De Nederlandse overheid heeft daadwerkelijk weinig mogelijkheden de architectuur achter DigiD zelf in beheer te nemen of ergens anders onder te brengen. De rechtbank bevestigt dat in een vonnis van een kort geding over de overname van hoster Solvinity. Drie burgers verloren die zaak vorige week, maar nu is het vonnis ook openbaar.
De rechtbank in Den Haag heeft het vonnis openbaar gemaakt van een kort geding rondom de overname van onder andere DigiD. Drie Nederlandse burgers stapten naar de rechter vanwege de overname van Solvinity. Eerder deze maand vond een kort geding plaats, dat de burgers verloren. Dat betekent dat de Nederlandse staat het contract dat het met Solvinity heeft, mag verlengen. De burgers wilden juist die verlenging stopzetten.
DigiD is het Nederlandse identificatiesysteem voor burgers bij organisaties zoals overheidsdiensten, verzekeraars of medische instellingen. DigiD wordt beheerd door de overheidsorganisatie Logius, maar de software draait op servers van een externe provider, Solvinity. Eind vorig jaar bleek dat Solvinity zou worden overgenomen door een Amerikaans bedrijf, Kyndryl. Daarop ontstond ophef onder experts en de politiek. Die vrezen dat de Amerikaanse autoriteiten toegang kunnen krijgen tot gegevens van Nederlanders, of in het ernstigste geval de dienstverlening kunnen stopzetten.
De staat moet het contract met Solvinity nog verlengen met twee jaar. De burgers eisten dat specifiek die verlenging werd stopgezet.
Naast DigiD is Solvinity ook de beheerder van de architectuur van belangrijke overheidsinstanties zoals ministeries.
Tweakers schreef dit uitlegartikel over de overname.
De rechtbank publiceerde eerder al een zogeheten kop-staartvonnis, maar nog niet het volledige vonnis. Dat is nu wel gebeurd.
In het volledige vonnis vallen een aantal passages op:
Eisers stellen dat het door de Staat geschetste risico kan worden ondervangen door het beheer van het Picard-platform over te dragen aan een andere dienstverlener; eisers voeren aan dat verschillende deskundigen en enkele bedrijven kenbaar hebben gemaakt dat een overstap snel, binnen enkele maanden, gerealiseerd moet kunnen worden.
Nu eisers niet voldoende hebben kunnen concretiseren dat een overstap naar een opvolger na Solvinity op korte termijn en op een deskundige en veilige wijze kan worden gerealiseerd, is – tegenover het gemotiveerde betoog van de Staat – niet aannemelijk geworden dat als de Staat de overeenkomst met Solvinity niet nu verlengt, geen groot maatschappelijk probleem zal ontstaan.
Nu eisers niet voldoende hebben kunnen concretiseren dat een overstap naar een opvolger na Solvinity op korte termijn en op een deskundige en veilige wijze kan worden gerealiseerdIn dit oordeel weegt nog mee dat de Staat momenteel een risicoanalyse uitvoert en in gesprek is met Solvinity en Kyndryl om te bezien op welke wijze de geschetste risico's kunnen worden gemitigeerd zodat de belangen van de Nederlandse burgers en daarmee ook van eisers op het gebied van veiligheid en privacy voldoende kunnen worden gewaarborgd.
Hoewel nu nog niet duidelijk is of dat overleg tot een adequate bescherming van de privacy van burgers zoals eisers zal kunnen leiden, kan wel worden geconstateerd dat de Staat de zorgen serieus neemt en zich ervoor inzet de privacybelangen van Nederlandse burgers zoveel mogelijk te beschermen.
Bij deze stand van zaken kan niet worden gezegd dat de Staat onrechtmatig handelt door de overeenkomst met Solvinity te verlengen. De primaire vordering van eisers is daarom niet toewijsbaar.
Eisers zien kennelijk voor zich dat de Staat wel ontbindt maar verlangt dat Solvinity de dienstverlening desondanks voortzet tot een moment dat de Staat klaar is voor de overstap naar een opvolger. Het heeft er alle schijn van dat de Staat daarvoor de instemming van Solvinity nodig heeft. Onduidelijk is of Solvinity daartoe bereid is. Voor een voorziening zoals eisers vorderen is alleen om deze reden al geen plaats.
Eisers zijn in het ongelijk gesteld en moeten daarom de proceskosten (inclusief nakosten) betalen.
Om hoeveel gaat het? Source: Tweakers.net