Bíróság előtt a DigiD felvásárlása

A holland állampolgárok minden alkalommal a DigiD-n keresztül lépnek be az állami digitális rendszerbe, amikor online adóbevallást adnak be, szociális juttatást ellenőriznek, vagy valamelyik közszolgáltatást intézik. A DigiD Hollandia nemzeti azonosítási rendszere. A legtöbben nem foglalkoznak azzal, milyen céges és technikai infrastruktúra működteti ezt a kaput, pedig épp ez lett a vita lényege.

A DigiD működésének platformját egy Solvinity nevű magáncég üzemelteti (AG Connect). Amikor az amerikai központú Kyndryl informatikai vállalat megpróbálta felvásárolni a Solvinityt, a holland kormány nemzetbiztonsági okokra hivatkozva megakadályozta az ügyletet. A Solvinity júniusban a rotterdami bíróságon támadta meg a döntést; a tárgyalás egy részét zárt ajtók mögött tartották (Tweakers). Az ügy azt mutatja meg, mit jelent a politikusok által gyakran emlegetett „digitális szuverenitás”, amikor már nem jelszóként, hanem tulajdonosi és üzemeltetési kérdésként kerül bíróság elé.

A hálózat mögötti vezérlőterem

A digitális állami szolgáltatások sok szempontból úgy működnek, mint egy közműhálózat. Az állam szabályozza a rendszert, az állampolgár pedig az állami felületet látja. A háttérben azonban gyakran egy magánbeszállító kezében vannak azok az eszközök, amelyek nélkül a rendszer nem tartható üzemben: a karbantartási tudás, a titkosítási kulcsok, az adminisztrátori hozzáférések és az a gyakorlati tapasztalat, amely válsághelyzetben döntő lehet (policyreview.info). A holland digitális állam egy részében a Solvinity töltötte be ezt a szerepet.

Willemijn Aerdts államtitkár 2026. május 26-án hivatalosan blokkolta a felvásárlást (Logius). A részletes kockázatelemzést nem hozták teljes egészében nyilvánosságra. A parlament bizalmas tájékoztatást kapott, a bírósági tárgyalás zárt részében pedig az újságírók kizárásával vitatták meg az érzékeny információkat (Tweede Kamer).

A nyilvános vita alapján a holland képviselők attól tartottak, hogy az amerikai tulajdon Washington számára adatkiadási lehetőséget teremthet, szélsőséges esetben pedig kockázatot jelenthet azoknak a szolgáltatásoknak az elérésére, amelyeket az állampolgárok naponta használnak (NOS). Ebben a vitában központi szerepet kapott az amerikai CLOUD Act.

A CLOUD Act valódi jogi kockázat, de a róla szóló nyilvános beszéd könnyen túlterjeszkedik azon, amit a törvény ténylegesen lehetővé tesz. Az amerikai jog alapján az Egyesült Államok joghatósága alá tartozó szolgáltatónak jogszerű hatósági megkeresés esetén át kell adnia azokat az adatokat, amelyek a „birtokában, őrizetében vagy ellenőrzése alatt” vannak, akkor is, ha az adatokat Európában tárolják (Cornell LII). Ez valós kitettség. A törvény ugyanakkor nem ad Washingtonnak távoli kapcsolót arra, hogy rendszerekben böngésszen vagy utasításra leállítson egy szolgáltatást.

A „kill switch”-től való félelem ezért más típusú kockázatra utal: beszállítói függésre, szerződéses konfliktusokra, adminisztrátori hozzáférések elvesztésére, vagy arra, hogy válság idején rendkívül nehéz gyorsan lecserélni egy kulcsszállítót. Ezek komoly kockázatok, de nem azonosak a CLOUD Acttel. Ha a kettő összemosódik, a strukturális érv gyengül, mert összeesküvésnek hangzik az, ami valójában intézményi függési probléma.

A lényeg önmagában is elég erős. Amikor a megnyugtató válasz az, hogy „az adatok Európában maradnak”, az csak a kérdés egyik rétegére felel. Az adatok földrajzi helye fontos, de nem elég. A mélyebb kérdés az ellenőrzés: ki tudja adminisztrálni a rendszert, ki tud frissítést telepíteni, és ki képes üzemben tartani a szolgáltatást, ha a kereskedelmi kapcsolat megszakad.

Három ország, három modell

Franciaország a digitális szuverenitást igyekszik unalmas, ellenőrizhető beszerzési szabállyá alakítani. Ha egy felhőszolgáltató érzékeny állami megbízást akar, meg kell szereznie a SecNumCloud tanúsítványt, amelynél azt is bizonyítania kell, hogy külföldi jogszabályok nem férnek hozzá könnyen a szolgáltatáshoz (Alliancy). Így a politikai szlogenből beszerzési szűrő lesz: aki megfelel, pályázhat, aki nem, kimarad.

Svédország más logikát követ. Nem minden beszállítót szűr ugyanazzal a módszerrel, hanem azt biztosítja, hogy az állam kezében maradjon a digitális személyazonosság gyökere. Az igazságügyi minisztérium új, államilag kibocsátott, biometrikus adatokat és beépített elektronikus azonosítást tartalmazó személyi igazolványt javasolt (Dagens.se). Svédország emellett vezető szerepet vitt az EU készülő digitális személyazonossági tárcájának tanúsítási rendszerében is (Digg). A technikai működtetésben részt vehetnek magáncégek, de a főkulcs az államnál marad.

Hollandia ehhez képest inkább reaktív képet mutat. A holland parlamenti dokumentumok alapján a szuverén felhőszolgáltatásokról szélesebb gondolkodás is zajlik (1848.nl), de a Solvinity-ügy konkrét felvásárlási tranzakcióból indult: a kormány bizalmas kockázatelemzés után blokkolta az üzletet, most pedig bíróságon kell megvédenie a döntését.

Mit dönthet el valójában a bíróság?

Az EU nem külön internetet akar építeni. Inkább olyan eszközöket hoz létre, amelyekkel a kormányok megvizsgálhatják az érzékeny felvásárlásokat, kiberbiztonsági garanciákat követelhetnek, és könnyebbé tehetik a felhőszolgáltatók lecserélését. A külföldi működőtőke-beruházások átvilágítása lehetővé teszi, hogy a tagállamok ellenőrizzék az érzékeny ágazatokban tervezett akvizíciókat (Paul Weiss). A NIS2 irányelv biztonsági és ellátási láncra vonatkozó kötelezettségeket ír elő a kritikus infrastruktúrák üzemeltetőinek (European Commission). Az Adatrendelet a felhőszolgáltatók közötti váltással és a jogellenes külföldi adatkérelmek elleni védelemmel foglalkozik (EUR-Lex). Egyik szabály sem oldja meg önmagában a problémát, együtt azonban áthelyezik a hangsúlyt: nem az a fő kérdés, hol van a szerver, hanem az, ki irányítja a függést.

A rotterdami per ezt a kérdést teszi élesebbé. Ha a kormány nyer, erősödik az az elv, hogy a közszolgáltatások digitális infrastruktúrájában a tulajdonosváltás akkor is blokkolható, ha a teljes kockázatelemzés minősített marad. Ha a Solvinity nyer, az államnak valószínűleg pontosabban kell majd bizonyítania, hogy mérlegelt-e enyhébb megoldásokat: szerződéses korlátokat, az érzékeny műveletek leválasztását a külföldi anyavállalatról, vagy kötelező kilépési terveket.

A bíróság végső soron arról dönt, mennyi bizonyítékot kell egy államnak bemutatnia, amikor egy olyan szolgáltatás védelmében akadályoz meg felvásárlást, amelyből az állampolgárok a gyakorlatban nem tudnak kilépni. A DigiD-be naponta belépő milliók számára ez a per valódi tétje.