Holandský súd rieši DigiD

Keď si holandský občan podáva daňové priznanie online, kontroluje sociálnu dávku alebo sa prihlasuje do verejnej služby, prechádza cez DigiD, národný systém digitálnej identity. Väčšina ľudí nerieši, čo je pod ním. Práve tam je však podstata sporu.

Platformu, na ktorej DigiD funguje, prevádzkuje súkromná firma Solvinity (AG Connect). Keď ju chcela kúpiť IT spoločnosť Kyndryl so sídlom v USA, holandská vláda obchod zablokovala z dôvodov národnej bezpečnosti. V júni Solvinity toto rozhodnutie napadla na súde v Rotterdame. Časť pojednávania prebehla za zatvorenými dverami (Tweakers). Z obľúbenej politickej frázy „digitálna suverenita“ sa tak stal konkrétny právny spor o to, kto môže vlastniť firmy, bez ktorých štát online nefunguje.

Riadiaca miestnosť za sieťou

Digitálne služby štátu sa dajú prirovnať k verejnej elektrickej sieti. Štát určuje pravidlá a jeho meno vidno na rozhraní, ktoré používa občan. Kľúče od riadiacej miestnosti však často drží súkromný dodávateľ: dokumentáciu, šifrovacie kľúče, prevádzkové know-how a ľudí, ktorí vedia systém udržať pri živote aj pod tlakom (policyreview.info). Pre časť holandského digitálneho štátu bola takýmto dodávateľom Solvinity.

Dňa 26. mája 2026 prevzatie formálne zablokovala štátna tajomníčka Willemijn Aerdts (Logius). Podrobné hodnotenie rizík vláda nezverejnila v plnom rozsahu. Parlament dostal dôverné informácie a aj súdne pojednávanie malo neverejnú časť, v ktorej obe strany rozoberali citlivé materiály bez prítomnosti novinárov (Tweede Kamer).

Verejne zaznelo najmä to, že poslanci sa obávajú amerického vlastníka. Podľa nich by Washington mohol žiadať prístup k dátam alebo v krajnom prípade narušiť prístup k službám, od ktorých sú občania denne závislí (NOS). V debate sa často spomínal americký CLOUD Act.

CLOUD Act je reálne právne riziko, ale verejná debata ho ľahko nafukuje. Americké právo umožňuje od poskytovateľa pod americkou jurisdikciou požadovať údaje, ktoré má vo svojej „držbe, úschove alebo pod kontrolou“, ak existuje zákonný príkaz, a to aj vtedy, keď sú dáta uložené v Európe (Cornell LII). To je skutočná expozícia. Tento zákon však Washingtonu nedáva vzdialený vypínač, ktorým by mohol prehľadávať systémy alebo na povel zastaviť službu.

Obava z takéhoto „kill switchu“ patrí do inej kategórie: závislosť od dodávateľa, zmluvné spory, strata administrátorského prístupu alebo praktická nemožnosť rýchlo nahradiť dodávateľa počas krízy. Aj tieto riziká sú vážne. Nie sú však totožné s CLOUD Actom. Ak sa miešajú dokopy, argument znie konšpiračne, hoci jeho jadro je štrukturálne.

A práve štrukturálny problém je dostatočne silný. Keď sa ako ubezpečenie používa veta, že „dáta zostávajú v Európe“, odpovedá sa na užšiu otázku. Umiestnenie dát je len jedna vrstva. Hlbšia vrstva je kontrola: kto vie systém spravovať, nasadzovať aktualizácie a udržať službu v chode, ak sa obchodný vzťah rozpadne.

Tri krajiny, tri prístupy

Francúzsko sa snaží zo suverenity urobiť nudné, ale vymáhateľné pravidlo. Ak chce cloudový poskytovateľ pracovať s citlivými štátnymi službami, musí získať certifikáciu SecNumCloud, ktorá vyžaduje preukázanie, že cudzie právne režimy sa k službe nedostanú jednoducho (Alliancy). Politický slogan sa tým mení na obstarávací filter: buď sa kvalifikujete, alebo sa do súťaže nedostanete.

Švédsko ide inou cestou. Namiesto toho, aby preverovalo každého dodávateľa samostatne, si štát necháva pod kontrolou koreň digitálnej identity. Ministerstvo spravodlivosti navrhlo nový štátom vydávaný preukaz totožnosti s biometriou a zabudovanou elektronickou identifikáciou (Dagens.se). Švédsko zároveň viedlo práce na certifikačnom systéme pre pripravovanú európsku peňaženku digitálnej identity (Digg). Súkromné firmy môžu zabezpečovať technickú infraštruktúru, ale hlavný kľúč zostáva štátu.

Holandsko pôsobí v tomto porovnaní reaktívnejšie. Parlamentné dokumenty ukazujú širšie úvahy o suverénnych cloudových službách (1848.nl), no prípad Solvinity je konkrétna transakcia zablokovaná po dôvernom hodnotení rizík, ktorú teraz vláda obhajuje pred súdom.

Čo bude súd v skutočnosti rozhodovať

Európska únia sa nesnaží vybudovať oddelený internet. Buduje skôr nástroje, ktoré vládam umožňujú preverovať prevzatia, vyžadovať kybernetické záruky a znižovať závislosť od cloudových dodávateľov. Mechanizmus preverovania zahraničných investícií umožňuje členským štátom posudzovať akvizície v citlivých sektoroch (Paul Weiss). Smernica NIS2 pridáva bezpečnostné a dodávateľské povinnosti pre prevádzkovateľov kritickej infraštruktúry (European Commission). Akt o dátach rieši prechod medzi cloudovými poskytovateľmi a ochranu pred nezákonnými zahraničnými žiadosťami o dáta (EUR-Lex). Ani jeden z týchto nástrojov problém nerieši sám. Spolu však posúvajú otázku od toho, „kde stojí server“, k tomu, „kto riadi závislosť“.

Rotterdamský prípad túto otázku spresní. Ak vláda uspeje, posilní sa princíp, že zmeny vlastníctva vo verejnej digitálnej infraštruktúre možno zablokovať aj vtedy, keď úplná analýza rizík zostane utajená. Ak uspeje Solvinity, štát možno bude musieť presvedčivejšie ukázať, že zvažoval aj menej tvrdé možnosti: zmluvné kontrolné mechanizmy, oddelenie citlivých operácií od zahraničnej materskej firmy alebo povinné plány odchodu od dodávateľa.

Súd tak nebude rozhodovať len o jednej akvizícii. Bude určovať, koľko dôkazov musí štát ukázať, keď blokuje prevzatie v mene ochrany služby, z ktorej sa občan prakticky nevie odhlásiť. Pre milióny ľudí, ktorí sa do DigiD prihlasujú bez väčšieho premýšľania, je práve toto podstatná otázka.