Holenderski sąd bada blokadę DigiD

Gdy obywatel Holandii rozlicza podatki przez internet, sprawdza świadczenia albo loguje się do usługi publicznej, korzysta z DigiD, krajowego systemu uwierzytelniania. Dla większości użytkowników to po prostu bramka logowania. Dla państwa jest to jednak jeden z punktów, w których cyfrowa administracja przestaje być abstrakcją, a staje się infrastrukturą krytyczną.

Platformę, na której działa DigiD, obsługuje prywatna spółka Solvinity (AG Connect). Kiedy amerykański koncern informatyczny Kyndryl próbował ją przejąć, rząd Holandii zablokował transakcję, powołując się na bezpieczeństwo narodowe. W czerwcu Solvinity zaskarżyła tę decyzję przed sądem w Rotterdamie. Część rozprawy odbyła się za zamkniętymi drzwiami (Tweakers). W ten sposób modne hasło „suwerenności cyfrowej” stało się konkretnym sporem prawnym o to, kto może posiadać firmy utrzymujące państwo w internecie.

Sterownia za publiczną siecią

Cyfrowe usługi publiczne przypominają sieć energetyczną. Państwo ustala zasady, firmuje interfejs i odpowiada przed obywatelami. Często jednak to prywatny wykonawca ma dostęp do sterowni: dokumentacji technicznej, kluczy szyfrujących, procedur awaryjnych i wiedzy operacyjnej potrzebnej wtedy, gdy system działa pod presją (policyreview.info). W części holenderskiego państwa cyfrowego taką rolę pełniła Solvinity.

26 maja 2026 r. sekretarz stanu Willemijn Aerdts formalnie zablokowała przejęcie (Logius). Pełnej oceny ryzyka nie ujawniono. Parlament otrzymał informacje poufne, a podczas rozprawy sądowej strony omawiały wrażliwe materiały bez udziału dziennikarzy (Tweede Kamer).

Jawna część debaty pokazuje, czego obawiali się posłowie: że amerykańska kontrola właścicielska mogłaby ułatwić Waszyngtonowi dostęp do danych albo, w skrajnym scenariuszu, zakłócić dostęp do usług, z których obywatele korzystają na co dzień (NOS). W tej dyskusji często pojawiała się amerykańska ustawa CLOUD Act.

Ten argument wymaga precyzji. CLOUD Act rzeczywiście pozwala amerykańskim organom żądać od dostawcy podlegającego jurysdykcji USA danych znajdujących się w jego „posiadaniu, pieczy lub kontroli”, nawet jeśli fizycznie są przechowywane w Europie (Cornell LII). To realna ekspozycja prawna. Ustawa nie daje jednak Waszyngtonowi zdalnego przełącznika do przeglądania systemów ani wyłączania usług na żądanie. Obawa przed takim „kill switchem” należy do innej kategorii: zależności od dostawcy, sporów kontraktowych, utraty dostępu administracyjnego albo trudności z szybką wymianą operatora w kryzysie. To poważne ryzyka, ale nie to samo co CLOUD Act. Ich mieszanie osłabia argument, bo problem strukturalny zaczyna brzmieć jak teoria spiskowa.

A problem strukturalny jest wystarczająco mocny bez przesady. Gdy zapewnienie brzmi: „dane pozostają w Europie”, odpowiada ono tylko na część pytania. Lokalizacja danych ma znaczenie, ale głębsza warstwa dotyczy kontroli: kto administruje systemem, kto może wdrażać aktualizacje i kto utrzyma usługę, jeśli relacja handlowa się załamie.

Trzy państwa, trzy metody

Francja próbuje zamienić suwerenność cyfrową w nudną, egzekwowalną procedurę. Dostawca chmury, który chce obsługiwać wrażliwe zadania państwowe, musi uzyskać certyfikat SecNumCloud, wymagający wykazania, że usługa nie jest łatwo dostępna dla obcych porządków prawnych (Alliancy). Polityczne hasło staje się filtrem zamówień publicznych: albo dostawca spełnia warunki, albo nie startuje.

Szwecja idzie inną drogą. Zamiast kontrolować każdego dostawcę w tym samym trybie, państwo chce zachować kontrolę nad źródłem tożsamości cyfrowej. Ministerstwo Sprawiedliwości zaproponowało nowy państwowy dowód osobisty z biometrią i wbudowaną identyfikacją elektroniczną (Dagens.se). Sztokholm przewodził też pracom nad systemem certyfikacji dla unijnego portfela tożsamości cyfrowej (Digg). Prywatne firmy mogą obsługiwać instalację techniczną, ale klucz główny zostaje po stronie państwa.

Holandia wygląda na tym tle bardziej reaktywnie. Dokumenty parlamentarne pokazują szerszą refleksję nad suwerennymi usługami chmurowymi (1848.nl), lecz sprawa Solvinity dotyczy konkretnej transakcji zablokowanej po poufnej ocenie ryzyka, której rząd musi teraz bronić przed sądem.

Co naprawdę rozstrzygnie sąd

Unia Europejska nie próbuje zbudować osobnego internetu. Buduje raczej narzędzia, które pozwalają rządom badać przejęcia, wymagać zabezpieczeń cybernetycznych i ograniczać uzależnienie od pojedynczych dostawców chmury. Mechanizm kontroli inwestycji zagranicznych pozwala państwom członkowskim analizować przejęcia w sektorach wrażliwych (Paul Weiss). Dyrektywa NIS2 nakłada obowiązki bezpieczeństwa i kontroli łańcucha dostaw na operatorów infrastruktury krytycznej (European Commission). Data Act reguluje m.in. przenoszenie usług między dostawcami chmury oraz ochronę przed bezprawnymi żądaniami dostępu do danych ze strony państw trzecich (EUR-Lex). Żadne z tych narzędzi osobno nie rozwiązuje problemu. Razem przesuwają jednak punkt ciężkości z pytania „gdzie stoi serwer?” na pytanie „kto zarządza zależnością?”.

Sprawa w Rotterdamie doprecyzuje właśnie tę granicę. Jeśli wygra rząd, wzmocni zasadę, że zmiana właściciela w publicznej infrastrukturze cyfrowej może zostać zablokowana nawet wtedy, gdy pełna analiza ryzyka pozostaje niejawna. Jeśli wygra Solvinity, państwo może zostać zmuszone do wykazania, że rozważyło mniej dotkliwe środki: kontrolę kontraktową, wydzielenie wrażliwych operacji spod wpływu zagranicznej spółki matki albo obowiązkowe plany awaryjnego wyjścia. Sąd rozstrzygnie więc, ile dowodów państwo musi pokazać, gdy blokuje przejęcie w imię ochrony usługi, z której obywatel praktycznie nie może zrezygnować. Dla milionów Holendrów logujących się do DigiD bez zastanowienia to jest sedno sprawy.