De ophef rond DigiD heeft de Nederlandse politiek wakker geschud: de verkoop van het bedrijf achter DigiD aan een Amerikaans bedrijf is geblokkeerd. Maar nog steeds is onzeker of de overheid onze data voldoende beschermt tegen geopolitieke of commerciële belangen.
Solvinity, het bedrijf dat DigiD beheert, heeft bezwaar aangetekend tegen het besluit van Willemijn Aerdts, staatssecretaris Digitale Economie en Soevereiniteit (EZ), om de verkoop van Solvinity aan het Amerikaanse Kyndryl te verbieden.
Daarnaast stapte het bedrijf ook naar de rechter via een kort geding. Gisteren volgde de uitspraak van de rechter; Solvinity moet volstaan met de lopende bezwaarprocedure. De rechter grijpt niet in, zoals Solvinity wilde. De staatssecretaris heeft aangegeven dat zij uiterlijk in september een beslissing neemt over het bezwaar. Hiermee is voorlopig voorkomen dat de Amerikaanse overheid toegang tot onze gegevens kan opeisen als dit in het belang van haar definitie van ‘veiligheid’ is.
Jarenlang werd de cloud vooral gezien als een technische keuze waarbij kosten, gemak en innovatie leidend waren. Maar dat het in die wolk weleens kan gaan donderen doordat boze hackers of dubieuze veiligheidsdiensten uit zijn op ontwrichting, was iets waar niet veel mensen bij stil stonden bij de stille transitie naar clouddiensten. De recente ophef rond DigiD heeft de politiek in die zin wakker geschud.
Over de auteur
Zairah Khan is ontwerper, onderzoeker en schrijver.
Dit is een ingezonden bijdrage, die niet noodzakelijkerwijs het standpunt van de Volkskrant reflecteert. Lees hier meer over ons beleid aangaande opiniestukken.
Eerdere bijdragen in deze discussie vindt u onder aan dit artikel.
Toch werd al in 2018 een omstreden wet aangenomen in de VS: de Cloud Act. Deze wet bepaalt dat Amerikaanse autoriteiten onder bepaalde voorwaarden gegevens kunnen opvragen van Amerikaanse technologiebedrijven. Het grote verschil met de periode voor de Cloud Act voor bedrijven en overheden in Europa is dat het nu niet langer uitmaakt waar gegevens zijn opgeslagen, maar of de gegevens worden beheerd door een Amerikaans bedrijf, zoals Kyndryl, het bedrijf dat Solvinity wil kopen.
Solvinity bepleitte voor de rechter dat er ‘tal van maatregelen denkbaar zijn die de zorgen van de staatssecretaris kunnen wegnemen. Schorsing van het verbod en het waarborgen van de nationale veiligheid laten zich derhalve goed verenigen.’ Maar hoewel het bedrijf ongetwijfeld veel expertise heeft op technisch vlak, is haar invloed op de Amerikaanse wetgeving non-existent. En daarom kán het bedrijf de veiligheid van onze data simpelweg niet garanderen.
Daarbij bespeelde het bedrijf de media met de uitspraak dat staatssecretaris Aerdts zich ‘zou hebben laten meeslepen door commotie in de media’. De ironie hiervan is moeilijk te missen.
Ondertussen rommelt het niet alleen in de cloud, maar ook binnen de Rijksoverheid. De ambtenaar – klokkenluider – die eerder publiekelijk aandacht vroeg voor de kwestie-DigiD, Pieter van Oordt, werd geschorst als chief privacy officer bij Logius, dat voor de Nederlandse overheid de digitale infrastructuur organiseert en beveiligt.
Op zijn persoonlijke LinkedIn-pagina waarschuwde hij in de aanloop naar het hoger beroep nog dat deze zaak nooit op deze manier voor de rechter had moeten komen. De rechter waar het hoger beroep voorkwam toetste volgens hem namelijk alleen of er gevaar is voor het publieke belang binnen het kader van de Telecommunicatiewet (WOTZ) bij een overname en niet de nationale veiligheid, die volgens hem wel degelijk in het gedrang was. Inmiddels is zijn schorsing door het ministerie van Binnenlandse Zaken omgezet in ontslag.
Gelukkig ligt de bal nu weer in het veld bij Aerdts. Maar inmiddels is de discussie wel definitief uitgegroeid tot een van nationale veiligheid, want tijdens de rechtszaak werd ook duidelijk dat de overheid zich eveneens zorgen maakt over gegevens van politie en justitie die ook klant zijn bij Solvinity. En al eerder besloot het kabinet dat de nieuwe aanbesteding voor het beheer van DigiD onder de Aanbestedingswet op defensie- en veiligheidsgebied (ADV) zal vallen, vanwege risico’s voor de nationale veiligheid.
Het ontbreken van de stem van Defensie, dat zich voor zover bekend niet inhoudelijk heeft uitgesproken over de Solvinity-zaak, is opvallend. Defensie investeert sinds kort wel in een eigen cloud voor staatsgeheime informatie. Daarmee lijkt het te anticiperen op het feit dat data in de toekomst steeds vaker als geopolitiek strijdtoneel zullen dienen.
Dat doet de vraag rijzen wat er gebeurt met minder gevoelige informatie, en waar de grens ligt. En of we onze data überhaupt wel kunnen toevertrouwen aan een commercieel bedrijf als Solvinity, dat grotendeels in handen is van buitenlandse investeerders? Een aantal Nederlandse technologiebedrijven heeft zich daarom verenigd in de ‘Open Cloud Alliantie’ en wil zo snel mogelijk een eigen soevereine overheidscloud uitrollen.
Dat neemt niet weg dat aan onze overheid de taak is toebedeeld om onze data te beschermen tegen geopolitieke of commerciële belangen. Hopelijk is ze op dat vlak definitief wakker geschud en leert ze kritische stemmen te omarmen in plaats van te verbannen, om zo toekomstige risico’s beter en tijdig te signaleren.
Wilt u reageren? Stuur dan een opiniebijdrage (max 700 woorden) naar opinie@volkskrant.nl of een brief (maximaal 200 woorden) naar brieven@volkskrant.nl
Geselecteerd door de redactie
Source: Volkskrant