Hollandi kohus hindab DigiD tehingukeeldu

Iga kord, kui Hollandi kodanik esitab internetis maksudeklaratsiooni, kontrollib toetust või siseneb avalikku e-teenusesse, käib ta läbi DigiD. See on Hollandi riiklik autentimissüsteem. Enamik kasutajaid ei mõtle, milline tehniline ja lepinguline taristu selle all töötab. Selle üle tasub mõelda.

DigiD töötab platvormil, mida haldab eraettevõte Solvinity (AG Connect). Kui USA peakorteriga IT-ettevõte Kyndryl soovis Solvinity ära osta, keelas Hollandi valitsus tehingu riikliku julgeoleku kaalutlustel. Juunis vaidlustas Solvinity otsuse Rotterdami kohtus. Osa istungist peeti kinniste uste taga (Tweakers). Nii muutus poliitikute lemmikväljend „digitaalne suveräänsus” konkreetseks kohtuvaidluseks: kellele võivad kuuluda ettevõtted, mille najal riik internetis toimib.

Juhtimisruum võrgu taga

Digiriigi teenuseid võib võrrelda avaliku elektrivõrguga. Riik kehtestab reeglid ja paneb kasutajaliidesele oma nime. Ent kontrollruumi võtmed võivad olla eraettevõtte käes: hooldusjuhendid, krüpteerimisvõtmed ja praktiline teadmine, kuidas süsteemi pinge all töös hoida (policyreview.info). Solvinity oli Hollandi digiriigi ühe osa jaoks just selline partner.

26. mail 2026 keelas riigisekretär Willemijn Aerdts ülevõtmise ametlikult (Logius). Riskihinnangu üksikasju ei ole täielikult avaldatud. Parlament sai konfidentsiaalset teavet ning kohtus arutati tundlikke materjale osaliselt ajakirjaniketa (Tweede Kamer).

Avalik osa on selgem. Parlamendiliikmed kartsid, et USA omanik võib anda Washingtonile võimaluse nõuda andmeid või halvemal juhul häirida ligipääsu teenustele, mida kodanikud iga päev vajavad (NOS). Arutelus oli kesksel kohal USA CLOUD Act.

CLOUD Act on päris õiguslik risk, kuid avalikus vaidluses kipub selle tähendus paisuma. USA seadus kohustab Ameerika jurisdiktsiooni alla kuuluvat teenusepakkujat seadusliku korralduse korral üle andma andmed, mis on tema „valduses, hoiul või kontrolli all”, ka siis, kui andmeid hoitakse Euroopas (Cornell LII). See on tegelik kokkupuutepunkt USA õigusega.

Mida seadus ei tee: see ei anna Washingtonile kaugjuhtimispulti süsteemides ringi vaatamiseks ega teenuse käsu peale sulgemiseks. Hirm „väljalülitusnupu” ees kuulub teise riskikategooriasse: sõltuvus tarnijast, lepinguline konflikt, administraatoriõiguste kadumine või raskus vahetada kriisi ajal teenusepakkujat. Need riskid on tõsised, kuid need ei ole sama asi kui CLOUD Act. Kui need kokku segada, kõlab tugev struktuurne argument vandenõulisemalt, kui vaja.

Põhiküsimus on niigi piisavalt kaalukas. Kui rahustuseks öeldakse, et „andmed jäävad Euroopasse”, vastatakse vaid osale probleemist. Andmete asukoht on üks kiht. Sügavam kiht on kontroll: kes saab süsteeme hallata, uuendusi paigaldada ja teenuse töös hoida, kui ärisuhe laguneb.

Kolm riiki, kolm lähenemist

Prantsusmaa on püüdnud muuta suveräänsuse igapäevaseks ja kontrollitavaks hanketingimuseks. Kui pilveteenuse pakkuja tahab teha tundlikku tööd riigile, peab ta saama SecNumCloudi sertifikaadi. See eeldab tõendamist, et välisriigi seadustel ei ole teenusele lihtsat ligipääsu (Alliancy). Poliitilisest loosungist saab nii hankefilter: kas kvalifitseerud või pakkumust ei tee.

Rootsi liigub teist teed. Selle asemel et hinnata iga tarnijat eraldi, hoiab riik kontrolli identiteedi juure üle. Justiitsministeerium on pakkunud välja uue riikliku ID-kaardi biomeetria ja sisseehitatud elektroonilise isikutuvastusega (Dagens.se). Rootsi on juhtinud ka tööd EL-i tulevase digitaalse identiteedikukru sertifitseerimissüsteemi kallal (Digg). Eraettevõtted võivad torustikku käitada, kuid peavõti jääb riigile.

Holland paistab selles võrdluses reaktiivsem. Parlamendidokumendid näitavad, et seal mõeldakse laiemalt suveräänsete pilveteenuste peale (1848.nl), kuid Solvinity vaidlus puudutab üht konkreetset tehingut, mis keelati konfidentsiaalse riskihinnangu järel ja mida riik nüüd kohtus kaitseb.

Mida kohus tegelikult otsustab

EL ei ehita eraldi internetti. Ta ehitab tööriistu, millega valitsused saavad ülevõtmisi kontrollida, küberturbenõudeid seada ja pilvetarnijatest väljumist lihtsustada. Välisinvesteeringute taustakontroll võimaldab liikmesriikidel hinnata omandamisi tundlikes sektorites (Paul Weiss). NIS2 direktiiv lisab elutähtsa taristu käitajatele turbe- ja tarneahelakohustused (European Commission). Andmemäärus käsitleb pilveteenuse pakkuja vahetamist ja kaitset õigusvastaste välismaiste andmenõuete vastu (EUR-Lex). Ükski neist ei lahenda probleemi üksi. Koos nihutavad need küsimuse serveri asukohalt sõltuvuse valitsemisele.

Rotterdami kohtuasi täpsustab, kui kaugele see põhimõte ulatub. Kui valitsus võidab, tugevneb arusaam, et avaliku digitaristu omandimuutusi võib takistada ka siis, kui kogu riskianalüüsi ei avalikustata. Kui Solvinity võidab, võib riik olla sunnitud näitama, et kaalus leebemaid meetmeid: lepingulisi kontrollmehhanisme, tundlike toimingute eraldamist välismaisest emaettevõttest või kohustuslikke väljumisplaane.

Kohus otsustab sisuliselt, kui palju tõendeid peab riik esitama, kui ta keelab ülevõtmise teenuse kaitseks, millest kodanik ei saa tegelikult loobuda. Miljonite DigiD kasutajate jaoks on see vaidluse tuum.