Lov & Data - Dataforeningens kontraktsstandard for skytjenester

Det kan være utfordrende å finne ut av hvordan man bør gå frem når man kjøper standardiserte IT-tjenester: Bør det kjøpes direkte fra skytjenesteleverandøren, eller bør man gå via et mellomledd? Er det fornuftig å inngå avtale med et mellomledd når hovedytelsen er regulert av underleverandører eller tredjeparters standardbetingelser? I forbindelse med at Dataforeningens kontraktsstandard for skytjenester nå er lansert, gir vi her en kort beskrivelse av avtalens tilblivelse. I tillegg vil vi her omtale avtalens tilnærming til kundens behov og leverandørens ansvar, samt forholdet til gjeldende standardbetingelser.

Både offentlige og private aktører er stadig mer interessert i å kjøpe standardiserte IT-tjenester. De utfordringer som skytjenesteavtalen søker å løse er altså ikke helt nye. Allerede i 2012 laget Dataforeningen en egen veileder for cloud computing. Siden den tid har markedet modnet. Vi har sett at særlig de offentlige oppdragsgiverne har hatt et økende behov for standardiserte avtaler som kan løse både de praktiske og anskaffelsesrettslige utfordringene som gjelder ved kjøp av skytjenester. De utfordringene vi sikter til oppstår særlig ved kjøp av en eller flere standardtjenester som i større eller mindre grad skal tilpasses kundens egne systemer eller behov.

 

Avtalens bakgrunn

I samarbeid med PROMIS AS ble det i løpet av høsten 2015 foretatt omfattende undersøkelser i både inn og utland, med mål om å kartlegge allerede eksisterende maler for kjøp av skytjenester. Vi fant eksempelvis både svenske, danske, britiske og amerikanske avtaler. Etter vår vurdering er det enten slik at disse avtalene ikke innebærer noen hensiktsmessig løsning på de sentrale utfordringer vi har støtt på, eller vi mener løsningene ikke er realiserbare i et norsk marked.

Som en konsekvens av at det ikke fantes egnede maler, tok man fatt på arbeidet med å lage en ny standard for kjøp av sammensatte skytjenester. Utgangspunktet for avtalen ligger riktignok i Dataforeningens allerede etablerte standardavtaler med utvikling, drift og vedlikehold levert som en tjeneste. De som kjenner Dataforeningens avtaler, vil derfor kjenne igjen avtalens oppbygning.

Skytjenesteavtalen er utarbeidet ved hjelp av både en arbeidsgruppe og en referansegruppe i regi av Dataforeningen. Arbeidsgruppen har bestått av PROMIS AS ved Jørgen Petersen og Inger Røst, og Advokatfirmaet Berngaard/Sandbek AS ved Thor Beke og Espen Bakjord. En både viktig og stor del av arbeidet har vært utført i en tilhørende referansegruppe. Referansegruppen har hatt tilnærmet lik representasjon fra både kunde-, leverandør- og rådgiversiden fra følgende selskaper:

Capgemini, Computas, Departementenes sikkerhets- og serviceorganisasjon, Difi, Evry, Advokatfirmaet Haavind, Sopra Steria og Statens vegvesen.

 

Avtalens formål

Se for deg at du bygger et hus, med alle de delleveranser dette innebærer. I denne situasjonen forholder du deg som regel kun til én entreprenør, mens entreprenøren altså gjør alle øvrige avtaler med sine underleverandører.  Ved kjøp av skytjenester må du i dag ofte inngå direkte avtaler med både leverandører og underleverandører, og holde styr på de ulike avtaler og leveranser på egen hånd. Kunden ønsker med andre ord å kunne spørre om, og deretter bli tilbudt, en helhetlig løsning. Det kan stilles spørsmål ved hvorfor dette håndteres så vidt annerledes ved kjøp av skytjenester.

Ved utarbeidelsen av skytjenesteavtalen har nettopp dette aspektet ved kundens behov stått sentralt. Skytjenesteavtalen skal dekke behovet for en kontrakt hvor kunden ønsker at én leverandør skal tilpasse, utvikle og integrere en eller flere standard skytjenester, herunder egne og/eller fra en eller flere underleverandører. Vi snakker altså om en slags bundling av ulike IT-tjenester i en pakke, basert på kundens behov.

Erfaring viser at det i alle større leveranser er behov for utvikling og eventuelt tilpasninger til standard programvareløsninger. I skytjenesteavtalen er det lagt opp til at leverandøren tar denne delen av oppdraget, mens de standardiserte tjenestene overlates til skytjenesteleverandører som Microsoft, HP, Google, Amazon etc. I skytjenesteavtalen har leverandøren altså en integratorrolle, det vil si at leverandøren tar ansvaret for å sette sammen ulike standardtjenester, og ofte bygge «et lag» på toppen for at løsningen skal kunne møte kundens kravstilte behov.

En kunde som kun retter seg direkte mot skytjenesteleverandørene vil ikke kunne få en tilpasset løsning. Skytjenesteleverandørene ønsker klart nok å levere det produktet de selv har utviklet uten å måtte orientere seg om den enkelte kundens behov. Ved bruk av skytjenesteavtalen må leverandøren nettopp vurdere den aktuelle kundens behov og finne frem til hvordan man best kan sette sammen de ulike standardtjenester.

 

Leverandørens ansvar

Som en følge av at leverandøren har en integratorrolle, bør leverandøren etter vår mening også ha et helhetlig ansvar for de tjenester som leveres. Det skal likevel ikke legges skjul på at det har vært komplisert å finne frem til hvor langt ansvaret skal gå, og hvordan det skal plasseres.

Uten hjelp fra en standardavtale ser vi at det kan være vanskelig for leverandøren og kunden å møtes på halvveien, når kunden på sin side ønsker minst mulig ansvar og leverandøren ønsker å begrense ansvaret for å unngå store kostnader ved eventuelle feil i skytjenesteleverandørens produkter. I skytjenesteavtalen er det lagt opp til at leverandøren har et overordnet ansvar for at de underliggende standardtjenester som leverandøren velger å bruke samlet sett er egnet til å oppfylle kundens behov. Etter vår vurdering innebærer avtalen et kompromiss mellom et fullstendig helhetlig ansvar og leverandøren som ren «tjenestetilbyder».

 

Forholdet til underleverandørens betingelser

Når det gjelder skytjenesteavtalens håndtering av underleverandørens betingelser, er dette blitt en tredelt disiplin. Reguleringen utgjør et kompromiss mellom kundens ønsker og leverandørens posisjon, i tillegg til at den skal kunne ivareta de anskaffelsesrettslige regler.  

For det første bestemmer avtalen at visse forhold knyttet til underleverandørens betingelser alltid vil gå foran skytjenesteavtalens generelle bestemmelser. Konkret gjelder dette standardbestemmelser om disposisjonsrett og rettsmangler. I tillegg er det inntatt en bestemmelse som begrenser leverandørens feilrettingsplikt. Reguleringen på dette punktet minner mye om den vi finner i SSA-ene, for eksempel SSA-K og i den nye SSA-L.

For det andre legger avtalen opp til at kunden kan peke ut også andre områder der underleverandørens betingelser kan gis forrang. Dette har vi valgt å kalle særskilte betingelser. I bilaget til skytjenesteavtalen er det på forhånd listet opp en del slike områder som leverandøren på vegne av sine underleverandører kan påberope seg. Dette er et viktig poeng, denne type særskilte betingelser vil kun bli gitt forrang om kunden har åpnet for det og leverandøren har benyttet seg av muligheten. Det er opp til kunden om slike elementer skal være en del av avtaleinngåelsen og dermed anskaffelsesprosessen. Dette punktet innebærer at kunden må ha et visst innblikk i markedet, hvilket for eksempel kan oppnås via markedsundersøkelser.

For det tredje vil underleverandørens øvrige betingelser, altså de betingelser som ikke er fanget opp av de to første punktene, kunne legges ved avtalen. Slike betingelser gis med andre ikke forrang. Øvrige betingelser vil likevel fortsatt kunne ha en betydning, typisk på områder der skytjenesteavtalen er taus.

I tillegg følger det både av skytjenesteavtalens generelle bestemmelser og av de forhåndsutfylte bilag at leverandøren må angi hvorvidt det kun er enkelte standardbetingelsene som gjøres gjeldende overfor kunden, eller om det skal inngås egne avtaler mellom kunden og underleverandøren. På denne måten skiller reguleringen seg fra det vi kjenner fra SSA-ene. I SSA‑K er det riktignok også slik at lisensbetingelser som legges ved avtalen blir gjeldende mellom kunden og tredjepart, og det er kun enkelte forhold (som disposisjonsrett og rettsmangler) som påvirker avtaleforholdet mellom kunden og leverandøren.

Forskjellen her er at det i skytjenesteavtalen blir tydeliggjort når det inngås egne avtaler mellom kunden og underleverandøren, og at man både kan evaluere på de betingelser som gjelder i møte med leverandøren og/eller de betingelser som kun gjelder mellom kunde og underleverandør.

I anskaffelsesrettslig sammenheng vil vi gjerne understreke at særskilte betingelser som knyttes til de deler av avtalen hvor endrede betingelser eksplisitt er tillatt, ikke bør regnes som forbehold. Følgelig behøver ikke kunden å foreta en prissetting av de ulike kontraktsvilkårene, såfremt de nye betingelsene ligger innenfor avtalens rammer (som definert av kunden). Anskaffelsesregelverket er ikke til hinder for at leverandørene kan konkurrere på ulike kontraktsvilkår i en slik situasjon, altså at de ulike kontraktsvilkårene er en del av konkurransen. Forskjellene mellom leverandørenes tilbudte vilkår må i så måte evalueres, slik at de relevante forskjeller blir hensyntatt. Dette gjelder særlig i en offentlig anbudskonkurranse, og da bør dette antakelig skje ved hjelp av et eget tildelingskriterium eller eventuelt som en del av tildelingskriteriet kvalitet. For eksempel kan oppdragsgiver benytte et tildelingskriterium av typen «juridisk kompleksitet eller risiko», der leverandørens bruk av standardbetingelser tas med i evalueringen.

Utfordringen med å bruke en av statens standardavtaler ved kjøp av skytjenester er at det ikke er lett å underlegge lisensvilkårene noen form for evaluering. Når standardbetingelsene regulerer hovedytelsen i anskaffelsen er dette en uheldig omstendighet slik vi ser det. Det kan også argumenteres at ulike kontraktsvilkår i en slik situasjon kan føre til avvisningsplikt på grunn av vesentlige forbehold mot kontraktsvilkårene.

 

Øvrige forhold /avslutning

Avtalen er nå ute i markedet og er allerede tatt i bruk i flere anskaffelser. Vi håper avtalen bidrar til å lette arbeidet med å gjennomføre effektive og fornuftige kjøp av standardiserte IT-tjenester.

Du finner avtalen på Dataforeningens hjemmeside:

https://www.dataforeningen.no/skybaserte-tjenester.400562.no.html