DigiD bloque un rachat américain

Les Pays-Bas ont bloqué le rachat de Solvinity, prestataire clé de DigiD, par l’américain Kyndryl au nom de la sécurité nationale. Le tribunal de Rotterdam doit dire jusqu’où l’État peut aller pour protéger une infrastructure numérique dont les citoyens ne peuvent pas se passer.

À chaque déclaration d’impôt en ligne, demande d’allocation ou connexion à un service public, les Néerlandais passent par DigiD, le système national d’identification numérique. L’interface paraît publique. Une partie décisive de son fonctionnement repose pourtant sur des prestataires privés, dont Solvinity, qui exploite la plateforme sur laquelle DigiD s’appuie (AG Connect).

Lorsque Kyndryl, groupe informatique dont le siège est aux États-Unis, a voulu racheter Solvinity, le gouvernement néerlandais a bloqué l’opération pour des motifs de sécurité nationale. Solvinity a contesté cette décision en juin devant un tribunal de Rotterdam, dont une partie de l’audience s’est tenue à huis clos (Tweakers). La formule très commode de « souveraineté numérique » devient ici un litige juridique précis : qui peut posséder les entreprises sans lesquelles l’État fonctionne en ligne ?

La salle de contrôle derrière le réseau

Les services publics numériques ressemblent moins à un site administratif qu’à un réseau électrique. L’État fixe les règles, donne son nom au portail et assume la responsabilité politique. Mais un sous-traitant privé détient souvent les accès techniques, la connaissance opérationnelle, les procédures de maintenance et parfois les clés de chiffrement nécessaires pour maintenir le service en cas de tension (policyreview.info). Solvinity occupait cette position pour une partie de l’État numérique néerlandais.

Le 26 mai 2026, la secrétaire d’État Willemijn Aerdts a formellement interdit le rachat (Logius). L’évaluation détaillée des risques n’a pas été rendue publique : le Parlement a reçu des éléments confidentiels, et le tribunal a entendu certains arguments hors de la présence des journalistes (Tweede Kamer). Cette opacité n’est pas un détail procédural. Elle place le juge devant l’arbitrage classique des dossiers de sécurité nationale : contrôler la décision de l’État sans exposer les informations qui, selon lui, justifient le blocage.

Les inquiétudes publiques portent surtout sur l’effet d’une propriété américaine. Des députés ont redouté que Washington puisse demander l’accès à des données ou, dans le scénario le plus extrême, perturber des services utilisés chaque jour par les citoyens (NOS). Le CLOUD Act américain a donc pris une place centrale dans le débat.

Ce texte mérite d’être pris au sérieux, mais pas d’être transformé en épouvantail. Le droit américain peut obliger un fournisseur relevant de la juridiction des États-Unis à remettre des données en sa « possession, garde ou contrôle », même si elles sont stockées en Europe, lorsqu’une demande légale lui est adressée (Cornell LII). C’est une exposition juridique réelle. En revanche, le CLOUD Act ne donne pas à Washington un interrupteur lui permettant de parcourir à distance les systèmes ou de couper un service public sur ordre.

Le risque plus large relève de la dépendance : un conflit contractuel, une perte d’accès administrateur, une mise à jour imposée, ou simplement l’impossibilité de remplacer un fournisseur en pleine crise. Ces risques sont sérieux, mais ils ne sont pas identiques au CLOUD Act. Les confondre affaiblit l’argument, en le faisant basculer du terrain structurel vers le soupçon.

Le vrai sujet suffit largement. Dire que « les données restent en Europe » répond à une question trop étroite. La localisation des données est une couche du problème. Le contrôle en est une autre, plus profonde : qui administre les systèmes, qui pousse les mises à jour, qui sait remettre le service en marche et qui garde la main si la relation commerciale se détériore ?

Trois pays, trois méthodes

La France a cherché à rendre la souveraineté numérique moins déclaratoire et plus vérifiable. Pour accéder à certains marchés sensibles de l’État, un fournisseur de cloud doit obtenir la certification SecNumCloud, qui impose notamment de démontrer que des droits étrangers ne peuvent pas facilement atteindre le service (Alliancy). Le slogan devient alors un filtre d’achat public : soit l’entreprise remplit les conditions, soit elle ne peut pas concourir.

La Suède suit une autre logique. Plutôt que de passer chaque fournisseur au crible, elle veut garder la racine de l’identité sous contrôle public. Le ministère de la justice a proposé une nouvelle carte d’identité nationale avec biométrie et identification électronique intégrée (Dagens.se), tandis que Stockholm a piloté des travaux sur le système de certification du futur portefeuille européen d’identité numérique (Digg). Les entreprises privées peuvent gérer la tuyauterie, mais l’État conserve la clé maîtresse.

Les Pays-Bas paraissent, dans ce dossier, plus réactifs. Les documents parlementaires montrent une réflexion plus large sur des services cloud souverains (1848.nl), mais l’affaire Solvinity reste d’abord une opération précise, bloquée après une évaluation confidentielle des risques, puis défendue devant un juge. Le contraste avec la France est instructif : Paris tente de codifier en amont les conditions d’accès au marché, La Haye justifie après coup une interdiction ciblée.

Ce que le tribunal devra trancher

L’Union européenne ne cherche pas à construire un Internet séparé. Elle empile plutôt des instruments qui permettent aux États de questionner les rachats, d’exiger des garanties de cybersécurité et de rendre les fournisseurs de cloud moins irremplaçables. Le filtrage des investissements étrangers autorise les États membres à examiner les acquisitions dans des secteurs sensibles (Paul Weiss). La directive NIS2 impose des obligations de sécurité et de maîtrise de la chaîne d’approvisionnement aux opérateurs d’infrastructures critiques (European Commission). Le Data Act traite, lui, du changement de fournisseur cloud et de la protection contre les demandes étrangères illégales d’accès aux données (EUR-Lex).

Aucun de ces textes ne règle seul le problème. Ensemble, ils déplacent la question : il ne s’agit plus seulement de savoir où se trouve le serveur, mais qui gouverne la dépendance. C’est exactement le cœur du dossier DigiD.

Si le gouvernement néerlandais l’emporte, il renforcera l’idée qu’un changement de propriétaire dans une infrastructure numérique publique peut être bloqué même lorsque l’analyse complète des risques demeure classifiée. Si Solvinity gagne, l’État pourrait devoir démontrer qu’il a envisagé des solutions moins radicales : clauses contractuelles renforcées, séparation des opérations sensibles de la maison mère étrangère, plans de sortie obligatoires. Le tribunal devra donc fixer le niveau de preuve exigible lorsqu’un gouvernement interdit un rachat pour protéger un service auquel les citoyens ne peuvent pas réellement renoncer. Pour les millions de Néerlandais qui se connectent à DigiD sans y penser, c’est la seule question qui compte.