Het is goed om de situatie te relativeren. Solvinity, nu in handen van het Britse Vetruvian, fungeert als een digitaal portaal en zij beheert niet zelf de persoonsgegevens van DigiD-gebruikers. Ook heeft zij geen toegang tot deze gegevens. De zorgen rondom digitale afhankelijkheid zijn begrijpelijk, maar het debat rondom DigiD is minder zwart-wit dan nu blijkt. De overname lijkt een rampscenario te zijn. Alsof Washington met ‘’één druk op de knop’’ onze persoonsgegevens kan buitmaken. Klopt dit beeld eigenlijk wel? DigiD blijft immers eigendom van de Nederlandse overheid. Zijn de zorgen reëel, of moeten we dit beeld nuanceren? 

We moeten in de toekomst focussen op het verminderen van afhankelijkheden van derde landen. Voor nu is dit streven niet geheel haalbaar. Hoewel we in Nederland en Europa blijven investeren in innovatie, lopen we op niet alle, maar veel gebieden achter. De VS hebben de laatste decennia grote slagen gemaakt en hebben nou eenmaal hoogwaardige technologie in hun bezit. Inmiddels draait Amerikaanse technologie al zo’n vijftien jaar onder onze vitale sectoren, zoals banken, medische dossiers en overheidsdiensten. Binnen onze krijgsmacht is het Amerikaanse bedrijf Kyndryl zelfs betrokken bij de modernisering van de IT-infrastructuur. 

Er is geen gelijkwaardig alternatief op het gebied van de complexe technologie die DigiD nodig heeft om op te draaien. De Algemene Rekenkamer beaamde deze afhankelijkheid al in 2023. Als we de overname en Amerikaanse IT-leveranciers in zijn geheel zouden uitsluiten dan snijden we onszelf in de vingers. Als er überhaupt geen alternatief beschikbaar is, dan zal DigiD stilvallen. Indien er geen technologisch gelijkwaardig alternatief beschikbaar is, moet men zich ervan bewust zijn dat dit juist zal zorgen voor een hogere kwetsbaarheid voor cyberaanvallen en hacks van buitenaf, denk aan China en Rusland, waardoor persoonsgegevens alsnog op straat liggen. Je kunt je afvragen welk scenario wenselijker is. 

In het debat rondom DigiD alsook in bredere zin wordt doelbewust de Amerikaanse wetgeving aangehaald. Er wordt gesteld dat de Amerikaanse overheid “vrije toegang” zou krijgen tot onze persoonsgegevens. Maar de Amerikaanse wetgeving die dit zou voorschrijven, de CLOUD Act en FISA, stellen dat helemaal niet. Het vaker benoemde ‘’één druk op de knop scenario’’ is juridisch onjuist en te simplistisch.

De Amerikaanse overheid moet eerst een rechterlijk bevel, met een specifiek en niet te breed verzoek, indienen tot inzage in de gegevens van het Amerikaanse bedrijf. De rechter beoordeelt dit verzoek en moet deze goedkeuren. Het verzoek moet immers leunen op specifieke gronden. Zo kan er sprake zijn van een misdrijf zoals bijvoorbeeld witwassen, waardoor inzage in gegevens noodzakelijk is. Het bedrijf kan zelfs ingaan tegen zo’n verzoek. Opvallend is dat de CLOUD Act in een Nederlandse context nog niet eerder is ingeroepen. Amerikaanse bedrijven die in Nederland opereren beroepen zich juist eerder op Europese wetgeving. Het is al met al geen sleepwet. 

Digitale onafhankelijkheid bouw je niet door één overname te blokkeren, maar door jarenlang consequent te investeren in eigen technologie die daadwerkelijk kan concurreren. Bovendien is het enkel weren van Amerikaanse bedrijven niet de oplossing: daarachter zitten nog steeds Amerikaanse softwarelagen, cloudleveranciers, chips, beveiligingssystemen of platforms. Zo lossen we de structurele afhankelijkheid niet op. We verplaatsen haar hooguit. Het ‘’één druk op de knop scenario’’ kan niet een onjuist frame blijven. Digitale autonomie bouw je niet op met paniekvoetbal, maar door innovatie in Nederland en Europa écht ruimte te geven.