Controle over DigiD vormt een privacyrisico zonder herstelmogelijkheid

Inleiding

Op 5 november 2025 maakten investeringsfonds Vitruvian Partners (VP, Verenigd Koninkrijk) en het Amerikaanse Kyndryl bekend dat Kyndryl de nieuwe eigenaar zou worden van Solvinity, het Nederlandse bedrijf dat het platform Picard beheert. Op Picard draaien DigiD, het inlogmiddel waarmee miljoenen Nederlanders toegang krijgen tot de Belastingdienst, UWV, SVB en tientallen andere overheidsdiensten, en de berichteninbox van MijnOverheid, waarin die diensten hun officiële post aan de burger afleveren.

Solvinity peilde zelf bij Logius, de uitvoeringsorganisatie van het ministerie van Binnenlandse Zaken die DigiD namens de Staat beheert, en bij het ministerie van Justitie en Veiligheid, of Nederland geïnteresseerd was in een eigen bod. Die laatste keuze is geen toeval: Solvinity beheert niet alleen DigiD, maar ook de beveiligde netwerkverbindingen en een deel van het interne communicatiesysteem van het ministerie van Justitie en Veiligheid, met gebruikers tot in de rechtspraak en het Openbaar Ministerie. De reikwijdte van deze overname is daarmee groter dan het DigiD-dossier dat in het publieke debat de meeste aandacht kreeg.

Het kabinet heeft geen bod uitgebracht en verklaarde in reactie op Kamervragen begin februari 2026, drie maanden na de aankondiging van de overname: eigenaarschap van bedrijven is 'in principe een marktaangelegenheid'. Er was wel een bod van een Nederlandse partij, enkele miljoenen lager dan dat van Kyndryl. VP koos voor Kyndryl.

Op 21 november 2025 ontving het Bureau Toetsing Investeringen (BTI) een melding van de voorgenomen overname, niet onder de Wet veiligheidstoets investeringen, fusies en overnames (Vifo), maar onder de Wet ongewenste zeggenschap telecommunicatie (WOZT). Na een onderzoek van ruim een half jaar verbood staatssecretaris Aerdts (EZK) de overname op 25 mei 2026 volledig, op advies van het BTI. Kyndryl noemde zich “uiterst teleurgesteld”. Solvinity is inmiddels een procedure tegen de Staat gestart om de motivering van dat verbod openbaar te krijgen.

Tussen die data ligt een tweede verhaal, dat zich grotendeels buiten het zicht van het publieke debat afspeelde. Een interne veiligheidsanalyse van Logius, rond eind november 2025 gedeeld met het ministerie van Binnenlandse Zaken, concludeerde dat het platform technisch niet zodanig is af te schermen dat de nieuwe eigenaar geen toegang heeft tot de data, en dat aanvullende mitigerende maatregelen dat niet veranderen. Een DPIA, het wettelijk verplichte instrument om precies zo'n risico vooraf te beoordelen en zo nodig te blokkeren, is daarbij in de openbare stukken nergens terug te vinden. De Tweede Kamer kreeg een samenvatting waarin precies dat punt ontbrak. Het artikel “De Sleutelhouder” laat lezen dat er, naast de uiteindelijk gevolgde lijn, ook andere beleidsrichtingen zijn overwogen, en dat uiteindelijk maar één optie de bewindspersoon bereikte: onverkorte doorgang van de overname, later aangevuld met mitigerende maatregelen.

Daar komt een derde laag bovenop, die in het Nederlandse debat tot dusver geen rol speelde. DigiD is niet alleen een Nederlandse voorziening, het is ook een eIDAS-node: een verplichte tweerichtingskoppeling waarmee burgers uit andere EU-lidstaten met hun eigen inlogmiddel toegang krijgen tot Nederlandse overheidsdiensten, en omgekeerd. Een deel van die keten loopt door systemen die door Kyndryl beheerd zouden worden, wat betekent dat niet alleen Nederlandse, maar ook andere Europese burgers blootstaan aan een jurisdictierisico waarover hun eigen overheid, en de Europese Commissie, vermoedelijk niets weten.

Dit stuk ontrafelt die drie lagen: de juridische houdbaarheid van het verbod en van eventuele aansprakelijkheid, het bestuurlijke spoor binnen Logius, en de Europese dimensie die Nederland zelf heeft laten ontstaan. Aansluitend wordt een eerste oplossingsrichting verkend, wordt de positie van VP als verkopende aandeelhouder zelf tegen het licht gehouden, wordt in kaart gebracht hoe gefragmenteerd de rechtsmacht over dit dossier feitelijk is, en wordt de prijsvraag rond het Nederlandse alternatief heroverwogen. Niet om de drie lagen tot één samenhangend complot te smeden, maar om te laten zien dat ze elkaar op een specifiek punt raken: telkens werd een ongemakkelijke keuze uitgesteld, doorgeschoven, of buiten het zicht gehouden van de instantie die hem had moeten beoordelen. Het stuk eindigt met de vraag die boven alle lagen hangt: wat voor juridische houding, star vasthouden aan bestaande kaders of materiële rechtsbescherming die meebeweegt met een risico dat zich niet in die kaders laat vangen, leidt tot de uitkomst waarbij de fundamentele rechten van de burger het zwaarst wegen. Het Handvest van de grondrechten van de Europese Unie laat die rechten wegen niet als sluitstuk van een belangenafweging tussen gelijkwaardige partijen, maar als de maatstaf waaraan elk ander belang, winst, continuïteit, bestuurlijk gemak, ondergeschikt is.

Gevaarzetting bij de aandelenoverdracht

De overdracht van Solvinity-aandelen door VP aan Kyndryl laat zich langs de band van artikel 6:162 BW (onrechtmatige daad) en de Kelderluik-criteria beoordelen. Die criteria, ontwikkeld door de Hoge Raad in 1965, vragen naar de waarschijnlijkheid dat onvoorzichtigheid optreedt, de kans op schade die daaruit volgt, de ernst van die schade, en de bezwaarlijkheid van te nemen voorzorgsmaatregelen.

Op de eerste drie punten scoort deze casus hoog: een Amerikaanse moedermaatschappij die via de CLOUD Act en FISA gegevens kan worden bevolen te verstrekken, oefent zeggenschap uit over infrastructuur waarop tientallen miljoenen mensen vertrouwen. Maar de vierde factor, de ernst van de schade, moet hier zwaarder worden ingevuld dan in een gewone Kelderluik-zaak. Bij Kelderluik gaat het om schade die ernstig kan zijn, maar in beginsel nog te herstellen is, bijvoorbeeld door schadevergoeding. Hier ligt dat anders: de schade is niet alleen ernstig, maar ook onomkeerbaar. Een vordering op basis van de CLOUD Act gaat vergezeld van een verplichte geheimhoudingsplicht: niet de Staat, niet de betrokken burger, niet de Europese Commissie wordt op het moment zelf geïnformeerd. Metadata die eenmaal is opgevraagd en geanalyseerd, laat zich niet terughalen. Het moment van schade en het moment van ontdekking vallen hier per ontwerp niet samen, en vaak nooit. Die onomkeerbaarheid maakt de vierde Kelderluik-factor, de bezwaarlijkheid van voorzorgsmaatregelen, verhoudingsgewijs licht: als herstel achteraf onmogelijk is, wegen maatregelen vooraf extra zwaar.

Of dat vooraf is gebeurd via het instrument dat daarvoor specifiek is ontworpen, een gegevensbeschermingseffectbeoordeling die tot een vergelijkbare conclusie had kunnen leiden, komt later in dit artikel aan de orde, en is opvallend genoeg in de openbare stukken nergens terug te vinden.

Voor de positie van VP als verkopende aandeelhouder geldt overigens een lagere aansprakelijkheidsdrempel dan vaak wordt aangenomen. Het verkopen van aandelen is een aandeelhoudersbeslissing, geen bestuurshandeling, en de grondslag voor aansprakelijkheid van een aandeelhouder is een eigen onrechtmatige daad, niet bestuurdersaansprakelijkheid. Dat heeft als gevolg dat een "persoonlijk ernstig verwijt", de zware maatstaf die voor bestuurders geldt, hier geen vereiste is.

Waarom soevereiniteit geen vorderingsgrond is

Toch moet hier een grens worden getrokken die de toedracht objectiveert, maar het verhaal niet verzwakt. Inbreuk op digitale soevereiniteit is moeilijk via 6:162 BW te grijpen, zeker zolang die inbreuk zich nog niet heeft voorgedaan. Digitale soevereiniteit is geen erkend rechtssubjectief belang in het aansprakelijkheidsrecht. Het is een staatkundig-beleidsmatig begrip, geen aan een individuele eiser toe te rekenen belang. Een burger die stelt dat zijn digitale soevereiniteit is geschaad, moet dat vertalen naar een herkenbaar belang, privacy, gegevensbescherming, vermogensschade, voordat een rechter daar iets mee kan.

De relativiteitseis van artikel 6:163 BW wordt hierdoor dubbel problematisch. Niet alleen is onduidelijk welke norm VP zou hebben geschonden jegens wie, maar zelfs als zo'n norm aanwijsbaar was, is bescherming van de digitale soevereiniteit van de staat typisch een publiekrechtelijk te beschermen belang, niet iets waarvoor het aansprakelijkheidsrecht particulieren een vorderingsrecht toekent. En zonder voltooide schade is er hooguit een dreigingssituatie. Het aansprakelijkheidsrecht is van oudsher gebouwd op herstel achteraf, niet op preventie van wat nog moet gebeuren. Het werkbare spoor bij een nog niet voltrokken inbreuk is preventief, via artikel 3:296 BW, met eigen, strengere eisen: de dreigende daad moet voldoende concreet en aanstaand zijn, niet louter een structureel risico.

Dat verklaart ook waarom de feitelijke route via het bestuursrecht liep, via WOZT, Vifo en het BTI, en niet via het civiele aansprakelijkheidsrecht. Dat is geen omissie van de betrokkenen, maar een logisch gevolg van het feit dat investeringstoetsing precies is ontworpen voor risico's die zich nog niet hebben gerealiseerd, terwijl onrechtmatige daad dat structureel niet goed kan. De wetgever heeft dit probleem al herkend en er een apart instrument voor gemaakt.

Een sterkere grondslag: toerekenbare tekortkoming

Naast, en eigenlijk los van, de vraag of VP onrechtmatig heeft gehandeld, ligt er een directer en feitelijk beter onderbouwd spoor: een toerekenbare tekortkoming van Solvinity jegens de Staat in de zin van artikel 6:74 BW. De dienstverleningsovereenkomst tussen Logius en Solvinity loopt tot 6 augustus 2028 en valt onder de Algemene Rijksvoorwaarden bij IT-overeenkomsten (ARBIT-2018). Artikel 30.1 van die voorwaarden biedt een partij de mogelijkheid de overeenkomst buiten rechte te ontbinden wanneer de andere partij in verzuim is, of wanneer nakoming blijvend of tijdelijk onmogelijk is, zonder dat in het laatste geval eerst verzuim moet worden vastgesteld. Dat onderscheid is hier van belang: bij een gewone tekortkoming moet eerst verzuim worden vastgesteld, maar bij blijvende of tijdelijke onmogelijkheid van nakoming ontstaat de ontbindingsbevoegdheid direct.

De interne veiligheidsanalyse van eind november 2025 wijst direct op die tweede grond: als het platform technisch niet zodanig is af te schermen dat de nieuwe eigenaar geen toegang heeft, en mitigerende maatregelen dat niet wegnemen, dan is er een directe aanwijzing voor tijdelijke of blijvende onmogelijkheid van nakoming van de contractuele garantie dat gegevens binnen de EU blijven. Een verslag van een vervolgsessie op 17 januari 2026 tussen Logius en Solvinity-Kyndryl toont vervolgens iets opmerkelijks: in die sessie wordt niet herhaald dat nakoming onmogelijk is. De aanwezigen bespreken concrete maatregelen, role-based access, auditlogging, geo-restrictie tot binnen de EU, hardening, immutable back-ups, en sluiten af met de constatering dat geen van de besproken maatregelen technisch onhaalbaar wordt geacht.

Die discrepantie tussen de novemberconclusie en de januari-praktijk is op zichzelf al relevant, los van de vraag of er bewust voor mitigatie boven ontbinding is gekozen. Technische haalbaarheid van een maatregel is niet hetzelfde als juridische afdwingbaarheid van de onderliggende garantie: een maatregel kan uitvoerbaar zijn en toch de kern van het probleem, dat de CLOUD Act de rechtspersoon volgt en niet de techniek, onaangeroerd laten. Het bestaan van die discrepantie, zonder dat het verslag haar erkent of oplost, is een eigen dossiervormingsprobleem van Logius en de Staat: er lag een grond om de mogelijkheid van ontbinding serieus te onderzoeken, en in plaats daarvan werd doorgegaan op het mitigatiespoor.

De routekeuze: WOZT in plaats van Vifo

Een laatste juridisch-technisch punt betreft de keuze van Kyndryl en Solvinity om de overname te melden onder de WOZT, niet onder de Vifo. Die keuze heeft een dubbel gevolg. Nationaal levert het een smaller toetsingscriterium op dan de Vifo zou hebben geboden. Internationaal is relevant dat de verplichting om de Europese Commissie en andere lidstaten te informeren op grond van artikel 6, eerste lid, van de Europese FDI-screeningsverordening is gekoppeld aan de Vifo, niet aan de Telecommunicatiewet. De routekeuze heeft dus mogelijk niet alleen het nationale toetsingskader versmald, maar ook de Europese notificatieplicht buiten beeld gehouden.

Dat gevolg moet niet worden overschat in juridische kracht: de notificatieplicht zelf levert geen nietigheidsgrond op voor het Nederlandse besluit, en de Commissie kan bij een melding hoogstens adviseren, niet beslissen. Het gewicht van dit punt ligt niet in het procesrecht, maar in de verhoudingen tussen lidstaten: een gemiste notificatie raakt de vraag of Nederland zijn eigen samenwerkingsverplichting binnen de Unie is nagekomen, en of andere lidstaten tijdig wisten van een ontwikkeling die ook hun burgers, via de eIDAS-koppeling, kan raken. Dat is een diplomatiek en bestuurlijk gevolg, geen juridisch afdwingbaar instrument.

Die zwakte is geen toevallig gebrek in deze ene verordening, maar een afspiegeling van een structurele grens in het Unierecht zelf. Artikel 4, tweede lid, Verdrag betreffende de Europese Unie (VEU, ook bekend als het Verdrag van Maastricht) houdt de bescherming van de nationale veiligheid uitdrukkelijk voorbehouden aan de lidstaten, en onttrekt daarmee een groot deel van wat digitale soevereiniteit raakt aan een hard, afdwingbaar Europees mandaat. Elk instrument dat de Unie op dit terrein heeft, de FDI-screeningsverordening incluis, is daardoor per ontwerp eerder een coördinatie- en signaleringsmechanisme dan een instrument met eigen doorzettingsmacht.

Drie richtingen, en welke er overbleef

Logius bevindt zich op het kruispunt van twee rechtsbetrekkingen die normaal los van elkaar zouden lopen, contractpartij van Solvinity enerzijds, adviseur en informatieleverancier richting BZK en de Tweede Kamer anderzijds, en draagt daarbovenop een eigen kennispositie: zij beschikt als enige over zowel de technische risicoanalyse als het overzicht van de contractuele opzegmogelijkheden.

“De Sleutelhouder” haalt aan dat er meerdere beleidsrichtingen zijn uitgewerkt die de staatssecretaris hadden kunnen bereiken, en dat de besluitvorming uiteindelijk vooral langs één lijn is gelopen: onverkorte doorgang van de overname, later aangevuld met mitigerende maatregelen. Dit signaal is op dit moment niet onafhankelijk bevestigd en wordt hier gepresenteerd als wat het is, een niet-bevestigd gegeven, dat wel aansluit bij wat onafhankelijk al vaststaat over de incomplete informatievoorziening aan de Kamer.

Bruikbaar, los van de vraag of deze precieze toedracht klopt, is het analytische frame dat aan dit signaal ten grondslag ligt: een afweging tussen drie waarden, soevereiniteit, beschikbaarheid (continuïteit), en toegankelijkheid (privacy). Verbetering op de ene as, continuïteit, via mitigerende maatregelen, gaat ten koste van een andere, soevereiniteit, die op het moment van ondertekening van groen naar rood verschuift. Dat is een onderscheid dat in de openbare stukken tot dusver niet als zodanig is benoemd: niet of er een afweging is gemaakt, maar of die afweging, als drieledig probleem, ooit volledig aan de staatssecretaris is voorgelegd. Dit drieledige frame komt verder in dit artikel nog terug, omdat het een directe maatstaf biedt voor wat er bij elke volgende stap in dit dossier eigenlijk werd afgewogen, en wat niet.

De tijdlijn en de deadline die geen harde grens bleek

Logius wist mogelijk al langer van de voorgenomen overname dan de publieke aankondiging van 5 november 2025 suggereert; de precieze datum waarop die wetenschap ontstond, blijft op dit moment open en wordt nader onderzocht. Vast staat dat de kern van de interne risicoanalyse, dat het platform technisch niet is af te schermen, niet terugkwam in de samenvatting die de Tweede Kamer in februari 2026 ontving. Vast staat ook dat een alternatief voorstel, om de ondersteuning van het DigiD-platform bij Solvinity weg te halen, in het voorjaar van 2026 op tafel lag en niet werd besproken in de relevante vergaderingen, vlak voor een gestelde deadline van 6 mei waarop een verlengingsoptie zou vervallen.

Die deadline verdient op zichzelf bijzondere aandacht. Als "geen tijd meer" de reden was om alternatieven niet te bespreken, dan staat dat op gespannen voet met wat er drie weken later gebeurde: op 25 mei nam de staatssecretaris een besluit dat zwaarder ingrijpt dan elk onderhandeld alternatief, een volledig verbod. Als die tijd en ruimte er op 25 mei nog was, dan was de eerdere tijdsdruk geen feitelijke noodzaak, maar functioneerde zij als instrument om een alternatief traject buiten de besluitvorming te houden.

Veronderstelde vakbekwaamheid en sturing

De aanwezigen bij de technische overlegsessies tussen Logius en Solvinity-Kyndryl zijn hoogste medewerker en daarmee professionals. Het verslag van 17 januari 2026 toont vakkundig, gedetailleerd werk op precies dat niveau.

Bij die mate van vakbekwaamheid is het minder voor de hand liggend dat het onderscheid tussen "technisch gemitigeerd" en "jurisdictioneel gedekt" simpelweg is gemist, dan dat dit onderscheid bekend was, maar niet is doorgezet naar het niveau waar de uiteindelijke afweging werd gemaakt. Dat een team van deze kwaliteit het verschil zou kennen tussen een goed beveiligd systeem en een systeem dat alleen goed beveiligd is binnen een jurisdictie die de bevoegdheid niet heeft om die beveiliging te doorbreken, is geen onredelijke aanname. Wie het verschil kent, kent vermoedelijk ook het onderscheid tussen technische beveiliging en de juridische verplichtingen die daarop voortbouwen: een DPIA, een verwerkersbeoordeling, een Transfer Impact Assessment

Dat die instrumenten, voor zover bekend, niet zichtbaar zijn ingezet terwijl het onderliggende technische probleem wel werd onderkend, versterkt de vraag die hier wordt gesteld, en wordt verderop in dit artikel bij de AVG-toets verder uitgewerkt. Wie het verschil kent, en toch ziet dat alleen de mitigatieroute de besluitvormingstafel bereikt, mag zich afvragen of hier sprake was van onwetendheid, of van een keuze.

En deze vraag mag worden gesteld, omdat de vakbekwaamheid van de betrokkenen onwetendheid als verklaring minder aannemelijk maakt.

De eIDAS-node

DigiD functioneert niet alleen als Nederlandse voorziening, maar ook als zogeheten notified eIDAS-scheme: een knooppunt waarlangs burgers uit andere EU-lidstaten met hun eigen nationale inlogmiddel toegang krijgen tot Nederlandse overheidsdiensten, en omgekeerd. Bij elke grensoverschrijdende authenticatie via die koppeling lopen meerdere stappen, waaronder de uitwisseling van een pseudoniem identificatienummer, tijdstempel, betrouwbaarheidsniveau en de ontvangende dienst, door systemen die onder het beheer van Solvinity, en straks mogelijk Kyndryl, vallen. Dat is geen incidentele blootstelling maar een structureel kenmerk van de architectuur.

Dat metadata op zichzelf, los van de inhoud van een communicatie, grote inlichtingenwaarde heeft, is geen nieuw inzicht. De voormalige NSA-directeur Michael Hayden formuleerde het ooit kernachtig: men doodt mensen op basis van metadata. Een patroon van wie, wanneer, vanaf welk type verbinding, bij welke overheidsdienst inlogt, is op bevolkingsschaal een analytisch zeer rijk gegeven, ook zonder dat de inhoud van een DigiD-sessie ooit wordt ingezien.

Geen Europese leemte, maar een Nederlandse keuze

Het zou te makkelijk zijn om dit te framen als een gat in de Europese regelgeving waar Nederland toevallig tegenaan loopt. Het structurele probleem, dat Amerikaanse cloud- en infrastructuurpartijen onder de CLOUD Act en FISA vallen, ongeacht waar hun servers staan, is niet Nederlands gemaakt en raakt andere lidstaten evengoed. De Franse dochteronderneming van Microsoft verklaarde in juni 2025 onder ede voor de Franse Senaat dat zij gegevenssoevereiniteit niet kan garanderen tegenover Amerikaanse autoriteiten, zelfs niet voor in Frankrijk opgeslagen data onder een Frans-gemarkeerd aanbod. Dit is een probleem van de hele Europese cloud- en infrastructuurmarkt, niet iets dat uniek aan Kyndryl of Solvinity kleeft.

Wat wel Nederlands is, zijn de uitvoeringskeuzes die dit specifieke risico hadden kunnen indammen, of op zijn minst hadden kunnen signaleren, en dat niet deden. De keuze voor de WOZT-route in plaats van de Vifo-route is een Nederlandse keuze, gemaakt door de melder en geaccepteerd door het BTI zonder zichtbare correctie. Het mogelijk laten passeren van de EU-notificatieplicht is daarmee een eigen verzuim, geen gevolg van een Europese lacune. De eIDAS-node-architectuur is een Nederlandse infrastructuurkeuze waarvan andere lidstaten afhankelijk zijn, zonder dat zij daarop zelf invloed hebben. En het patroon van vooruitschuiven dat in de bestuurlijke laag al zichtbaar werd, Logius dat de Kamerconfrontatie uitstelt, herhaalt zich op Europees niveau: niemand in Den Haag heeft de Europese dimensie geagendeerd, niet bij de Commissie, niet bij de relevante parlementaire commissies. Dat is zelf een keuze, geen vergissing.

Nederland had hier de kans om het gat te signaleren of te dichten, en koos er stelselmatig voor dat niet te doen.

Dat patroon past in een breder beeld. Nederland loopt niet achter in wetgeving: de WOZT, de Vifo en de AVG bestaan, net als in andere lidstaten. De achterstand zit in de uitvoering en de handhaving. Frankrijk liet zijn eigen Microsoft-vestiging onder ede voor de Senaat verklaren dat soevereiniteit niet te garanderen is, in het openbaar, met politieke consequenties. Nederland liet een vergelijkbare erkenning, de eigen interne analyse van Logius, juist niet de Tweede Kamer bereiken. Het verschil tussen beide landen ligt dus niet in het wettelijk instrumentarium, dat is grotendeels gelijk, maar in de bereidheid om het te gebruiken en de uitkomst zichtbaar te maken.

Die eigen verantwoordelijkheid wordt zwaarder, niet lichter, door een structureel kenmerk van de Europese rechtsorde zelf. Artikel 4, tweede lid, van het Verdrag betreffende de Europese Unie bepaalt dat de Unie de essentiële staatsfuncties eerbiedigt, met name de bescherming van de nationale veiligheid, en dat die nationale veiligheid uitsluitend de verantwoordelijkheid van elke lidstaat blijft. Digitale soevereiniteit raakt vrijwel onvermijdelijk aan nationale veiligheid, en valt daarmee grotendeels buiten het mandaat van de Unie zelf. Waar een individuele lidstaat haar eigen soevereiniteit niet langer goed kan beschermen, zoals bij een infrastructuur die via een eIDAS-koppeling ook andere lidstaten raakt, ondermijnt precies dat beperkte Europese mandaat de nationale veiligheid, in plaats van haar op te vangen. Dat plaatst de verantwoordelijkheid nog directer bij Nederland zelf: niet omdat Europa het zou moeten oplossen en dat nalaat, maar omdat de Verdragen Europa hier weinig ruimte geven, en Nederland dus wist, of had moeten weten, dat zij hier op zichzelf was aangewezen.

Twee ministeries, twee werelden

Een deel van wat in dit dossier misging, laat zich verklaren door een simpel, structureel gegeven: het ministerie van Economische Zaken, verantwoordelijk voor de WOZT, de Vifo en het BTI, en het ministerie van Binnenlandse Zaken, verantwoordelijk voor Logius en DigiD, hebben geen gedeeld besluitvormingsproces voor een zaak die beide rechtstreeks raakt. Dat is geen verwijt aan individuen, het is een inrichtingsvraag. Zolang investeringstoetsing en contractbeheer over kritieke digitale infrastructuur in twee gescheiden kolommen worden behandeld, ontstaat vrijwel automatisch de discrepantie die in dit dossier zichtbaar is geworden: de ene kolom toetst een transactie op nationale-veiligheidsgronden, de andere kolom onderhandelt ondertussen op basis van een eigen risicoanalyse en een eigen tijdsdruk, zonder dat de twee resultaten formeel worden samengebracht voor er een knoop wordt doorgehakt.

Een voor de hand liggende oplossingsrichting is daarom procedureel, niet alleen normatief: een verplichte, vroege interdepartementale tafel bij elke voorgenomen transactie die zowel investeringstoetsing als de continuïteit van een rijksvoorziening raakt, met EZK, BZK, de relevante uitvoeringsorganisatie en, waar de transactie een grensoverschrijdende infrastructuurfunctie heeft zoals bij een eIDAS-node, een vroege signalering richting de Europese Commissie. Een dergelijke tafel zou niet vervangen wat verderop in dit artikel wordt bepleit, de noodzaak van materiële rechtsbescherming wanneer de bestaande kaders het risico niet vangen, maar zij zou wel voorkomen dat de drieledige afweging tussen soevereiniteit, continuïteit en privacy ooit weer verdeeld over twee ministeries wordt gemaakt zonder dat één instantie het geheel overziet. Het is, met andere woorden, een manier om de gefragmenteerde rechtsmacht die hierna wordt beschreven preventief aan te pakken, niet pas nadat de knoop al in vijf stukken is gevallen.

Opvallend genoeg erkent het kabinet dit probleem zelf al, zij het pas achteraf. In de Kamerbrief van begin februari 2026 waarin staatssecretaris Van Marum het marktaangelegenheid-argument gaf, kondigde hij ook aan dat er een handelingskader wordt opgesteld om de ambtelijke en politieke top van betrokken ministeries bij een volgende, vergelijkbare wijziging van zeggenschap sneller en gestructureerder te informeren. Dat is een erkenning van precies het coördinatieprobleem dat in dit onderdeel wordt beschreven, alleen na de feiten, en zonder dat duidelijk is of dat kader ook geldt voor de afweging tussen ministeries onderling, of alleen voor de informatievoorziening binnen één ministerie.

Dat de overheid op dit punt geen onbeschreven blad was, blijkt uit haar eigen beleid van vlak voor de crisis. In juni 2025, enkele maanden voor de aankondiging van de Solvinity-overname, publiceerde het ministerie van Binnenlandse Zaken de visie "Digitale autonomie en soevereiniteit van de overheid". Daarin staat met zoveel woorden dat het belangrijk is dat de overheid haar rol als beheerder van kritieke systemen opnieuw overweegt, zodat de continuïteit en veiligheid van deze processen gewaarborgd blijven, ook in tijden van verhoogde dreiging. De visie bepleit expliciet "risicobewust leiderschap" in plaats van risicomijdend leiderschap, en noemt de IT-sourcingstrategie Rijk als instrument om risico-gebaseerd, verantwoord en uniform te kunnen besluiten over IT-inkoop en leverancierskeuze, juist om versnippering tussen ministeries te voorkomen.

De verkeerde berekening

Het is verleidelijk om VP's keuze voor Kyndryl boven het Nederlandse bod te verklaren vanuit een neutrale, zakelijke logica: zekerheid van afronding, een kapitaalkrachtige, beursgenoteerde koper, minder uitvoeringsrisico. Maar het resultaat dwingt tot een scherpere lezing. Het prijsverschil met het Nederlandse bod bedroeg enkele miljoenen euro op een deal van ten minste honderd miljoen, minder dan vijf procent. Dat is een marge die geen enkel redelijk risicomodel als voldoende buffer had moeten beschouwen tegen een politiek risico dat al volledig zichtbaar was: de soevereiniteitsdiscussie liep, eerdere Vifo-dossiers bestonden als precedent, en de gevoeligheid van DigiD was geen verrassing.

Dat oordeel wordt niet lichter, als de IBM-herkomst van Kyndryl als verweer wordt aangevoerd. Een beursgenoteerde afsplitsing van een gevestigde Amerikaanse multinational is precies het type partij waarvan in 2025 redelijkerwijs verwacht mag worden dat zijzelf, en de partijen die met haar zaken doen, weten onder welk regime zij valt en wat dat betekent voor wie met haar contracteert. Bovendien bleek die reputatie zelf niet zo stabiel als de naam IBM suggereert: op 9 februari 2026 verloor het aandeel Kyndryl in één dag ongeveer 53 procent van zijn waarde, na de aankondiging dat het kwartaalrapport niet op tijd kon worden ingediend wegens materiële zwakheden in de interne controle. Dat gebeurde meer dan twee maanden voordat de Nederlandse overheid haar eigen contract met Solvinity verlengde, en ruimschoots voordat enige definitieve stap in de Solvinity-transactie onomkeerbaar zou zijn geworden. Wie op dat moment nog volhield dat Kyndryl de vanzelfsprekend veiligste keuze was, deed dat niet ondanks de informatie, maar ondanks de waarschuwing die de markt zelf al had gegeven.

Het gevolg is bekend: geen snelle, soepele exit met een iets lager bod, maar een verbod, een aansprakelijkheidsdiscussie, een gestrande deal van meer dan honderd miljoen euro, reputatieschade die elke toekomstige Nederlandse of Europese transactie van VP raakt, en een rechtszaak waarvan de uitkomst nog open is. Dat is geen voorbeeld van een normale zakelijke afweging die toevallig verkeerd uitpakte. Het is een voorbeeld van een marginale prijswinst die in geen verhouding stond tot een voorzienbaar en uiteindelijk gerealiseerd neerwaarts risico. Daarmee is het ook een illustratie van het bredere probleem: in een private transactie met onmiskenbaar publieke gevolgen was digitale soevereiniteit kennelijk geen factor die de besluitvorming beïnvloedde, en niets in het huidige kader dwingt een verkopende aandeelhouder daartoe.

Zes rechtsverhoudingen en nergens overzicht

Een belangrijke, vaak onderbelichte vraag is wat een vaststelling van een toerekenbare tekortkoming of een onrechtmatige daad in dit dossier eigenlijk oplost. Het antwoord is ontnuchterend: er zijn ten minste zes afzonderlijke rechtsverhoudingen, elk met een eigen forum, en geen daarvan beslist het probleem in zijn volle omvang.

De relatie tussen de Staat en Solvinity, gegrond in een toerekenbare tekortkoming onder de dienstverleningsovereenkomst, loopt via de civiele rechter en raakt aan de vraag of het contract kan worden beëindigd, niet aan de rechtmatigheid van de overname zelf. De relatie tussen de Staat en de burger kent een eigen, los daarvan staande grondslag: onrechtmatige daad wegens onvolledige informatievoorziening aan de Kamer of onvoldoende waarborging van de AVG. Dat is een andere vordering dan de soevereiniteits-OD tegen VP die in onderdeel 1 als zwak werd beoordeeld; hier gaat het niet om schending van een soevereiniteitsbelang, maar om een eigen, aan de Staat toe te rekenen tekortschieten in informatieplicht en zorgvuldigheid, met de burger als rechtstreeks belanghebbende. Die vordering loopt eveneens via de civiele rechter, en levert hoogstens schadevergoeding of een verklaring voor recht op, niet een oordeel over het contract of de overname. De relatie tussen Kyndryl en de Staat, via bezwaar en beroep tegen het BTI-verbod, loopt via het College van Beroep voor het bedrijfsleven, en is de enige procedure die de overname zelf rechtstreeks raakt. De huidige procedure van Solvinity tegen de Staat, gericht op openbaarmaking van de motivering, is een tussenstap die op zichzelf geen oordeel geeft over rechtmatigheid, maar wel de toegang tot een van de andere vier knopen kan openen of blokkeren. En de vraag of Nederland de Europese notificatieplicht heeft nageleefd, ligt bij de Europese Commissie, eventueel via het Hof van Justitie, en raakt de Europese laag, niet de nationale contractuele of aansprakelijkheidskwestie.

Een zesde rechtsverhouding ligt niet bij een rechter, maar bij de Autoriteit Persoonsgegevens. Een gegevensbeschermingseffectbeoordeling die tot een hoog restrisico had geconcludeerd, had via artikel 36 AVG tot een verplichte raadpleging van de AP geleid, en die raadpleging had via artikel 58 AVG kunnen uitmonden in een verbod of een corrigerende maatregel vóórdat de overname een feit werd. Deze rechtsverhouding onderscheidt zich van de andere vijf, omdat zij niet wacht op een uitspraak achteraf, maar vooraf had kunnen ingrijpen. Zij is, voor zover bekend, nooit geactiveerd, omdat de eerste stap in die keten, de DPIA zelf, kennelijk nooit is gezet.

Dat gefragmenteerde landschap is zelf onderdeel van het probleem. Een burger die een vordering wegens onrechtmatige daad wint, verandert niets aan het contract of de overname. Kyndryl dat het verbod succesvol aanvecht bij het CBb, verandert niets aan de blootstelling van de eIDAS-node voor andere lidstaten. Het systeem van verkokerde bevoegdheden, civiel tegenover bestuursrecht, nationaal tegenover Europees, contract tegenover onrechtmatige daad, vooraf tegenover achteraf, maakt het structureel onmogelijk dat één uitspraak of één ingreep het probleem in zijn geheel oplost.

Monopolie en onomkeerbaarheid

De vraag of de Staat had moeten meebieden of garant staan om het prijsverschil met het Nederlandse alternatief te overbruggen, is op zichzelf de verkeerde vraag, of in elk geval een te kleine. Zij veronderstelt dat dit een gewone markttransactie is waarin overheidsbemoeienis een uitzondering vergt die afzonderlijk gerechtvaardigd moet worden.

Dat is hier niet het geval. DigiD kent geen marktalternatief. Een burger kan niet overstappen naar een andere aanbieder zoals bij een telecomprovider; DigiD is de enige toegang tot de Belastingdienst, UWV, SVB en het Centraal Justitieel Incassobureau. De gangbare marktcorrectie, gebruikers die met de voeten stemmen, bestaat hier per definitie niet. 

Daarmee is "eigenaarschap van bedrijven is een marktaangelegenheid", het argument dat het kabinet pas begin februari 2026, drie maanden na de aankondiging van de overname, schriftelijk aan de Kamer gaf om niet zelf te bieden, een categoriefout voor dit specifieke geval: het argument veronderstelt concurrentie en een exit-optie voor de eindgebruiker, en die ontbreken hier juist. Dat dit antwoord drie maanden na de feiten kwam, en niet als overhaaste eerste reactie maar als doordachte, schriftelijke kabinetspositie, maakt de categoriefout zwaarder, niet lichter: er was tijd genoeg om tot een andere conclusie te komen.

Fundamenteler is de onomkeerbaarheid die al eerder in dit stuk naar voren kwam. Zodra de datastroom op gang komt, is het al te laat. Gag-orders maken het moment van schade onzichtbaar en onomkeerbaar; eenmaal opgevraagde en geanalyseerde metadata laat zich niet terugdraaien. Daarom is de juiste vraag niet of het prijsverschil het waard was, maar of, bij een onomkeerbaar risico zonder marktalternatief, vrijwel elke prijs die de blootstelling voorkomt gerechtvaardigd is, en of de discussie over marktaangelegenheid hier eigenlijk wel het juiste kader is. Staatssteunregels en het risico van moral hazard bij ad-hoc financiële interventie zijn reële bezwaren, maar die raken de vorm van ingrijpen, ad hoc tegenover wettelijk verankerd, niet de noodzaak van ingrijpen bij dit type infrastructuur.

Aan de andere kant van diezelfde onomkeerbaarheid staat een vraag over adequaatheid die nog niet is gesteld. De bestaande Europese doctrine over doorgifte van persoonsgegevens aan de Verenigde Staten, van het Schrems II-arrest tot het huidige EU-VS Data Privacy Framework, is ontwikkeld voor individuele, grensoverschrijdende doorgifte onder welomschreven voorwaarden. De Solvinity-situatie is een ander scenario: de data blijft binnen de Europese Unie, maar de rechtspersoon die de infrastructuur beheert, valt onder Amerikaanse jurisdictie. Dat is een vraag over jurisdictie over de beheerder, niet over de export van data. Of enig bestaand adequaatheidskader dit scenario, en al helemaal de bulkmatige metadata-analyse op bevolkingsschaal die een eIDAS-node mogelijk maakt, eigenlijk dekt, is een open vraag die de bestaande, op individuele gevallen toegesneden jurisprudentie niet beantwoordt.

Wat het uitstel zelf heeft gekost

Bij de prijsvraag hoort nog een rekenpost die tot dusver ontbreekt. Mitigerende maatregelen van het type dat in de overlegsessies tussen Logius en Solvinity-Kyndryl is besproken, role-based access, hardening, geo-restrictie, aanpassingen aan het sleutelbeheer, zijn niet kosteloos: alleen al aan technische beveiligingsmaatregelen is sprake van een investering in de orde van enkele miljoenen euro's, met als bijkomend effect dat de systemen daardoor trager worden. Maar dat is niet de enige rekening. Het ruim een half jaar durende BTI-onderzoek, de juridische procedures rond het verbod, de bestuurlijke capaciteit die in het hele dossier is gaan zitten, en de kosten die ontstaan wanneer het contract uiteindelijk alsnog moet worden afgebouwd, nu onder grotere tijdsdruk dan bij een vroeg en geordend traject, zijn operationele kosten die boven op de mitigatiekosten komen. De Staat is door het uitstel zelf duurder uit dan wanneer vroeg, en in samenhang, een keuze was gemaakt tussen het Nederlandse bod, een garantstelling, of een geordende overstap. Uitstel is hier niet kostenneutraal gebleken; het heeft de rekening alleen maar verhoogd, ongeacht hoe de zaak verder afloopt.

Een mogelijke ongerechtvaardigde verrijking

Er is nog een aspect dat aandacht verdient, voorzichtig geformuleerd. De waardering van Solvinity, of van de onderliggende deal, is door de onzekerheid van het verbod onder druk komen te staan. Mocht de transactie alsnog doorgaan, bijvoorbeeld na aanpassing van de constructie of na een succesvol beroep bij het CBb, dan is een aanzienlijk waardeherstel niet ondenkbaar, zeker als de beveiligingsmaatregelen die de Staat heeft afgedwongen of medegefinancierd de onderneming voor een nieuwe eigenaar net aantrekkelijker en aantoonbaar veiliger maken.

Dat roept een vraag op die in dit dossier nog niet is gesteld: als de Staat de kosten draagt van maatregelen die de transactie uiteindelijk acceptabel maken, en de waardevermeerdering die daaruit voortvloeit volledig ten goede komt aan de private aandeelhouders zonder dat zij in die kosten bijdragen, is er dan sprake van een verrijking zonder redelijke grond in de zin van artikel 6:212 BW. Dat artikel vereist niet alleen een verrijking van de één en een verarming van de ander die daarmee causaal samenhangt, maar ook dat die verrijking ongerechtvaardigd is, dat wil zeggen zonder rechtsgrond. Bij een gewone, rechtmatige private transactie ontbreekt dat laatste element doorgaans al snel: aandeelhouders hebben een eigen rechtsgrond, het aandeelhouderschap zelf, voor de waarde die hun onderneming oplevert, ook als die waarde mede tot stand komt door overheidsoptreden. Dat verhoogt de drempel voor dit argument aanzienlijk. Het is daarom een aanmerkelijk smaller punt dan de suggestie dat een waardestijging op zichzelf al ongerechtvaardigde verrijking zou zijn, want een gewone waardestijging na afronding van een gecorrigeerde deal is in de regel niets anders dan de normale realisatie van bedrijfswaarde. Het wordt pas een zelfstandig juridisch punt als specifiek aangetoond kan worden dat de waardevermeerdering direct voortvloeit uit kosten die de Staat heeft gedragen, zonder dat daar een redelijke vergoeding of een eigen rechtsgrond tegenover heeft gestaan. Dat is op dit moment niet vastgesteld, maar het is een aspect dat bij een eventuele schikking, of bij de voorwaarden waaronder een gewijzigde transactie alsnog wordt toegestaan, uitdrukkelijk zou moeten worden meegenomen.

Het probleem met een zuiver formele toepassing van de bestaande kaders

Een strikt rechtspositivistische lezing is op elk afzonderlijk punt verdedigbaar. De WOZT en de Vifo zijn strikt gescheiden routes. Het BTI-mandaat is nationaal geformuleerd. De relativiteitseis in artikel 6:163 BW vereist een specifieke norm die een buitenlandse verkoper niet heeft. Het CBb toetst het verbod, de civiele rechter toetst het contract, en geen van die fora gaat over de eIDAS-dimensie. Precies daar zit het probleem: vijf rechtsverhoudingen kennen elk hun eigen forum, niet allemaal even stevig onderbouwd, en de zesde rechtsverhouding kreeg nooit een eigen toetsing, omdat het instrument dat daarvoor bestaat, de DPIA, nooit is ingezet. Geen van die rechtsverhoudingen, samen of apart, beoordeelt het eigenlijke risico in zijn volle omvang.

Dat zou aanvaardbaar zijn als het onderliggende risico zich, net als bij de meeste civielrechtelijke geschillen, op enig moment alsnog laat vaststellen, herstellen of vergoeden. Zoals eerder beschreven is dat hier niet het geval. Een rechtsorde die wacht op aangetoonde, voltooide schade voordat zij ingrijpt, wacht op iets dat structureel onzichtbaar blijft. Dat is geen voorzichtigheid. Dat is, in dit specifieke type zaak, een feitelijke onbereikbaarheid van rechtsbescherming, verhuld als formele zorgvuldigheid.

Materiële rechtsbescherming als uitgangspunt

Wat hier nodig is, is geen vreemde figuur in het Nederlandse aansprakelijkheidsrecht. Het is de keuze om het recht zijn beschermingsfunctie daadwerkelijk te laten vervullen, ook waar de formeel juiste route toevallig niet voorziet in een orgaan dat het volledige risico kan beoordelen. De Kelderluik-criteria zijn zelf het resultaat van een rechter die een ongeschreven zorgvuldigheidsnorm via teleologische uitlegging invulde naar de eisen van zijn tijd, niet naar een vooraf vastgelegde catalogus van verboden gedragingen. Wat hier gevraagd wordt, is dezelfde beweging, toegepast op een risico dat in 1965 niet bestond: digitale infrastructuur waarvan de jurisdictie, niet de fysieke locatie, bepaalt of een buitenlandse overheid er toegang tot heeft.

Diezelfde teleologische uitlegging hoort ook bij de invulling van "publiek belang" in de WOZT, bij de vraag of de FDI-notificatieplicht naar haar strekking, niet naar de letter van welke wet precies werd gebruikt voor de melding, had moeten worden nageleefd, en bij de vraag of het BTI-mandaat, hoewel nationaal geformuleerd, moet worden uitgelegd in het licht van de Unierechtelijke gevolgen die een Nederlands besluit nu eenmaal heeft zodra Nederlandse infrastructuur ook Europese infrastructuur is.

De AVG als wettelijke vertaling van het grondrecht

Tot dusver is in dit stuk vooral gesproken over het Handvest in algemene termen. De AVG is de plaats waar dat grondrecht een concrete, afdwingbare vorm krijgt, en zij verdient hier een eigen, scherpere plaats dan tot nu toe is gegeven. Wie de overname langs de band van de AVG legt, stuit niet op één losse tekortkoming, maar op een reeks samenhangende verplichtingen die elkaar opvolgen, en die in dit dossier stuk voor stuk niet, of niet zichtbaar, zijn vervuld. Dat is, in het licht van het eerder geschetste vakbekwaamheidsargument, ook geen verbazingwekkende uitkomst: een team dat het verschil kent tussen technisch gemitigeerd en jurisdictioneel gedekt, kent vermoedelijk ook de verplichtingen die in deze paragraaf worden besproken.

Het beginpunt is de gegevensbeschermingseffectbeoordeling, de DPIA, van artikel 35 AVG. Een wijziging in de zeggenschap over de partij die DigiD en MijnOverheid beheert, met als gevolg dat de beherende rechtspersoon onder een ander rechtsstelsel komt te vallen, is precies het type verandering waarvoor een DPIA verplicht is: een verwerking die door haar aard, omvang en context een hoog risico oplevert voor de rechten en vrijheden van betrokkenen.

Een DPIA voor deze specifieke wijziging van zeggenschap is in de openbare stukken, de Kamerbrieven en de gepubliceerde risicoanalyses nergens terug te vinden of vermeld. Dat is een ander gegeven dan onzekerheid: het is een afwezigheid die opvalt, precies omdat de eigen interne veiligheidsanalyse van Logius al tot een vergelijkbare conclusie kwam zonder dat die analyse ooit als zodanig is aangeduid of gepubliceerd.

Dat ontbreken heeft een gevolg dat verder gaat dan de eigen AVG-keten die hierna wordt beschreven. Stel dat een DPIA wel was uitgevoerd, en tot de conclusie was gekomen die de interne analyse van Logius feitelijk al gaf: een hoog restrisico dat ook na mitigerende maatregelen niet wegvalt. In dat geval had artikel 36 AVG niet alleen een raadpleging van de Autoriteit Persoonsgegevens verplicht, maar had die raadpleging ook kunnen uitmonden in een verbod of een corrigerende maatregel op grond van artikel 58 AVG, vóórdat de overname een feit werd. Dat is een andere en eigenlijk zwaardere route dan de Kelderluik-toets uit onderdeel 1. Waar de Kelderluik-criteria een rechter vragen om de ernst en onomkeerbaarheid van een risico achteraf te wegen binnen een onrechtmatigedaadsvordering, biedt de DPIA-AP-keten een vooraf werkend, publiekrechtelijk instrument dat specifiek is ontworpen om dit type onaanvaardbaar risico tegen te houden vóór het zich kan voordoen. Dat instrument stond los van het BTI- en WOZT-spoor uit onderdeel 1, en is, voor zover bekend, nooit geactiveerd, niet omdat de Autoriteit Persoonsgegevens tot een ander oordeel kwam, maar omdat de eerste stap in die keten, de DPIA zelf, kennelijk nooit is gezet.

Het ontbreken ervan is niet slechts een formaliteit. Het raakt direct aan artikel 25 AVG, het beginsel van privacy by design en by default: zonder een DPIA is moeilijk vast te stellen of de Picard-architectuur en de eIDAS-koppeling vanaf het begin zo zijn ingericht dat risico's worden beperkt, of dat dit, zoals de overlegsessies tussen Logius en Solvinity-Kyndryl suggereren, pas achteraf via mitigerende maatregelen wordt gerepareerd.

Het ontbreken van een DPIA heeft een direct gevolg verderop in de keten. Artikel 36 AVG verplicht de verwerkingsverantwoordelijke om de Autoriteit Persoonsgegevens vooraf te raadplegen wanneer een DPIA uitwijst dat een hoog risico resteert, ook na de voorgenomen maatregelen. Zonder DPIA is deze stap nooit gezet, terwijl de eigen interne veiligheidsanalyse van Logius al concludeerde dat het platform niet zodanig is af te schermen dat de nieuwe eigenaar geen toegang heeft, en dat mitigatie dat niet wegneemt. Dat is precies het soort restrisico waarvoor artikel 36 een vangnet biedt, en dat vangnet is hier kennelijk niet gebruikt.

Een tweede lijn loopt via de verwerkersrelatie zelf. Artikel 28 AVG vereist dat een verwerkersovereenkomst passende technische en organisatorische garanties biedt, en dat subverwerking vooraf wordt gemeld en goedgekeurd door de verwerkingsverantwoordelijke. Een wijziging van zeggenschap over de verwerker, zoals bij de overgang van VP naar Kyndryl, is een moment waarop die garanties opnieuw moeten worden beoordeeld: biedt de bestaande verwerkersovereenkomst nog passende bescherming nu de moedermaatschappij van de verwerker een Amerikaanse, aan de CLOUD Act onderworpen onderneming is, en is die wijziging als zodanig behandeld als een vorm van subverwerking die afzonderlijke goedkeuring vergt.

Daarbovenop komt een toets die sinds het Schrems II-arrest van het Hof van Justitie EU (C-311/18, Data Protection Commissioner tegen Facebook Ireland en Schrems) verplicht is bij elke doorgifte die op standaardcontractbepalingen steunt: de Transfer Impact Assessment, of TIA. Een TIA is scherper en specifieker dan de algemene vraag of artikel 44 AVG is geschonden. Zij beoordeelt concreet of de wetgeving van het derde land, hier de CLOUD Act en FISA, ondanks contractuele waarborgen feitelijke toegang mogelijk maakt die het beschermingsniveau ondermijnt. Voor de Solvinity-situatie is dat precies de vraag die beantwoord moet worden: niet of er ergens een contract met garanties ligt, maar of die garanties praktisch betekenis houden zodra de beherende rechtspersoon onder Amerikaans recht valt. Een TIA voor deze specifieke wijziging van zeggenschap is, voor zover bekend, niet uitgevoerd of gepubliceerd.

Het ontbreken van DPIA, de daarmee samenhangende AP-raadpleging, en een TIA, raakt ten slotte aan iets dat groter is dan de som van die afzonderlijke artikelen: de verantwoordingsplicht van artikel 5, tweede lid, en artikel 24 AVG. Een verwerkingsverantwoordelijke moet kunnen aantonen dat aan de beginselen van de AVG is voldaan, niet alleen beweren dat dit zo is. Drie ontbrekende of onzichtbare toetsingsdocumenten op een rij maken die aantoonplicht moeilijk waar te maken, en verschuiven de bewijslast in feite naar de vraag waarom deze stappen zijn overgeslagen, in plaats van naar de vraag of het risico zich al heeft gerealiseerd.

Ten slotte ligt er een laatste, vooruitkijkende verplichting die nu nog niet acuut is, maar die wel laat zien hoe dit dossier zich verder zou kunnen ontwikkelen: de meldplicht datalekken van de artikelen 33 en 34 AVG. Mocht een Amerikaanse autoriteit op grond van de CLOUD Act daadwerkelijk gegevens opvragen, dan is de vraag gerechtvaardigd of dat, afhankelijk van de precieze uitleg, een meldenswaardig datalek oplevert. Diezelfde Amerikaanse geheimhoudingsplicht die een dergelijk bevel begeleidt, maakt een tijdige melding tegelijk vrijwel onmogelijk. Dat is geen nieuw probleem, maar een herhaling, nu binnen de AVG zelf, van het probleem dat hierna wordt besproken bij artikel 47 van het Handvest: een onzichtbaarheid die niet per ongeluk ontstaat, maar door het ontwerp van de Amerikaanse regelgeving zelf wordt veroorzaakt.

Of de Autoriteit Persoonsgegevens dit dossier, met al deze samenhangende verplichtingen, zelfstandig heeft opgepakt, is in de openbare stukken niet terug te vinden. Dat de AP dit niet zichtbaar heeft geagendeerd, is zelf een vraag die aandacht verdient: niet als verwijt aan de toezichthouder zonder verdere onderbouwing, maar als signaal dat naast het BTI-spoor en het civielrechtelijke spoor ook een derde, AVG-rechtelijk handhavingsspoor open ligt, en open lijkt te blijven liggen.

Belangrijker nog voor de redenering in dit artikel is dat de AVG het recht op een doeltreffende voorziening in rechte, dat hierna wordt toegelicht aan de hand van artikel 47 van het Handvest, zelf al in concrete bepalingen heeft vastgelegd. De artikelen 78 en 79 AVG geven de betrokkene een recht op een voorziening in rechte tegen de toezichthoudende autoriteit, respectievelijk tegen de verwerkingsverantwoordelijke of verwerker. Dat betekent dat de Handvest-redenering hier niet alleen een algemeen grondrechtelijk beginsel is, maar een wettelijk verankerd recht waarop een burger zich direct kan beroepen. Het probleem dat hierna wordt besproken, dat een betrokkene structureel niet kan vaststellen of zijn gegevens via de CLOUD Act zijn opgevraagd, ondermijnt daarmee niet alleen een abstract grondrecht, maar de werking van een concrete, in de AVG zelf vastgelegde rechtsgang. Dat maakt het probleem minder een kwestie van rechtsfilosofie en meer een kwestie van een wet die haar eigen doel, effectieve rechtsbescherming, in deze specifieke situatie niet kan waarmaken.

Artikel 47 van het Handvest: het recht om je te kunnen verweren

Bij de grondrechten die in dit dossier op het spel staan, wordt meestal gedacht aan het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens, de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie. Er is echter een derde artikel dat hier een eigen, dragende rol speelt, en dat zoals hierboven beschreven via de artikelen 78 en 79 AVG al een directe wettelijke vertaling heeft gekregen: artikel 47 Handvest, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht.

Dat artikel waarborgt niet het onderliggende privacyrecht zelf, maar de mogelijkheid om je daarop daadwerkelijk te kunnen beroepen. En precies die mogelijkheid komt hier in het gedrang. Een geheime motivering van het BTI-verbod, een rechtsmachtlandschap dat in zes stukken is gefragmenteerd, en een Amerikaanse geheimhoudingsplicht die elke vordering tot toegang tot gegevens onzichtbaar maakt, vormen samen een situatie waarin een betrokkene structureel niet kan controleren of, en zich niet kan verweren tegen, het feit dat zijn gegevens zijn opgevraagd. Het Hof van Justitie van de Europese Unie heeft in de arresten Schrems I (C-362/14) en Schrems II (C-311/18) een verband gelegd tussen ontoereikende rechtsbescherming tegen surveillance door een derde land en de kernwaarborgen van artikel 47: in beide zaken oordeelde het Hof dat een regeling die de betrokkene geen rechtsmiddel biedt om toegang tot zijn gegevens door buitenlandse inlichtingendiensten aan te vechten, de wezenlijke inhoud van het recht op een doeltreffende voorziening in rechte aantast. Een systeem waarin de betrokkene nooit kan vaststellen of een inbreuk heeft plaatsgevonden, ondermijnt niet alleen zijn privacy, maar zijn recht om zich daartegen te verweren.

Artikel 47 is daarom niet zomaar een grondrecht dat aan het rijtje wordt toegevoegd. Het is het artikel dat verklaart waarom materiële rechtsbescherming hier zo zwaar moet wegen: de formele, procedurele route, achteraf een rechter vinden die je gelijk geeft, wordt door het ontwerp van de dreiging zelf geblokkeerd.

Dat ontbreken heeft ook een processueel gevolg, los van de inhoudelijke vraag of het risico zich al heeft gerealiseerd. Een partij die zich in een procedure beroept op de stelling dat het risico beheersbaar was, staat zwak als zij nooit het wettelijk voorgeschreven instrument heeft gebruikt om dat risico te beoordelen. Het ontbreken van een DPIA verschuift dan de bewijspositie: niet de burger of de Staat moet aantonen dat het risico zich kan voordoen, dat staat door de eigen interne analyse van Logius al voldoende vast, maar de partij die zich op de afwezigheid van risico beroept, moet verklaren waarom het instrument dat daarvoor bestaat, nooit is ingezet.

De grens: rechtszekerheid, en waarom transparantie die grens bewaakt

Materiële rechtsbescherming zonder grens is willekeur, en willekeur is voor Kyndryl en VP precies zo schadelijk als voor de Nederlandse burger. Een investeerder die niet kan weten aan welke norm hij wordt getoetst, kan zich er ook niet naar gedragen. Die grens hoeft niet te worden gevonden in formele terughoudendheid, maar in transparantie. De procedure die Solvinity nu tegen de Staat voert om de motivering van het verbod openbaar te krijgen, is daarom geen bijzaak in dit dossier. Het is het instrument waarmee een teleologische uitlegging toetsbaar wordt in plaats van willekeurig. Geheimhouding van die motivering, ongeacht of zij wordt gerechtvaardigd met nationale veiligheid of bedrijfsvertrouwelijkheid, ondermijnt het enige mechanisme dat materiële rechtsbescherming onderscheidt van willekeur.

Bij de vijf gefragmenteerde rechtsverhoudingen die eerder in dit artikel zijn beschreven, hoort eigenlijk een zesde, die niet in die telling voorkomt omdat hij nooit in werking is gesteld. Een gegevensbeschermingseffectbeoordeling die tot de conclusie was gekomen die de interne analyse van Logius feitelijk al bevatte, een hoog restrisico dat ook na mitigatie niet wegvalt, had via artikel 36 AVG geleid tot een verplichte raadpleging van de Autoriteit Persoonsgegevens, en die raadpleging had via artikel 58 AVG kunnen uitmonden in een verbod of een corrigerende maatregel, vóórdat de overname een feit werd. Dat is geen route die wachtte op een rechter of op de uitkomst van een investeringstoets. Het is een eigenstandig, vooraf werkend instrument, ontworpen voor precies dit type risico, dat nooit is geactiveerd, niet omdat de toezichthouder tot een ander oordeel kwam, maar omdat de eerste stap in die keten, de DPIA zelf, kennelijk nooit is gezet.

Het uitgangspunt dat de afweging uiteindelijk beslecht

Aan het einde van die afweging staat geen neutrale weegschaal. Het Handvest erkent het recht op eerbiediging van privéleven, het recht op bescherming van persoonsgegevens en het recht op een doeltreffende voorziening in rechte niet als belangen die in een gewone kosten-batenanalyse tegen winstbelangen, bestuurlijk gemak of continuïteitsoverwegingen worden afgewogen. Het erkent ze als rechten die aan die andere belangen voorafgaan. Dat is geen retorisch uitgangspunt maar een juridisch: grondrechten zijn in de Unierechtelijke hiërarchie niet onderhandelbaar tegenover de winst van een investeringsfonds, het gemak van een bestuurder die geen lastige Kamervragen wil, of de wens van een ministerie om een dossier niet te laten escaleren.

Dat is precies waarom dit dossier, bij elke laag waarin het hier is ontrafeld, dezelfde fout vertoont, en steeds dezelfde drie waarden, soevereiniteit, continuïteit en privacy, op dezelfde manier verkeerd worden gewogen. VP koos voor een paar miljoen meer boven een evident aanwezig politiek risico: continuïteit van de transactie boven soevereiniteit. Logius koos voor bestuurlijke rust boven een volledige risicoanalyse aan de Kamer: continuïteit van het eigen dossier boven soevereiniteit en privacy. Nederland koos voor marktaangelegenheid boven een infrastructuur zonder marktalternatief: dezelfde driedeling, op stelselniveau. Geen van die keuzes was op zichzelf een doorslaggevende schending, maar samen vormen ze een patroon waarin het grondrecht van de burger structureel het laatste woord krijgt, in plaats van het eerste.

Een rechtsorde die de fundamentele rechten van de mens werkelijk laat voorgaan, kan zich daarom niet permitteren star vast te houden aan een verdeling van bevoegdheden die toevallig zo is gegroeid dat niemand het totaalrisico beoordeelt. Materiële rechtsbescherming is dan niet de uitzondering op een verder rechtspositivistische orde. Het is de enige houding die recht doet aan het uitgangspunt dat die orde zegt te dienen.

Dat uitgangspunt is niet alleen een zaak voor de Nederlandse rechter. Een procedure die de WOZT/Vifo-routekeuze, de Europese notificatieplicht, en de blootstelling van niet-Nederlandse EU-burgers via de eIDAS-koppeling combineert, raakt rechtstreeks aan de uitlegging van Unierecht. Een Nederlandse rechter die voor die combinatie komt te staan, kan, en bij twijfel over de juiste uitlegging van de FDI-screeningsverordening of de reikwijdte van artikel 47 Handvest in deze context moet, een prejudiciële vraag stellen aan het Hof van Justitie van de Europese Unie. Materiële rechtsbescherming is dan niet alleen een opdracht aan de Nederlandse rechtsorde, maar ook aan het Hof dat al in de Schrems-arresten heeft laten zien bereid te zijn de grenzen van effectieve rechtsbescherming tegen buitenlandse surveillance scherp te trekken.

De lopende procedure van Solvinity tegen de Staat gaat niet over de rechtmatigheid van de overname zelf, maar over de openbaarmaking van de motivering achter het verbod. Wat zij ook oplevert, zij kan op zichzelf niet meer doen dan de toegang tot een van de zes gefragmenteerde knopen uit dit dossier openen of blokkeren. De vraag of VP onrechtmatig heeft gehandeld, blijft daarmee grotendeels een vraag voor de toekomst, niet omdat de zorg ongegrond is, maar omdat het privaatrecht structureel niet is toegerust om een risico te grijpen dat zich vooral laat herkennen aan zijn onomkeerbaarheid en onzichtbaarheid. De vraag of Solvinity toerekenbaar is tekortgeschoten jegens de Staat, staat er sterker voor, en verdient een eigen, zelfstandig vervolg los van de bestuursrechtelijke strijd om het BTI-verbod. En de vraag wat Logius wist, wanneer, en waarom dat niet volledig bij de Tweede Kamer terechtkwam, blijft op dit moment ten dele onbevestigd, maar niet onbelangrijk: het bepaalt of dit dossier wordt gelezen als een ongelukkige samenloop van omstandigheden, of als een patroon van keuzes waarbij telkens het ongemakkelijke is uitgesteld tot het te laat was om nog iets anders te doen.

Wat zich daarbij in elk geval laat vaststellen, los van de uitkomst van enige procedure, is dat het uitstel zelf al een prijs heeft gehad, in geld en in bestuurlijke geloofwaardigheid, en dat een groot deel daarvan vermijdbaar was geweest met een vroege, gezamenlijke afweging tussen de betrokken ministeries in plaats van twee naast elkaar lopende, slecht op elkaar afgestemde trajecten. Dat is misschien de meest praktische les uit dit hele dossier: niet welke partij achteraf het gelijk aan haar zijde krijgt, maar dat de structuur die dit soort beslissingen moet voorbereiden, zelf toe is aan herziening.