Nizozemsko sodišče o prevzemu DigiD

Ko nizozemski državljan odda davčno napoved prek spleta, preveri socialni prejemek ali se prijavi v javno storitev, gre skoraj vedno skozi DigiD, nacionalni sistem elektronske identifikacije. Večina uporabnikov o tehničnem ozadju ne razmišlja. Prav tam pa se začenja politično in pravno pomembno vprašanje.

Platformo, na kateri deluje DigiD, upravlja zasebno podjetje Solvinity (AG Connect). Ko ga je želelo prevzeti ameriško informacijsko podjetje Kyndryl, je nizozemska vlada posel blokirala zaradi razlogov nacionalne varnosti. Solvinity je junija odločitev izpodbijal pred sodiščem v Rotterdamu. Del obravnave je potekal za zaprtimi vrati (Tweakers). Primer politični izraz »digitalna suverenost« spreminja v konkretno pravno vprašanje: kdo sme biti lastnik podjetij, brez katerih država na spletu ne deluje.

Nadzorna soba za javnimi storitvami

Digitalne javne storitve delujejo podobno kot javno elektroenergetsko omrežje. Država določa pravila in na uporabniški vmesnik postavi svoje ime, toda zasebni izvajalec pogosto drži ključe nadzorne sobe: tehnično dokumentacijo, šifrirne ključe in operativno znanje, ki omogoča delovanje sistema tudi pod pritiskom (policyreview.info). Solvinity je bil za del nizozemske digitalne države prav tak izvajalec.

Državna sekretarka Willemijn Aerdts je prevzem uradno blokirala 26. maja 2026 (Logius). Podrobna ocena tveganj ni bila v celoti objavljena. Parlament je prejel zaupne informacije, sodišče pa je del obravnave namenilo občutljivemu gradivu, o katerem sta strani razpravljali brez navzočnosti novinarjev (Tweede Kamer).

Javno je znano, da so poslanci opozarjali na možnost, da bi ameriško lastništvo Washingtonu olajšalo zahteve za dostop do podatkov ali v skrajnem primeru ogrozilo dostop do storitev, od katerih so državljani vsak dan odvisni (NOS). V razpravi se je pogosto pojavljal ameriški zakon CLOUD Act.

Ta zakon je resničen vir pravnega tveganja, vendar ga javna razprava pogosto raztegne predaleč. Ameriška zakonodaja ponudniku pod ameriško jurisdikcijo nalaga, da ob zakoniti odredbi izroči podatke, ki so v njegovi »posesti, hrambi ali nadzoru«, tudi če so shranjeni v Evropi (Cornell LII). To je dejanska izpostavljenost. Zakon pa Washingtonu ne daje oddaljenega stikala, s katerim bi lahko poljubno pregledoval sisteme ali ukazal izklop storitve. Strah pred takim »stikalom za izklop« spada v drugo kategorijo: odvisnost od dobavitelja, pogodbeni spori, izguba skrbniškega dostopa ali težavnost zamenjave izvajalca med krizo. Ta tveganja so resna, vendar niso isto kot CLOUD Act. Če se jih meša, argument zveni zarotniško, čeprav je v resnici strukturne narave.

Strukturni problem je dovolj močan sam po sebi. Zagotovilo, da »podatki ostajajo v Evropi«, odgovarja le na del vprašanja. Lokacija podatkov je ena plast. Globlja plast je nadzor: kdo lahko upravlja sisteme, namešča posodobitve in zagotovi delovanje storitve, če se poslovno razmerje poruši.

Tri države, trije pristopi

Francija je poskušala suverenost spremeniti v dolgočasno, a izvršljivo pravilo. Ponudnik oblaka, ki želi opravljati občutljivo delo za državo, mora pridobiti certifikat SecNumCloud, pri čemer mora dokazati, da tuja zakonodaja ne more zlahka poseči v storitev (Alliancy). Politično geslo se tako spremeni v javnonaročniški filter: ponudnik pogoje izpolni ali pa se na razpis ne more prijaviti.

Švedska gre po drugi poti. Namesto da bi posebej preverjala vsakega ponudnika, poskrbi, da država nadzoruje koren elektronske identitete. Ministrstvo za pravosodje je predlagalo novo državno osebno izkaznico z biometričnimi podatki in vgrajeno elektronsko identifikacijo (Dagens.se), Švedska pa je vodila tudi delo pri certifikacijskem sistemu za prihodnjo evropsko denarnico za digitalno identiteto (Digg). Zasebna podjetja lahko skrbijo za tehnično infrastrukturo, država pa obdrži glavni ključ.

Nizozemski pristop je videti bolj odziven. Parlamentarni dokumenti kažejo širši razmislek o suverenih oblačnih storitvah (1848.nl), toda primer Solvinity je konkreten prevzem, ustavljen po zaupni oceni tveganj, ki ga mora vlada zdaj zagovarjati na sodišču.

Kaj bo sodišče dejansko presojalo

Evropska unija ne poskuša zgraditi ločenega interneta. Gradi orodja, s katerimi lahko države preverjajo prevzeme, zahtevajo kibernetska varovala in zmanjšujejo odvisnost od posameznih ponudnikov oblaka. Preverjanje neposrednih tujih naložb državam članicam omogoča pregled prevzemov v občutljivih sektorjih (Paul Weiss). Direktiva NIS2 uvaja varnostne in dobavne obveznosti za upravljavce kritične infrastrukture (European Commission). Akt o podatkih ureja lažjo menjavo ponudnikov oblaka in zaščito pred nezakonitimi tujimi zahtevami za dostop do podatkov (EUR-Lex). Noben instrument sam ne reši problema. Skupaj pa premikajo vprašanje od tega, kje stoji strežnik, k temu, kdo upravlja odvisnost.

Rotterdamski primer bo to vprašanje izostril. Če bo vlada uspešna, bo okrepila načelo, da se spremembe lastništva v javni digitalni infrastrukturi lahko blokirajo tudi takrat, ko celotna ocena tveganj ostane zaupna. Če bo uspelo Solvinityju, bo morala država morda natančneje dokazati, da je presodila manj stroge možnosti: pogodbene omejitve, ločitev občutljivih operacij od tujega matičnega podjetja ali obvezne izhodne načrte. Sodišče bo odločalo, koliko dokazov mora država razkriti, ko prepreči prevzem zaradi varovanja storitve, ki se ji državljani v praksi ne morejo izogniti. Za milijone ljudi, ki se v DigiD prijavijo brez posebnega premisleka, je to bistvo spora.