eIDAS 2.0 en de AVG zijn ontworpen om samen te werken. eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) nr. 910/2014 wijzigt, regelt hoe digitale identiteiten worden vastgesteld, geverifieerd en gebruikt in heel Europa. De AVG regelt hoe persoonsgegevens worden verwerkt. Beide kaders delen een gemeenschappelijke basis: privacy by design, dataminimalisatie en gebruikerscontrole. Voor organisaties die de EUDI-wallet of attestaties implementeren, betekent dit dat naleving van het ene kader de naleving van het andere over het algemeen ondersteunt. Er zijn echter specifieke overlappingen en verantwoordelijkheden die zorgvuldige aandacht vereisen, met name rondom de rol van verwerkingsverantwoordelijke, de rechtsgrondslag voor verwerking en de grenzen van walletgoedkeuring als AVG-grondslag.
De onderstaande secties behandelen de meest gestelde vragen van organisaties die willen begrijpen hoe deze twee Europese regelgevingen in de praktijk met elkaar samenhangen.
Waar overlappen eIDAS 2.0 en de AVG daadwerkelijk?
De overlap doet zich voor op het punt waar persoonsgegevens worden gebruikt om digitale identiteit vast te stellen of te verifiëren. Beide kaders vereisen dataminimalisatie, doelbinding en een geldige grondslag voor verwerking. eIDAS 2.0 bouwt voort op deze AVG-principes door ze structurele vereisten te maken van het Europese digitale identiteitsecosysteem, met name via het ontwerp van de EUDI-wallet.
Het meest zichtbare overlappingsgebied is dataminimalisatie. De AVG vereist dat alleen de minimaal noodzakelijke persoonsgegevens worden verzameld voor een bepaald doel. eIDAS 2.0 versterkt dit direct: de EUDI-wallet is zo ontworpen dat gebruikers alleen de specifieke attributen delen die nodig zijn voor een transactie. Een gebruiker die aantoont dat hij of zij ouder is dan 18, kan uitsluitend dat feit delen via selective disclosure, zonder geboortedatum, naam of andere persoonsgegevens vrij te geven.
Beide kaders benadrukken ook gebruikerscontrole. De AVG geeft individuen rechten over hun persoonsgegevens, waaronder het recht op inzage, correctie en verwijdering. eIDAS 2.0 breidt dit uit door gebruikers actieve controle te geven over welke identiteitsgegevens worden gedeeld, met wie en wanneer. Dit is een wettelijke vereiste die is ingebouwd in de architectuur van het gehele identiteitsecosysteem, niet alleen een technisch kenmerk van de wallet.
Ten slotte vereisen beide kaders dat organisaties passende beveiligingsmaatregelen treffen bij het verwerken van persoonsgegevens. Onder eIDAS 2.0 moeten verleners van vertrouwensdiensten en relying parties voldoen aan vastgestelde beveiligingsnormen. Deze vereisten sluiten nauw aan bij de AVG-verplichting om technische en organisatorische maatregelen te implementeren ter bescherming van persoonsgegevens.
Vervangt of conflicteert eIDAS 2.0 met de AVG?
Nee, eIDAS 2.0 wijzigt de AVG niet en treedt er niet voor in de plaats. De twee regelgevingen werken parallel en versterken elkaar. Verordening (EU) 2024/1183 stelt uitdrukkelijk dat de toepassing van de AVG onverlet blijft. Waar eIDAS 2.0 nieuwe verplichtingen rond digitale identiteit introduceert, moeten die verplichtingen worden nagekomen op een wijze die consistent is met de AVG-vereisten.
In de praktijk betekent dit dat organisaties eIDAS 2.0-naleving niet kunnen gebruiken als reden om hun AVG-verplichtingen te omzeilen. Zelfs als een relying party wettelijk verplicht is de identiteit van een gebruiker te verifiëren onder eIDAS 2.0, heeft zij nog steeds een geldige rechtsgrondslag onder artikel 6 AVG nodig voor de verwerking van de persoonsgegevens die bij die verificatie betrokken zijn.
Mogelijke spanning kan ontstaan rond registratie en auditsporen. eIDAS 2.0 vereist dat bepaalde transacties met gekwalificeerde elektronische handtekeningen en trust services worden geregistreerd en verifieerbaar zijn. De AVG beperkt de bewaring van gegevens tot wat noodzakelijk is voor het doel van verwerking. Organisaties moeten ervoor zorgen dat hun audit- en registratiepraktijken proportioneel zijn, duidelijk zijn gedocumenteerd en zijn gekoppeld aan een legitiem doel onder beide kaders.
De EU-wetgever heeft eIDAS 2.0 met de AVG in gedachten ontworpen. De architectuur van de EUDI-wallet is gebouwd rond selective disclosure en onkoppelbaarheid: wallet providers mogen op grond van de verordening niet bijhouden welke diensten een gebruiker benadert. Dit is een directe vertaling van de AVG-vereisten rond doelbinding en dataminimalisatie naar de technische architectuur van het ecosysteem.
Hoe beïnvloedt de EUDI-wallet de rechten van betrokkenen onder de AVG?
De EUDI-wallet versterkt de rechten van betrokkenen op een aantal concrete punten. Door gebruikers directe controle te geven over welke attributen zij delen en met wie, maakt de wallet het voor individuen eenvoudiger om dataminimalisatie en doelbinding in de praktijk te brengen. Tegelijkertijd moeten organisaties die op wallet gebaseerde attestaties accepteren, voldoen aan hun eigen verplichtingen onder de AVG voor de verwerking van de gegevens die zij ontvangen.
Neem het recht op verwijdering. Wanneer identiteitsgegevens worden gedeeld via de EUDI-wallet, ontvangt de relying party een geverifieerde attestatie met specifieke attributen. Die gegevens, eenmaal ontvangen en verwerkt, vallen volledig onder de AVG. De relying party moet een bewaarbeleid hebben en bereid zijn te reageren op verzoeken tot verwijdering, tenzij een wettelijke verplichting bestaat om de gegevens te bewaren.
De wallet beïnvloedt ook hoe organisaties omgaan met transparantie richting gebruikers. De AVG vereist dat individuen duidelijk worden geïnformeerd over hoe hun gegevens worden gebruikt. Het selective disclosure-mechanisme van de EUDI-wallet maakt het eenvoudiger om gebruikers een precies beeld te geven van welke gegevens worden opgevraagd en voor welk doel. Dit ondersteunt de transparantievereisten van de AVG op een wijze die traditionele identiteitsverificatieprocessen vaak moeilijk kunnen realiseren.
Een punt waaraan organisaties in de financiële dienstverlening en andere gereguleerde sectoren aandacht moeten besteden, is de verhouding tussen walletgebaseerde identiteitsverificatie en hun bestaande AVG-kader. Goedkeuring van gegevensdeling in de wallet is geen AVG-toestemming in de zin van artikel 6, lid 1, onder a, AVG. De relying party heeft een zelfstandige AVG-grondslag nodig voor de verdere verwerking. Bij wettelijke KYC-verplichtingen zal dat doorgaans een wettelijke verplichting zijn. De wallet regelt de identiteitsverificatiestap; de gegevensverwerkingsrelatie die daarop volgt, is de eigen verantwoordelijkheid van de relying party.
Wie is de verwerkingsverantwoordelijke onder eIDAS 2.0: de wallet provider, de relying party of de gebruiker?
De verantwoordelijkheden van de verwerkingsverantwoordelijke zijn verdeeld over meerdere partijen, afhankelijk van de specifieke verwerkingsactiviteit. De wallet provider, de relying party en in sommige gevallen de uitgever van een attestatie hebben elk afzonderlijke rollen, en het AVG-concept van verwerkingsverantwoordelijkheid is op elk van hen afzonderlijk van toepassing voor hun eigen verwerkingsactiviteiten.
De wallet provider is verantwoordelijk voor de infrastructuur die identiteitsattributen opslaat en doorgeeft. Verordening (EU) 2024/1183 verbiedt wallet providers uitdrukkelijk om bij te houden welke diensten een gebruiker benadert of om transactiegegevens te combineren. Dit beperkt de verwerkingsverantwoordelijkheid van de wallet provider tot wat minimaal noodzakelijk is voor het beheer van de wallet solution zelf.
De relying party, de organisatie die identiteitsgegevens opvraagt en ontvangt van de wallet, wordt verwerkingsverantwoordelijke op het moment dat zij die gegevens verwerkt. Vanaf dat moment zijn alle AVG-verplichtingen van toepassing: rechtsgrondslag voor verwerking, rechten van betrokkenen, bewaartermijnen en beveiligingsvereisten. Organisaties in overheidsdiensten en de gezondheidszorg die identiteitsverificatie inzetten voor toegang tot gevoelige diensten, moeten hierover bijzonder duidelijk zijn. Voor gezondheidsgegevens geldt bovendien dat naast een grondslag onder artikel 6 AVG ook een toepasselijke grond uit artikel 9, lid 2, AVG aanwezig moet zijn.
De attestatie-uitgever, zoals een overheidsinstantie die een digitaal rijbewijs of een kwalificatiecertificaat uitgeeft, is verwerkingsverantwoordelijke voor het uitgifteproces. Zodra de attestatie zich in de wallet unit van de gebruiker bevindt, eindigt de verwerkingsrol van de uitgever doorgaans, tenzij hij verplicht is records bij te houden voor juridische of auditdoeleinden.
De gebruiker is in juridische zin geen verwerkingsverantwoordelijke, maar wel de centrale actor in de goedkeurings- en openbaarmakingsstroom. De wallet plaatst gebruikers in een positie van feitelijke controle, wat consistent is met de nadruk van de AVG op individuele rechten, zonder hen juridisch verantwoordelijk te maken voor de verwerking die stroomafwaarts plaatsvindt. Walletgebruik is vrijwillig: artikel 5a van de gewijzigde verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.
Welke nalevingsstappen moeten organisaties nemen om eIDAS 2.0 af te stemmen op hun AVG-verplichtingen?
De implementatie van eIDAS 2.0 biedt een concrete aanleiding om de AVG-nalevingspositie te versterken. De twee kaders hebben genoeg gemeenschappelijke grond dat een goed ontworpen digitale identiteitsaanpak aan beide tegelijkertijd kan voldoen. De sleutel is inzicht in hoe identiteitsgegevens door je systemen stromen en wie in elke fase verwerkingsverantwoordelijke is.
Hier zijn de belangrijkste stappen:
- Breng je identiteitsgegevensstromen in kaart. Begrijp precies welke persoonsgegevens worden verzameld, uit welke bronnen, voor welk doel en hoe lang ze worden bewaard. Dit is een AVG-vereiste en de basis van elke eIDAS 2.0-implementatie.
- Stel een rechtsgrondslag vast voor elke verwerkingsactiviteit. Het accepteren van attestaties van een EUDI-wallet vereist een geldige rechtsgrondslag onder artikel 6 AVG. Documenteer dit duidelijk, met name waar je vertrouwt op een wettelijke verplichting of gerechtvaardigd belang. Goedkeuring van gegevensdeling in de wallet geldt niet automatisch als toestemming in de zin van artikel 6, lid 1, onder a, AVG.
- Beoordeel je privacyverklaringen. Gebruikers moeten worden geïnformeerd over hoe hun identiteitsgegevens na verificatie worden verwerkt. Werk je privacyverklaringen bij om de walletgebaseerde verificatiestroom en eventuele nieuwe gegevensbronnen te weerspiegelen.
- Implementeer dataminimalisatie by design. Zorg er samen met je technische teams voor dat je systemen alleen de attributen opvragen die daadwerkelijk nodig zijn. Dit is zowel een AVG-vereiste als een kernprincipe van eIDAS 2.0. Houd daarbij ook rekening met de registratieplicht onder CIR (EU) 2025/848: een relying party registreert per intended use welke attributen worden opgevraagd, en een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd.
- Definieer je bewaarbeleid voor identiteitsgegevens. Auditlogboeken en identiteitsrecords mogen alleen zo lang worden bewaard als noodzakelijk voor het doel van verwerking. Breng de auditvereisten van eIDAS 2.0 in balans met het opslagbeperkingsbeginsel van de AVG.
- Verduidelijk de verantwoordelijkheden met derden. Als je samenwerkt met een verlener van trust services of een wallet-infrastructuurpartner, zorg er dan voor dat je gegevensverwerkingsovereenkomsten actueel zijn en duidelijk definiëren wie waarvoor verwerkingsverantwoordelijke is. Een leverancier die walletdata technisch namens je organisatie verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht onder CIR (EU) 2025/848 ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Organisaties in sectoren zoals gezondheidszorg en farmacie verwerken bijzondere categorieën persoonsgegevens onder artikel 9 AVG. In die gevallen is een gegevensbeschermingseffectbeoordeling (DPIA) sterk aan te bevelen voordat een op eIDAS 2.0 gebaseerd identiteitsverificatieproces wordt geïmplementeerd. Micro- en kleine ondernemingen, met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen, zijn uitgezonderd van de private acceptatieplicht onder artikel 5f van de verordening, maar de AVG-verplichtingen gelden onverkort voor iedere organisatie die persoonsgegevens verwerkt.
Hoe de ID Connector van TrustTech helpt bij eIDAS 2.0- en AVG-naleving
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Concreet verwerkt de ID Connector:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat alleen de attributen worden opgevraagd die overeenkomen met de registratie onder CIR (EU) 2025/848
- Hergebruik van geverifieerde identiteitsdata, waardoor de behoefte aan herhaalde gegevensverzameling afneemt en het nalevingsrisico wordt verlaagd
- Ondersteuning van gekwalificeerd tekenen via een aangesloten gekwalificeerde verlener van vertrouwensdiensten, voor relying parties die een QES in hun proces integreren
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid die walletgebaseerde identiteitsverificatie willen inzetten binnen een AVG-compliant architectuur. Verken onze digitale identiteitsoplossingen of neem contact op met ons team om je specifieke implementatiebehoeften te bespreken.