Terechte zorgen om data in buitenlandse handen

De Tweede Kamer debatteerde op woensdag 11 februari over de verkoop van het cloudbedrijf die DigiD en MijnOverheid host. Nederlandse gegevens zouden dan in handen komen van Amerikaanse techgiganten. Lees hieronder de bijdrage van Chris Stoffer.

Wen mantzelzorger vraagt zorgtoeslag aan, een ondernemer regelt een vergunning, een student zijn studiefinanciering. Dagelijks wordt er 1,5 miljoen keer ingelogd bij deze digitale sleutel tot de overheid waarbij verondersteld wordt dat diezelfde overheid zich tot het uiterste inspant om de gegevens van miljoenen Nederlanders veilig te houden. Is dat vertrouwen nog op zijn plaats? De SGP begrijpt de terechte zorg van miljoenen Nederlanders die hun data overgeheveld zien worden naar een investeerder buiten onze landsgrenzen. Als de techniek achter die sleutel buiten onze invloedssfeer komt, raakt dat het vertrouwen in de overheid zelf.

Digitale soevereiniteit
Digitale soevereiniteit gaat over macht en controle: wie kan erbij, wie kan het afdwingen, en onder wiens rechtsmacht valt onze data? Als een buitenlandse staat via wetgeving druk kan uitoefenen op een leverancier, dan is onze zeggenschap niet exclusief. Dan spreken we niet over soevereiniteit, maar over afhankelijkheid. De Amerikaanse CLOUD Act maakt dat pijnlijk concreet. Amerikaanse bedrijven kunnen worden verplicht data te verstrekken aan Amerikaanse autoriteiten, ook als die data in Europa staan. Juristen wijzen erop: extraterritoriale wetgeving volgt de entiteit, niet de serverlocatie. Dat schuurt met de belofte dat Nederlandse overheidsdata echt onder Nederlandse zeggenschap staan. Daar komt bij dat tal van experts oproepen tot meer openheid rond deze overname. Begrijpelijk, want het gaat hier om de digitale identiteit van miljoenen Nederlanders. Transparantie is daarbij een voorwaarde voor vertrouwen. Willen we dat vertrouwen zomaar uit handen geven? We kunnen daarbij niet afwachten tot zich zo’n verzoek voordoet en we maar moeten vertrouwen op de certificaten en afspraken van de buitenlandse beheerder.

Nationale veiligheid
De wet vifo is in het leven geroepen om te voorkomen dat vitale aanbieders ongemerkt in handen komen van partijen die een risico vormen voor de nationale veiligheid. Als de infrastructuur achter de digitale identiteit van álle Nederlanders niet vitaal is, wat dan wel? Daarom de volgende vragen:

1. Kan het kabinet zwart-op-wit garanderen dat voor DigiD en MijnOverheid geen enkele buitenlandse rechtsmacht toegang kan afdwingen tot gevoelige data of sleutels?
2. Hoe en onder welke criteria wordt deze overname getoetst aan de Wet Vifo? Is Solvinity in dit kader aangemerkt als vitale aanbieder, en is het kabinet bereid in te grijpen als risico’s niet volledig uit te sluiten zijn?
3. Is het kabinet bereid vitale overheids-ICT als strategische infrastructuur te behandelen, met bijpassend publiek eigenaarschap en regie?
4. Hoe weegt het kabinet de consistentie van beleid? We weren buitenlandse camera’s uit angst voor spionage, maar laten mogelijk de machinekamer van onze digitale identiteit overnemen door een buitenlandse partij. Hoe is dat uitlegbaar?
5. Wanneer komt er een routekaart richting een meer soevereine overheidscloud en versterking van eigen capaciteit?

Meer digitale autonomie
Digitale autonomie vraagt een eigen, nationale koers. Niet uit wantrouwen, maar uit verantwoordelijkheid voor vitale overheidsfuncties. Uitbesteden van cruciale systemen beperkt onze handelingsvrijheid. Bij vitale overheids-ICT weegt het publieke belang en de veiligheid zwaar. Niet alles wat kan, moet worden uitbesteed, dat is geen economisch isolement, maar verstandig rentmeesterschap. Kiezen voor Nederlandse en Europese partijen versterkt bovendien kennis, banen, innovatie, veiligheid en onze strategische positie. Daarom doet de SGP een aantal voorstellen voor meer digitale autonomie.

1. Begin bij de fundering: data. Beleid moet starten bij de vraag: wie heeft ultieme zeggenschap over data en cryptografische sleutels, en onder welke jurisdictie? Als die fundering niet stevig is, zijn audits en certificaten slechts pleisters.
2. Werk toe naar een Government Private Cloud. Nederland hééft de kennis en de datacenters. Wat in Nederland kán, moet in Nederland blijven. De kernvraag is governance: publieke regie en eigenaarschap bij vitale systemen. 
3. Richt een Sovereign Tech Agency op. Zoals Rijkswaterstaat voor water en wegen. Een organisatie met wettelijk mandaat, waar de staat eigenaar is van cruciale onderdelen zoals sleutelmaterialen en het controlesysteem.
4. Investeer in eigen kennis en verifieerbare technologie. Wie de kennis niet heeft, kan de controle niet waarmaken. Strategische autonomie vraagt om eigen expertise mét bijbehorende middelen.

Graag ontvang ik een reactie van de minister hoe hij deze voorstellen beoordeelt.

Zorgvuldig omgaan met data
De overheid vraagt van burgers terecht dat zij zorgvuldig omgaan met hun data. Burgers mogen verwachten dat de overheid minstens zo zorgvuldig omgaat met hún data en de infrastructuur daarachter. Laten we de digitale voordeur van de Nederlandse overheid niet naïef op een kier zetten, maar de sleutel stevig in eigen hand houden.