DigiD-kauppa joutui oikeuteen

Kun hollantilainen tekee veroilmoituksen verkossa, tarkistaa etuutensa tai kirjautuu julkiseen palveluun, tunnistautuminen kulkee DigiD:n kautta. DigiD on Alankomaiden kansallinen tunnistautumisjärjestelmä. Useimmat näkevät vain kirjautumisruudun, eivät sitä, kuka pitää järjestelmän teknisesti käynnissä.

DigiD toimii alustalla, jota ylläpitää yksityinen Solvinity-yhtiö (AG Connect). Kun yhdysvaltalaislähtöinen IT-yhtiö Kyndryl yritti ostaa Solvinityn, Alankomaiden hallitus esti kaupan kansalliseen turvallisuuteen vedoten. Solvinity vei päätöksen kesäkuussa Rotterdamin tuomioistuimeen. Osa käsittelystä pidettiin suljetuin ovin (Tweakers).

Tapaus tekee "digitaalisesta suvereniteetista" konkreettisen kysymyksen: kuka saa omistaa yhtiöt, joiden varassa valtio toimii verkossa.

Sähköverkon valvomo

Digitaalista julkishallintoa voi verrata sähköverkkoon. Valtio määrittää säännöt ja näkyy kansalaiselle palvelun nimissä. Usein yksityinen toimittaja kuitenkin hallitsee valvomoa: ylläpitodokumentaatiota, salausavaimia ja operatiivista osaamista, jota tarvitaan, kun järjestelmässä on painetta (policyreview.info). Solvinity oli tällainen toimittaja osalle Alankomaiden digitaalista valtiota.

Valtiosihteeri Willemijn Aerdts esti yrityskaupan virallisesti 26. toukokuuta 2026 (Logius). Riskinarvion yksityiskohtia ei ole julkaistu kokonaan. Parlamentti sai luottamuksellista tietoa, ja oikeuskäsittelyssä oli suljettu osuus, jossa osapuolet kävivät läpi arkaluonteista aineistoa ilman toimittajia (Tweede Kamer).

Julkista on se, että kansanedustajat pelkäsivät yhdysvaltalaisomistuksen avaavan Washingtonille mahdollisuuden vaatia tietoja tai pahimmassa tapauksessa häiritä pääsyä palveluihin, joista kansalaiset ovat arjessaan riippuvaisia (NOS). Keskustelussa nousi esiin Yhdysvaltain CLOUD Act.

CLOUD Act on todellinen oikeudellinen riski, mutta siitä puhutaan helposti liian laajasti. Yhdysvaltain laki velvoittaa amerikkalaisen toimivallan piirissä olevan palveluntarjoajan luovuttamaan laillisella määräyksellä tiedot, jotka ovat sen hallussa tai määräysvallassa, vaikka data sijaitsisi Euroopassa (Cornell LII). Se on aito altistus.

Laki ei kuitenkaan anna Washingtonille etäkatkaisijaa, jolla se voisi selata järjestelmiä tai sulkea palvelun käskystä. Huoli "kill switchistä" kuuluu toiseen riskiluokkaan: riippuvuuteen toimittajasta, sopimusriitoihin, pääkäyttäjäoikeuksien menettämiseen tai siihen, että kriisin keskellä korvaavaa toimittajaa on vaikea löytää. Riskit ovat vakavia, mutta ne eivät ole sama asia kuin CLOUD Act. Jos ne niputetaan yhteen, vahva rakenteellinen argumentti alkaa kuulostaa salaliittoväitteeltä.

Rakenteellinen ongelma riittää sellaisenaan. Kun vakuutuksena esitetään, että "data pysyy Euroopassa", vastataan vain osaan kysymyksestä. Datan sijainti on yksi kerros. Syvempi kerros on hallinta: kuka voi ylläpitää järjestelmiä, viedä päivityksiä tuotantoon ja pitää palvelun toiminnassa, jos kaupallinen suhde katkeaa.

Kolme maata, kolme mallia

Ranska on yrittänyt tehdä digitaalisesta suvereniteetista hallinnollisen ja mitattavan asian. Jos pilvipalveluyhtiö haluaa hoitaa arkaluonteista valtion työtä, sen on saatava SecNumCloud-sertifiointi. Sertifiointi edellyttää näyttöä siitä, etteivät ulkomaiset lait pääse helposti palveluun käsiksi (Alliancy). Poliittinen iskulause muuttuu hankintakriteeriksi: joko ehdot täyttyvät tai tarjousta ei tehdä.

Ruotsi toimii toisin. Se ei pyri seulomaan jokaista toimittajaa samalla tavalla, vaan pitää identiteetin perustan valtiolla. Oikeusministeriö on ehdottanut uutta valtion myöntämää henkilökorttia, jossa olisi biometriset tiedot ja sisäänrakennettu sähköinen tunnistautuminen (Dagens.se). Ruotsi on myös vetänyt työtä EU:n tulevan digitaalisen identiteettilompakon sertifiointijärjestelmän parissa (Digg). Yksityiset yritykset voivat hoitaa putkiston, mutta pääavain jää valtiolle.

Alankomaat näyttää tässä vertailussa reaktiivisemmalta. Parlamenttiasiakirjoissa näkyy laajempaa pohdintaa suvereeneista pilvipalveluista (1848.nl), mutta Solvinity-kiista koskee yhtä yrityskauppaa. Kauppa estettiin luottamuksellisen riskinarvion jälkeen, ja päätöstä puolustetaan nyt oikeudessa.

Mitä oikeus ratkaisee

EU ei yritä rakentaa erillistä internetiä. Se rakentaa välineitä, joilla hallitukset voivat arvioida yrityskauppoja, vaatia kyberturvatoimia ja tehdä pilvitoimittajien vaihtamisesta helpompaa. Ulkomaisten investointien seulonta antaa jäsenmaille mahdollisuuden tarkastaa yritysostoja herkillä aloilla (Paul Weiss). NIS2-direktiivi lisää kriittisen infrastruktuurin toimijoille turvallisuus- ja toimitusketjuvelvoitteita (European Commission). Data Act eli datasäädös käsittelee pilvipalvelujen vaihtamista ja suojaa lainvastaisia ulkomaisia tietopyyntöjä vastaan (EUR-Lex).

Yksikään väline ei yksin ratkaise ongelmaa. Yhdessä ne siirtävät kysymyksen pois palvelimen sijainnista kohti riippuvuuden hallintaa.

Rotterdamin tapaus täsmentää tätä rajaa. Jos hallitus voittaa, vahvistuu periaate, jonka mukaan julkisen digitaalisen infrastruktuurin omistusmuutoksia voidaan estää, vaikka koko riskianalyysi pysyisi salassa. Jos Solvinity voittaa, valtio voi joutua osoittamaan, että se arvioi myös vähemmän järeitä keinoja: sopimusehtoja, arkaluonteisten toimintojen eriyttämistä ulkomaisesta emoyhtiöstä tai pakollisia irtautumissuunnitelmia.

Tuomioistuin ratkaisee, kuinka paljon näyttöä valtion on esitettävä, kun se estää yrityskaupan suojellakseen palvelua, josta kansalaiset eivät käytännössä voi jättäytyä pois. Miljoonille DigiD:n käyttäjille juuri sillä on merkitystä.