Staat mag overeenkomst met Solvinity verlengen ondanks risico’s rond Amerikaanse overname

Rb. Den Haag 6 mei 2026, IT&R 5291; ECLI:NL:RBDHA:2026:12862 (eisers tegen de Staat). De voorzieningenrechter van de Rechtbank Den Haag wijst de vorderingen af van drie Nederlandse burgers die wilden voorkomen dat de Staat de overeenkomst met Solvinity verlengt. Solvinity verzorgt het technische beheer van het Picard-platform, waarop diverse overheidsapplicaties van Logius draaien, waaronder DigiD en MijnOverheid. Eisers vreesden dat de voorgenomen overname van Solvinity door het Amerikaanse Kyndryl ertoe zou leiden dat persoonsgegevens van Nederlandse burgers onder het bereik komen van Amerikaanse wetgeving met extraterritoriale werking, zoals de CLOUD Act, FISA en Executive Order 12333. Volgens eisers zou de Staat daarom onrechtmatig handelen door de overeenkomst met Solvinity te verlengen, dan wel door dat te doen zonder nadere voorwaarden, zoals een gegevensbeschermingseffectbeoordeling op grond van artikel 35 AVG, advisering door de Functionaris Gegevensbescherming en, indien nodig, voorafgaande raadpleging van de Autoriteit Persoonsgegevens op grond van artikel 36 AVG. De voorzieningenrechter stelt voorop dat de Staat bij de uitvoering van zijn publieke taak, en in het bijzonder bij de beslissing of een overeenkomst voor kritieke ICT-dienstverlening wordt verlengd, een ruime beleidsvrijheid heeft. De rechter moet zich daarom terughoudend opstellen; ingrijpen is alleen aan de orde als evident sprake is van dreigend onrechtmatig handelen. Daarbij geldt bovendien dat ook zwaarwegende maatschappelijke belangen aan het opleggen van een verbod in de weg kunnen staan.

De Staat erkent dat de voorgenomen overname privacy- en veiligheidsrisico’s meebrengt, maar betwist dat persoonsgegevens daardoor zonder meer bij Amerikaanse autoriteiten terechtkomen. Volgens de voorzieningenrechter hebben eisers, naast hun eigen privacybelangen, een reëel maatschappelijk belang aan de orde gesteld. Toch is onvoldoende aannemelijk geworden dat de Staat onrechtmatig handelt door de overeenkomst te verlengen. Daarbij weegt zwaar dat de dienstverlening van Solvinity cruciaal is voor de continuïteit en veiligheid van het Picard-platform en daarmee voor essentiële digitale overheidsdiensten. Als de overeenkomst niet tijdig wordt verlengd, kan het veilig gebruik van onder meer DigiD en MijnOverheid op losse schroeven komen te staan, terwijl DigiD van wezenlijk belang is voor het digitale contact tussen overheid en burger. Eisers hebben onvoldoende geconcretiseerd dat een overstap naar een andere leverancier op korte termijn veilig en verantwoord kan plaatsvinden. Ook de meer subsidiaire vordering, die verlenging slechts onder AVG-voorwaarden en na 1 juni 2026 toestond, wordt afgewezen, omdat de Staat de verlenging uiterlijk op 6 mei 2026 moest meedelen en uitstel feitelijk hetzelfde gevolg zou hebben als een verbod op verlenging. De subsidiaire vordering om de Staat te verplichten de overeenkomst bij daadwerkelijke overname op grond van artikel 30.3 ARBIT te ontbinden, slaagt evenmin. Hoewel aannemelijk is dat een overname een wijziging in de zeggenschap kan opleveren, is twijfelachtig of artikel 30.3 ARBIT ruimte biedt voor de door eisers gewenste gedeeltelijke ontbinding waarbij Solvinity de dienstverlening tijdelijk moet blijven voortzetten. Bovendien is onduidelijk of Solvinity daarmee zou instemmen. Omdat de Staat nog risicoanalyses uitvoert en met Solvinity en Kyndryl spreekt over mitigerende maatregelen, kan op dit moment niet worden vastgesteld dat voortzetting van de samenwerking onverantwoord of onrechtmatig is. De vorderingen worden daarom afgewezen en eisers worden veroordeeld in de proceskosten van de Staat, begroot op € 2.101, vermeerderd met wettelijke rente en eventuele nakosten.

4.3.

Eisers willen voorkomen dat de Staat de overeenkomst met Solvinity verlengt. Die verlenging zal in de visie van eisers - door de overname door Kyndryl van Solvinity die volgens eisers op ieder moment kan plaatsvinden - tot gevolg hebben dat alle persoonsgegevens van eisers (en andere Nederlandse burgers) binnen handbereik van de Amerikaanse overheid komen. De Staat handelt hiermee onrechtmatig, aldus eisers. De Staat betwist dit.

4.4.

Uit de stellingen van de Staat kan worden afgeleid dat de Staat de zorgen van eisers onderkent en reëel acht. De Staat betwist wel dat als de overname een feit is, privacygevoelige data regelrecht bij de Amerikaanse overheid terechtkomen. Solvinity heeft volgens de Staat geen zicht op de data die in de applicaties op het Picard-platform worden verwerkt, maar de Staat weerspreekt niet dat het voor Solvinity mogelijk is bij die privacygevoelige data te komen. Dat er risico’s zijn, beaamt de Staat dan ook. Eisers verdedigen in zoverre - naast hun eigen privacybelangen - ook een groot maatschappelijk belang.

4.5.

Volgens de Staat kan hij op dit moment echter niet anders dan de overeenkomst met Solvinity verlengen. De dienstverlening van Solvinity is van cruciaal belang voor de continuïteit en veiligheid van het Picard-platform en daarmee de digitale overheid. Het niet verlengen van de overeenkomst komt er in feite op neer dat het veilig gebruik van essentiële overheidsapplicaties zoals DigiD en MijnOverheid op losse schroeven komt te staan. DigiD is van wezenlijk belang voor het digitale contact tussen de overheid en de burger en wordt onder meer gebruikt voor het doen van belastingaangiften en het aanvragen van toeslagen. Er is dan ook een zwaarwegend maatschappelijk belang bij het kunnen waarborgen van de beschikbaarheid en veiligheid van de op het Picard-platform draaiende overheidsapplicaties, aldus de Staat. Dit door de Staat geschetste zwaarwegende belang op zichzelf hebben eisers niet weersproken. Eisers stellen dat het door de Staat geschetste risico kan worden ondervangen door het beheer van het Picard-platform over te dragen aan een andere dienstverlener; eisers voeren aan dat verschillende deskundigen en enkele bedrijven kenbaar hebben gemaakt dat een overstap snel, binnen enkele maanden, gerealiseerd moet kunnen worden. De Staat voert hiertegen aan dat hij al heeft onderzocht of het (technisch) mogelijk is om op korte termijn op een veilige en verantwoorde wijze over te stappen naar een andere leverancier of om het Picard-platform zelf in beheer te nemen, maar dat dit zonder onaanvaardbare risico’s niet haalbaar is gebleken. Dit heeft met name te maken met de technische complexiteit van het Picard-platform en de tijd die gemoeid is met een zorgvuldige overdracht, aldus de Staat. De Staat meent dat een verantwoorde overstap zeker een periode van zes tot acht maanden vergt.

4.6.

Nu eisers niet voldoende hebben kunnen concretiseren dat een overstap naar een opvolger na Solvinity op korte termijn en op een deskundige en veilige wijze kan worden gerealiseerd, is - tegenover het gemotiveerde betoog van de Staat - niet aannemelijk geworden dat als de Staat de overeenkomst met Solvinity niet nu verlengt, geen groot maatschappelijk probleem zal ontstaan. Om die reden kan de Staat - ook al is er na de verlenging én de daaropvolgende overname van Solvinity door Kyndryl een potentieel risico op (kort gezegd) inmenging van de Amerikaanse overheid - niet worden verboden de relatie met Solvinity nog enige tijd voort te zetten. In dit oordeel weegt nog mee dat de Staat momenteel een risicoanalyse uitvoert en in gesprek is met Solvinity en Kyndryl om te bezien op welke wijze de geschetste risico’s kunnen worden gemitigeerd zodat de belangen van de Nederlandse burgers en daarmee ook van eisers op het gebied van veiligheid en privacy voldoende kunnen worden gewaarborgd. Hoewel nu nog niet duidelijk is of dat overleg tot een adequate bescherming van de privacy van burgers zoals eisers zal kunnen leiden, kan wel worden geconstateerd dat de Staat de zorgen serieus neemt en zich ervoor inzet de privacybelangen van Nederlandse burgers zoveel mogelijk te beschermen.

4.7.

Bij deze stand van zaken kan niet worden gezegd dat de Staat onrechtmatig handelt door de overeenkomst met Solvinity te verlengen. De primaire vordering van eisers is daarom niet toewijsbaar.