Jesteś holenderskim regulatorem konkurencji. Korespondujesz mailowo z amerykańskimi platformami, które nadzorujesz. Zakładasz, że ta korespondencja jest chroniona — przez RODO, przez holenderskie prawo administracyjne, przez to, że te platformy mają europejskie spółki zależne odpowiadające przed europejskimi sądami. W zeszły piątek po południu dowiedziałeś się, które z tych założeń faktycznie coś trzymało.

Odpowiedź: żadne.

W piątek 22 maja 2026 holenderski tygodnik Vrij Nederland podał, że Microsoft przekazał twoje e-maile w odpowiedzi na wezwanie sądowe amerykańskiego Kongresu. Odbiorcą była Podkomisja Wybrana Komisji Sprawiedliwości Izby Reprezentantów ds. Uzbrojenia Rządu Federalnego, której przewodniczy Jim Jordan. Wezwania wystosowano w lipcu poprzedniego roku — do dziesięciu firm technologicznych, żądając wewnętrznej korespondencji z zagranicznymi rządami w sprawie moderacji treści. Odpowiedź Microsoftu, gdy Vrij Nederland ją zweryfikował, zawierała nieocenzurowane nazwiska urzędników państwowych w Autoriteit Consument en Markt (ACM) oraz w Autoriteit Persoonsgegevens (AP) — regulatorów egzekwujących unijny Digital Services Act w Holandii.

Następnie Microsoft przedstawił wyjaśnienie, które powinno cię niepokoić bardziej niż samo ujawnienie. CLOUD Act nie został zastosowany. Współpraca była dobrowolna.

To słowo — dobrowolna — to ta część historii, której prawie żaden publiczny komentarz nie umieścił we właściwym miejscu. Gdyby CLOUD Act wymusił ujawnienie, dotknięci regulatorzy mieliby przynajmniej próg prawny, który można podważać w sądzie. Dobrowolna współpraca oznacza, że żadnego progu nie było. Była handlowa kalkulacja Microsoftu, że współpraca z podkomisją Kongresu jest korzystniejsza niż odmowa. Kalkulacja racjonalna. I — w ścisłym sensie — całkowicie nieograniczona prawem europejskim.

Nazwiska są teraz w Waszyngtonie. Komisja, która ich zażądała, opisuje pracę dotkniętych urzędników jako „cenzurę amerykańskich wypowiedzi" (“censorship of American speech”). Holenderska sekretarz stanu ds. suwerenności cyfrowej, Willemijn Aerdts, w ten sam piątek wezwała ambasadora USA. Dane były już w drodze.

Ten artykuł to audyt architektury, która wytworzyła ten rezultat, przeramowanie, które czyni audyt użytecznym, oraz pytanie o zamówienia publiczne, na które każdy europejski regulator i ministerstwo musi odpowiedzieć, zanim nadejdzie kolejne wezwanie.

Co Microsoft przekazał

Treści nie były podsumowaniami. To był surowy materiał roboczy regulatorów: e-maile między wymienionymi z nazwiska pracownikami ACM i AP a korporacyjnymi przedstawicielami Microsoftu, wpisy kalendarzowe wewnętrznych spotkań, protokoły dyskusji o wdrażaniu DSA. Komisja otrzymała pełne nazwiska. Według doniesień iBestuur Meta przekazała podobne dane; pozostałych osiem wezwanych firm nie potwierdziło publicznie wykonania.

Zadeklarowanym przedmiotem prac komisji jest zbadanie, czy europejska regulacja platform internetowych stanowi cenzurę firm amerykańskich. Urzędnicy wymienieni w dokumentach to ludzie odpowiedzialni w jurysdykcji holenderskiej za egzekwowanie dokładnie tych zasad, które komisja bada. Podkomisja ds. Uzbrojenia ma teraz w swoich aktach nazwiska europejskich urzędników egzekwujących przepisy, które uważa za wrogie.

Cybernews informuje, że niektórzy dotknięci pracownicy mają rodzinę w Stanach Zjednoczonych i obawiają się teraz odmowy wjazdu. Ten lęk nie jest teoretyczny: administracja Trumpa nałożyła sankcje na europejskich liderów społeczeństwa obywatelskiego, w tym na kierownictwo niemieckiej NGO HateAid w grudniu 2025, za to, co uznała za wrogą regulację wypowiedzi. Droga od nazwiska na liście podkomisji do zakazu wjazdu na granicy USA jest krótsza, niż dotąd zakładali europejscy regulatorzy.

Do piątkowego popołudnia Staatssecretaris Willemijn Aerdts powiedziała ambasadorowi USA, Joe Popolo, wprost: „Als ik problemen heb, vecht je die met ons uit of, indien nodig, in Europa, maar niet over de ruggen van ambtenaren heen." („Jeśli macie problem, rozstrzygajcie go z nami albo, jeśli trzeba, w Europie, ale nie na plecach urzędników.") Aerdts została powołana trzy miesiące wcześniej jako pierwsza w Holandii sekretarz stanu ds. Gospodarki Cyfrowej i Suwerenności, w gabinecie Jettena z 23 lutego. Ambasador, którego wezwała, przybył do Hagi jeszcze później. Interwencja była merytoryczna. W ścisłym sensie zamówieniowym była jednak pusta: wezwała dyplomatę, nie dostawcę.

Obrona jest ujawnieniem

Microsoft nie wydał szczegółowego publicznego oświadczenia w sprawie holenderskiej. Spójne doniesienia NL Times, Dutch IT Channel i Cybernews wskazują na narrację, którą firma stosuje w rozmowach niejawnych i w prasie branżowej: ujawnienia nie wymusił obowiązek z CLOUD Act. Ujawniony materiał, zgodnie z tą narracją, stanowił korespondencję między Microsoftem a przedstawicielami europejskich urzędów — i wypadał poza ochronę, której europejscy regulatorzy mogli się spodziewać.

Narracja ta została przedstawiona jako uniewinnienie. Przy uważnej lekturze jest dokładnie odwrotnie. Gdyby CLOUD Act wymusił ujawnienie, europejscy regulatorzy mieliby przynajmniej próg prawny, który można zakwestionować w sporze. Dobrowolna narracja oznacza, że żadnego progu nie było — była tylko handlowa kalkulacja Microsoftu, że współpraca z podkomisją Jima Jordana jest korzystniejsza niż odmowa. Obrona pogarsza sytuację bardziej niż samo oskarżenie.

Narracja ta służy Microsoftowi jeszcze w jeden sposób: pozwala firmie ustawić incydent jako jednostkowy błąd oceny, a nie jako strukturalną ekspozycję wynikającą z prawa amerykańskiego. Służy też holenderskiemu gabinetowi, który może wypchnąć problem na dostawcę z USA, zamiast tłumaczyć, dlaczego korespondencja ACM i AP w ogóle znajdowała się na platformie hostowanej w USA. Interwencja Aerdts wobec ambasadora Popolo, choć merytoryczna, nie zobowiązała gabinetu do zmian w zamówieniach publicznych. Wiceminister gospodarki Eric van der Burg (VVD) nazwał ujawnienie „bardziej niż niepokojącym" — to mocne słowa jak na holenderskiego sekretarza stanu, ale słabsze niż zobowiązanie.

To, co oferowała narracja Microsoftu, było rozgrzeszeniem. To, co faktycznie zostało powiedziane, gdy się to przeanalizuje, brzmi: nie mieliśmy obowiązku tego przekazać. Zdecydowaliśmy tak. To nie jest obrona w żadnym sensie, który dotknięci urzędnicy mogliby uznać. To przyznanie się, ubrane w wyjaśnienie.

Architektura, którą to obnaża

Środowisko Microsoft 365 europejskich regulatorów jest duże, głębokie i niemal całkowicie nieudokumentowane publicznie.

Z grubsza szacując — na podstawie ujawnień zamówień publicznych i doniesień prasy branżowej — udział europejskich regulatorów szczebla krajowego, których podstawowa komunikacja wewnętrzna działa na Microsoft 365, przekracza 70%. Bundesnetzagentur w Niemczech, ARCEP we Francji, AGCOM we Włoszech, CNIL we Francji, niemiecki Bundeskartellamt, hiszpański CNMC — większość z nich pracuje na M365 albo ma znaczącą obecność M365 w codziennych operacjach. Większość z nich egzekwuje też, w jakimś zakresie, prawo dotyczące amerykańskich platform: RODO, DMA, DSA, Data Act, reguły konkurencji. Przecięcie — regulatorzy amerykańskich platform, którzy do własnej wewnętrznej komunikacji regulacyjnej używają amerykańskich platform — to w zasadzie europejski krajobraz regulacyjny w obecnym kształcie.

Konsekwencja architektoniczna jest taka, że każdy regulator w tym przecięciu niesie tę samą ekspozycję łańcucha dostaw, której operacyjną definicję ACM i AP właśnie poznały. Dane leżą na infrastrukturze obsługiwanej przez podmiot, który w obliczu wezwania amerykańskiego Kongresu zareaguje handlowo. Ta handlowa reakcja niezawodnie wskaże kierunek współpracy. Narracja Microsoftu w sprawie holenderskiej wyłożyła tę handlową logikę otwarcie: firma odpowiadała na wezwanie sądowe, nie na nakaz CLOUD Act; współpraca była dobrowolna. Każdy inny regulator w tym samym środowisku znajduje się w tej samej pozycji architektonicznej. Na kolejne wezwanie odpowie ta sama logika.

Istnieje też ekspozycja drugiego rzędu, która nie była szeroko omawiana. Urzędnicy wymienieni w holenderskich dokumentach nie byli jedynymi w tych wątkach mailowych. Korespondencja z Microsoftem w sprawie wdrażania DSA rutynowo obejmuje również pracowników innych europejskich regulatorów — koordynacja między urzędami krajowymi to część sposobu, w jaki DSA jest egzekwowany. Wezwanie podkomisji skierowane do Microsoftu obejmowało, zgodnie z własnym brzmieniem, wewnętrzną korespondencję z zagranicznymi rządami w sprawie moderacji treści. Ten język jest na tyle szeroki, by sięgnąć do całych łańcuchów korespondencji, nie tylko do pojedynczych nadawców. Rzeczywista lista nazwisk, przy uważnej lekturze zakresu wezwania, prawdopodobnie wykracza poza ACM i AP — sięga do sąsiednich regulatorów UE, którzy publicznie nie zostali jeszcze dotknięci.

Wzorzec pod tą sprawą

To nie pierwszy raz, gdy amerykański dostawca naraził europejskich urzędników na działania organów amerykańskich pod presją polityczną. To trzeci udokumentowany przypadek w trzynaście miesięcy.

W maju 2025 Microsoft zawiesił konto e-mail Karima Khana, Prokuratora Głównego Międzynarodowego Trybunału Karnego, po tym, jak administracja Trumpa nałożyła na niego osobiście sankcje w trybie dekretu wykonawczego 14203. W grudniu 2025 ta sama administracja nałożyła sankcje na kierownictwo HateAid, niemieckiej NGO wspierającej ofiary mowy nienawiści online, w postaci zakazów wjazdu do USA. W maju 2026 Microsoft przekazał nazwiska holenderskich regulatorów.

Sprawa Khana toczyła się w trybie wskazania sankcyjnego: przymus prawny. Sprawa HateAid — w trybie regulacji o zakazie wjazdu: działanie administracyjne wobec wymienionych z nazwiska osób. Sprawa holenderska toczy się w trybie wezwania podkomisji Izby Reprezentantów: postępowanie legislacyjne. Instrumenty prawne się różnią. Wzorzec — nie. W każdej sprawie dostawcę usług z siedzibą w USA poproszono, formalnie lub nieformalnie, o działanie przeciwko Europejczykowi, który stał się politycznie niewygodny w Waszyngtonie. W każdej sprawie dostawca się podporządkował.

Sprawa holenderska różni się od dwóch pierwszych w sposób, który ma znaczenie. Sprawa Khana miała za sobą wskazanie sankcyjne; HateAid — działanie administracyjne. Obie dawały Microsoftowi przymus prawny, na który mógł wskazać, tłumacząc się europejskim regulatorom. Sprawa holenderska takiej osłony nie ma. Własna narracja Microsoftu przyznaje ten brak: ujawnienie nie było prawnie wymagane, było handlowo korzystniejsze. Trzecia sprawa wzorca to ta, w której handlowa logika została nazwana na głos.

To nazwanie ma strategiczną konsekwencję, którą prasa branżowa przeoczyła. Pierwsze dwie sprawy wywołały ogólną nerwowość co do amerykańskiej ekspozycji prawnej pod M365. Trzecia dostarczyła konkretny dowód amerykańskiej ekspozycji handlowej pod M365: ten sam dostawca, ta sama architektura, mogą dać ten sam rezultat bez żadnego progu prawnego. Nie ma w Europie sądu, który mógłby orzekać przeciwko handlowej kalkulacji Microsoftu. Jest tylko umowa zamówieniowa — i to na jej poziomie europejskie instytucje mogą zmienić architekturę.

Dlaczego protest nie zmienia architektury

Gabinet wezwał ambasadora USA. Doszło do wymiany dyplomatycznej. Microsoft może jeszcze wydać publiczne wyjaśnienie. Żadna z tych rzeczy nie zmienia warunków strukturalnych.

Gdy kurz opadnie, trzy rzeczy pozostaną dokładnie takie same. Microsoft nadal może otrzymywać wezwania od amerykańskich organów ustawodawczych, wykonawczych i sądowniczych. Microsoft nadal może dobrowolnie zdecydować o współpracy wykraczającej poza to, do czego jest ściśle zobowiązany. ACM, AP i większość pozostałych europejskich regulatorów nadal prowadzi pracę biurową w systemach Microsoftu, a ich komunikacja nadal podlega tej samej ekspozycji. Incydent wywołał temperaturę polityczną. Nie wywołał zmiany architektonicznej.

Reakcja holenderskiego gabinetu jest strukturalnie tym, co narracja Microsoftu przewidziała. Interwencja potraktowała ujawnienie jako incydent w relacjach z dostawcą, a nie jako incydent zamówieniowy. Dostawcę wezwano przez dyplomatę; umowy zamówieniowej nie wezwano w ogóle. Aerdts ma na koncie wystąpienia jako adwokatka suwerenności cyfrowej. Problem strukturalny polega na tym, że jej resort nie kontroluje decyzji zamówieniowych gabinetu — a to właśnie decyzje zamówieniowe są dźwignią, którą incydent oświetlił.

Sformułowanie wiceministra „bardziej niż niepokojące" jest wskaźnikiem tego, jak skończy się ta historia. Mocny język sygnalizuje troskę. Nie sygnalizuje zobowiązania. Zobowiązanie wyglądałoby jak data, budżet, cel, wskazana alternatywa. Daty nie ma.

Suwerenność to nie incydent dyplomatyczny

To jest przeramowanie, które incydent czyni widocznym dla każdego, kto w europejskim regulatorze, ministerstwie lub instytucji sektora publicznego ma odpowiedzialność operacyjną.

Sprawa holenderska to nie porażka relacji dyplomatycznej. Relacja dyplomatyczna robi dokładnie to, co robią relacje dyplomatyczne — wyraża troskę, rejestruje protest, wzywa ambasadorów, sporządza noty werbalne. Sprawa holenderska to porażka decyzji zamówieniowej podjętej lata temu, gdy ACM i AP przyjęły Microsoft 365 na tych samych rozsądnych podstawach instytucjonalnych, co każdy inny europejski regulator. Dyplomatyczna odpowiedź gabinetu działa na niewłaściwej warstwie. Architektura żyje w warstwie zamówień publicznych. Odpowiedź architektoniczna też żyje w warstwie zamówień publicznych.

To jest warstwa, na której sprawa holenderska dotyczy każdego czytelnika pracującego w europejskiej instytucji sektora publicznego lub współpracującego z nią. Pytanie nie brzmi co zrobi gabinet? Gabinet zrobi to, co robią gabinety: wezwie, zaprotestuje, zarejestruje troskę. Pytanie brzmi: czy twoja organizacja, przy najbliższym kwartalnym przeglądzie zamówień, potraktuje to ujawnienie jako fakt istotny dla własnej umowy M365.

Pytanie o suwerenność, właściwie postawione, nie brzmi którego dostawcy używamy do poczty? Brzmi: gdyby Microsoft został dziś poproszony przez podkomisję amerykańskiego Kongresu o naszą wewnętrzną korespondencję, jaka byłaby jego handlowa kalkulacja? Uczciwa odpowiedź, na podstawie holenderskiego precedensu, brzmi: taka sama, jak w przypadku Holandii. Odpowiedź architektoniczna na to pytanie to nie inny dostawca. To inna architektura: komunikacja regulacyjna prowadzona przez infrastrukturę, która w łańcuchu pieczy nad danymi nie ma amerykańskiej kalkulacji handlowej.

Czym ten artykuł nie jest

Kto czyta tę analizę jako twierdzenie, że Microsoft działał nielegalnie, mija się z sednem — w narracji samej firmy ujawnienie nie było ani prawnie wymuszone, ani złośliwe, lecz handlową kalkulacją wobec potężnego amerykańskiego aktora politycznego. Analiza pracuje warstwę głębiej: na strukturalnym warunku, że ta handlowa kalkulacja może w każdej chwili wrócić na stół, dopóki leżąca u podstaw architektura zamówień pozostaje niezmieniona. Prognozy dotyczące zachowania poszczególnych dostawców w przyszłych przypadkach nie należą do przedmiotu badania. Dla czytelników w środowiskach regulowanych analiza nie zastępuje porady prawnej ani porady z zakresu bezpieczeństwa informacji.

Kolejne nazwisko na liście

Urzędnicy, których nazwiska są w aktach podkomisji Komisji Sprawiedliwości Izby Reprezentantów, nadal pracują. Digital Services Act nadal trzeba egzekwować. Podkomisja ds. Uzbrojenia nie zakończyła swojego dochodzenia. Microsoft nie wycofał dokumentów — nie ma procedury wycofania, gdy podkomisja je otrzymała.

Na kolejne żądanie amerykańskiego organu kierowane do amerykańskiego dostawcy w sprawie europejskiego regulatora odpowie ta sama logika handlowa, która odpowiedziała tym razem. Dopóki architektura się nie zmieni, nazwiska holenderskich urzędników nie będą ostatnimi nazwiskami, które trafią do akt podkomisji Izby Reprezentantów. Są trzecimi z kolei.

Sygnałem, który warto obserwować za dwanaście miesięcy, są zamówienia publiczne. Jeśli ACM lub AP ogłoszą migrację wewnętrznej komunikacji poza Microsoft, incydent miał strukturalne konsekwencje. Jeśli tego nie zrobią, interwencja Aerdts wobec Popolo była całą odpowiedzią — a kolejne nazwisko na liście jest już w drodze.

Źródła

Przegląd tematu: Suwerenność cyfrowa w Europie Powiązane artykuły: Suwerenność na serwerach Microsoftu, Suwerenność cyfrowa — dlaczego teraz