‘DigiD kan terecht bij Nederlands alternatief’, politiek is aan zet

• Bart van der Heijden

  redacteur Economie

Persoonsgegevens van Nederlanders kunnen in handen komen van de Amerikanen, en dat houdt de politiek flink bezig. Het zegt veel over de veranderende relatie met de Verenigde Staten, maar het is onduidelijk of Nederland wel helemaal los kán komen van Amerikaanse tech.

DigiD en MijnOverheid worden beheerd door de overheidsorganisatie Logius, maar een deel van de IT-dienstverlening staat op computers van het Nederlandse bedrijf Solvinity. Het Amerikaanse bedrijf Kyndryl wil Solvinity overnemen en daar is al maanden onrust over.

Als de overname doorgaat, zou Kyndryl namelijk toegang kunnen krijgen tot persoonsgegevens zoals namen en adressen, maar ook de hoogte van iemands inkomen. Dat staat allemaal op MijnOverheid. Daarnaast kan het Amerikaanse bedrijf mogelijk de toegang tot DigiD blokkeren als het dat zou willen.

“En dat kan makkelijk voorkomen worden”, zegt techspecialist Bert Hubert. “IT-dienstverleners zoals Solvinity bieden vaak diensten aan die echt maatwerk zijn en verweven zitten in het bedrijf, maar bij DigiD is dat niet het geval. Dat zit niet zo vastgekleefd aan Solvinity en is daarom vrij makkelijk naar een andere aanbieder te verhuizen.” Hij ergert zich daarom aan de opstelling van de Nederlandse overheid.

In de Tweede Kamer wordt gekeken naar de mogelijkheid om het DigiD-contract met Solvinity, dat in 2028 afloopt, niet te verlengen als het bedrijf in Amerikaanse handen komt. Naar verwachting is een meerderheid van de Kamer hier voor. Tot die tijd zou de Amerikaanse overheid wel toegang hebben tot de gegevens.

“Dat is echt slappe hap en typisch Nederlands. De overheid heeft afgelopen jaren van alles uitbesteed en lijkt te zijn vergeten hoe ze zelf proactief moeten handelen, en dat gaat ten koste van onze data”, zegt Hubert.

Hij schat dat je binnen een half jaar DigiD kan verhuizen naar een Nederlands techbedrijf. Volgens hem zijn er meerdere Nederlandse IT-aanbieders die deze data kunnen opslaan.

Dan zijn er nog andere diensten met gevoelige informatie, zoals Mijnoverheid, maar ook het beveiligingssysteem van het ministerie van Justitie en Veiligheid, die niet makkelijk te verhuizen zijn. Dat is echt maatwerk en het is juist erg verweven met het bedrijf, zegt Hubert. “Het is een stuk moeilijker te verplaatsen, maar dat betekent niet de overheid daar niks aan kan doen.”

De Autoriteit Consument en Markt (ACM) schreef dat er meerdere Nederlandse alternatieven zijn, maar dat het wel tijd en geld kost om de diensten over te zetten.

“Ik zie een grote beweging in de techsector waarbij klanten van IT-bedrijven steeds meer vragen stellen over de mogelijke risico’s van hun data”, zegt, Mark van Kampen die de techsector volgt bij de Rabobank.

“Met name in sectoren waarbij gewerkt wordt met gevoelige data, zoals bij de overheid en zorg- en financiële instellingen, worden meer eisen gesteld aan waar die data worden opgeslagen. Zij willen niet dat dit in handen kan komen van Amerika.”

Kyndryl heeft Tweede Kamerleden verzekerd dat Nederlandse gegevens geen gevaar lopen na een overname, maar de Kamer is daar niet gerust op. “De overheid zou extra maatregelen kunnen nemen om het de Amerikanen moeilijker te maken bij de data te komen, maar daarmee blijft het wel in Amerikaanse handen en dat moet je niet willen”, zegt Hubert.

“De beveiliging van data kunnen zowel Amerikaanse als Nederlandse bedrijven goed verzorgen. Solvinity kan dit ook en is nu nog Nederlands, maar als het in Amerikaanse handen komt valt het onder de Cloud Act. Het risico bestaat dat de VS in het uiterste geval bij gevoelige data kan.” zegt Van Kampen van de Rabobank.

De overname van het bedrijf achter DigiD en MijnOverheid wordt nog getoetst door toezichthouder Bureau Toetsing Investeringen (BTI). Dat geeft een advies, uiteindelijk besluit de minister van Economische Zaken of de overname door mag gaan.