Sud odlučuje o DigiD-u

Svaki put kada nizozemski građanin preko interneta podnosi poreznu prijavu, provjerava pravo na socijalnu naknadu ili se prijavljuje na neku javnu uslugu, prolazi kroz DigiD, nacionalni sustav elektroničke identifikacije. Većina korisnika ne razmišlja o tome tko održava infrastrukturu iza tog sustava. Upravo je to sada postalo političko i pravno pitanje.

Platformu na kojoj DigiD radi održava privatna tvrtka Solvinity (AG Connect). Kada ju je pokušala preuzeti američka informatička tvrtka Kyndryl, nizozemska je vlada zaustavila posao pozivajući se na nacionalnu sigurnost. Solvinity je u lipnju osporio tu odluku pred sudom u Rotterdamu, a dio rasprave održan je iza zatvorenih vrata (Tweakers). Time je izraz koji političari često koriste, „digitalni suverenitet”, dobio vrlo konkretan oblik: tko smije posjedovati tvrtke bez kojih država više ne može normalno funkcionirati na internetu.

Kontrolna soba iza mreže

Digitalne javne usluge mogu se usporediti s elektroenergetskom mrežom. Država propisuje pravila i stavlja svoje ime na korisničko sučelje, ali privatni izvođač često drži ključeve kontrolne sobe: tehničku dokumentaciju, šifrirne ključeve i operativno znanje potrebno da sustav radi i kada je pod pritiskom (policyreview.info). Solvinity je za dio nizozemske digitalne države imao upravo takvu ulogu.

Državna tajnica Willemijn Aerdts formalno je 26. svibnja 2026. blokirala preuzimanje (Logius). Detaljna procjena rizika nije u cijelosti objavljena. Parlament je dobio povjerljive informacije, a sudska rasprava uključivala je zatvoreni dio u kojem su obje strane, bez nazočnosti novinara, raspravljale o osjetljivim podacima (Tweede Kamer).

Ono što jest poznato pokazuje smjer zabrinutosti: zastupnici su upozoravali da bi američko vlasništvo moglo otvoriti prostor da Washington zatraži podatke ili, u najgorem slučaju, utječe na pristup uslugama o kojima građani svakodnevno ovise (NOS). U toj se raspravi često spominjao američki CLOUD Act.

CLOUD Act postoji i nije bezazlen, ali javna ga rasprava lako pretvori u nešto šire nego što on pravno jest. Američki zakon obvezuje pružatelja usluge pod američkom jurisdikcijom da, na temelju zakonitog naloga, preda podatke koji su u njegovu „posjedu, čuvanju ili pod nadzorom”, čak i ako su fizički pohranjeni u Europi (Cornell LII). To jest stvarna pravna izloženost.

No taj zakon Washingtonu ne daje daljinski prekidač kojim bi mogao pregledavati sustave ili po zapovijedi ugasiti javnu uslugu. Strah od takvog „prekidača” pripada drugoj vrsti rizika: ovisnosti o dobavljaču, sporu oko ugovora, gubitku administratorskog pristupa ili praktičnoj nemogućnosti da se u krizi brzo zamijeni tvrtka koja održava sustav. Ti su rizici ozbiljni, ali nisu isto što i CLOUD Act. Kada se sve stavi u isti koš, argument zvuči kao teorija zavjere, iako je problem zapravo strukturni.

A strukturni problem dovoljno je jak i bez pretjerivanja. Kada je glavno jamstvo da „podaci ostaju u Europi”, odgovara se samo na dio pitanja. Mjesto pohrane podataka jedna je razina. Dublja je razina kontrola: tko može upravljati sustavom, instalirati nadogradnje i održati uslugu živom ako se poslovni odnos raspadne.

Tri zemlje, tri pristupa

Francuska je pokušala digitalni suverenitet pretvoriti u administrativno provjerljiv uvjet. Ako pružatelj usluga u oblaku želi raditi s osjetljivim državnim podacima, mora dobiti certifikat SecNumCloud, koji zahtijeva dokaz da strane jurisdikcije ne mogu lako zahvatiti tu uslugu (Alliancy). Politička parola tako postaje kriterij javne nabave: ili zadovoljavaš uvjete ili ne možeš sudjelovati.

Švedska ide drukčijim putem. Umjesto da pojedinačno provjerava svakog dobavljača, nastoji zadržati državnu kontrolu nad temeljnom razinom identiteta. Ministarstvo pravosuđa predložilo je novu državnu osobnu iskaznicu s biometrijom i ugrađenom elektroničkom identifikacijom (Dagens.se), a Švedska je predvodila rad na sustavu certifikacije za budući europski novčanik digitalnog identiteta (Digg). Privatne tvrtke mogu održavati tehničku infrastrukturu, ali država zadržava glavni ključ.

Nizozemska u ovom slučaju djeluje reaktivnije. Parlamentarni dokumenti pokazuju da se ondje šire razmišlja o suverenim uslugama u oblaku (1848.nl), no slučaj Solvinity ostaje konkretna transakcija blokirana nakon povjerljive procjene rizika, koju vlada sada mora obraniti pred sudom.

Što sud zapravo odlučuje

Europska unija ne pokušava izgraditi odvojeni internet. Ona gradi alate koji vladama omogućuju da preispituju preuzimanja, traže kibernetičke zaštitne mjere i smanje ovisnost o pojedinom dobavljaču usluga u oblaku. Provjera stranih ulaganja omogućuje državama članicama da razmatraju preuzimanja u osjetljivim sektorima (Paul Weiss). Direktiva NIS2 uvodi sigurnosne obveze i obveze upravljanja lancem dobave za operatere kritične infrastrukture (European Commission). Akt o podacima uređuje lakšu promjenu pružatelja usluga u oblaku i zaštitu od nezakonitih stranih zahtjeva za pristup podacima (EUR-Lex). Nijedan od tih instrumenata sam ne rješava problem. Zajedno pomiču raspravu s pitanja „gdje je poslužitelj” na pitanje „tko upravlja ovisnošću”.

Rotterdamski slučaj tu će granicu učiniti jasnijom. Ako vlada uspije, ojačat će načelo da se promjene vlasništva u javnoj digitalnoj infrastrukturi mogu blokirati i kada cjelovita analiza rizika ostaje tajna. Ako Solvinity dobije spor, država bi mogla biti prisiljena pokazati da je razmotrila blaže mjere: strože ugovorne obveze, izdvajanje osjetljivih operacija od stranog vlasnika ili obvezne planove izlaska iz dobavljačkog odnosa. Sud će odlučiti koliko dokaza država mora iznijeti kada blokira preuzimanje kako bi zaštitila uslugu koju građani u praksi ne mogu izbjeći. Za milijune ljudi koji se u DigiD prijavljuju bez razmišljanja, to je pravo pitanje.