De Nederlandse overheid heeft het contract met cloudbedrijf Solvinity voor het beheer van zijn online toegangsportaal DigiD verlengd, ondanks wijdverbreide zorgen over een aanstaande overname door een Amerikaanse koper.
Minister van Binnenlandse Zaken Eric van der Burg bevestigde dat hij de verlenging had ondertekend om “de continuïteit en veiligheid van de diensten van Logius” te beschermen, verwijzend naar het overheidsbedrijf dat eigenaar is van DigiD.
Solvinity, een in Nederland gevestigd IT-dienstenbedrijf, exploiteert het hostingplatform voor DigiD, dat in Nederland wordt gebruikt als een veilige toegangspoort om online toegang te krijgen tot vertrouwelijke gegevens. Miljoenen mensen gebruiken DigiD om te communiceren met de Belastingdienst, pensioenuitvoerders, zorgverzekeraars en gemeenten.
Het Amerikaanse IT-bedrijf Kyndryl bevindt zich in een vergevorderd stadium van de gesprekken om Solvinity over te nemen, wat leidt tot de vrees dat het bedrijf verplicht zou kunnen worden privé-informatie te delen met de Amerikaanse overheid. Op grond van de Amerikaanse Cloud Act kunnen Amerikaanse bedrijven worden verplicht gegevens aan de Amerikaanse autoriteiten te overhandigen, zelfs als de servers zich in Europa bevinden.
Van der Burg zei in een schriftelijk antwoord aan de Kamerleden dat hij Logius op 27 maart toestemming had gegeven om het contract te verlengen, voordat het parlement vorige week een motie aannam waarin het kabinet werd opgeroepen een alternatieve koper te zoeken als de verkoop aan Kyndryl doorgaat.
De minister zei dat de ondertekening van het contract begin mei zou plaatsvinden, vóór de deadline van 6 mei.
Trump maakt zich zorgen
Barbara Kathmann, het GroenLinks-PvdA-Kamerlid dat de motie sponsorde, zegt dat een Nederlandse koper in de coulissen staat te wachten om het beheer van DigiD-diensten van Solviity over te nemen.
Kathmann heeft gewaarschuwd dat de deal de regering-Trump de macht zou geven om “onze digitale regering met één druk op de knop uit te schakelen”.
Logius heeft in officiële verklaringen gezegd dat het een in Nederland gevestigd bedrijf zal blijven en dat Solvinity geen toegang had tot de inkomensgegevens of medische dossiers van individuen.
Maar Pieter van Oordt, de Chief Privacy Officer van het bedrijf, vertelde de parlementsleden dat uit een interne veiligheidsanalyse was geconcludeerd dat de risicobeperkende maatregelen het bedrijf niet volledig konden beschermen tegen de impact van de Cloud Act.
Het besluit van Van der Burg werd ook genomen vóór de conclusie van een analyse door investeringsscreeningsorgaan BTI naar de vraag of de nationale veiligheid door de overname in gevaar zou komen. Het nationale veiligheidsonderzoek wordt gezien als het enige mechanisme dat de overname van Solvinity door Kyndryl in dit late stadium zou kunnen blokkeren.
De mededingingstoezichthouder ACM heeft de overname goedgekeurd, maar benadrukte dat zij niet de bevoegdheid had om de gevolgen voor de veiligheid in overweging te nemen. Minister van Economische Zaken Heleen Herbert zal het uiteindelijke besluit nemen over het al dan niet goedkeuren ervan.
