Zorgen over overname DigiD-hoster Solvinity door Amerikaans Kyndryl

Een brede coalitie van wetenschappers, opiniemakers, privacyvoorvechters en journalisten eist volledige transparantie over de voorgenomen overname van het Nederlandse cloudbedrijf Solvinity door het Amerikaanse technologieconcern Kyndryl. De kern van hun zorg is dat Solvinity een cruciale rol speelt in de digitale infrastructuur van de Nederlandse overheid, waaronder het hosten en beheren van DigiD, het identificatiesysteem waarmee miljoenen Nederlanders toegang krijgen tot overheidsdiensten.

De stichtingen Privacy First en The Firewall hebben samen met diverse experts een brandbrief gestuurd aan de minister van Economische Zaken. Daarin vragen zij het Bureau Toetsing Investeringen (BTI) om zo snel mogelijk duidelijkheid te geven over de aard, reikwijdte en risico’s van de overname. Volgens de initiatiefnemers ontbreekt het momenteel volledig aan publieke informatie over de afwegingen die worden gemaakt. Initiatiefnemer Eric Smit stelt dat betrokkenen en burgers ‘compleet in het duister tasten’ over de consequenties van de verkoop van een bedrijf dat diep verweven is met vitale overheidsprocessen.

Solvinity levert cloud- en infrastructuurdiensten aan onder meer ministeries en uitvoeringsorganisaties. Binnen dat dienstenpakket vallen hybride en private cloudomgevingen die specifiek zijn ingericht voor gevoelige overheidstoepassingen. DigiD is daarbij een van de meest kritieke systemen: het vormt de digitale toegangspoort tot belastingzaken, zorg, sociale zekerheid en gemeentelijke dienstverlening. Volgens de ondertekenaars van de brandbrief maakt juist die centrale positie dat elke wijziging in eigendom en zeggenschap uitzonderlijk zorgvuldig moet worden beoordeeld.

De beoogde koper, Kyndryl, presenteert zich als een internationale IT-dienstverlener die ook zogenoemde ‘soevereine cloudoplossingen’ aanbiedt. Tegelijkertijd wijzen de experts erop dat Kyndryl als Amerikaans bedrijf onder de Amerikaanse wetgeving valt, waaronder de Cloud Act. Die wet geeft Amerikaanse autoriteiten de mogelijkheid om data op te vragen bij Amerikaanse bedrijven, ook wanneer die data fysiek buiten de Verenigde Staten is opgeslagen. Volgens critici wringt dit met het principe van digitale soevereiniteit en met de bescherming van gevoelige Nederlandse overheids- en burgergegevens.

Naast het risico op datatoegang door buitenlandse overheden wijzen de ondertekenaars op een ander, volgens hen onderschat gevaar: de mogelijkheid van politieke of juridische druk die kan leiden tot het beperken of blokkeren van digitale diensten. In de brandbrief wordt gesteld dat het onderbrengen van vitale digitale infrastructuur bij een Amerikaans bedrijf de kwetsbaarheid van Nederland vergroot voor uitval, manipulatie of zelfs chantage. In het uiterste geval zou de continuïteit van essentiële systemen zoals DigiD in gevaar kunnen komen.

De zorgen worden volgens de experts versterkt door recente geopolitieke ontwikkelingen. Zij wijzen op voorbeelden waarbij Amerikaanse sancties directe gevolgen hadden voor digitale dienstverlening buiten de VS. Als illustratie noemen zij de situatie rond het Internationaal Strafhof in Den Haag, waar Amerikaanse maatregelen hebben geleid tot het afsluiten van bepaalde clouddiensten voor rechters. Dat voorbeeld laat volgens hen zien hoe groot de impact kan zijn van buitenlandse politieke besluiten op kritieke digitale processen in andere landen.

Tegen deze achtergrond vinden de experts de geplande verkoop van Solvinity moeilijk te rijmen met eerdere signalen vanuit Europa om juist minder afhankelijk te worden van Amerikaanse technologiebedrijven. Terwijl sommige internationale organisaties overstappen naar Europese alternatieven om hun digitale autonomie te versterken, zou Nederland volgens hen met deze overname juist een tegengestelde richting inslaan.

Eric Smit uit in dit verband scherpe kritiek op de demissionaire staatssecretaris voor Digitalisering. Volgens hem is er sprake van een ‘overdreven en onterecht vertrouwen’ in Amerikaanse bedrijven en in de politieke stabiliteit van de Verenigde Staten als bondgenoot. Hij stelt dat Nederland niet zou moeten leunen op ondernemingen die nauw verbonden zijn met een regering die steeds explicieter technologie inzet als machtsmiddel.

Hoogleraar staats- en bestuursrecht Reijer Passchier, eveneens ondertekenaar van de brandbrief, benadrukt dat technologie inmiddels een centraal instrument is geworden in internationale machtsverhoudingen. Volgens hem raakt de discussie over Solvinity niet alleen aan privacy of bedrijfsbelangen, maar aan de kern van de Nederlandse soevereiniteit en de democratische rechtsstaat. Wanneer de controle over essentiële digitale systemen buiten nationale en Europese kaders komt te liggen, kan dat volgens hem verstrekkende gevolgen hebben voor de onafhankelijkheid van overheidsbesluitvorming en de bescherming van burgerrechten.

De groep experts roept de overheid daarom op om volledige openheid te geven over het toetsingsproces, de gehanteerde criteria en de mogelijke risico’s van de overname. Zij vinden dat een publiek debat noodzakelijk is voordat onomkeerbare stappen worden gezet. Volgens hen staat er meer op het spel dan een reguliere bedrijfsovername: het gaat om de vraag wie uiteindelijk de zeggenschap heeft over de digitale ruggengraat van de Nederlandse samenleving.

Door: Drifter