Le gouvernement néerlandais a empêché la société technologique américaine Kyndryl d’acquérir Solvinity, le fournisseur d’hébergement derrière la plateforme d’identité nationale DigiD des Pays-Bas, utilisée par plus de 16 millions de personnes. Les responsables ont invoqué les préoccupations liées à la sécurité nationale et à la souveraineté des données comme principales raisons de l’arrêt de l’accord.
La décision a été annoncée par le ministre néerlandais de l’Économie numérique et de la Souveraineté, Willemijn Aerdts, après un examen mené par l’Office d’évaluation des investissements (BTI), l’agence chargée d’évaluer les acquisitions étrangères pouvant affecter la sécurité nationale. Selon le ministre, les enquêteurs ont conclu que l’acquisition pourrait présenter des risques pour l’intérêt public néerlandais.
Kyndryl, une entreprise américaine d’infrastructure informatique et de services managés issue d’IBM en 2021, a annoncé son intention d’acquérir Solvinity fin 2025. La proposition a rapidement suscité un retour de bâton de la part des politiciens néerlandais, des experts en cybersécurité, des défenseurs de la vie privée et des groupes de la société civile préoccupés par le contrôle étranger sur les infrastructures numériques critiques.
DigiD fonctionne comme le principal système d’authentification numérique des Pays-Bas et est largement utilisé pour l’accès aux services gouvernementaux, y compris les déclarations fiscales, les systèmes de santé, les services de retraite, les municipalités, les agences de chômage et les communications sécurisées du secteur public.
Les critiques de l’acquisition soutenaient que le transfert de contrôle de Solvinity à une entreprise américaine pourrait exposer des données sensibles de citoyens néerlandais à la juridiction légale américaine en vertu du CLOUD Act. La loi permet aux autorités américaines d’obliger les entreprises basées aux États-Unis à fournir l’accès aux données, même si ces données sont stockées en dehors des États-Unis.
Les défenseurs de la vie privée et les experts en technologie ont également averti que l’acquisition pourrait créer des risques stratégiques de dépendance impliquant des infrastructures nationales critiques. Certains opposants ont décrit DigiD comme un « kill switch » potentiel, car la perturbation de la plateforme pourrait affecter la communication avec les services et institutions publics clés.
L’acquisition proposée est devenue politiquement controversée plus tôt cette année après que des parlementaires néerlandais ont adopté des motions appelant le gouvernement à intervenir. Les partis de la coalition, dont le VVD, le D66 et le CDA, se sont publiquement opposés à la vente, arguant que les infrastructures numériques stratégiques devraient rester sous contrôle néerlandais ou européen.
Plusieurs recours juridiques ont également été lancés pour tenter d’empêcher la transaction. Des journalistes, des organisations de protection de la vie privée et des chercheurs en technologie ont intenté des poursuites contre l’État néerlandais, tandis que le responsable de la vie privée chez Logius, Pieter van Oordt, a publiquement mené campagne contre la prise de contrôle avant d’être apparemment limogé de ses fonctions.
Kyndryl a répondu en critiquant la décision du gouvernement néerlandais, déclarant qu’il était « extrêmement déçu » et en arguant que l’acquisition aurait renforcé les capacités de Solvinity et profité aux citoyens néerlandais. L’entreprise a également affirmé avoir collaboré de bonne foi avec les autorités néerlandaises tout au long du processus d’examen.
Les responsables néerlandais ont souligné que la décision ne visait pas spécifiquement les entreprises américaines. Le ministre Aerdts a déclaré que le processus d’examen était « neutre pour le pays, basé sur le risque et proportionné », tout en réitérant que les Pays-Bas valorisent l’investissement étranger dans les technologies.