Vaidlustaja seisukoht dokumentide esitamise taotlusele

25. septembril 2023. aastal riigihanke viitenumber 254499 RIIGIHANGETE VAIDLUSTUSKOMISJON Tartu mnt 85, 10115 Tallinn Ühispakkujate IDEMIA IDENTITY & SECURITY FRANCE SAS, IDEMIA FRANCE SAS ja Aktsiaseltsi Hansab VASTUS Thales DIS Finland Oy taotlusele edastada 01. septembril 2023. aastal esitatud vaidlus- tus Politsei- ja Piirivalveameti 21. augusti 2023. aasta otsusele Vaidlustajad: IDEMIA IDENTITY & SECURITY FRANCE SAS Registrikood: 440305282 Asukoht: 2 Place Samuel de Champlain, 92400 Courbevoie, Prantsusmaa IDEMIA FRANCE SAS Registrikood: 340709534 Asukoht: 2 Place Samuel de Champlain, 92400 Courbevoie, Prantsusmaa esindaja: vandeadvokaat Martin Männik, Pohla & Hallmägi, Kentmanni 4, 10116 Tallinn, tel 6 00 99 20, e-post [email protected] Aktsiaselts Hansab Registrikood: 10035867 Asukoht: Keevise tn 11, 11415 Tallinn esindajad: vandeadvokaat Tambet Toomela, vandeadvokaat Kaarel Berg, Eversheds Sutherland Ots&Co, Kentmanni 4, 10116 Tallinn, e-post tambet.too- [email protected]; [email protected] Hankija: Politsei- ja Piirivalveamet Registrikood: 70008747 Asukoht: Pärnu mnt 139, 15060 Tallinn esindaja: vandeadvokaat Merit Lind, FORT, A. Lauteri 5, 10114 Tallinn, e-post [email protected] 1. Vastus taotlusele 1.1. Thales DIS Finland Oy (edaspidi Thales) esitas 20. septembri 2023. aasta vastuses ühispakkujate IDEMIA IDENTITY & SECURITY FRANCE SAS, IDEMIA FRANCE SAS ja Aktsiaseltsi Hansab (edaspidi Ühispakkujad) vaidlustusele riigihankes „ID-1 formaadis isikut tõendavate dokumentide plankide ostmine ning isikustamisteenuse ja teiste teenuste tellimine“ (viitenumber 254499) taotluse edastada Thalesile  Pohla & Hallmägi Ühispakkujate poolt 01. septembril 2023. aastal esitatud vaidlustus Politsei- ja Piirival- veameti 21. augusti 2023. aasta otsusele. 1.2. VAKO 21. septembri 2023. aasta kirjas nr 12.2-10/137 paluti Ühispakkujatel edastada vaidlustus nii kolmandale isikule kui ka VAKO-le selliselt, et selles ärisaladus oleks kaetud. Ühispakkujad leiavad, et nimetatud viisil vaidlustuse esitamine Thalesele ei ole võimalik. 1.3. VAKO on leidnud 21. septembri 2023. aasta kirjas nr 12.2-10/137 seoses Ühispakku- jate taotlusega edastada neile Hankes koostatud 01. septembri 2023. aasta põhjenduste protokoll nr 20-2.27/3-45 ja Thalese ning HID CIC LIMITED (edaspidi HID) pakku- muse materjalid, et pakkumustes pakutud lahenduste ja tootearenduste avalikuks saa- mine võib kahjustada kolmandate isikute konkurentsiolukorda, võtta neilt konkurent- sieelise, kahjustada võimalusi praegust hankelepingut sõlmida või tulevikus korralda- tavatel hangetel osaleda. Ärisaladuse avaldamine võib põhjustada kolmandatele isiku- tele majanduslikku kahju. VAKO pidas kolmandate isikute huvi kaitsta enda ärisaladust kaalukamaks Ühispakkujate huvist saada kolmandate isikute pakkumustest informat- siooni. Hankija on leidnud vastuses Ühispakkujate vaidlustusele (vt punkti 2.10.), et konkurendid tunnetavad turgu ja üksteist piisavalt hästi, et piisaks ka konkurendi kohta väiksema infokillu teadasaamisest, et teha olulisi järeldusi konkurendi olulise ärisala- dusega teabe kohta. Analoogiliselt on Ühispakkujate huvi hoida enda pakkumuses si- salduv informatsioon kaalukam Thalese huvist tutvuda Ühispakkujate 01. septembri 2023. aasta vaidlustusega. Thalesel ei saa olla õiguslikku huvi selle vastu, millistel põh- jendustel Hankija lükkas tagasi Ühispakkujate pakkumuse. Seetõttu avaldavad Ühispakkujad käesolevaga vaid 01. septembri 2023. aasta vaidlustusest enda õigusliku argumentatsiooni, miks nende pakkumus sai olla RHAD TK lisa 1 punktile 6.2. vastav ning Thales ja/või HID pakkumus RHAD TK lisa 1 punktile 6.2. vastav olla ei saanud. 1.4. Ühispakkujad selgitavad, et Hankija on tunnistanud Ühispakkujate pakkumuse mitte- vastavaks väitega, et Ühispakkujate pakkumus ei vasta tehnilise kirjelduse lisa 1 punk- tidele 6.12., 6.12.1, 6.12.2 ja 6.13. Ühispakkujad on selgitanud enda 01. septembri 2023. aasta vaidlustuses, et Hankija on viinud läbi Hanke selliselt, et ta on ühelt poolt nõudnud, et pakkujad peavad tagama, et nende poolt pakutav tehniline lahendus vastab täielikult eIDAS ja rakendusotsusest tulenevatele nõuetele, kuid teiselt poolt on sätes- tanud Hanke PEE-s tehnilisi tingimusi (nimetades seda mh innovatiivse lahenduse ot- simiseks, mis oli Hankija üheks eesmärgiks), mis ei võimalda samas seda eesmärki (õi- guslikult) saavutada. 1.5. Ühispakkujatele oli aru saadav, et Hankija soovib tehnilise kirjelduse lisa 1 punkti 6.12. kohaselt saada lahendust, millega tagatakse kaugjuhitud muudatuste, uuenduste ja pa- renduste rakendamine (inglise keeles: remote patching) ning tehnilise kirjelduse lisa 1 punktidele 6.12., 6.12.1, 6.12.2, 6.13 nõuetele Ühispakkujate pakkumus ka vastab. Hankija ei teinud hankedokumentides erinevate haavatavuse juhtude vahel vahet, samas kui paljud haavatavused võivad mõjutada paigavärskenduste laadimismehhanismi jaoks vajalikke turvanõudeid (näiteks: krüptoteeke, mälukirjutusi jne mõjutavad haava- tavused). Selliste oluliste haavatavuste ilmnemisel jääb elektrooniline Dokument välja- poole sertifitseerimisasutuste tehnilise konsensuse kohaldamisala toote turvasertifi- kaadi kohta, millele on paigaldatud patch keskkonnas, kus turvalisust ei ole hindamise käigus auditeeritud (kirjeldatud: [AN_SOGIS] või [BSI_PP]). See tähendab automaat- selt , et kui patch rakendatakse sellistel juhtudel keskkonnas, kus turvalisust ei ole hin- damise ajal auditeeritud: 2  Pohla & Hallmägi - paigatud elektroonilisel dokumendil ei saa olla ühiste kriteeriumide (Common Crite- ria) alusel turvasertifikaati; - parandatud elektroonilise dokumendi QSCD-sertifikaat ei saa kehtima jääda ehk teiste sõnadega täita ei ole võimalik tehnilise kirjelduse lisa 1 punktist 6.2. tulenevat nõuet.1 1.6. Ühispakkujate väide seoses Thales ja HID pakkumustega on, et kui nende pakkumuste kohaselt on väidetavalt võimalik kaugvärskendusega (remote patching) uuendada kii- birakendusi ja/või platvormi pärast dokumentide väljastamist iga haavatavuse korral, siis see ei ole tehniliselt võimalik viisil, et QSCD sertifikaat jääb kehtima nagu nõuab RHAD TK lisa 1 punkt 6.2. Kui Thales ja või HID pakkumus ei näe ette uuenduste ja parenduste rakendamist muuhulgas Hankija, Välisministeeriumi või muudes teeninduspunktides kohapeal (keskkonnas, kus turvalisust on hindamise käigus auditeeritud), siis see ei saa vastata RHAD TK lisa 1 punktile 6.2. Lugupidamisega, / allkirjastatud digitaalselt / Martin Männik vandeadvokaat IDEMIA IDENTITY & SECURITY FRANCE SAS ja IDEMIA FRANCE SAS lepinguline esindaja / allkirjastatud digitaalselt / / allkirjastatud digitaalselt / Tambet Toomela Kaarel Berg vandeadvokaat vandeadvokaat Aktsiaseltsi Hansab lepingulised esindajad 1 Inglise keeles: Contracting Authority did not differentiate between cases of vulnerability while many vulnerabilities may affect the security requirements needed for the patch update loading mechanism (example: vulnerabilities affecting cryptographic libraries, memory writes, etc.). When such a vulnerability occurs, the electronic document is outside the framework of application of the technical consensus from certification authorities regarding security certification of a product on which a patch is applied in an environment where the security has not been audited during an evaluation (described by [AN_SOGIS] or [BSI_PP]). This means that if a patch is applied in an environment where the security has not been audited during an evaluation: - the patched electronic document cannot be security certified pursuant to the Common Criteria; - the QSCD certification of the patched electronic document can’t remain valid. 3