Gisteren werd een verzoek tot schorsing van het overnameverbod van Solvinity afgewezen door de rechtbank Rotterdam. Een uitgebreid vonnis, maar de kern is dus wel degelijk zorgen om de CLOUD Act, FISA en consorten. Maar dan wel alleen bij Solvinity.
In mei blokkeerde Nederland de overname van DigiD-hoster Solvinity door het Amerikaanse Kyndryl. Daarbij werd de vrij onbekende Wet ongewenste zeggenschap telecommunicatie (Wozt) ingezet, maar de motivering bleef vooralsnog geheim. Daardoor was het speculeren wat de juridische route was.
Solvinity’s eigenaar (Host Lux) ging in beroep, en daardoor weten we nu grofweg waar het besluit op gebaseerd is, namelijk tóch de CLOUD Act en vriendjes:
De Verenigde Staten (VS) beschikken over verschillende wetgeving die extraterritoriale werking heeft, waardoor ze toegang kunnen krijgen tot gegevens die wereldwijd worden verwerkt door Amerikaanse technologiebedrijven. Naast de Clarifying Lawful Overseas Use of Data Act (CLOUD Act) en de Foreign Intelligence Surveillance Act (FISA) hebben de VS verschillende wettelijke middelen om bedrijven te dwingen gegevens te verstrekken of technische hulp te bieden aan veiligheids- en inlichtingendiensten. Belangrijke voorbeelden zijn de Communications Assistance for Law Enforcement Act (CALEA), die telecom- en communicatiebedrijven verplicht hun systemen toegankelijk te maken voor afluisterpraktijken. Ook is er de Stored Communications Act (SCA), die Amerikaanse autoriteiten toegang kan geven tot opgeslagen communicatiegegevens, zelfs als deze buiten de VS zijn opgeslagen. Amerikaanse inlichtingendiensten hebben brede rechten voor het verzamelen en opslaan van communicatie en andere gegevens die in het buitenland plaatsvinden en opgeslagen staan. FISA Section 702 vormt de juridische basis voor programma’s zoals PRISM en Upstream. Hierdoor kunnen aanbieders van elektronische communicatiediensten verplicht worden om mee te werken aan buitenlandse inlichtingenverzameling. Waar de VS zich onderscheiden van andere landen is dat zij een grote invloed hebben op de mondiale digitale infrastructuur die vrijwel geheel in handen is van Amerikaanse bedrijven. Een recente studie van de Zwitserse Cloudprovider Proton, laat zien dat veel staten afhankelijk zijn van deze technologie en dat de VS via deze bedrijven macht kunnen uitoefenen.De rest van de redenering is daarmee gegeven. Als Solvinity in Amerikaanse handen komt, krijgt zij met al deze wetgeving te maken. En dat is precies waar dan de Wozt voor bedoeld is, vandaar het verbod. En het verbod is redelijk gezien de ernst.
Die ernst is mede gegeven door het antwoord op een ander juridisch vraagje waar ik mee zat: waarom geldt de Wozt voor Solvinity? Die wet is bedoeld voor grote telecompartijen (meer dan 100.000 eindgebruikers, 300 AS’en, 400.000 domeinnamen, dat werk) en Solvinity haalt dat niet. Maar uit besloten bron heeft de rechter vernomen dat Solvinity
een elektronische communicatiedienst of elektronisch communicatienetwerk, datacenterdienst of vertrouwensdienst aanbiedt aan de Algemene Inlichtingen- en Veiligheidsdienst, het ministerie van Defensie, de Militaire Inlichtingen- en Veiligheidsdienst, de Nationaal Coördinator Terrorismebestrijding en Veiligheid of de Nationale Politie(…).Om die reden is de Wozt alsnog van toepassing, zodat het verbod in stand blijft.
Betekent dit nu dat heel Nederland moet stoppen met Amerikaanse clouddiensten? Nee. Hoewel het gevaar algemeen en concreet is gepresenteerd, is dit beperkt tot de context van overnames door Amerikaanse partijen. Bovendien moet je dus of een grote jongen zijn of aan de mannen in regenjassen leveren.
Het is wel de eerste keer dat zo formeel wordt erkend dat CLOUD Act en consorten een clear and present danger voor onze soevereiniteit zijn. Ik verwacht dus zeker wel enige precedentwerking.
Arnoud
Een voorbarige conclusie zoals dat Exota flessen inderdaad ontploffen. Het was een kort geding en die zegt dat de druk om nu te beslissen onvoldoende is.
Typisch in deze is dat Solvintity geen digid-beheer kan doen en er geen mogelijkheid voor ze is om er bij te komen. Geen van de partijen heeft belang daar dieper op in te gaan. – Indien solvinity dit argument voert dan gaat de waarde omlaag. – Indien de overheid dit argument voert dan geven ze aan dat ze de boel zelf niet op orde hebben – De activisten die het argument voeren zijn niet gebaat bij de echte waarheid.
Waarom heeft Solvinty geen toegang? – Tenderned rekenkamer AcIct ADR rapporten geven de problematische verhoudingen van Picard als stack aan. De kern is een opensource gebeuren gebaseerd op kubernetes welke zo complex gemaakt is dat de aanbesteding na 5 jaar van het 4-jarig contract voor een deel gedaan is. – De monitoring (SOC) is in dezelfde aanbesteding 2020 naar Deloitte gegaan. – het beheer van applicaties waaronder digid is naar 5 andere partijen gegaan
Wat er werkelijk aan de hand kan zijn geeft enkel scenarios welke kwalijker fout zijn dan deze foute situatie van niet mogen verkopen wegens het werk van enkele personen van de 200-300 waar het om gaat.
Indien dit verder opspeelt en uitgespeelt gaat worden kan het enkel to een escalatie leiden met schandalen.
Kijk ook naar deze actie die onlangs in de US genomen: https://noyb.eu/en/us-supreme-court-just-blew-eu-us-data-transfers
Misschien dat Arnoud daar een artikel over kan schrijven 😉
Zo te zien wel”> 😉
Ook wel interessant waarom wij/de staat toch de proceskosten moeten betalen ook al is het verzoek niet toegekend. Inhoudelijk geeft de rechter de wel staat gelijk, maar de staat heeft volgens de rechter niet haar best gedaan om inhoudelijke stukken te overleggen aan de stichtingen die zich bij het proces hebben gevoegd, er zich steeds op beroepen dat het allemaal vertrouwelijk is. Daardoor zouden Solvinity en de stichtingen mogelijk extra juridische kosten hebben gemaakt. Dus moet de staatssecretaris de kosten betalen.
Ik blijf toch nog steeds met juridische vragen zitten, die maar niet worden beantwoord.
Basis van de beslissing is opnieuw het simpele gegeven dat er ergens in de wereld een wet bestaat die direct of indirect van toepassing is op een bedrijf hier, en van dat bedrijf zaken verlangt die wij als onacceptabel risico bestempelen. Dat is dus grond voor een forse ingreep in de bedrijfsvoering. Het verweer “ik volg de lokale wetgeving die mij verbied om uitvoering te geven aan die buitenlandse wet”, wordt terzijde geschoven. Ik lees niet waarom, maar blijkbaar is de redenering “ja maar misschien overtreden ze de wet hier toch”. Maar dat is nogal wat, ingrijpen voordat er sprake is van een daadwerkelijke overtreding, alleen op basis van “het zou kunnen”. Ander voorbeeld. Stel, een NL IT bedrijf, bijvoorbeeld Adyen, Mendix, levert diensten waar Chinese burgers gebruik van maken. Je kunt er vergif op innemen dat daar een CN wet van toepassing is, misschien eentje die voorschrijft hoe je data op moet slaan en moet overhandigen aan CN autoriteiten bij uitvraag. Dus “valt” dat bedrijf ook onder CN wetgeving. Is dat dan ook grond voor uitsluiting van overheidsaanbestedingen (zoals voorgesteld in het recente pamflet van toezichthouders), overname verbod? “Nee” hoor ik dan, “want die wet heeft hier geen werking, het is een Nederlands bedrijf, we denken dat data van NL burgers buiten schot blijft”. Ok zeg ik dan, maar als het goed is heeft die Cloud act hier ook geen werking op NL burgers, zie AVG artikel 48. Waarom dan wel de paniek bij Solvinity? Dan, wat zegt dit over de klant-leveranciersverhoudingen. Overheid 1 is klant bij Solvinity en heeft een probleem met zijn klanten (wij) die het maar niets vinden wat Solvinity doet. Je zou dan zeggen: dan ga je naar een ander. In dit geval vraagt overheid 1 aan overheid 2 om in te grijpen bij de leverancier zodat zij niet in de problemen komen. Want niet is betoogd dat Solvinity zelf (dus los van Digid) van nationaal belang is. Een andere, private klant van Solvinity vind het ook vervelend allemaal, maar heeft die luxe van een sterke grote broer die in kan grijpen niet. Hoe ethisch is dat eigenlijk ?
Ik merk dat ik zowat nog de enige ben die dit soort vragen stelt, iedereen verklaart me voor naief en gek. Misschien ben ik wel naief of gek? Wie geeft me antwoorden ?
Internationaal recht is een complex verhaal. Landen claimen vaak meer dan ze kunnen waarmaken: Ofcom (VK) claimt dat 4chan (US) onder Britse jurisdictie valt, 4chan beweert een volledig Amerikaans bedrijf te zijn. 4chan heeft nu bij een Amerikaanse federale rechtbank een zaak aangespannen om de door de Britse overheidsinstantie opgelegde boete nietig te verklaren. Ik ga het even niet hebben over alle problemen waar het Verenigd Koninkrijk tegenaan loopt wanneer zij de boete wil incasseren.
Casus 2: Frankrijk wil aanpassingen aan hoe Telegram berichten modereert en verwijdert. Er is zo goed als geen voortgang in de zaak totdat een van de oprichters en directeuren in Frankrijk landt. Hij wordt gearresteerd, na een paar dagen weer vrijgelaten, maar mag Frankrijk niet verlaten tot zijn proces ten einde is. Met deze gijzelaar als hefboom wist Frankrijk wijzigingen bij Telegram af te dwingen.
Conclusie: Zolang je in het land of in zeer bevriende jurisdicties geen eigendommen of personen van het bedrijf dat je wilt aanpakken hebt, kan dat bedrijf gewoon een lange neus maken naar jouw pogingen om dat bedrijf aan te pakken.
(Aan de poster: ik heb het vermoeden dat in de tekstbrij die van jouw bericht ontstaan is nog meer interessante vragen zitten. Wees niet bang juridische vragen hier te stellen.)
Als overheid zijn er wel een paar mogelijkheden om levering van diensten van zo’n bedrijf te blokkeren zoals destijds met the Pirate Bay of met aanpak van financiele stromen. Ja, met beperkt effect. Die Franse interventie bleek erg effectief 🙂
Dank ! Ik probeer het wat beter te structuren – Kan het simpele feit dat er een wet bestaat in een andere land die een bedrijf treft, grond zijn voor ingrepen of uitsluitingen, zelfs als er een wet in de eigen jurisdictie bestaat die uitvoeren van die wetgeving verbiedt? – Is het uitsluiten van aanbesteding of levering met als motivering angst voor – (niet vermoeden van) wetsovertreding houdbaar? – Idem, uitsluiting omdat een aandeelhouder niet in NL gevestigd is? – Idem, uitsluiting ondanks het bedrijf aantoont (audits, certificeringen) aan wettelijke eisen te voldoen?
Specifiek bij Kyndryl is het argument dat zij buiten de AVG vallen als Amerikaanse organisatie. En kennelijk bij de data kunnen waar Solvinity beheer van doet. Dus dan is er geen Europese partij meer tussen die met de AVG gaat wapperen.
“kennelijk bij data kunnen”, dat is nu precies de kern. Hoe zit dat dan, juridisch en operationeel ? Solvinity zegt: wij zijn een NL BV en houden ons aan NL / EU wetten. Onze operators (admin) zijn de enigen die access hebben en die zijn bij ons in dienst. Dan zijn er anderen die zeggen “ja dat kunnen ze wel zeggen maar wij geloven dat de US tak van Kyndryll (nota bene: de NL tak van Kyndryll is degene die SOlvinity wilde kopen) opdrachten aan Kyndryll NL zal geven, die gaan via hun comissarissen SOlvinity vertellen dat die Kyndryll US operators ook een root password moeten krijgen voor Digid, en dat krijgen ze dan en Logius weet daar dan niets van. En die US operators , tja dat zijn Amerikanen en die trekken zich niets van de AVG aan. En dat vinden we zo riskant dat we de overname wel moeten verbieden” Met die redenatie is elke indirecte aandeelhouder in een NL bedrijf een probleem. Want “dan geldt de AVG ineens niet meer”. Wetten en regels: irrelevant. Zoals NIS2/CBW, DORA – die maatregelen tegen collusion en onrechtmatige toegang verbieden – ook weinig zin, hebben we geen enkel vertrouwen meer in zodra en een US aandeelhouder van een NL aandeelhouder in beeld komt, alleen ingrijpen helpt. Maar resistance is futile, ik begrijp dat ook veel juristen inmiddels van mening zijn onze eigen wetgeving ons niet (meer) kan beschermen en dat preventief ruimen dus de enige optie is
Je stelt een heleboel vragen waar antwoorden genuanceerd liggen en verschillend kunnen zijn voor goederen of diensten. Over het algemeen is het ontvangen van goederen uit een ander land het minst problematisch, al moet je wel (vooraf) verifiëren of de goederen aan de eisen van de Nederlandse (EU) wet voldoen. Handelen met een persoon of een organisatie die op een sanctielijst staat is ook problematisch.
Bij dienstverlening krijg je ook te maken met werkvergunningen, maar in principe is het geen probleem om werk uit te besteden. Voor het uitvoeren van bepaalde goederen heb je vergunningen nodig, andere goederen mag je helemaal niet naar bepaalde landen exporteren.
Over het algemeen is een minderheidsaandeelhouder die in het buitenland gevestigd is geen probleem. Maar op het moment dat een buitenlander het bedrijf feitelijk beheert kan dat een probleem worden. Zie de Nexperia case.
Tot nu toe is de EU relatief zacht geweest tegenover het gebruik van buiten-EU dienstem en voor buitenlandse investeringen en overnames. Als het gepraat over “soevereiniteit” leidt tot wetgeving zullen er veel meer Solvinity-achtige blokkades opgeworpen worden.
Een ander recent voorbeeld: Kabinet pauzeert uitrol van Microsoft 365 bij Belastingdienst en Douane Waarin de overweging ook is om kantoorautomatisering (die ook gevoelige persoonsgegevens bevat) “soeverein” (in eigen beheer) te verwerken. Als achteraf blijkt dat de CIA (of een andere “agency”) structureel meeleest dan krijg je een politieke rel die niet te overzien is.
“waarom geldt de Wozt voor Solvinity? Die wet is bedoeld voor grote telecompartijen (meer dan 100.000 eindgebruikers, “
Denk ik nou te simpel als ik denk, DigiD heeft toch wel iets meer dan 100.000 eindgebruikers?
DigiD is dan weer geen telecommunicatiedienst.
Dus als Solvinity deze specifieke dienst afsplits of verkoopt an KPN kan de verkoop gewoon doorgaan?