BZK ouvre tous les registres pour licencier Van Oordt, le sonneur de cloches

Source : Rik Sanders / Computable

Pieter van Oordt, le principal conseiller en matière de vie privée de Logius, doit quitter ce prestataire informatique de l'État en raison de son rôle dans la « croisade » contre le rachat de Solvinity par l'américain Kyndryl. Il avait déjà été suspendu. Pour la demande de licenciement, le ministère de l'Intérieur (BZK) a transmis au tribunal un total de 770 pages de documents.

Le ministère de l'Intérieur et des Relations au sein du Royaume (BZK), dont dépend Logius, demande le licenciement du fonctionnaire qui a mis en garde pendant des mois, en interne comme en externe, contre les risques si DigiD et MijnOverheid tombaient sous l'influence américaine. Logius gère en effet les plateformes sur lesquelles fonctionnent ces services, tandis que l'entreprise amstellodamoise Solvinity les soutient sur le plan technique.

Van Oordt pensait servir l'intérêt public par ses actions. Mais son employeur juge gênant qu'il ait agi en dehors de son rôle de fonctionnaire. Des mesures ont été prises pour l'isoler. Bert Voorbraak, directeur de Logius, lui a interdit de communiquer sur ces risques avec la haute administration et la direction politique du ministère de l'Intérieur et des Relations au sein du Royaume.

guerre d'usure

Le BZK et Logius ont désormais choisi une guerre d'usure contre Van Oordt, qui, au vu des nombreuses réactions sur les réseaux sociaux, reçoit beaucoup de soutien moral, mais doit payer financièrement. Sur le plan juridique, son employeur choisit en effet de sortir tous les registres. Pour boucler la demande de licenciement, le ministère fait tourner à plein régime la machine administrative. Le résultat est une requête de 98 pages accompagnée de pas moins de 186 annexes ; une production totale de 770 pages.

Une armée de hauts fonctionnaires et pratiquement toute la direction du ministère ont été mobilisés, ainsi que les avocats de Pels Rijcken. Bien que l'issue de l'affaire DigiD ait largement donné raison à Van Oordt et que le rachat de Solvinity ait été interdit, le lanceur d'alerte doit payer les pots cassés. Il doit désormais affronter, plus ou moins seul, un ministère qui ne ménage ni argent ni efforts pour se débarrasser d'un fonctionnaire critique. Dans une première réaction, Van Oordt déclare : « La lutte est totalement disproportionnée. Avec une armada d'avocats et de fonctionnaires contre moi, ils essaient de m'enterrer sous le papier. 770 pages et sans avocat. » Il a demandé au ministre, par lettre, un procès équitable. « Je ne peux pas préparer cela sans avocats. »

Attention publique

Le lanceur d'alerte est surtout critiqué pour avoir attiré publiquement l'attention sur les risques pour la sécurité après le rachat. Le gouvernement américain pourrait non seulement obtenir l'accès aux données des citoyens néerlandais, mais aussi couper le courant : un scénario catastrophe qui trouve un large écho à la Chambre des représentants (Tweede Kamer).

Ce qui lui est surtout reproché, c'est que le chief privacy officer (CPO) ait rendu publiques des inquiétudes internes et des documents. Il en a parlé ouvertement, malgré l'instruction du ministère de garder le silence et de traiter la question en interne. En raison de la grande importance sociétale de cette affaire, il a récemment aussi donné une keynote lors de Cybersec Netherlands au Jaarbeurs Utrecht. Cette action aura également une suite juridique.

Mais ce qui a le plus irrité la direction de Logius, c'est sa critique de sa propre organisation. Van Oordt a accusé la direction de Logius, dont le directeur sortant Bert Voorbraak, ainsi que son ministère, de ne pas avoir suffisamment pris en compte les risques, voire de l'avoir fait délibérément, dans les lettres officielles adressées à la Chambre, où ces risques n'ont pas été mentionnés. Des informations cruciales ont été tenues secrètes. Van Oordt estimait également qu'il aurait fallu examiner à temps des alternatives. 

Forcer la reprise jusqu'au bout

Voorbraak, qui savait depuis longtemps l'accord envisagé avec Kyndryl, n'était guère favorable à une migration vers un autre hébergeur. Selon Van Oordt, les alternatives ont été écartées avant que le monde politique ne puisse se prononcer. Son adversaire Voorbraak aurait tout mis en œuvre pour faire aboutir la reprise. Van Oordt a déclaré au NRC : ‘Tout ce qui s'écarte de cette ligne n'est pas transmis aux secrétaires d'État ni à la Chambre des représentants. Quiconque s'y oppose en sera tenu responsable.’

Seule une partie d'une analyse d'impact en matière de sécurité a été transmise à la Chambre des représentants. Cette analyse concluait que les mesures d'atténuation étaient insuffisantes pour garantir la disponibilité de DigiD et la protection de la vie privée. La partie technique la plus pertinente de l'avis manquait, puis il est apparu qu'elle pourrait compliquer la reprise. Le secrétaire d'État et le ministre se sont également vu cacher des informations, selon Van Oordt. Le lanceur d'alerte trouve également étrange que les risques aient été déterminés dès le départ conjointement avec Solvinity et Kyndryl. Normalement, cela se fait en interne, avec les experts en sécurité et en vie privée du ministère lui-même et Logius en tant que service d'exécution.

Garder la main au-dessus de la tête

Le responsable de la protection de la vie privée a d'abord signalé les risques en interne à la direction, au secrétaire général et à son adjoint. Il a ensuite signalé les dangers à la Maison des lanceurs d'alerte, puis publiquement, notamment dans Computable et lors d'entretiens avec De Volkskrant, The New York Times, NRC et BNR. 

Van Oordt a subi une forte pression de la part de ses supérieurs. Il a été exclu des réunions. Le 24 avril 2026, il a été suspendu, puis on lui a annoncé son licenciement. Alors que Van Oordt s'engageait pour l'intérêt public et celui de son organisation, il a lui-même été qualifié de risque pour le « système ». Selon lui, un climat s'est installé au sein de la direction du ministère de l'Intérieur (BZK) et de Logius, où les hauts responsables se couvrent mutuellement et où les erreurs sont dissimulées.