Selective disclosure is een kernvereiste binnen het eIDAS 2.0-raamwerk. Het stelt gebruikers in staat om alleen de specifieke attributen te delen die een organisatie nodig heeft, zonder een volledig identiteitsdocument over te dragen. Dit voldoet direct aan de dataminimalisatievereisten die zijn verankerd in Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, en in het Architecture and Reference Framework (ARF) voor de EUDI-wallet. De onderstaande secties leggen uit hoe selective disclosure werkt, wat de verordening juridisch vereist en hoe jouw organisatie haar verificatieprocessen daarop afstemt.
Hoe werkt selective disclosure in de praktijk bij attestaties?
Selective disclosure bij attestaties betekent dat een gebruiker één enkel attribuut uit een attestatie kan presenteren, zoals bewijs dat hij of zij ouder is dan 18, zonder de volledige naam, geboortedatum of andere gegevens in die attestatie prijs te geven. De attestatie is cryptografisch ondertekend door een vertrouwde uitgever, zodat de ontvangende organisatie kan verifiëren dat de claim authentiek is zonder de onderliggende gegevens te zien.
Vergelijk het met een rijbewijs dat bij een online aankoop alleen het leeftijdsveld toont, terwijl jouw woonadres en rijbewijsnummer volledig verborgen blijven. De technische mechanismen die dit mogelijk maken, zijn SD-JWT VC en het mdoc-formaat. Bij SD-JWT VC wordt elk attribuut afzonderlijk gehasht, zodat de houder specifieke hashes aan een verifier kan onthullen zonder de rest bloot te leggen. Bij mdoc ondersteunt het formaat selective disclosure op veldniveau, zowel voor online als voor nabijheidsgebaseerde interacties.
Het cryptografische bewijs standhoudt ook wanneer slechts een deel van de attestatie wordt gedeeld. De verifier ontvangt een tamper-evident verifieerbare bevestiging van de specifieke claim, en niets meer. Dat beperkt het risico op inferentie op basis van overtollige gegevens en op onnodige profilering.
Volledige verificatie is echter meer dan het controleren van de handtekening van de uitgever. Een correcte verificatie omvat drie afzonderlijke stappen: controle van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste stap kan volledig offline plaatsvinden.
Wat vereist eIDAS 2.0 op het gebied van dataminimalisatie?
Verordening (EU) 2024/1183 vereist dat de EUDI-wallet gebruikers in staat stelt alleen de gegevens te delen die strikt noodzakelijk zijn voor een bepaalde transactie. Dit principe van dataminimalisatie is geen beleidsmatige aanbeveling, maar een technische ontwerpeis die is verankerd in de verordening en verder uitgewerkt in het ARF.
De verordening stelt expliciet dat gebruikers moeten kunnen kiezen wat ze delen en met wie, en dat gegevens die niet noodzakelijk zijn voor een dienst niet mogen worden gedeeld. Dit sluit aan bij het dataminimalisatieprincipe uit artikel 5, lid 1, onder c, van de AVG, maar gaat verder door selective disclosure als technische vereiste op te nemen in het EUDI-wallet-ecosysteem.
Voor organisaties die identiteitsgegevens ontvangen, heeft dit directe consequenties. Een relying party moet zich registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848 van 6 mei 2025, voordat walletdata kan worden opgevraagd. Bij die registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Compliance betekent dus dat jouw verificatieprocessen worden ontworpen rondom wat je daadwerkelijk nodig hebt.
Houd daarbij ook de AVG-grondslag scherp in het oog. Goedkeuring van een dataverzoek in de wallet is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens. Bij wettelijke KYC-verplichtingen is een wettelijke verplichting doorgaans de relevante grondslag.
Waarom kunnen traditionele identiteitssystemen niet voldoen aan de vereisten voor selective disclosure?
Traditionele identiteitssystemen zijn niet gebouwd voor selective disclosure, omdat ze vertrouwen op het delen van volledige documenten of statische datasets. Wanneer een gebruiker een paspoortscan uploadt of een PDF van zijn diploma aanlevert, wordt alle informatie op dat document overgedragen, ongeacht hoeveel de ontvangende partij er daadwerkelijk van nodig heeft.
Deze verouderde benaderingen veroorzaken een aantal structurele problemen:
- Standaard te veel delen: Een paspoortscan onthult nationaliteit, documentnummer, vervaldatum en gezichtsafbeelding, zelfs als alleen leeftijdsverificatie vereist is.
- Geen cryptografisch bewijs: Een gescand of gefotografeerd document kan niet als authentiek worden geverifieerd zonder handmatige beoordeling of controles door derden.
- Geen gebruikerscontrole: Zodra een document is gedeeld, heeft de gebruiker geen technisch mechanisme om te beperken wat de ontvanger ermee doet.
- Geen interoperabiliteit: Elke organisatie bouwt haar eigen verificatieproces van de grond af op, waardoor gebruikers zichzelf herhaaldelijk opnieuw moeten bewijzen.
Verordening (EU) 2024/1183 en het ARF zijn specifiek ontworpen om dit gefragmenteerde model te vervangen. De verordening erkent dat het vragen van gebruikers om bij elke nieuwe organisatie opnieuw te beginnen zowel inefficiënt als privacyschendend is. Selective disclosure, ondersteund door attestaties in de EUDI-wallet, maakt hergebruik van identiteitsgegevens veilig en privacyvriendelijk op een manier die documentuploads niet kunnen bereiken.
Welke credentialformaten binnen de EUDI-wallet ondersteunen selective disclosure?
De twee primaire credentialformaten die worden ondersteund in het EUDI-wallet-ecosysteem en selective disclosure mogelijk maken, zijn SD-JWT VC (Selective Disclosure JSON Web Token Verifiable Credential) en mdoc conform ISO/IEC 18013-5 voor proximity-presentatie en ISO/IEC TS 18013-7 voor online presentatie. Beide formaten zijn opgenomen in het ARF voor de EUDI-wallet. W3C Verifiable Credentials zijn geen door het EUDI-wallet-ecosysteem voorgeschreven credentialformaat.
SD-JWT VC
SD-JWT VC breidt het veelgebruikte JWT-formaat uit door afzonderlijke claims binnen een attestatie selectief openbaar te maken. De uitgever ondertekent de volledige attestatie, maar elk attribuut wordt afzonderlijk gehasht. De houder kan vervolgens specifieke hashes aan een verifier onthullen zonder de rest bloot te leggen. Dit formaat is geschikt voor web- en app-gebaseerde interacties en is het primaire formaat voor de meeste EUDI-wallet-toepassingen buiten rijbewijzen. Voor uitgifte wordt het OID4VCI-protocol gebruikt; voor presentatie OID4VP.
mdoc
Het mdoc-formaat is oorspronkelijk ontwikkeld voor mobiele rijbewijzen, maar wordt uitgebreid naar andere documenttypen binnen de EUDI-wallet. Het ondersteunt selective disclosure op veldniveau en is ontworpen voor zowel online als nabijheidsgebaseerde interacties, zoals het tonen van jouw rijbewijs langs de weg of jouw leeftijdsattestatie bij een verkooppunt. Het mdoc-formaat is met name relevant voor gereguleerde sectoren zoals transport en overheidsdiensten. Waar interoperabiliteit tussen lidstaten vereist is, is het High Assurance Interoperability Profile (HAIP) het relevante referentieprofiel.
Organisaties die EUDI-wallet-integraties bouwen, moeten ervoor zorgen dat hun verificatie-infrastructuur beide formaten kan verwerken, omdat het wallet-ecosysteem beide actief zal gebruiken voor verschillende attestatietypes en lidstaten.
Hoe moeten organisaties hun systemen voorbereiden op selective disclosure?
Organisaties moeten de identiteitsgegevens die ze momenteel verzamelen auditen, koppelen aan wat ze per gebruiksscenario daadwerkelijk nodig hebben, en vervolgens hun verificatieprocessen opnieuw ontwerpen om alleen die specifieke attributen op te vragen. Dit is zowel een technische als een governance-exercitie.
Een praktische voorbereidingsaanpak volgt deze stappen:
- Breng jouw gegevensvereisten per gebruiksscenario in kaart: Definieer voor elke dienst of transactie de minimale set benodigde attributen. Leeftijdsverificatie, beroepskwalificatie en identiteitsbevestiging vereisen elk verschillende gegevenspunten.
- Beoordeel jouw huidige identiteitsinfrastructuur: Identificeer waar jouw systemen vertrouwen op volledige documentoverdrachten of brede gegevensverzameling, en markeer deze als gebieden voor herontwerp.
- Werk jouw technische stack bij voor de verwerking van attestaties: Zorg ervoor dat jouw systemen SD-JWT VC- en mdoc-attestaties van EUDI-wallets kunnen ontvangen, verwerken en verifiëren, inclusief controle van de intrekkingsstatus en de wallet unit attestation.
- Registreer jouw organisatie als relying party: Op grond van CIR (EU) 2025/848 moet jouw organisatie zich registreren bij de bevoegde nationale autoriteit voordat walletdata kan worden opgevraagd. Leg daarbij per intended use de attributenscope vast.
- Stem af met jouw compliance- en juridische teams: Dataminimalisatie onder Verordening (EU) 2024/1183 en de AVG moet worden weerspiegeld in jouw privacybeleid, gegevensverwerkingsovereenkomsten en interne governance. Zorg dat de AVG-grondslag voor verwerking van ontvangen gegevens is geborgd.
- Test met de EUDI-wallet-referentie-implementatie: De Europese Commissie heeft een referentiewallet-implementatie openbaar beschikbaar gesteld. Gebruik deze om jouw integratie te valideren voordat de vereisten van de verordening volledig van kracht worden.
Organisaties in gereguleerde sectoren zoals financiële dienstverlening, gezondheidszorg en overheid staan het meest onder druk om zich aan te passen. Publieke instanties moeten per 24 december 2026 genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken, zorg, telecom en energie geldt op grond van artikel 5f van de verordening een acceptatieplicht per 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van deze acceptatieplicht uitgezonderd. Selective disclosure nu goed inrichten betekent een fundament bouwen dat meerdere regelgevingsverplichtingen tegelijk ondersteunt.
Hoe ondersteunt de ID Connector van TrustTech selective disclosure en eIDAS 2.0-compliance
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor selective disclosure en dataminimalisatie ondersteunt de ID Connector concreet:
- Verificatie van SD-JWT VC- en mdoc-attestaties die worden gepresenteerd vanuit EUDI-wallets, inclusief controle van de handtekening van de uitgever tegen de relevante nationale trusted list
- Controle van de intrekkingsstatus via de statusinformatie van de uitgever, zodat verlopen of ingetrokken attestaties worden herkend
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de onder CIR (EU) 2025/848 geregistreerde scope worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata, zodat gebruikers een verificatie veilig kunnen hergebruiken bij vervolginteracties
- Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt via de gekwalificeerde vertrouwensdienstverlener
Dit is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, waar zowel de eIDAS 2.0-acceptatieverplichtingen als de AVG-dataminimalisatievereisten direct van toepassing zijn op identiteitsverificatie en gegevensdeling.
Verken de TrustTech-oplossingen of neem contact op met ons team om te bespreken wat selective disclosure betekent voor jouw specifieke situatie.