Tribunal neerlandês reavalia DigiD

Sempre que um cidadão neerlandês entrega a declaração de impostos pela Internet, consulta uma prestação social ou entra num serviço público digital, passa pela DigiD, o sistema nacional de autenticação dos Países Baixos. A maioria dos utilizadores não pensa na infraestrutura que torna esse gesto possível. Talvez devesse.

A plataforma em que a DigiD assenta é operada por uma empresa privada, a Solvinity (AG Connect). Quando a Kyndryl, uma empresa de serviços informáticos sediada nos Estados Unidos, tentou comprar a Solvinity, o Governo neerlandês bloqueou a operação invocando razões de segurança nacional. Em junho, a Solvinity contestou essa decisão num tribunal de Roterdão. Parte da audiência decorreu à porta fechada (Tweakers). O caso transforma uma expressão muito usada na política europeia, «soberania digital», numa disputa jurídica concreta: quem pode ser dono das empresas sem as quais o Estado já não funciona online.

A sala de controlo por trás da rede

Os serviços públicos digitais parecem-se cada vez mais com uma rede eléctrica. O Estado define as regras e assina a interface que o cidadão vê. Mas, muitas vezes, é um fornecedor privado que detém as chaves da sala de controlo: os manuais de manutenção, as chaves de encriptação, o conhecimento operacional necessário para manter o sistema de pé quando há pressão (policyreview.info). A Solvinity desempenhava esse papel em parte do Estado digital neerlandês.

Em 26 de maio de 2026, a secretária de Estado Willemijn Aerdts bloqueou formalmente a aquisição (Logius). A avaliação de risco detalhada não foi divulgada na íntegra. O Parlamento recebeu informação confidencial, e a audiência judicial incluiu uma sessão reservada, durante a qual as duas partes discutiram material sensível longe dos jornalistas (Tweede Kamer).

O que se sabe publicamente é que deputados neerlandeses manifestaram receios de que a propriedade norte-americana pudesse permitir a Washington pedir dados ou, num cenário extremo, perturbar o acesso a serviços de que os cidadãos dependem diariamente (NOS). A lei norte-americana conhecida como CLOUD Act ocupou um lugar central nesse debate.

O CLOUD Act existe e cria exposição jurídica real, mas a discussão pública corre o risco de lhe atribuir mais do que a lei permite. A legislação dos Estados Unidos obriga um fornecedor sujeito à jurisdição norte-americana a entregar dados que estejam na sua «posse, custódia ou controlo» quando recebe uma ordem legal, mesmo que esses dados estejam armazenados na Europa (Cornell LII). Isso é um risco concreto. O que a lei não faz é dar a Washington um interruptor remoto para vasculhar sistemas ou desligar um serviço por ordem administrativa.

O receio mais amplo de um «botão de desligar» pertence a outra categoria: dependência técnica, litígios contratuais, perda de acessos de administração ou a dificuldade prática de substituir um fornecedor em plena crise. São riscos sérios, mas não são o CLOUD Act. Misturá-los torna o argumento mais fraco, porque o faz parecer conspirativo quando, na verdade, o problema é estrutural.

E o ponto estrutural é suficientemente forte. Quando a garantia é «os dados ficam na Europa», responde-se apenas a uma parte da questão. A localização dos dados é uma camada. A camada mais profunda é o controlo: quem administra os sistemas, quem instala actualizações e quem mantém o serviço operacional se a relação comercial se deteriorar.

Três países, três respostas

A França tentou tornar a soberania digital menos retórica e mais aplicável. Um fornecedor de cloud que queira prestar serviços sensíveis ao Estado tem de obter uma certificação chamada SecNumCloud, que exige demonstrar que leis estrangeiras não conseguem alcançar facilmente o serviço (Alliancy). A palavra de ordem transforma-se assim num filtro de contratação pública: ou se cumpre o requisito, ou não se concorre.

A Suécia segue outro caminho. Em vez de escrutinar cada fornecedor como primeira linha de defesa, procura garantir que o Estado controla a raiz da identidade. O Ministério da Justiça propôs um novo cartão de identificação emitido pelo Estado, com dados biométricos e identificação electrónica integrada (Dagens.se), e a Suécia liderou trabalhos sobre o sistema de certificação da futura carteira europeia de identidade digital (Digg). As empresas privadas podem tratar da canalização técnica, mas a chave-mestra permanece no Estado.

Os Países Baixos parecem, em comparação, mais reactivos. Documentos parlamentares neerlandeses mostram uma reflexão mais ampla sobre serviços de cloud soberana (1848.nl), mas o caso Solvinity é uma operação concreta, bloqueada depois de uma avaliação de risco confidencial e agora defendida em tribunal.

O que o tribunal vai realmente decidir

A União Europeia não está a tentar construir uma Internet separada. Está a criar instrumentos para que os governos possam escrutinar aquisições, exigir garantias de cibersegurança e tornar os fornecedores de cloud mais substituíveis. O mecanismo de análise de investimento estrangeiro permite aos Estados-Membros examinar compras em sectores sensíveis (Paul Weiss). A directiva NIS2 acrescenta deveres de segurança e de controlo da cadeia de fornecimento para operadores de infra-estruturas críticas (European Commission). O Regulamento dos Dados trata da mudança entre fornecedores de cloud e das protecções contra pedidos ilegais de acesso a dados por autoridades estrangeiras (EUR-Lex). Nenhum destes instrumentos resolve o problema isoladamente. Em conjunto, deslocam a pergunta de «onde está o servidor?» para «quem governa a dependência?».

O processo de Roterdão vai tornar essa pergunta mais precisa. Se o Governo vencer, reforçar-se-á o princípio de que mudanças de propriedade em infra-estruturas digitais públicas podem ser bloqueadas mesmo quando a avaliação completa de risco permanece classificada. Se a Solvinity ganhar, o Estado poderá ser obrigado a demonstrar que ponderou opções menos drásticas: controlos contratuais, separação das operações sensíveis da sociedade-mãe estrangeira, planos obrigatórios de saída. O tribunal decidirá quanta prova tem um Estado de apresentar quando bloqueia uma aquisição para proteger um serviço do qual os cidadãos, na prática, não podem prescindir. Para os milhões de pessoas que entram na DigiD sem pensar duas vezes, é essa a questão que conta.