DigiD, il veto olandese finisce in tribunale

Ogni volta che un cittadino olandese presenta la dichiarazione dei redditi online, controlla un sussidio pubblico o accede a un servizio dello Stato, passa da DigiD, il sistema nazionale di autenticazione digitale. La maggior parte degli utenti non si chiede che cosa ci sia sotto quell'accesso apparentemente ordinario. Farebbe bene a chiederselo.

La piattaforma su cui funziona DigiD è gestita da Solvinity, una società privata (AG Connect). Quando Kyndryl, gruppo informatico con sede negli Stati Uniti, ha tentato di acquistare Solvinity, il governo olandese ha bloccato l'operazione invocando ragioni di sicurezza nazionale. A giugno Solvinity ha impugnato la decisione davanti a un tribunale di Rotterdam, con una parte dell'udienza svolta a porte chiuse (Tweakers). Il caso trasforma una formula cara ai politici, la «sovranità digitale», in una controversia giuridica molto concreta: chi può possedere le società che tengono in funzione lo Stato online.

La sala di controllo dietro la rete

I servizi pubblici digitali somigliano, per certi versi, a una rete elettrica. Lo Stato detta le regole e mette il proprio nome sull'interfaccia, ma spesso è un fornitore privato a conservare le chiavi della sala di controllo: manuali di manutenzione, chiavi di cifratura, competenze operative necessarie perché il sistema regga anche sotto pressione (policyreview.info). Per una parte dello Stato digitale olandese, Solvinity ha svolto esattamente questo ruolo.

Il 26 maggio 2026 la sottosegretaria Willemijn Aerdts ha formalmente bloccato l'acquisizione (Logius). La valutazione dettagliata dei rischi non è stata resa pubblica integralmente: il Parlamento ha ricevuto informazioni riservate e l'udienza ha previsto una sessione chiusa, nella quale le parti hanno discusso materiale sensibile lontano dai giornalisti (Tweede Kamer).

La parte emersa è sufficiente a spiegare la posta in gioco. Alcuni parlamentari hanno espresso il timore che una proprietà statunitense potesse consentire a Washington di chiedere dati o, nello scenario peggiore, di compromettere l'accesso a servizi di cui i cittadini si servono ogni giorno (NOS). Nel dibattito è entrato con forza il CLOUD Act americano.

Il CLOUD Act esiste e pone un problema reale, ma il dibattito pubblico rischia di gonfiarne la portata. La legge statunitense impone a un fornitore soggetto alla giurisdizione americana di consegnare, in presenza di un ordine legittimo, i dati che si trovino nel suo «possesso, custodia o controllo», anche quando quei dati siano conservati in Europa (Cornell LII). È un'esposizione giuridica concreta. Non significa però che Washington disponga di un interruttore remoto per frugare nei sistemi o spegnere un servizio a comando. Il timore più ampio di un «kill switch» appartiene a un'altra categoria: dipendenza dal fornitore, dispute contrattuali, perdita degli accessi amministrativi, oppure la difficoltà materiale di sostituire un operatore nel mezzo di una crisi. Sono rischi seri, ma diversi dal CLOUD Act. Confonderli indebolisce l'argomento, perché lo fa apparire cospirativo invece che strutturale.

Il punto strutturale basta da solo. Quando la rassicurazione è che «i dati restano in Europa», si risponde alla domanda sbagliata. La localizzazione dei dati è solo uno strato. Più in profondità c'è il controllo: chi amministra i sistemi, chi può distribuire aggiornamenti, chi mantiene vivo il servizio se il rapporto commerciale si rompe.

Tre Paesi, tre strade

La Francia ha provato a rendere la sovranità una questione ordinaria, verificabile, quasi burocratica nel senso più serio del termine. Un fornitore cloud che voglia lavorare su funzioni sensibili dello Stato deve ottenere la certificazione SecNumCloud, dimostrando che leggi straniere non possano raggiungere facilmente il servizio (Alliancy). Lo slogan politico diventa così un filtro negli appalti: o si rispettano i requisiti, oppure non si partecipa.

La Svezia segue una logica diversa. Più che sottoporre ogni fornitore a uno screening preventivo, si assicura che lo Stato controlli la radice dell'identità digitale. Il ministero della Giustizia ha proposto una nuova carta d'identità statale con dati biometrici e identificazione elettronica integrata (Dagens.se), mentre Stoccolma ha avuto un ruolo guida nello sviluppo del sistema di certificazione per il futuro portafoglio europeo di identità digitale (Digg). Le imprese private possono occuparsi delle tubature, ma la chiave maestra resta allo Stato.

I Paesi Bassi, al contrario, appaiono più reattivi. I documenti parlamentari mostrano una riflessione più ampia sui servizi cloud sovrani (1848.nl), ma il caso Solvinity riguarda un'operazione specifica, bloccata dopo una valutazione riservata dei rischi e ora difesa davanti ai giudici.

Che cosa deciderà davvero il tribunale

L'Unione europea non sta cercando di costruire un internet separato. Sta costruendo strumenti che consentano ai governi di interrogarsi sulle acquisizioni, imporre garanzie di cybersicurezza e rendere più sostituibili i fornitori cloud. Il controllo sugli investimenti esteri permette agli Stati membri di esaminare acquisizioni in settori sensibili (Paul Weiss). La direttiva NIS2 aggiunge obblighi di sicurezza e di controllo della catena di fornitura per gli operatori di infrastrutture critiche (European Commission). Il Data Act affronta il passaggio da un fornitore cloud all'altro e le protezioni contro richieste straniere illegittime di accesso ai dati (EUR-Lex). Nessuno di questi strumenti, da solo, risolve il problema. Insieme, però, spostano la domanda da «dove si trova il server?» a «chi governa la dipendenza?».

Il caso di Rotterdam renderà questa domanda più netta. Se il governo prevarrà, si rafforzerà il principio secondo cui i cambi di proprietà nelle infrastrutture digitali pubbliche possono essere bloccati anche quando l'analisi completa dei rischi rimane classificata. Se vincerà Solvinity, lo Stato potrebbe essere costretto a dimostrare di avere valutato opzioni meno drastiche: controlli contrattuali, separazione delle attività sensibili dalla capogruppo straniera, piani obbligatori di uscita. Il tribunale dovrà stabilire quante prove debba mostrare uno Stato quando blocca un'acquisizione per proteggere un servizio dal quale i cittadini, in pratica, non possono scegliere di uscire. Per milioni di persone che accedono a DigiD senza pensarci due volte, è questa la questione che conta.