat liittyä hankintayksikön tuottamaan TKP-palveluun teknisen rajapinnan avulla ja toimittaja laskuttaa käyttäjäorganisaatioita niiden TKP-palvelun kautta välittämien viestiensä perusteella

Kuultavan lausunto

Vaatimukset

Edita Prima Oy on vaatinut, että markkinaoikeus hylkää valituksen ja velvoittaa valittajan korvaamaan sen arvonlisäverottomat oikeudenkäyntikulut 11.027,83 eurolla viivästyskorkoineen.

Perusteet

Kyseessä on ollut hankintasopimus eikä puitejärjestely. Hankintayksikkö on määritellyt palvelun käyttäjät senhetkisen tiedon mukaisesti parhaalla mahdollisella tavalla, kun hankintayksikkö on varannut mahdollisuuden käyttää kyseessä olevan hankintasopimuksen palveluita kaikille KaPA-laissa määritellyille tahoille, luetellut esimerkinomaisesti viranomaistyypit, jotka voisivat liittyä palveluun ja antanut verkko-osoitteen, josta on ollut löydettävissä lisätietoa. Kaikki tarjoajat ovat voineet tarjouksia eri volyymiryhmiin antaessaan ottaa huomioon potentiaaliset käyttäjäryhmät ja volyymit sekä sen että enimmillään palvelua saattavat käyttää kaikki edellä sanotussa lainsäädännössä tarkoitetut organisaatiot ja toisaalta myös sen mahdollisuuden, että vain vähäinen osa potentiaalisista käyttäjistä ryhtyy palvelunkäyttäjäksi.

Hankinnan kohteen laajuus ei ole jäänyt epäasianmukaisesti avoimeksi myöskään volyymitiedoiltaan. Koska kilpailutuksen kohteena olevan palvelun toteutuvia käyttäjämääriä on ollut mahdoton kenenkään tietää etukäteen, hankinnan arvon määrittäminen on täysin ymmärrettävästi ollut vaikeaa. Siksi on luonnollista, että hankintayksikkö on pyytänyt eri volyymiryhmien hinnoittelua, muttei ole voinut ilmoittaa sitovasti volyymimäärää.

Hankintaan ei ole sisällytetty lisäpalveluita hankintasäännösten vastaisesti. Sopimusluonnoksessa mainitut palvelut ovat korkeamman tietoturvallisuuden palvelut, jotka voivat tulla kyseeseen ja tarpeellisiksi, jos esimerkiksi turvallisuusviranomainen liittyy palveluun.

Asiakastietojen käsittelyn maavaatimus ei ole ollut suhteellisuusperiaatteen vastainen tai syrjivä. Kun on otettu huomioon se, mitkä organisaatiot tarjouspyynnön mukaan ovat voineet liittyä TKP- palveluun ja se, että TKP-palvelussa saatetaan käsitellä arkaluontoisia tietoja, esimerkiksi rikostuomioihin ja rikkomuksiin liittyviä tietoja. Kaikkien tarjoajien tiedossa on ollut jo ennalta, että tietoturvavaatimukset on otettava huomioon jo ennen kuin sellaiset tahot liittyvät palveluun, joilla olisi mahdollisesti tarvetta arkaluontoisten tietojen TKP-palveluille. Asiakastietojen käsittelyn maavaatimus on siten ollut oikeassa suhteessa tavoiteltavaan päämäärään eikä se ole ollut syrjivä.

Vastaselitys

Valittaja on esittänyt, että hankinnan kohde on määriteltävä riittävällä tasolla menettelystä riippumatta.

Asiakastietojen käsittelyä koskeva tarjouspyyntöaineistoon kuuluvan turvallisuussopimuksen maavaatimus on suhteellisuusperiaatteen vastainen ja syrjivä. Suomi.fi-viestit on palvelu, joka toimii julkishallinnon organisaatioiden keskitettynä viestioperaattorina kansalaisille tai yrityksille. Ottaen huomioon, että kyse on kansalaisille ja yrityksille tarkoitetusta viestinnästä, hankintayksikön määrittelemät syyt maavaatimukselle eivät ole perusteltuja. Kyse ei ole esimerkiksi viranomaisten sisäisestä viestinnästä, joka voisi sisältää valtion turvallisuuteen vaikuttavia tietoja.

Henkilötietojen käsittelyssä on noudatettava samoja tietosuojaperiaatteita jäsenvaltiosta riippumatta. Näin ollen hankintayksikön väite siitä, että uhkaympäristö olisi laajempi ja ennalta-arvaamattomampi, jos sääntely tietojen sijaintimaassa eroaisi tietojen suojattavuuden osalta Suomeen verrattuna, on virheellinen. Tietosuoja-asetuksen johdosta eroavaisuuksia ei tule olla.

Keskeistä kyseessä olevassa hankinnassa on ollut tietosuojaperiaatteiden noudattaminen, mutta yleisen turvallisuuden turvaamiseen liittyviä aspekteja hankinnassa ei ole ollut siinä määrin, että maavaatimusta voitaisiin perustella. On selvää, että TKP-palvelun toteuttamisessa käsitellään henkilötietoja tietosuoja-asetuksen vaatimusten mukaisesti, mutta on kuitenkin hyvin epätodennäköistä, että TKP-palvelun kautta kansalaisille toimitettaisiin valtion yleisen turvallisuuden kannalta merkittäviä tietoja. Mikäli näin olisi, kyseinen palvelu olisi mahdollista hankkia erillisenä lisäpalveluna.

Vaatimuksen syrjivyyttä ja suhteellisuusperiaatteen vastaisuutta on osoittanut lisäksi se, että aiemmissa vastaavissa kilpailutuksissa hankintayksiköt eivät ole katsoneet tarpeelliseksi asettaa maavaatimusta eikä merkitystä ole ollut sillä, että valittajan tekniset tukijärjestelmät ovat sijainneet Ruotsissa.

Valittajan muita korkeampi hinta on johtunut siitä, että se on kustannuksia laskiessaan ottanut huomioon sen, että se olisi joutunut rakentamaan erillisen täysin Suomessa toimivan toimitusympäristön hankintaa varten.

Muut kirjelmät

Hankintayksikkö on esittänyt, että hankintayksikön turvallisuussopimuksen tietoturvavaatimus on ollut täysin perusteltu huomioiden hankittavan palvelun luonne ja siihen sisältyvät tietoturvaan liittyvät näkemykset. TKP-palvelun kautta voi liikkua erittäin arkaluontoista materiaalia liittyen viranomaisiin ja/tai yksittäisiin kansalaisiin. Vääriin käsiin joutuessaan tiedot voisivat aiheuttaa vakavia uhkia yksittäisille kansalaisille ja Suomen valtion turvallisuudelle. Hankintayksikkö on asettanut tietojenkäsittelyä koskevan turvallisuusvaatimuksen ainoastaan siksi, että hankintayksikön tulee huolehtia riittävästä tietoturvasta ja varautua erilaisiin riskeihin, joita voi aiheutua esimerkiksi tietojen maantieteellisestä hajautumisesta.

Hankintayksiköllä on erittäin laaja harkintavalta määritellessään hankintaa koskevia kriteerejä, kunhan kriteerit ovat hankinnan kannalta perusteltuja, tasapuolisia, eivätkä ne tarpeettomasti rajoita kilpailua. Hankintayksikkö on asettanut kyseisen tietoturvavaatimuksen nimenomaan tietoturvan toteutumisen näkökulmasta eikä sen vuoksi, että vaatimuksella pyrittäisiin suosimaan tai syrjimään tarjoajia sen perusteella, mihin valtioon ne ovat tietojärjestelmiään sijoittaneet. Se, että valittajalla on sattunut olemaan palvelun tuottamiseen liittyviä teknisiä järjestelmiään Ruotsissa, ei ole estänyt sitä, etteikö valittaja tarvittaessa voisi järjestää toimintaansa sen muotoiseksi esimerkiksi alihankkijoita hyödyntäen, että hankintayksikön asettama tietoturvavaatimus täyttyy. Mikäli vaatimuksen täyttämisestä aiheutuu valittajalle lisäkustannuksia, sitä ei ole luettava hankintayksikön syyksi, jos hankintaa koskeva kriteeri on ollut hankinnan kannalta täysin perusteltu.

Kun tieto on hajaantunut maantieteellisesti laajalle alueelle, riski on sitä suurempi mitä kauempana tieto sijaitsee, koska tällöin tietoa on vaikeampi hallita ja tavoiteltu tietoturvan taso voi laskea. Siten esimerkiksi, jos Suomi.fi-viesteihin liittyviä tietoja käsiteltäisiin Ruotsissa, on selvää, että tietojen hallinnan ympärille kerääntyvä riski on suurempi kuin tilanteessa, jossa tietoja käsitellään vain Suomen valtion alueella.

TKP-palvelun on mahdollistettava kaikkien julkisen hallinnon organisaatioiden liittyminen palveluun, mukaan lukien muun muassa turvallisuusviranomaiset, kuten puolustusministeriö, viestintävirasto, suojelupoliisi ja pääesikunta, sekä lisäksi esimerkiksi poliisi ja puolustusvoimat ja terveysviranomaiset, jolloin on selvää, että TKP-palvelussa välitettävät tiedot voivat olla arkaluontoisia niin yksittäisten luonnollisten henkilöiden tietojen kuin valtion turvallisuudenkin kannalta. TKP-palvelua on alusta pitäen suunniteltu ja rakennettu siten, että kaikki julkisen hallinnon organisaatiot voisivat liittyä siihen ja hyödyntää palvelua, koska tämä on koko yhteiskunnan kannalta edullista ja ennen kaikkea järkevää, toisin kuin se, että jokaisella julkisen hallinnon organisaatiolla on oma ja erillinen vastaava TKP-palvelunsa.

Vaikka hankintayksikkö on noudattanut EU:n yleistä tietosuoja-asetusta jo sen hyväksymisestä lähtien, tietosuoja-asetus on ollut velvoittavaa oikeutta vasta 25.5.2018 alkaen. Määräaika tarjousten jättämiselle on päättynyt 22.12.2017.

Valittajan esittämä oikeudenkäyntikuluvaatimus on kohtuuton.

Edita Prima Oy on esittänyt, että tietosuoja-asetuksen soveltaminen EU- ja ETA-maissa ei ole muuttanut TKP-palvelun tietoturvavaatimusten perusteita valittajan esittämällä tavalla eikä asiakastietojen käsittelyn rajaaminen Suomeen ole suhteellisuusperiaatteen vastainen eikä syrjivä.

Lisäksi on huomattava tietosuoja-asetuksen riskiperusteisuus, eli tietoturvatoimenpiteet on tullut suhteuttaa käsittelyyn kohdistuviin riskeihin sekä käsittelyn luonteeseen, laajuuteen, asiayhteyteen ja tarkoitukseen. TKP-palvelun on tarkoitus olla kaikkien julkisen hallinnon organisaatioiden käytettävissä suojelupoliisia ja puolustusministeriötä myöten, joten palvelussa liikkuvat tiedot voivat olla hyvin arkaluontoisia.

Markkinaoikeuden ratkaisu

Perustelut

Hankinnan kohteen määritteleminen tarjouspyyntöasiakirjoissa

Markkinaoikeus toteaa, että hankinnan kohteena on 14.10.2017 julkaistun EU-hankintailmoituksen mukaan ollut Suomi.fi-viestien tulostus-, kuoritus- ja postituspalvelut. Hankintailmoituksen mukaan menettelyksi on valittu avoin menettely ja valintaperusteeksi on ilmoitettu hinta.

Hankintailmoituksen kohdassa II.1.4 "Lyhyt kuvaus" on todettu seuraavaa:

"Käyttäjäorganisaatiot on määritelty laissa hallinnon yhteisistä sähköisen asioinnin tukipalveluista (571/2016) [ns. KaPA-laki]. Tällaisia ovat mm. valtion virastot ja kunnat."

Hankintailmoituksen kohdassa II.2.4 "Kuvaus hankinnasta" on todettu hankinnasta seuraavaa:

"Hankinnan ennakoitua arvoa ei voida arvioida tarkasti etukäteen, koska se on riippuvaista; 1) palvelun käyttäjiksi liittyvien Käyttäjäorganisaatioiden määrästä; ja 2) käyttäjäorganisaatioiden tulostettavaksi, kuoritettavaksi ja postitettavaksi lähettämien viestien määrästä, jossa voi olla paljon vaihtelua Käyttäjäorganisaatioiden erilaiset tarpeet huomioiden; sekä 3) loppukäyttäjien määrästä, jotka haluavat viestit kirjeitse. Arvion mukaan hankintasopimuksen arvo vuositasolla voi olla n. 500.000 – 20.000.000 euroa, jolloin hankinnan ennakoitu arvo neljän vuoden ajalta olisi n. 2.000.000 – 80.000.000 euroa."

Edellä mainitussa hankintailmoituksen kohdassa on edelleen todettu mahdollisista hankintamenettelyn lisähankinnoista seuraavaa:

"Hankintayksikkö varaa oikeuden hankkia tämän tarjouspyynnön perusteella tehtävällä sopimuksella valituksi tulleelta toimittajalta lisähankintana tarjouspyynnössä esitetyn Palvelun lisäksi palvelua, jolla Käyttäjäorganisaatioille voidaan tarjota tulostus-, kuoritus- ja postituspalvelua ehdoin, joka täyttää erityisesti tietoturvallisuuden osalta tiukempia vaatimuksia tietojen ja asiakirjojen käsittelyssä sekä hankittavan palvelun tuottamisessa. Tämän tarjouspyynnön perusteella tehtävällä sopimuksella voidaan ostaa myös vaihtoehtoisia tulostus-, kuoritus- ja/tai postitus-/toimituspalveluja valitulta toimittajalta erikseen sovittavalla hinnalla."

Tarjouspyynnön liitteenä olleen sopimusluonnoksen kohdassa 5 "Sopimuksen tarkoitus ja kohde" on todettu seuraavaa:

"Tässä Sopimuksessa sovitaan niistä ehdoista, joilla Palveluntuottaja sitoutuu tuottamaan Sopimuksessa määriteltyä Palvelua Väestörekisterikeskukselle. Käyttäjäorganisaatiot voivat halutessaan hyödyntää Palvelua sopimalla Palvelun käyttöönotosta Väestörekisterikeskuksen kanssa.

[ - - ]

Tilaaja varaa oikeuden hankkia tämän Sopimuksen perusteella Palveluntuottajalta lisähankintana (tarjouspyynnössä ja) Sopimuksessa esitetyn Palvelun ja siihen liittyvien optioiden lisäksi muita palveluja. Sopimuksen kohteena ovat tarjouspyynnön mukaisen Palvelun ja siihen liittyvien tarjouspyynnössä kirjattujen optioiden lisäksi optiona palvelut, joilla Käyttäjäorganisaatioille voidaan tarjota tulostus-, kuoritus- ja postituspalvelua ehdoin, jotka täyttävät erityisesti tietoturvallisuuden osalta tiukempia vaatimuksia tietojen ja asiakirjojen käsittelyssä sekä hankittavan palvelun tuottamisesta. Sopimuksella voidaan ostaa vaihtoehtoisia tulostus-, kuoritus- ja/tai postitus-/toimituspalveluja Palveluntuottajalta erikseen sovittavilla hinnoilla ja ehdoilla. Tällainen palvelu ei myöskään sisällä määräostovelvoitetta eikä tuota Palveluntuottajalle yksinoikeutta tuottaa ja myydä Palvelua Tilaajalle tai Käyttäjäorganisaatiolle."

Asian arviointi

Hankinnan ilmoitettu laajuus

Valittaja on esittänyt, että hankintayksikkö ei ole yksilöinyt palvelun tosiasiallisia tilaajia ja jättänyt hankinnan laajuuden avoimeksi myös volyymitietojen osalta. Valittaja on lisäksi esittänyt, että hankintayksikkö on sisällyttänyt hankintaan lisäpalveluita hankintasäännösten vastaisesti.

Hankintayksikkö on puolestaan muun ohella esittänyt, että jo hankintailmoituksessa on tuotu esiin TKP-palvelua hyödyntävät käyttäjäorganisaatiot ja viitattu KaPA-lain 5.1 §:ään, jonka mukaan julkisen hallinnon viranomaisia ovat valtion hallintoviranomaiset, virastot, laitokset ja liikelaitokset; kunnalliset viranomaiset niiden hoitaessa laissa niille säädettyjä tehtäviä sekä tuomioistuimet ja muut lainkäyttöelimet.

Lisäksi hankintayksikkö on pyytänyt tarjoajia hinnoittelemaan tarjouksensa volyymiryhmittäin ja ollut muutoinkin avoin ilmoittaessaan hankinnasta. Hankintayksikkö on pyrkinyt varmistamaan lisähankintaa koskevalla varaumalla sen, että hankintasopimusta voidaan tarkentaa siten, että tarvittaessa voidaan huomioida esimerkiksi tietoturvallisuuden osalta tiukempia vaatimuksia asiakirjojen käsittelyssä.

Julkisista hankinnoista ja käyttöoikeussopimuksista annetun lain (hankintalaki) 67 §:n 1 momentin mukaan tarjouspyyntö, neuvottelukutsu ja niiden liitteet on laadittava niin selviksi, että niiden perusteella voidaan antaa keskenään vertailukelpoisia tarjouksia.

Hankintalain 136 §:n 1 momentin mukaan hankintasopimusta tai puitejärjestelyä ei saa EU-kynnysarvot ylittävissä hankinnoissa tai kansalliset kynnysarvot ylittävissä liitteen E mukaisissa palveluhankinnoissa taikka käyttöoikeussopimuksissa olennaisesti muuttaa sopimuskauden aikana ilman tämän lain mukaista uutta hankintamenettelyä.

Korkein hallinto-oikeus on vuosikirjaratkaisussaan 2016:182 arvioidessaan tarjouspyynnössä ilmoitettujen tietojen riittävyyttä tarjouksen tekemiseksi lausunut seuraavan:

"Tarjouspyynnöstä on käynyt ilmi Keski-Suomen sairaanhoitopiirin, Lapinlahden kunnan, Parkanon kaupungin ja Sastamalan kaupungin sitoutuneen olemaan mukana puitejärjestelyssä, minkä lisäksi tarjouspyynnöstä on edellä mainittujen tahojen osalta ilmennyt arvioitujen vuosiostojen arvot. Tarjouspyynnöstä ei sen sijaan ole ilmennyt mitään yksilöityjä tietoja muista puitejärjestelyssä mukana olevista KL-Kuntahankinnat Oy:n asiakkaista tai niiden suorittamien hankintojen määristä.

Tarjouspyynnössä on tältä osin pelkästään ilmoitettu, että puitejärjestelyyn voi liittyä myöhemmin mukaan myös muita asiakkaita, joille toimittajalla on velvollisuus toimittaa hankinnan kohteena olevia tuotteita ja palveluita, ja että KL-Kuntahankinnat Oy informoi uusista asiakkaista toimittajaa sopien tarpeellisista järjestelyistä toimittajan kanssa erikseen. Tarjouspyynnössä ilmoitetun mukaan KL-Kuntahankinnat Oy:n asiakkaita, joille toimittajaksi valitulla tarjoajalla on velvollisuus toimittaa tuotteita ja palveluja niiden liityttyä puitejärjestelyyn, ovat suomalaiset kunnat, kuntayhtymät, hankintarenkaat, kunnalliset liikelaitokset ja kuntien omistamat konserniyhtiöt sekä hankintayhteistyösopimusten kautta myös muut julkiset hankintayksiköt.

Edellä lausuttu huomioon ottaen tarjouspyyntöasiakirjojen perusteella ei ole ollut mahdollista tietää, mikä on hankinnan tosiasiallinen laajuus. Tarjouspyynnöstä ei edellä mainittujen neljän hankintayksikön lisäksi ole ilmennyt, mitkä muut hankintayksiköt ovat mukana puitejärjestelyssä ja mikä on näiden hankintayksiköiden sopimuskauden aikana todennäköisesti suorittamien hankintojen kokonaismäärä.

---

Tarjouspyyntöasiakirjoissa ei siten ole avoimuusperiaatteen edellyttämällä tavalla annettu riittäviä tietoja puitejärjestelyssä mukana olevista hankintayksiköistä ja niiden sopimusaikana tekemistä hankinnoista."

Korkein hallinto-oikeus on sittemmin vuosikirjaratkaisussaan 2018:128, hankintayksikön esitettyä kyseisessä tapauksessa palvelun otettavan aluksi käyttöön 40:lle julkishallinnon käyttäjälle, hankinnan laajuutta koskevassa oikeudellisessa arvioinnissaan lausunut seuraavan:

"Vaikka tarjouspyynnössä on ilmoitettu, ettei palvelun käyttäjiksi liittyvien asiakkaiden lopullista määrää kilpailutuksen aikana tiedetä, on tarjouspyynnössä kuitenkin katsottava ilmoitetun ne tiedot, jotka Valtiokonttorilla on hankintamenettelyä aloittaessaan ollut käytettävissään. Nämä tiedot ovat koskeneet silloisen palvelun maksamisominaisuuden käyttäjiä lukumäärä-, identiteetti- ja tapahtumatietoineen sekä kyseisen palvelun verkkomaksujen kuukausittaisia tapahtumamääriä. Lisäksi tarjouspyyntö on sisältänyt arvioita uuden verkkomaksamisen palvelun volyymeista ja käyttäjien määrästä sopimuskauden aikana sekä hankinnan laajuudesta maksutapahtumina sopimuskauden viimeisenä vuotena. Hankintailmoituksesta on puolestaan ilmennyt hankinnan arvioitu euromääräinen kokonaisarvo.

Kun otetaan huomioon toteutetun hankinnan luonne ja ne tiedot, jotka hankintailmoituksessa ja tarjouspyynnössä on hankinnasta ilmoitettu, korkein hallinto-oikeus katsoo, että tarjoajat ovat niiden perusteella saaneet avoimuusperiaatteen edellyttämällä tavalla riittävät tiedot yhteismitallisten ja keskenään vertailukelpoisten tarjousten antamiseksi."

Markkinaoikeus katsoo, että käsillä oleva asia sisältää hankinnan laajuuden arviointiin liittyviltä tosiseikoiltaan samoja piirteitä kuin edellä selostettu korkeimman hallinto-oikeuden vuosikirjaratkaisu 2016:182.

Markkinaoikeus toteaa, että hankintalain säännökset eivät sääntele hankinnan kohteen sisältöä tai tarkoituksenmukaisuutta. Hankintayksiköllä on laaja harkintavalta sen suhteen, miten se määrittelee hankinnan kohteen eli myös hankittavan palvelun määrän. Hankintayksikön on kuitenkin aina kohdeltava hankintamenettelyn osallistujia ja muita toimittajia tasapuolisesti ja syrjimättömästi sekä toimittava avoimesti ja suhteellisuuden vaatimukset huomioon ottaen.

Ratkaistavana olevassa tapauksessa Väestörekisterikeskus on kilpailuttanut hallinnon yhteisistä sähköisen asioinnin tukipalveluista annetussa laissa tarkoitetun tukipalvelun, eli Suomi.fi-viestien tulostus-, kuoritus- ja postituspalvelun. Tarjouspyynnöstä on käynyt ilmi se, että palvelua hyödyntävät käyttäjäorganisaatiot on määritelty KaPA-laissa. Tarjouspyynnöstä ei ole ilmennyt mitään yksilöityjä tietoja tai arvioita palvelun käyttäjiksi liittyvien käyttäjäorganisaatioiden lukumäärästä tai niiden suorittamien hankintojen määristä.

Markkinaoikeus toteaa edellä esitetty huomioon ottaen, että KaPA-lain 5.1 §:ssä mainitut organisaatiot muodostavat lukumäärältään erittäin laajan viranomaisjoukon ja siten potentiaalisten palveluun liittyvien käyttäjäorganisaatioiden lukumäärä on suuri. Hankintayksikkö ei ole kuitenkaan esittänyt alustaviakaan arvioita hankittavien palvelujen käyttäjien lukumääristä. Markkinaoikeus toteaa, että hankintayksikön viittaus KaPA-lain 5.1 §:ään edellä kuvatulla tavalla on antanut tarjoajille käsityksen hankinnan suuruusluokasta. Vaikka näin on, markkinaoikeus katsoo, että tarjoajat eivät ole voineet tietää edes suurpiirteistä käyttäjien lukumäärää ja arvioida hankinnan tosiasiallista laajuutta tarjousta laatiessaan.

Hankinnan laajuuteen ja siitä potentiaalisten tarjoajien tekemään arviointiin vaikuttaa olennaisesti myös hankintasopimuksen kesto ja arvo. Hankintayksikkö on hankinta-asiakirjoissa ilmoittanut, että sopimus tehdään toistaiseksi voimassa olevana. Hankintailmoituksessa ei edellä todetusti ollut lainkaan käyttäjien lukumäärää koskevaa arviota miltään aikaväliltä, minkä johdosta markkinaoikeus katsoo, että hankintasopimuksen keston ilmoittaminen toistaiseksi voimassa olevana ei ole auttanut tarjoajia arvioimaan hankinnan laajuutta.

Tarjoajien mahdollisuuteen arvioida hankinnan laajuutta on katsottava olennaisesti liittyvän myös hankintayksikön tarjousasiakirjoissa ilmoittama hankinnan ennakoitu arvo. Edellä mainituissa korkeimman hallinto-oikeuden vuosikirjaratkaisuissa niissä kysymyksessä olevissa hankintamenettelyissä hankintayksikkö oli ilmoittanut vuosikirjaratkaisussa 2016:182 käsitellyssä tapauksessa hankinnan ennakoiduksi arvoksi 16.000.000 euroa ja vuosikirjaratkaisussa 2018:128 vastaavasti 5.000.000 euroa. Siten mainituissa tapauksissa hankintojen arvot oli hankintayksiköiden toimesta ilmoitettu ilman vaihteluväliä

Nyt käsiteltävänä olevassa asiassa hankintayksikkö on hankintailmoituksessa ilmoittanut hankinnan ennakoidun arvon neljän vuoden ajanjaksolla olevan vaihteluvälillä noin 2.000.000–80.000.000 euroa. Ilmoitettu vaihteluväli on siten ollut poikkeuksellisen suuri eikä sen ole katsottava antaneen tarjoajille perusteltua arviota hankinnan tosiasiallisesta laajuudesta. Markkinaoikeus siten katsoo, että arvon ilmoittaminen hankintailmoituksessa edellä kuvatulla hyvin laajalla vaihteluvälillä ei ole omiaan antamaan riittävän tarkkaa kuvaa hankinnan laajuudesta.

Lisäksi hankintayksikkö on edellä selostetulla tavalla tuonut tarjouspyyntöasiakirjoissa tuonut esiin myös mahdollisuuden tehdä hankintoja, jotka koskevat palveluja, joilla käyttäjäorganisaatioille voidaan tarjota TKP-palvelua ehdoin, jotka täyttävät erityisesti tietoturvallisuuden osalta tiukempia vaatimuksia tietojen ja asiakirjojen käsittelyssä sekä hankittavan palvelun tuottamisesta. Markkinaoikeus katsoo, että edellä mainittu lisähankintamahdollisuus olisi tullut kuvata tarjouspyyntöasiakirjoissa siten, että tarjoajat olisivat voineet ymmärtää lisähankintamahdollisuuden sisällön.

Edellä hankinnan kohteesta, käyttäjien lukumäärästä, hankintasopimuksen kestosta, ennakoidusta arvosta ja lisähankintamahdollisuudesta lausuttu huomioon ottaen markkinaoikeus katsoo, että tarjouspyyntöasiakirjojen perusteella tarjoajien ei ole ollut mahdollista tarjouksia laatiessaan tietää, mikä on hankinnan tosiasiallinen laajuus.

Asiakastietojen käsittelyä koskevaa tarjouspyynnön vaatimus

Valittaja on esittänyt, että vaatimus asiakastietojen käsittelystä vain Suomen valtion alueella on ollut suhteellisuusperiaatteen vastainen ja syrjivä, koska se on suosinut kotimaisia tarjoajia ja syrjinyt kansainvälisiä tarjoajia. Valittaja on lisäksi esittänyt, että turvallisuussopimuksen vaatimus on ollut yleisen tietosuoja-asetuksen vastainen.

Hankintayksikkö on puolestaan esittänyt, että asiakastietojen käsittelyä koskeva vaatimus on ollut perusteltu huomioiden hankittavan palvelun luonne ja siihen liittyvät tietoturvanäkemykset. Lisäksi hankintayksikkö on esittänyt, että yleinen tietosuoja-asetus ei ole ollut voimassa vielä tarjousten jättämiselle asetetun määräajan päättyessä.

Hankintalain 2 §:n 1 momentin mukaan lain tavoitteena on tehostaa julkisten varojen käyttöä, edistää laadukkaiden, innovatiivisten ja kestävien hankintojen tekemistä sekä turvata yritysten ja muiden yhteisöjen tasapuoliset mahdollisuudet tarjota tavaroita, palveluja ja rakennusurakoita julkisten hankintojen tarjouskilpailuissa.

Hankintalain 2 §:n 1 momentin esitöiden (HE 108/2016 vp s. 70) mukaan lain tavoitteena on myös edistää yritysten ja muiden yhteisöjen tasapuolisia mahdollisuuksia osallistua julkisten hankintojen tarjouskilpailuihin ja tätä kautta hankintojen toteuttamiseen. Tavoitteet vastaavat Euroopan unionin toiminnasta tehdyn sopimuksen tavaroiden ja palvelujen vapaan liikkuvuuden sekä sijoittautumisvapauden tavoitteita.

Hankintalain 3 §:n 1 momentin mukaan hankintayksikön on kohdeltava hankintamenettelyn osallistujia ja muita toimittajia tasapuolisesti ja syrjimättömästi sekä toimittava avoimesti ja suhteellisuuden vaatimukset huomioon ottaen.

Hankintalain 3 §:n 1 momentin esitöiden (HE 108/2016 vp s. 73) mukaan toimittajien, ehdokkaiden ja tarjoajien tasapuolisen ja syrjimättömän kohtelun periaate perustuu Euroopan unionin perustamissopimuksen sisämarkkinavapauksia ja erityisesti kansallisuuteen perustuvan syrjinnän kieltoa koskeviin periaatteisiin sekä hankintadirektiivin 18 artiklaan.

Unionin tuomioistuin on asiassa Borta (tuomio 5.4.2017, "Borta" UAB v. Klaipėdos valstybinio jūrų uosto direkcija VĮ, C-298/15, EU:C:2017:266) todennut, että sen vakiintuneen oikeuskäytännön mukaan Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 49 ja 56 artiklasta ilmenevät syrjintäkiellon ja yhdenvertaisen kohtelun periaatteet sekä avoimuusvelvollisuus edellyttävät erityisesti, että tarjoajilla on yhdenvertaiset mahdollisuudet silloin, kun ne laativat tarjouksiaan (tuomion 67 ja 68 kohta oikeuskäytäntöviittauksineen).

Euroopan parlamentin ja neuvoston asetus luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta, (yleinen tietosuoja-asetus) on astunut voimaan 25.5.2018. Yleisen tietosuoja-asetuksen 1 artiklan 3 kohdan mukaan henkilötietojen vapaata liikkuvuutta unionin sisällä ei saa rajoittaa eikä kieltää syistä, jotka liittyvät luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä.

Yleisen tietosuoja-asetuksen 4 artiklan 1 kohdan mukaan henkilötiedoilla tarkoitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, josta käytetään myös ilmaisua "rekisteröity", liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.

Hallinnon yhteisistä sähköisen asioinnin tukipalveluista annetusta lain 16 §:n 2 momentin mukaan palvelutuottaja vastaa tukipalvelun tuottamisen edellyttämän tietojen yhdistämisen oikeellisuudesta sekä tukipalveluissa käsiteltävien tietojen tietoturvallisuudesta.

Tarjouspyynnön liitteenä olevan turvallisuussopimuksen kohdassa 7.5 "Tilaajan aineiston sijainti" on todettu seuraavaa:

"Toimittaja saa käsitellä Asiakastietoja vain Suomen valtion alueella. Toimittaja tiedostaa tämän vaatimuksen koskevan myös erilaisia teknisiä tukijärjestelmiä, joita se saattaa hyödyntää Palvelujen tuotannossa."

Tarjouspyynnön liitteenä olevan turvallisuussopimuksen kohdassa 2.2 "Asiakastieto" on todettu seuraavaa:

"Asiakastieto tarkoittaa mitä tahansa tietoa, joka: (i) viittaa tunnettuun tai tunnistettavaan luonnolliseen tai oikeushenkilöön; (ii) katsotaan muutoin soveltuvan lain mukaan henkilötiedoksi."

Tarjouspyynnön liitteenä olevan turvallisuussopimuksen kohdassa 2.3 "Henkilötieto" on todettu seuraavaa:

"Henkilötieto tarkoittaa kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella."

Markkinaoikeus toteaa, että turvallisuussopimuksessa on edellä todetulla tavalla määritelty sekä henkilötieto että asiakastieto. Turvallisuussopimuksessa oleva henkilötiedon määritelmä on identtinen yleisen tietosuoja-asetuksen sisältämän henkilötiedon määritelmän kanssa. Markkinaoikeus katsoo, että myös asiakastieto on henkilötietoa, koska se on määritelty viittaavan tunnettuun tai tunnistettavissa olevaan luonnolliseen henkilöön tai muutoin soveltuvan lain mukaan henkilötiedoksi.

Vaatimus asiakastietojen käsittelystä Suomessa on voinut perusteettomasti rajata hankinnasta kiinnostuneiden tarjoajien määrä ja sen on siten katsottava olleen lähtökohtaisesti hankintasäännösten vastainen. Asiaa ei ole arvioitava toisin myöskään sen hankintayksikön esittämän perusteen vuoksi, että joidenkin palvelun käyttäjiksi mahdollisesti liittyvien julkishallinnon organisaatioiden palvelun kautta välittämät tiedot olisivat luonteeltaan arkaluontoisia. Asiassa ei ole myöskään esitetty selvitystä, jonka perusteella olisi todettavissa, että mainittu lähtökohtaisesti syrjivänä pidetty vaatimus olisi ollut hankinnan kohteen kannalta perusteltu. Hankinnassa on nimenomaan ilmoitettu, että erityisen tietoturvalliset hankinnat ovat hankinnassa ainoastaan optio.

Edellä esitetyn perusteella markkinaoikeus katsoo, että tarjouspyynnön vaatimuksen siitä, että henkilötietoja saa käsitellä vain Suomen valtion sisällä, on katsottava olevan tasapuolisen ja syrjimättömän kohtelun kannalta hankintalain 2 §:n 1 momentin ja 3 §:n 1 momentin sekä edellä todetun unionin tuomioistuimen ratkaisukäytännön nojalla kielletty.

Tarjouspyyntö ei ole siten tältäkään osin ollut omiaan turvaamaan tarjoajien tasapuolista ja syrjimätöntä kohtelua.

Johtopäätös

Edellä mainituilla perusteilla hankintayksikkö on menetellyt hankinnassaan julkisia hankintoja koskevien oikeusohjeiden vastaisesti. Asiassa on näin ollen harkittava hankintalaissa säädettyjen seuraamusten määräämistä.

Edellä mainittu hankintamenettelyn virheellisyys sekä jäljempänä seuraamusten osalta lausuttu huomioon ottaen asiassa ei ole tarpeen lausua muista hankintamenettelyn virheellisyyttä koskevista väitteistä.

Seuraamusten määrääminen

Hankintasopimusta ei hankintayksikön ilmoituksen mukaan ole allekirjoitettu eikä hankintapäätöstä ole muutoinkaan pantu täytäntöön. Näin ollen muutoksenhaun kohteena oleva hankintapäätös voidaan hankintalain 154 §:n 1 momentin nojalla kumota ja sen täytäntöönpano kieltää.

Koska jo hankintamenettelyä koskeva tarjouspyyntö on ollut hankintasäännösten vastainen, hankintayksikön virheellinen menettely voidaan tässä tapauksessa korjata vain siten, että hankinnasta järjestetään kokonaan uusi tarjouskilpailu.

Mikäli Väestörekisterikeskus aikoo edelleen toteuttaa Suomi.fi-viestien kuoritus-, tulostus- ja postituspalveluiden hankinnan julkisena hankintana, sen on järjestettävä uusi tarjouskilpailu, jossa on otettava huomioon tässä päätöksessä mainitut seikat.

Oikeudenkäyntikulujen korvaaminen

Hankintalain 149 §:n 2 momentin mukaan hankinta-asiassa oikeudenkäyntikulujen korvaamiseen sovelletaan, mitä hallintolainkäyttölain 74 §:n 1 ja 2 momentissa säädetään.

Hallintolainkäyttölain 74 §:n 1 momentin mukaan asianosainen on velvollinen korvaamaan toisen asianosaisen oikeudenkäyntikulut kokonaan tai osaksi, jos erityisesti asiassa annettu ratkaisu huomioon ottaen on kohtuutonta, että tämä joutuu pitämään oikeudenkäyntikulunsa vahinkonaan. Harkittaessa julkisen asianosaisen korvausvelvollisuutta on pykälän 2 momentin mukaan otettava erityisesti huomioon, onko oikeudenkäynti aiheutunut viranomaisen virheestä.

Asiassa annettu ratkaisu ja hankintayksikön virheellinen menettely huomioon ottaen olisi kohtuutonta, mikäli valittaja joutuisi pitämään oikeudenkäyntikulunsa kokonaan vahinkonaan. Hankintayksikkö on näin ollen velvoitettava korvaamaan valittajan oikeudenkäyntikulut markkinaoikeuden kohtuulliseksi harkitsemalla määrällä. Asian näin päättyessä hankintayksikkö ja kuultava saavat pitää oikeudenkäyntikulunsa vahinkonaan.

Lopputulos

Markkinaoikeus kumoaa Väestörekisterikeskuksen ylijohtajan 19.1.2018 tekemän hankintapäätöksen VRK/43452/2017. Markkinaoikeus kieltää Väestörekisterikeskusta tekemästä hankintasopimusta sanotun päätöksen perusteella tai panemasta sitä muutoin täytäntöön nyt asetetun 200.000 euron sakon uhalla.

Markkinaoikeus velvoittaa Väestörekisterikeskuksen korvaamaan PostNord Strålfors Oy:n oikeudenkäyntikulut 15.000 eurolla viivästyskorkoineen. Viivästyskorkoa on maksettava korkolain 4 §:n 1 momentissa tarkoitetun korkokannan mukaisesti siitä lukien, kun kuukausi on kulunut tämän päätöksen antamisesta.

Markkinaoikeus hylkää Väestörekisterikeskuksen ja Edita Prima Oy:n vaatimukset oikeudenkäyntikulujensa korvaamisesta.

Muutoksenhaku

Julkisista hankinnoista ja käyttöoikeussopimuksista annetun lain 165 §:n mukaan tähän päätökseen saa hakea muutosta valittamalla korkeimpaan hallinto-oikeuteen vain, jos korkein hallinto-oikeus myöntää valitusluvan.

Julkisista hankinnoista ja käyttöoikeussopimuksista annetun lain 168 §:n 1 momentin nojalla markkinaoikeuden päätöstä on valituksesta huolimatta noudatettava, jollei korkein hallinto-oikeus toisin määrää.

Valitusosoitus on liitteenä.

Asian ovat ratkaisseet markkinaoikeuden ylituomari Kimmo Mikkola ja markkinaoikeustuomarit Jaakko Ritvala ja Jukka Koivusalo (eri mieltä).

Asiassa on äänestetty. Eri mieltä olevan jäsenen äänestyslausunto on liitetty päätökseen.

Eri mieltä olevan jäsenen äänestyslausunto

Markkinaoikeustuomari Koivusalo:

Erimielisyyteni koskee jaksoa "Asian arviointi" siltä osin kuin siinä on todettu, että hankinnan laajuus olisi ilmoitettu virheelliseesti. Tältä osin lausun seuraavaa.

Hankintalain 67 §:n 1 momentin mukaan tarjouspyyntö, neuvottelukutsu ja niiden liitteet on laadittava niin selviksi, että niiden perusteella voidaan antaa keskenään vertailukelpoisia tarjouksia. Pykälän 2 momentin mukaan, jos tarjouspyyntö ja hankintailmoitus eroavat sisällöltään, noudatetaan hankintailmoitusta.

Korkein hallinto-oikeus on arvioinut vuosikirjaratkaisuissaan 2016:182 ja 2018:128 enemmistön perusteluista ilmenevällä tavalla hankinnan laajuuden ilmoittamisen oikeellisuutta. Unionin tuomioistuin on puolestaan katsonut 19.12.2018 antamassaan tuomiossa Autorità Garante della Concorrenza e del Mercato - Antitrust ja Coopservice (C-216/17, EU:C:2018:1034), että puitejärjestelyyn myöhemmin liittyvä hankintaviranomainen on mainittava puitejärjestelystä mahdollisesti hyötyvänä toimijana jo järjestelyn tekemisajankohtana siten, että se on selkeästi nimetty tarjouspyyntöä koskevissa asiakirjoissa tai muussa asiakirjassa, kunhan avoimuutta koskevia vaatimuksia noudatetaan (56 kohta). Lisäksi unionin tuomioistuin on todennut, että puitejärjestelyn alkuperäisenä osapuolena olevan osapuolen on täsmennettävä kokonaismäärä, jota sopimus koskee (tuomion 64–70 kohdat).

Kysymyksessä olevassa hankinnassa Väestörekisterikeskus on pyytänyt tarjouksia tulostus-, kuoritus- ja postipalvelusta Suomi.fi-viestit palvelua hyödyntävien käyttäjäorganisaatioiden käyttöön. Hankinnassa ei ole ollut kysymys yhteishankintayksikön kilpailuttamasta puitejärjestelystä, vaan Väestörekisterikeskuksen kilpailuttamasta hankinnasta, joka on liittynyt kansalliseen palveluarkkitehtuuriohjelmaan (KaPA). Tarjouspyynnön perusteella hankintasopimus asiassa on ollut tarkoitus solmia Väestörekisterikeskuksen ja valitun toimittajan välillä. Muut käyttäjäorganisaatiot ovat tarjouspyyntöön sisältyneen sopimusluonnoksen kohdan 5 perusteella voineet hyödyntää palvelua sopimalla palvelun käyttöönotosta Väestörekisterikeskuksen kanssa. Hankintailmoituksen mukaan sopimusaika on ollut 48 kuukautta.

Kuten enemmistön perusteluissa on selostettu, tarjouspyynnön perusteella palvelun käyttäjäksi liittyvien käyttäjäorganisaatioiden täsmällinen määrä on ollut avoin ja potentiaalisten käyttäjäorganisaatioiden määrä varsin mittava. Liittyminen on kuitenkin perustunut hallinnon yhteisistä sähköisen asioinnin tukipalveluista annettuun lakiin, mikä on ollut selvästi ilmoitettu tarjouspyynnössä. Tätä kautta tarjoajat ovat saaneet käsityksen potentiaalisista hankintaan liittyvistä tahoista. Lisäksi kun hankinnan kohteena ovat olleet tulostus-, paino- ja postituspalvelut, joita voidaan lähtökohtaisesti ja hankintasopimusluonnoksen kohdan 8.2 perusteellakin tuottaa yhdessä paikassa, asiassa ei voida todeta, että kysymyksessä olevassa palvelussa käyttäjäorganisaatioiden määrällä tai sijainnilla olisi tarjousten laatimisen kannalta huomattavaa merkitystä. Näin ollen hankinta on poikennut korkeimman hallinto-oikeuden vuosikirjaratkaisun 2016:182 olosuhteista.

Lisäksi vaikka tarjouspyynnössä on ilmoitettu hankinnan ennakoitu arvo varsin väljällä vaihteluvälillä, kaikkien potentiaalisten tarjoajien tiedossa on ollut hankinnan ennakoitu suurin arvo. Tarjouspyynnössä on myös avoimesti tuotu esiin, että ennakoidun arvon määrittämisen hankaluus johtuu osittain siitä, että hankintayksikkö ei pysty arvioimaan sitä, kuinka moni loppukäyttäjistä, eli kansalaisista tai yrityksistä, haluaa viestit kirjeitse. Näin ollen objektiivisesti arvioiden hankinnan ennakoidun täsmällinen määrittäminen ei ole ollut mahdollista.

Hankittavien volyymien osalta tarjouspyynnön liitteen 3 kohdassa 5.2.1 on annettu arvio Suomi.fi-viestin käyttöön velvoitettujen käyttäjäorganisaatioiden lähettämien viestien määrästä. Mainitussa tarjouspyynnön kohdassa on lisäksi ilmoitettu, mikä on ollut paperipostituksen osuus kokonaisvolyymistä verrokkimaissa. Tämän lisäksi tarjouspyynnön kohdassa on arvioitu, että päivittäin käsiteltäväksi voi tulla 1.000–50.000 viestiä. Edellä sanottujen seikkojen lisäksi tarjouspyynnössä on selvästi määritelty minimivaatimuksena niin kutsuttu peruspalvelu, joka on ollut vähintään 50.000 tulosteen käsitteleminen vuorokaudessa. Tarjouspyynnössä on vielä erikseen määritelty niin kutsuttu massapostitus ja tätä koskevat määrät ja massapostituksen käsittelyä koskevat vaatimukset.

Hankintayksikkö on ilmoittanut ne tiedot, jotka sillä on ollut hankinnasta hankintamenettelyn alkaessa. Kun otetaan huomioon edellä arvioidusta määristä sekä peruspalvelusta ja massapostituksesta mainittu, tarjoajat ovat saaneet riittävän käsityksen hankinnan kohteena olevasta palvelusta sekä siitä, minkälaiseen volyymiin niiden on varauduttava. Tämän lisäksi tarjouspyynnön hintaliitteellä on ollut viisi eri hintakategoriaa, jotka ovat riippuneet kuukausivolyymistä. Näin ollen tarjoajat ovat voineet myös hinnoittelurakenteen kautta varautua siihen, että hankittava volyymi saattaa sopimusaikana vaihdella.

Siltä osin kuin asiassa on esitetty väitteitä hankinnan optiolausekkeesta, totean että tarjouspyynnössä ei ole pyydetty tälle optiolle hintaa. Näin ollen tarjouksen antamisen kannalta merkitystä ei ole ollut sillä, kuinka yksityiskohtaisesti tämä optiopalvelu on kuvattu. Nyt valituksen kohteena olevassa menettelyssä ei myöskään tule arvioitavaksi se, voiko hankintayksikkö kysymyksessä olevan optiolausekkeen perusteella hankkia lisäpalvelun.

Näin ollen kun otetaan huomioon kysymyksessä olevan hankinnan luonne ja ne tiedot, jotka hankintailmoituksessa ja tarjouspyynnössä on hankinnasta ilmoitettu, tarjoajat ovat saaneet avoimuusperiaatteen edellyttämällä tavalla riittävät tiedot yhteismitallisten ja keskenään vertailukelpoisten tarjousten antamiseksi, vaikka tarjouspyynnössä ei olekaan pystytty yksilöimään niitä tahoja, jotka varmasti ottavat kysymyksessä olevan palvelun käyttöön ja vaikka hankinnan ennakoitu arvo ja tilattavien palvelun määrä on ilmoitettu jossain määrin väljästi. Tarjouspyyntöä ei ole esillä olevan asian olosuhteissa pidettävä hankinnan laajuuden määrittelyltä sellaisena, että se olisi vaarantanut tarjoajien tasapuolisen ja syrjimättömän kohtelun.

Muilta osin olen samaa mieltä kuin enemmistö.

Vakuudeksi:

Puheenjohtaja Kimmo Mikkola

Huomaa

Päätöksen lainvoimaisuustiedot tulee tarkistaa korkeimmasta hallinto-oikeudesta.