CPO van Logius: 'Persoonsgegevens dreigen in Amerikaanse handen te vallen'

Van Oordt uit zijn zorgen tegenover De Volkskrant. Een veiligheidsanalyse van Logius, die op 24 november 2025 met het ministerie van Binnenlandse Zaken is gedeeld, concludeert dat het platform technisch niet volledig kan worden afgesloten voor de leverancier. Dit betekent dat Kyndryl potentieel toegang blijft houden tot data en persoonsgegevens, en de beschikbaarheid van DigiD kan beïnvloeden. Extra maatregelen om deze risico’s te beperken, worden als onvoldoende en moeilijk uitvoerbaar beschouwd. Het document is niet met de Tweede Kamer gedeeld.

Intern meermaals gewaarschuwd

Van Oordt, die als privacy-adviseur verantwoordelijk is voor DigiD en MijnOverheid, heeft intern herhaaldelijk gewaarschuwd voor de gevolgen van de overname. Als de transactie doorgaat, vallen DigiD en MijnOverheid onder Amerikaanse wetgeving, zoals de Cloud Act en de Foreign Intelligence Surveillance Act (Fisa). Dit geeft Amerikaanse veiligheidsdiensten de mogelijkheid om gegevens op te vragen en de beschikbaarheid van DigiD te blokkeren.

DigiD is essentieel voor de digitale interactie tussen burgers en overheid. Dagelijks vinden er twee miljoen inlogsessies plaats, en via MijnOverheid worden jaarlijks honderd miljoen brieven met gevoelige informatie verstuurd. Deze brieven bevatten onder meer gegevens over gezinssamenstelling, adressen, belastingschulden en bijzondere persoonsgegevens.

'Juridische stappen zijn niet haalbaar'

Het ministerie van Binnenlandse Zaken heeft laten weten dat er momenteel geen nieuws is over het traject rondom de overname. De juridische opties die Van Oordt heeft aangedragen, zijn volgens het ministerie niet haalbaar. Van Oordt heeft begin april 2026 een rechtszaak tegen het ministerie en de Staat der Nederlanden aangekondigd. Hij hoopt via een kort geding te toetsen of hij als ambtenaar bescherming krijgt om zijn strijd voor privacy voort te zetten.

Een bron met ervaring in de top van ministeries geeft aan dat overnames vaak vanuit het principe van de open markt worden bekeken, waardoor de juridische middelen om de overname tegen te houden beperkt zijn. Privacybezwaren zijn volgens de bron geldig, maar moeilijk te onderbouwen. Bovendien speelt mee dat de VS nog steeds als een belangrijke bondgenoot worden gezien, hoewel bondgenootschappen snel kunnen veranderen.

Breder draagvlak voor zorgen

De zorgen over de overname van Solvinity beperken zich niet tot DigiD en MijnOverheid. Het bedrijf verzorgt ook het beheer van IT-systemen voor de Nationale Politie, het Openbaar Ministerie, Justitie en de gemeente Amsterdam. Dit versterkt de vraag of de overname voldoende is afgewogen tegen de mogelijke risico’s voor privacy en veiligheid.