Staatssecretaris maakt draai: DigiD wél kwetsbaar door Amerikaanse wetgeving
In dit artikel:
De voorgenomen overname van it-dienstverlener Solvinity door het Amerikaanse Kyndryl kan ertoe leiden dat persoonsgegevens en andere gevoelige overheidsinformatie voor Nederlandse diensten, waaronder het DigiD-platform dat Solvinity bedient, toegankelijk worden voor Amerikaanse autoriteiten. Staatssecretaris Eddie van Marum antwoordde dit op Kamervragen van Barbara Kathmann (GroenLinks-PvdA) en corrigeerde daarmee eerdere stellige uitspraken dat DigiD “Nederlands blijft” en dat Solvinity geen toegang heeft tot DigiD; hij erkent nu dat het risico op uitlevering via Amerikaanse wetgeving, zoals de Cloud Act, in theorie bestaat.
Van Marum stelt dat de overname het bestaande risico niet wezenlijk verandert omdat Solvinity voor enkele ministeries Platform-as-a-Service-diensten op Microsoft Azure levert — een constructie waarbij Amerikaanse wetgeving ook al snel van toepassing kan zijn, ook wanneer data fysiek buiten de VS staan maar onder beheer blijven van een Amerikaans bedrijf. De kwestie raakt daarmee aan de digitale autonomie van Nederland en de bescherming van persoonsgegevens van miljoenen burgers.
De Kamer neemt de zaak serieus: D66 en CDA willen eind januari meerdere hoorzittingen houden met onder meer Solvinity, Kyndryl en Logius, en Van Marum moet zich verantwoorden. Uit documenten blijkt dat Solvinity al in maart aan de directeur van Logius had laten weten een nieuwe eigenaar te zoeken; twee maanden later werd die informatie met het ministerie van BZK gedeeld, en in november werd Kyndryl als koper openbaar.
De landsadvocaat onderzoekt nu lopende contracten met Solvinity op eventuele ontbindende voorwaarden voor het geval van een overname door een partij die onder niet-Europese surveillancewetgeving valt. Ook wordt gekeken naar andere juridische wegen om contracten te beëindigen als de vertrouwelijkheid en veiligheid van kritieke overheidsinformatie door de overname in gevaar komen; de Algemene Rijksvoorwaarden bij it-overeenkomsten 2022 bieden aanknopingspunten bij ingrijpende wijzigingen in zeggenschap.