Wat zijn de dataminimalisatieprincipes in eIDAS 2.0?

De gegevensminimalisatieprincipes in eIDAS 2.0 — de informele benaming voor Verordening (EU) 2024/1183, die Verordening (EU) nr. 910/2014 wijzigt — vereisen dat alleen de persoonsgegevens die strikt noodzakelijk zijn voor een specifiek doel, mogen worden opgevraagd of verwerkt tijdens een identiteitsinteractie. Dit betekent dat organisaties niet langer een volledig identiteitsprofiel mogen opvragen wanneer een eenvoudige leeftijdsbevestiging of nationaliteitscontrole volstaat. De onderstaande secties leggen uit hoe dit er in de praktijk uitziet, wat dit betekent voor jouw organisatie en hoe je je kunt voorbereiden.

Hoe werkt gegevensminimalisatie in de praktijk onder eIDAS 2.0?

Onder eIDAS 2.0 betekent gegevensminimalisatie dat elk verzoek om identiteitsgegevens beperkt moet blijven tot wat werkelijk noodzakelijk is voor de betreffende taak. Als een dienst alleen hoeft te bevestigen dat een gebruiker ouder is dan 18, ontvangt die dienst een ja- of nee-bevestiging, en geen volledige geboortedatum, naam en adres. Dit principe sluit aan bij de AVG-beginselen van doelbinding en minimale gegevensverwerking en is tegelijkertijd ingebouwd in de architectuur van de EUDI-wallet.

In de praktijk stelt de EUDI-wallet gebruikers in staat om individuele attributen uit hun digitale attestaties te delen in plaats van een volledig document over te dragen. Een gebruiker die een receptendienst aanvraagt, deelt alleen de relevante gezondheidsattestatie. Een gebruiker die toegang zoekt tot een leeftijdsgebonden platform, deelt alleen een leeftijdsbevestiging. De onderliggende persoonsgegevens blijven bij de gebruiker.

Deze aanpak weerspiegelt een bewuste verschuiving in de manier waarop identiteitsverificatie wordt ontworpen. Organisaties moeten vooraf precies definiëren welke gegevens ze nodig hebben en waarom, in plaats van gegevens te verzamelen en later te beslissen wat te gebruiken. Die design-first-mentaliteit staat centraal in de naleving van eIDAS 2.0.

Welke specifieke verplichtingen legt eIDAS 2.0 op aan relying parties?

Relying parties, dat wil zeggen de organisaties die identiteitsgegevens opvragen en ontvangen uit de EUDI-wallet van een gebruiker, hebben duidelijke verplichtingen onder eIDAS 2.0. Ze mogen alleen attributen opvragen die noodzakelijk en evenredig zijn aan de dienst die ze verlenen. Meer gegevens opvragen dan nodig is niet alleen slechte praktijk, het is ook een nalevingsschending. Bovendien moet een relying party zich onder CIR (EU) 2025/848 van 6 mei 2025 registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij die registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.

De belangrijkste verplichtingen voor relying parties zijn:

• Doelbinding: Elk gegevensverzoek moet gekoppeld zijn aan een duidelijk omschreven en legitiem doel.
• Evenredigheid: De reikwijdte van het gegevensverzoek moet overeenkomen met het minimum dat nodig is om dat doel te vervullen.
• Registratie en transparantie: Relying parties moeten hun intended use cases en gegevensverzoeken registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging, zodat deze zichtbaar zijn voor zowel toezichthouders als gebruikers.
• Geen bewaring buiten noodzaak: Gegevens die via de wallet zijn ontvangen, mogen niet worden opgeslagen of hergebruikt voor andere doeleinden dan de oorspronkelijke transactie zonder een afzonderlijke rechtsgrondslag.
• Toestemming en controle van de gebruiker: Gebruikers moeten kunnen zien wat er wordt opgevraagd en actief kunnen kiezen om het te delen. Goedkeuring in de wallet is daarbij niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking.

Deze verplichtingen sluiten nauw aan bij de AVG-beginselen, maar eIDAS 2.0 gaat verder door ze te verankeren in de technische laag van de walletinteractie zelf, waardoor naleving moeilijker te negeren en gemakkelijker te controleren is.

Hoe verschilt selective disclosure van traditionele identiteitsverificatie?

Selective disclosure is het technische mechanisme dat gegevensminimalisatie mogelijk maakt in de EUDI-wallet. Het stelt een gebruiker in staat om één enkel geverifieerd attribuut uit een attestatie te delen zonder de rest van de onderliggende gegevens prijs te geven. Bij traditionele identiteitsverificatie wordt doorgaans een volledig document gepresenteerd of een complete gegevensset ingediend, waarbij de dienstverlener beslist wat hij gebruikt.

Bij een traditionele verificatieprocedure kan een gebruiker een paspoort uploaden om zijn nationaliteit te bevestigen. Dat proces onthult ook de volledige naam, geboortedatum, documentnummer en vervaldatum, zelfs als geen van die informatie nodig is. Met selective disclosure presenteert de wallet alleen het nationaliteitsveld als een cryptografisch geverifieerde claim, en er wordt niets anders verzonden.

Dit is een fundamentele verandering in het vertrouwensmodel. De dienstverlener verwerkt geen ruwe persoonsgegevens meer die verder gaan dan wat nodig is, de gebruiker behoudt de controle en de dienstverlener ontvangt alleen een geverifieerd, doelgericht antwoord. Het resultaat is minder gegevensblootstelling, minder opslagaansprakelijkheid voor organisaties en meer privacy voor individuen. Voor organisaties die actief zijn in de financiële dienstverlening of andere gereguleerde sectoren vermindert deze verschuiving ook het risico op datalekken met gevoelige identiteitsinformatie.

Welke technische standaarden ondersteunen gegevensminimalisatie in de EUDI-wallet?

De EUDI-wallet maakt gebruik van een reeks vastgestelde technische standaarden om gegevensminimalisatie en selective disclosure betrouwbaar en interoperabel te laten werken in heel Europa. Deze standaarden definiëren hoe attestaties zijn gestructureerd, hoe attributen worden onthuld en hoe vertrouwen wordt vastgesteld tussen partijen. De juridisch bindende vereisten volgen uit de verordening en de uitvoeringshandelingen. De technische uitwerking is vastgelegd in het Architecture and Reference Framework (ARF).

De meest relevante standaarden zijn:

1. ISO/IEC 18013-5 (mdoc): De standaard voor mobiele documenten, inclusief mobiele rijbewijzen, voor proximity-presentatie. Voor online presentatie is ISO/IEC TS 18013-7 relevant. Het formaat ondersteunt selective disclosure van individuele velden en is ontworpen voor zowel online als persoonlijk gebruik.
2. SD-JWT VC (Selective Disclosure JSON Web Token Verifiable Credential): Een formaat waarmee individuele claims binnen een attestatie afzonderlijk kunnen worden onthuld, waardoor gebruikers nauwkeurige controle hebben over wat ze delen.
3. OID4VCI (OpenID for Verifiable Credential Issuance): Het protocol dat wordt gebruikt voor de uitgifte van attestaties in het wallet-ecosysteem.
4. OID4VP (OpenID for Verifiable Presentations): Het protocol dat wordt gebruikt om attestaties op te vragen en te presenteren in het wallet-ecosysteem, met ondersteuning voor minimale openbaarmakingsstromen.
5. Architecture and Reference Framework (ARF): De technische blauwdruk ontwikkeld door de eIDAS Expert Group die definieert hoe al deze componenten samenkomen in de EUDI-wallet.

Samen creëren deze standaarden een technische basis waarbij gegevensminimalisatie een ingebouwde functie is van elke identiteitsinteractie. Organisaties die digitale identiteitsoplossingen bouwen of integreren, moeten ervoor zorgen dat hun systemen compatibel zijn met deze specificaties en met het High Assurance Interoperability Profile (HAIP) waar dat van toepassing is.

Hoe moeten organisaties hun systemen voorbereiden op de gegevensminimalisatie van eIDAS 2.0?

Voorbereiding op de gegevensminimalisatie van eIDAS 2.0 vereist zowel een technische als een organisatorische verschuiving. Het startpunt is een grondige beoordeling van elke identiteitsverificatieprocedure die jouw organisatie momenteel uitvoert, met als doel te identificeren welke gegevens worden verzameld, waarom, en of al die gegevens werkelijk noodzakelijk zijn.

Een praktische voorbereidingsaanpak ziet er als volgt uit. Breng eerst je huidige gegevensverzamelingspunten in kaart en beoordeel elk punt aan de hand van het noodzakelijkheidsbeginsel. Vraag jezelf af: wat is het minimum dat we nodig hebben om deze interactie te voltooien? Beoordeel vervolgens je rechtsgrondslag voor elk gegevensverzoek, aangezien eIDAS 2.0 de koppeling tussen doel en gegevensbereik aanscherpt. Beoordeel daarna je technische infrastructuur op compatibiliteit met op wallets gebaseerde attestatiepresentatie en selective disclosure-formaten. Veel verouderde systemen zijn gebouwd om volledige identiteitsdocumenten te ontvangen, niet individuele geverifieerde attributen. Vergeet ook niet de registratieplicht onder CIR (EU) 2025/848: voordat jouw organisatie als relying party walletdata kan opvragen, moet zij geregistreerd zijn bij de bevoegde nationale autoriteit van de lidstaat van vestiging.

Wat betreft de planning: publieke instanties moeten genotificeerde EUDI-wallets vanaf 24 december 2026 accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor relevante gereguleerde private sectoren, waaronder banken en financiële dienstverlening, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten, geldt de acceptatieplicht onder artikel 5f vanaf 24 december 2027. Voor zeer grote onlineplatforms (VLOP’s) geldt een afzonderlijke bepaling van artikel 5f: zij moeten walletacceptatie aanbieden waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van de private acceptatieplicht uitgezonderd.

Organisaties in sectoren zoals gezondheidszorg of overheidsdiensten zullen vaak merken dat hun verificatieprocedures veel meer gegevens verzamelen dan het onderliggende proces vereist. Het herontwerpen van deze procedures rond minimaal noodzakelijke gegevens is een nalevingsvereiste dat tegelijk de gegevensaansprakelijkheid vermindert en de gebruikerservaring verbetert door interacties sneller en minder ingrijpend te maken.

Het trainen van compliance-, IT- en productteams over wat gegevensminimalisatie in de praktijk betekent, is even belangrijk. Het principe is eenvoudig, maar het consistent toepassen ervan in complexe servicepaden vereist bewuste inspanning en duidelijk intern bestuur.

Hoe de ID Connector van TrustTech helpt bij gegevensminimalisatie onder eIDAS 2.0

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop. Via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor het onderwerp van dit artikel ondersteunt de ID Connector concreet:

• Verificatie van uitgeverhandtekeningen tegen de relevante nationale trusted lists, zodat alleen attestaties van erkende uitgevers worden geaccepteerd
• Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
• Bewaking van de geregistreerde attributenscope, zodat gegevensverzoeken binnen de grenzen blijven die zijn vastgelegd bij registratie onder CIR (EU) 2025/848
• Hergebruik van geverifieerde identiteitsdata binnen de grenzen van de rechtsgrondslag, waardoor herhaalde gegevensverzameling bij terugkerende interacties wordt beperkt
• Ondersteuning voor gekwalificeerd tekenen via een aangesloten qualified trust service provider

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector die als relying party walletdata willen verwerken in lijn met de gegevensminimalisatievereisten van eIDAS 2.0. Neem contact op met TrustTech om te bespreken wat de ID Connector concreet kan betekenen voor jouw organisatie.