DigiD-klokkenluider Pieter van Oordt heeft het Europees Parlement verzocht om de digitale soevereiniteit van eID-infrastructuur te waarborgen. De privacy-chef van DigiD-beheerder Logius, geschorst nadat hij naar buiten trad met zijn zorgen over DigiD, wil via een verzoekschrift een leemte in de Europese regelgeving dichten.
Hij probeert via Brussel de infrastructuur van identificatiemiddelen zoals DigiD blijvend onder Europese zeggenschap te houden. Dat geeft de garantie dat DigiD ook op lange termijn buiten het bereik van de Amerikaans regering blijft. Het Witte Huis kan dan niet meer de stekker uit DigiD trekken waardoor bijvoorbeeld geen belastinginning meer mogelijk zou zijn.
DigiD ligt volgens Van Oordt ‘niet in een veilige haven’, ondanks het feit dat het kabinet eind mei de overname verbood van het Amsterdamse Solvinity – het bedrijf achter het DigiD-platform – door het Amerikaanse Kyndryl. Risico’s voor het publieke belang waren de reden. De leverancier zou na de transactie onder Amerikaanse wetgeving met extraterritoriale werking vallen.
Grip kwijtraken?
De geschorste privacy-chef van Logius die als klokkenluider een ontslag boven het hoofd hangt, vindt dat een onaanvaardbaar gevaar. Maar de leiding van Logius ziet dat anders. Van Oordt stelt dat de digitale infrastructuur van DigiD, ook als Solvinity niet door Kyndryl wordt ingelijfd, kwetsbaar blijft voor mogelijke Amerikaanse invloeden. Bij Solvinity trekt immers de Britse investeerder Vitruvian aan de touwtjes, een meerderheidsaandeelhouder van buiten de Europese Unie.
Solvinity’s contract voor de ondersteuning van DigiD werd eerder dit jaar verlengd tot augustus 2028, hoewel er volgens Van Oordt reële alternatieven waren. Aanpassing van het Unierecht kan voorkomen dat Nederland en de EU de grip op cruciale diensten als DigiD kwijt raakt.
Van Oordt denkt dat het moment is aangebroken om dit gat in het Unierecht te dichten, nu het Europese Parlement het voorstel voor de Cloud and AI Development Act (Cada) behandelt.
Waarborgen
Actie is volgens hem geboden. Want het verbod op de deal met Kyndryl dat medio juli door de rechtbank Rotterdam in stand werd gelaten, heeft het acute risico deels weggenomen, echter niet het structurele. Deels weggenomen, omdat volgens de uitspraak van de rechtbank alleen de toegang tot gegevens van belang is. Dat betekent dat het kabinetsbesluit een belangrijke motivering mist, namelijk dat de continuïteit het grootste risico is voor de Europese Unie.
Van Oordt wil ook dat de Europese Commissie gaat onderzoeken of Nederland zich aan de EU-richtlijnen heeft gehouden. Dit gelet op de afhankelijkheid van DigiD van een leverancier die niet onder zeggenschap van de EU valt. De infrastructuur van stelsels voor elektronische identificatie en van Europese portemonnees (wallets) voor digitale identiteit vallen onder de hoogste eisen van soevereiniteit. Van Oordt vraagt de Commissie die te waarborgen. Ook aanbieders van beheerde diensten en hosting zouden onder die eisen moeten vallen.
Betere klokkenluidersregeling.
De EU stelt aan het indienen van petities de voorwaarde dat ook sprake moet zijn van een persoonlijk belang. Van Oordt vraagt het Europees Parlement in dat kader ook om verbetering van de klokkenluidersregeling. Het ministerie van Binnenlandse Zaken waaronder Logius valt, is daar verantwoordelijk voor. Van Oordt vindt dat moet worden onderzocht hoe dit departement zelf heeft gehandeld. Als chief privacy officer meldde hij de risico’s ten aanzien van de digitale soevereiniteit wanneer het contract met Solvinity werd verlengd. Hij vond dat tijdig naar alternatieven had moeten worden gekeken. Maar algemeen directeur Bert Voorbraak, die inmiddels zijn vertrek heeft aangekondigd, voelde niets voor een verhuizing naar een andere hoster.
Van Oordt meldde de risico’s eerst intern, daarna bij de bevoegde autoriteit en ten slotte in het openbaar. De uitkomst gaf hem gelijk, in die zin dat de overname door Kyndryl werd verboden. Toch is hij geschorst en werd hem ontslag aangezegd. Ondanks een verbod van het ministerie van BZK sprak hij onlangs tijdens Cybersec Netherlands toch openlijk over zijn rol in de DigiD-affaire.
Digitale soevereiniteit en bescherming van de melder zijn onlosmakelijk verbonden, aldus Van Oordt. Via de EU probeert hij te voorkomen dat dit soort infrastructuur speelbal wordt van de geopolitiek. Elke burger kan een petitie indienen bij het Europees Parlement en een verzoek voorleggen aan de volksvertegenwoordiging van de Europese Unie.
