Nyderlandų teismas vertina DigiD blokadą

Kiekvieną kartą, kai Nyderlandų gyventojas internetu deklaruoja mokesčius, tikrina socialinę išmoką ar jungiasi prie viešosios paslaugos, jis pereina per „DigiD“ — nacionalinę elektroninės tapatybės sistemą. Dauguma vartotojų nemato, kas šią sistemą palaiko. Būtent ten ir prasideda politinis ginčas.

„DigiD“ veikia platformoje, kurią prižiūri privati bendrovė „Solvinity“ (AG Connect). Kai JAV įsikūrusi IT įmonė „Kyndryl“ pabandė įsigyti „Solvinity“, Nyderlandų vyriausybė sandorį užblokavo, motyvuodama nacionalinio saugumo rizika. Birželį „Solvinity“ šį sprendimą apskundė Roterdamo teismui. Dalis posėdžio vyko už uždarų durų (Tweakers). Taip dažnai politikų vartojama „skaitmeninio suvereniteto“ sąvoka tapo konkrečia teisine byla: kam leidžiama valdyti įmones, nuo kurių priklauso kasdienis valstybės veikimas internete.

Valdymo kambarys už elektros tinklo

Skaitmenines viešąsias paslaugas galima įsivaizduoti kaip elektros tinklą. Valstybė nustato taisykles ir uždeda savo ženklą ant vartotojo matomo lango. Tačiau privatus rangovas dažnai laiko raktus nuo valdymo kambario: techninės priežiūros žinias, šifravimo raktus, operacinę patirtį, reikalingą sistemai išlaikyti veikiant esant apkrovai ar sutrikimams (policyreview.info). „Solvinity“ tokį vaidmenį atliko dalyje Nyderlandų skaitmeninės valstybės infrastruktūros.

2026 m. gegužės 26 d. valstybės sekretorė Vilemeina Aerdts oficialiai sustabdė perėmimą (Logius). Detalus rizikos vertinimas viešai nepaskelbtas. Parlamentui pateikta konfidenciali informacija, o teisme jautri medžiaga nagrinėta uždarame posėdyje, nedalyvaujant žurnalistams (Tweede Kamer).

Viešai žinoma tiek, kad parlamento nariai kėlė klausimą, ar JAV savininkas nesudarytų sąlygų Vašingtonui prašyti duomenų arba, kraštutiniu atveju, paveikti prieigą prie paslaugų, kuriomis gyventojai naudojasi kasdien (NOS). Šiose diskusijose dažnai minėtas JAV CLOUD Act įstatymas.

CLOUD Act nėra išgalvota problema, bet viešose kalbose jo poveikis kartais išpučiamas. JAV teisė numato, kad amerikiečių jurisdikcijai priklausantis paslaugų teikėjas, gavęs teisėtą nurodymą, turi perduoti duomenis, esančius jo „turėjime, priežiūroje ar kontrolėje“, net jei jie saugomi Europoje (Cornell LII). Tai reali teisinė rizika. Tačiau šis įstatymas nesuteikia Vašingtonui nuotolinio jungiklio, leidžiančio naršyti sistemas ar pagal komandą išjungti paslaugą.

Platesnė baimė dėl vadinamojo išjungimo mygtuko priklauso kitai rizikų grupei: priklausomybei nuo tiekėjo, sutartiniams ginčams, administravimo prieigos praradimui ar praktiniam sunkumui krizės metu greitai pakeisti rangovą. Šios rizikos rimtos, bet jos nėra tas pats, kas CLOUD Act. Jas suplakus į vieną, argumentas silpnėja, nes struktūrinė problema pradeda skambėti kaip sąmokslo prielaida.

Pati struktūrinė problema pakankamai aiški. Kai raminama, kad „duomenys lieka Europoje“, atsakoma tik į dalį klausimo. Duomenų buvimo vieta — vienas sluoksnis. Gilesnis klausimas — kontrolė: kas gali administruoti sistemas, diegti atnaujinimus ir išlaikyti paslaugą veikiančią, jei komerciniai santykiai nutrūksta.

Trys šalys, trys modeliai

Prancūzija bandė skaitmeninį suverenitetą paversti ne šūkiu, o patikros procedūra. Jei debesijos paslaugų teikėjas nori dirbti su jautriais valstybės užsakymais, jis turi gauti „SecNumCloud“ sertifikatą, kuriam būtina įrodyti, kad užsienio teisė negali lengvai pasiekti paslaugos (Alliancy). Politinis principas taip tampa viešųjų pirkimų filtru: arba atitinki sąlygas, arba konkurse nedalyvauji.

Švedija renkasi kitą kelią. Užuot tikrinusi kiekvieną tiekėją atskirai, ji siekia, kad valstybė kontroliuotų pačią tapatybės šaknį. Teisingumo ministerija pasiūlė naują valstybės išduodamą asmens tapatybės kortelę su biometriniais duomenimis ir integruota elektronine atpažintimi (Dagens.se). Švedija taip pat aktyviai prisidėjo prie būsimos ES skaitmeninės tapatybės dėklės sertifikavimo sistemos kūrimo (Digg). Privatus sektorius gali prižiūrėti techninę infrastruktūrą, bet pagrindinis raktas lieka valstybės rankose.

Nyderlandų modelis šiuo atveju atrodo labiau reaktyvus. Parlamento dokumentuose matyti platesnis mąstymas apie suverenias debesijos paslaugas (1848.nl), tačiau „Solvinity“ byla — konkretus sandoris, sustabdytas po konfidencialaus rizikos vertinimo ir dabar ginamas teisme.

Ką iš tiesų spręs teismas

ES nebando kurti atskiro interneto. Ji kuria priemones, leidžiančias vyriausybėms tikrinti įsigijimus, reikalauti kibernetinio saugumo garantijų ir mažinti priklausomybę nuo vieno debesijos tiekėjo. Tiesioginių užsienio investicijų patikros mechanizmas leidžia valstybėms narėms vertinti įsigijimus jautriuose sektoriuose (Paul Weiss). NIS2 direktyva kritinės infrastruktūros operatoriams nustato saugumo ir tiekimo grandinės pareigas (European Commission). Duomenų aktas reguliuoja perėjimą tarp debesijos paslaugų teikėjų ir apsaugą nuo neteisėtų užsienio institucijų prašymų dėl duomenų (EUR-Lex). Nė viena iš šių priemonių problemos neišsprendžia viena. Kartu jos keičia klausimą: ne vien kur stovi serveris, bet kas valdo priklausomybę.

Roterdamo byla šį klausimą sukonkretins. Jei vyriausybė laimės, sustiprės principas, kad nuosavybės pokyčiai viešojoje skaitmeninėje infrastruktūroje gali būti blokuojami net tada, kai visas rizikos vertinimas lieka įslaptintas. Jei laimės „Solvinity“, valstybė gali būti priversta aiškiau parodyti, ar svarstė mažiau griežtas priemones: sutartinius apribojimus, jautrių operacijų atskyrimą nuo užsienio patronuojančios bendrovės, privalomus pasitraukimo planus.

Teismas spręs, kiek įrodymų valstybė turi pateikti blokuodama perėmimą, kai saugoma paslauga, kurios piliečiai realiai negali atsisakyti. Milijonams žmonių, kurie prie „DigiD“ jungiasi apie tai negalvodami, būtent tai ir svarbiausia.