De Tweede Kamer blijft zich zorgen maken over de continuïteit van DigiD. Niet zozeer de angst dat data onder Amerikaanse zeggenschap komen te vallen, maar wel de vrees voor het ‘platgooien’ van DigiD door de Amerikaanse president Donald Trump. Die kan Kyndryl een zogeheten ‘gag order’ opleggen, een ‘bevel tot zwijgen’ waarbij bepaalde bestanden worden ingezien zonder dat de klant hierover wordt ingelicht.
Nadat de Kamerleden zich dinsdag lieten bijpraten door experts, wetenschappers en vertegenwoordigers van belangenorganisaties op gebied van it, was het vandaag de beurt aan Kyndryl.
Deze Amerikaanse dienstverlener wil Solvinity overnemen, het Amsterdamse bedrijf dat het technische platform onder DigiD ondersteunt. De directie van Kyndryl Nederland, ondersteund door de Ierse collega en cybersecurityspecialist Cónal Hickey, was naar de Tweede Kamer gekomen voor een verdere toelichting. Kyndryl slaagde er redelijk in om een deel van de zorgen te verminderen.
Restrisico
Maar er blijft een restrisico dat president Trump toch nog manieren vindt om data te kapen of – erger nog – DigiD helemaal uit de lucht te halen. De Kamer worstelt met de vraag of dat laatste een hypothetisch risico is, danwel een reële dreiging.
Kyndryl-directeur Rob Bravenboer zei dat zijn bedrijf al eerder de nodige maatregelen ter voorkoming van deze risico’s heeft genomen. Deze stappen zijn van organisatorische, operationele en juridische aard. Medewerkers van buiten de EU hebben geen toegang tot gegevens. Binnen de grenzen van de wet wordt in zo’n geval altijd naar de klant doorverwezen.
Lokale jurisdictie
Kyndryl belooft er alles aan te doen om te voorkomen dat data naar de VS weglekken. De gegevens staan en blijven in Europa. De Nederlandse vestiging van Kyndryl is een Nederlands bedrijf. De zeggenschap zit in Nederland. Kyndryl valt onder het Nederlands recht. Alle landenorganisaties vallen onder de lokale jurisdictie, beweert het bedrijf.
Volgens directeur Piet Bil is Nederland wat dat betreft niet te overrulen. Vanuit de VS kan dit niet veranderen. Veiligheidsman Hickey wijst ook op de instelling van ‘data guardians’ als extra bescherming. Die functionarissen hebben de bevoegdheid te beslissen over verzoeken van buitenlandse overheden om toegang te krijgen tot gegevens.
Volgens Marcel Lankhuizen die de klantrelaties met Logius (beheerder van DigiD) en het ministerie van Justitie en Veiligheid onderhoudt, is er ook geen gevaar dat nieuwe tools deze beperkingen omzeilen. Op vragen van Henk Vermeer (BBB) zei hij dat de klant altijd toestemming moet geven voor wijzigingen in tools. Het is dus niet mogelijk stilletjes later toch de deur open te zetten voor Amerikaanse veiligheids- en inlichtingendiensten.
‘De Kyndryl-directie noemde dit een terechte zorg waarop het geen antwoord weet’
Maar de zorg over één belangrijke dreiging kon Kyndryl niet wegnemen. Het concern kan niets doen tegen een ‘gag order’ van president Trump. Daarbij krijgt een bedrijf een ‘bevel tot zwijgen’. De Amerikaanse regering kan vragen bepaalde bestanden in te zien zonder dat de klant hierover wordt ingelicht. Het D66-Kamerlid Sarah El Boujdaini, eerder senior beleidsambtenaar data en ai bij het ministerie van Infrastructuur en Waterstaat, stipte dit punt aan. De Kyndryl-directie noemde dit een terechte zorg waarop het geen antwoord weet.
El Boujdani vreest ook dat Trump in de toekomst een beroep doet op nieuwe wetgeving. Zo’n wet zou de juridische relatie tussen een Amerikaans moederbedrijf en een buitenlandse (Nederlandse) dochter kunnen veranderen zodat dienstverlening toch valt te stoppen. En dat zou een grote ramp voor Nederland betekenen. Overheveling van technisch beheer of de ondersteuning daarvan naar een nieuw op te richten staatsbedrijf kan een dergelijk rampscenario voorkomen.
De Tweede Kamer en vele deskundigen, wetenschappers en belangenorganisaties staan niet alleen in hun vrees. Een petitie als onderdeel van de campagne ‘Stop de Amerikaanse overname DigiD!’ is al meer dan 142.000 keer ondertekend.
De “gag order” heeft niets met Trump te maken en bestaat al bijna 20 jaar en in andere vormen (zoals National Security Letters) zelfs bijna 50 jaar. Dit heeft betrekking op vrijwel alles wat uit de V.S. komt, maar is natuurlijk het meest effectief op het gebied van computer software, waar het land dominant is.
Het getuigt gewoon van naïviteit en incompetentie van de politiek en ambtenarij dat hier niet eerder over is nagedacht. Dit speelde allang en Bert Hubert heeft hier onder andere al voor gewaarschuwd.
Er worden nu allerlei rookgordijnen opgetrokken door zowel de politiek, de ambtenarij als de Amerikaanse bedrijven om de besluitvorming te verhullen. Want er is een grote kans dat er onder politieke druk, druk van het bedrijfsleven en dreigementen uit de V.S. weinig veranderd.
De “gag order” is een geheimhoudingsbevel, die bijv. in rechtszaken gebruikt wordt, om het lekken van vertrouwelijke informatie aan het publiek of aan niet-geautoriseerde partijen te voorkomen. Daar is in eerste instantie ook niets mis mee en zeker als het bijv. om strafrechtelijk onderzoek gaat is het zinvol voor de recherche als de verdachte niet op de hoogte gesteld wordt van de activiteiten van de onderzoekers.
De EU-verordening eEvidence doet hier precies hetzelfde. Problematisch worden deze mogelijkheden als ze willekeurig en zonder de juiste controle gebruikt kunnen worden. En in landen waar rechters dat doen wat de leiders eisen ontbreekt deze controle uiteraard.
Wat mij echter meer verbaasd is hoezo Kyndryl denkt, dat de regels, die voor de Europese vestigingen van bijv. Microsoft gelden, voor de Europese vestigingen van Kyndryl niet zouden gelden. Denk aan het afsluiten van de toegang tot e-mails, de uitspraak van Anton Carniaux (hoofd juridische zaken Microsoft Frankrij), dat hij niet kan garanderen dat Microsoft de data van Europese klanten niet aan de VS-overheden moet overhandigen of het wereldwijd verwerken van data van de Schotse politie (die eigenlijk in de UK hadden moeten blijven) door Microsoft.
Ik denk dat het riskant blijft als data bij een bedrijf staan waarvan het moederbedrijf buiten de Europese jurisdictie valt.
Bronnen:
https://www.comex.eu/wp-content/uploads/2025/11/NL-2025-09-Feitencheck-Cloudwashing-v1.pdf
https://lcrdc.co.uk/industry-news/microsoft-admits-no-guarantee-of-sovereignty-for-uk-policing-data/