Soud řeší zablokovaný prodej DigiD

Když nizozemský občan podává online daňové přiznání, kontroluje dávky nebo se přihlašuje ke státní službě, prochází přes DigiD, národní systém elektronické identity. Většina lidí neřeší, na čem taková služba technicky stojí. Právě tam ale začíná politicky nejcitlivější část příběhu.

Platformu, na níž DigiD běží, provozuje soukromá společnost Solvinity (AG Connect). Když ji chtěla koupit americká IT firma Kyndryl, nizozemská vláda transakci zablokovala s odkazem na národní bezpečnost. V červnu se Solvinity proti rozhodnutí bránila u soudu v Rotterdamu. Část jednání proběhla za zavřenými dveřmi (Tweakers). Z oblíbeného politického hesla „digitální suverenita“ se tak stal konkrétní právní spor o to, kdo smí vlastnit firmy, bez nichž stát nedokáže fungovat online.

Velín za veřejnou sítí

Digitální státní služby se dají přirovnat k veřejné elektrické síti. Stát určuje pravidla a jeho logo vidí občan na obrazovce. Klíče k velínu ale často drží soukromý dodavatel: servisní dokumentaci, šifrovací klíče i provozní znalost, bez níž systém ve stresu nevydrží (policyreview.info). V části nizozemského digitálního státu měla tuto roli právě Solvinity.

Dne 26. května 2026 převzetí formálně zablokovala státní tajemnice Willemijn Aerdtsová (Logius). Podrobné vyhodnocení rizik vláda celé nezveřejnila. Parlament dostal důvěrné informace a také soudní jednání mělo uzavřenou část, v níž obě strany probíraly citlivý materiál mimo dosah novinářů (Tweede Kamer).

Veřejně zaznělo alespoň jádro obav: poslanci upozorňovali, že americké vlastnictví by mohlo Washingtonu usnadnit žádosti o data, případně v krajním případě ohrozit přístup ke službám, které občané používají každý den (NOS). V debatě se často objevoval americký CLOUD Act.

Tento zákon není smyšlený problém, veřejná debata ho ale snadno nafukuje. Americké právo ukládá poskytovateli spadajícímu pod jurisdikci USA povinnost vydat data, která má ve svém „držení, správě nebo pod kontrolou“, pokud dostane zákonný příkaz, i když jsou tato data uložená v Evropě (Cornell LII). To je skutečné právní riziko. Zákon však nedává Washingtonu vzdálený vypínač, jímž by mohl procházet systémy nebo na povel zastavit službu. Obava z „kill switche“ patří do jiné kategorie: závislost na dodavateli, smluvní spory, ztráta administrátorského přístupu nebo prostá obtížnost nahradit klíčového provozovatele uprostřed krize. I tato rizika jsou vážná, ale nejsou totéž co CLOUD Act. Když se směšují, zní strukturální problém zbytečně konspiračně.

Sám strukturální problém je přitom dost silný. Ujištění, že „data zůstávají v Evropě“, odpovídá jen na část otázky. Umístění dat je jedna vrstva. Hlubší vrstvou je kontrola: kdo může systémy spravovat, nasazovat aktualizace a udržet službu v chodu, když se obchodní vztah rozpadne.

Tři země, tři přístupy

Francie se pokusila udělat ze suverenity nudné, ale vymahatelné pravidlo. Pokud chce cloudový poskytovatel pracovat pro citlivé státní systémy, musí získat certifikaci SecNumCloud, která mimo jiné vyžaduje doložit, že na službu nedosáhnou snadno cizí právní předpisy (Alliancy). Politické heslo se tím mění ve filtr veřejných zakázek: buď podmínky splníte, nebo se soutěže neúčastníte.

Švédsko volí jinou cestu. Nesnaží se prověřovat každého dodavatele zvlášť, ale drží pod státní kontrolou kořen identity. Ministerstvo spravedlnosti navrhlo nový státní průkaz totožnosti s biometrickými prvky a integrovanou elektronickou identifikací (Dagens.se). Švédsko zároveň vedlo práce na certifikačním systému pro chystanou evropskou peněženku digitální identity (Digg). Soukromé firmy mohou obsluhovat potrubí, hlavní klíč si ale stát nechává u sebe.

Nizozemsko působí ve srovnání s tím reaktivněji. Parlamentní dokumenty ukazují širší úvahy o suverénních cloudových službách (1848.nl), případ Solvinity je však konkrétní obchod zablokovaný po důvěrném posouzení rizik, který nyní vláda hájí před soudem.

Co bude soud skutečně rozhodovat

Evropská unie se nepokouší vybudovat oddělený internet. Vytváří spíše nástroje, které vládám umožňují zpochybňovat převzetí citlivých firem, vyžadovat kyberbezpečnostní záruky a snižovat závislost na jednotlivých cloudových dodavatelích. Prověřování zahraničních investic dává členským státům možnost posuzovat akvizice v citlivých odvětvích (Paul Weiss). Směrnice NIS2 přidává bezpečnostní a dodavatelské povinnosti pro provozovatele kritické infrastruktury (European Commission). Data Act řeší mimo jiné přechod mezi cloudovými poskytovateli a ochranu před nezákonnými zahraničními žádostmi o data (EUR-Lex). Žádný z těchto nástrojů problém sám nevyřeší. Dohromady ale posouvají otázku od toho, „kde stojí server“, k tomu, „kdo řídí závislost“.

Rotterdamský případ tuto otázku zpřesní. Pokud vláda uspěje, posílí se princip, že změny vlastnictví ve veřejné digitální infrastruktuře lze blokovat i tehdy, když úplná analýza rizik zůstane utajená. Pokud uspěje Solvinity, může to stát přinutit lépe prokazovat, že zvažoval méně tvrdé možnosti: smluvní kontrolu, oddělení citlivých operací od zahraniční mateřské firmy nebo povinné plány odchodu od dodavatele. Soud bude rozhodovat, kolik důkazů musí stát ukázat, když blokuje převzetí kvůli ochraně služby, z níž se občané v praxi nemohou odhlásit. Pro miliony lidí, kteří se do DigiD přihlašují bez většího přemýšlení, je právě to podstatná otázka.