オランダ政府、DigiDプラットフォームの運用を欧州企業に限定

オランダ政府は、将来的にDigiDプラットフォームを管理する企業は欧州に拠点を置かなければならないと発表しました。この政策転換は、デジタル身分証明システムが、外国政府に機密性の高い市民データを閲覧させる可能性のある非欧州の法律の管轄下に置かれないようにすることで、国家安全保障を保護することを目的としています。

防衛・安全保障調達法（ADV）への移行

2028年8月以降に有効となるDigiD契約の次回の入札は、標準的な欧州の入札ではなく、防衛・安全保障調達法（ADV）に基づいて実施されます。内務省のエリック・ファン・デル・ブルグ（Eric van der Burg）国務長官は、ADVが国家安全保障へのリスクを制限するために、より広範な権限を提供し、具体的には資格を欧州企業に限定することによってこれを行うと述べています。

この法的枠組みにより、政府は、過度な政府介入や、民間テック企業から国家当局へのデータの強制的な引き渡しを許可する法律を持つ国の企業を排除することが可能になります。

KyndrylによるSolvinityの買収阻止

この政策変更は、DigiDの現在の部分的な管理運営者であるSolvinityが、アメリカの企業であるKyndrylによって買収されることをオランダ内閣が阻止した決定に続くものです。この阻止は、投資審査局（BTI）からの助言を受けて実施されました。

オランダ議会および安全保障の専門家が挙げた主な懸念事項は以下の通りです：

• 外国によるデータアクセス: Kyndrylを通じて、米国政府がDigiDのデータにアクセスできるのではないかという懸念。
• サービスの継続性: 米国政府がプラットフォームを停止させる可能性があるという懸念。
• 立法上のリスク: 米国の法律が、データの保存場所に関わらず、米国企業に対して政府がデータを要求できるという実態。

Solvinityの担当者は、そのようなアクセスを防止するために努めると主張しましたが、そのような介入が不可能であるという保証はできませんでした。

暗号化とセキュリティ対策の強化

運用者の居住要件に加えて、国務長官は、DigiDおよびMijnOverheidの双方のデータに対して、改善された暗号化が適用されると発表しました。これらのアップグレードは、Kyndrylによる買収の試みによって引き起こされた非公開の調査による推奨事項に基づいています。

コミュニティの視点と技術的な批判

技術的な観察者たちの間での議論は、デジタル主権に対する政府のアプローチに関するいくつかの論争点について浮き彫りにしています：

主権権限 vs. アウトソーシング

一部の批判者は、なぜ国家の重要なインフラストラクチャが民間企業によって管理されているのか疑問を呈しており、フランスのFranceConnectと同様に、政府主導のプロジェクトにすべきであると示唆しています。

"I'm even more bewildered that an American company thought that they could take over the national identity management system of an European country, as if this was business as usual."

「クラウド・ギャップ」

技術的な懐疑論者は、、運用者を欧州企業に限定することは、基盤となるインフラストラクチャが非EUのクラウドプロバイダーに依存し続ける場合、問題を完全に解決することにはならない可能性があると主張しています。

"Plot twist: the data will still be stored outside of the EU - the magic of cloud computing."

実装上の懸念

他の観察者たちは、政府の戦略における潜在的な矛盾を指摘しています。DigiDは欧州の運用者に限定される一方で、NL Walletのような他の取り組みでは、ログインのためにGoogleやAppleのアカウントを使用することが検討されており、政府が回避しようとしているのと同じ依存関係を再び導入してしまう可能性があると指摘しています。