Een Rotterdamse rechter heeft het door het kabinet opgelegde verbod op de overname van de Nederlandse IT-dienstverlener Solvinity door het Amerikaanse Kyndryl bekrachtigd, waardoor de deal voorlopig niet door kan gaan. De blokkade, die al maanden voor onzekerheid zorgt, is gebaseerd op zorgen over de nationale veiligheid en de mogelijke toegang van de Amerikaanse overheid tot gevoelige data.
De rechter heeft in een kort geding uitspraak gedaan in de zaak die Solvinity had aangespannen om het overheidsverbod te laten opheffen. Solvinity, een bedrijf dat IT-diensten levert aan overheidsinstanties, was overgenomen door Kyndryl, een spin-off van IBM. Junior minister voor digitale soevereiniteit Willemijn Aerdts blokkeerde de overname in mei, uit angst dat de Amerikaanse overheid via de Amerikaanse Cloud Act toegang zou kunnen krijgen tot gevoelige data. De rechter oordeelde dat de minister wel bevoegd is om een dergelijk verbod op te leggen op basis van de Telecommunicatiewet.
Solvinity argumenteerde dat Aerdts geen recht had om de overname te blokkeren en dat de overname geen enkel risico opleverde voor de nationale veiligheid. De rechter erkende dat het bedrijf bezwaar heeft gemaakt tegen het verbod en dat er een deadline is gesteld voor een beslissing over dit bezwaar, eind september. De rechter stelde echter dat het verbod Solvinity niet onherroepelijke schade zal toebrengen voordat die deadline is bereikt.
Hoewel de rechter de wettigheid van het verbod zelf niet heeft beoordeeld, gaf hij aan dat het ministerie nog steeds moet onderzoeken of er minder ingrijpende maatregelen getroffen kunnen worden om de risico’s te beperken. Dit suggereert dat er wellicht alternatieve oplossingen mogelijk zijn om de zorgen over de dataveiligheid weg te nemen, zonder dat de overname volledig wordt verboden.
Solvinity is een belangrijke leverancier van IT-diensten aan de Nederlandse overheid, waaronder de politie, het ministerie van justitie en het Rijksvastgoedbedrijf. Een cruciaal aspect van de zaak is de rol van Solvinity in het beheer van de infrastructuur voor het DigiD-login systeem, een essentieel onderdeel van de digitale overheidsdiensten. Deze verantwoordelijkheid maakt de data gevoelig en potentieel kwetsbaar voor misbruik.
De Amerikaanse Cloud Act, een wet uit 2018, stelt Amerikaanse bedrijven verplicht om data te verstrekken aan de Amerikaanse overheid, ongeacht waar die data zich fysiek bevindt. Dit heeft in Europa geleid tot toenemende bezorgdheid over de soevereiniteit van data en de bescherming van de privacy van burgers. De Nederlandse overheid heeft de blokkade op de overname van Solvinity ingezet als een poging om de controle over gevoelige data te behouden en te voorkomen dat deze in Amerikaanse handen valt.
De zaak Solvinity is een symptoom van een bredere trend waarbij Europese landen steeds meer aandacht besteden aan digitale soevereiniteit en de afhankelijkheid van Amerikaanse technologiebedrijven proberen te verminderen. Andere landen, zoals Duitsland en Frankrijk, hebben soortgelijke zorgen geuit en maatregelen genomen om de controle over hun data te versterken. De zaak illustreert de spanning tussen de behoefte aan internationale samenwerking op het gebied van technologie en de noodzaak om de nationale veiligheid en de privacy van burgers te beschermen.
De minister van Digitalisering, Willemijn Aerdts, reageerde positief op de uitspraak van de rechter. Ze benadrukte dat de overheid de verantwoordelijkheid heeft om de nationale veiligheid en de belangen van de burgers te beschermen. Solvinity daarentegen, toonde zich teleurgesteld, maar benadrukte dat het bedrijf de deadline van eind september, waarop een beslissing over het bezwaar verwacht wordt, positief vindt.
De uitkomst van de zaak heeft potentieel verstrekkende gevolgen voor de Nederlandse IT-sector en de relatie met de Verenigde Staten. Het kan een precedent scheppen voor toekomstige overnames van Nederlandse bedrijven door Amerikaanse bedrijven, vooral als deze bedrijven kritieke infrastructuur of gevoelige data beheren. Andere landen kunnen de Nederlandse aanpak volgen en soortgelijke maatregelen invoeren om hun eigen digitale soevereiniteit te beschermen.
De zaak heeft ook de discussie over de Cloud Act en de impact ervan op de Europese data privacy opnieuw aangewakkerd. De Europese Commissie heeft al aangekondigd te werken aan een nieuwe regelgeving die de dataoverdracht naar de Verenigde Staten reguleert en de soevereiniteit van Europese data beter beschermt. De uitkomst van deze regelgeving zal bepalen in hoeverre Europese bedrijven en burgers beschermd worden tegen de Amerikaanse wetgeving.