eIDAS 2.0 vereist niet dat biometrische gegevens worden opgeslagen in de Europese Digitale Identiteitsportemonnee zelf. De verordening richt zich op het mogelijk maken van veilige identiteitsverificatie en gegevensdeling, maar verplicht niet dat biometrische informatie zoals vingerafdrukken of gezichtsafbeeldingen in de portemonnee moeten worden bewaard. Wat eIDAS 2.0 wel vereist, is dat biometrische gegevens die worden gebruikt in identiteitsprocessen worden verwerkt in overeenstemming met strikte gegevensbeschermingsregels, waaronder de Algemene Verordening Gegevensbescherming (AVG). De onderstaande secties beantwoorden de meest gestelde vragen van organisaties over biometrie, de EUDI Wallet en wat dit in de praktijk betekent.

Vereist eIDAS 2.0 dat biometrische gegevens worden opgeslagen in de portemonnee?

Nee, eIDAS 2.0 vereist niet dat biometrische gegevens worden opgeslagen in de Europese Digitale Identiteitsportemonnee. De EUDI Wallet is ontworpen om verifieerbare credentials en digitale documenten te bevatten, zoals een rijbewijs of een onderwijscertificaat, maar de verordening vermijdt bewust het verplicht stellen van de opslag van gevoelige biometrische gegevens in de portemonnee zelf. Biometrie kan worden gebruikt tijdens het identiteitsbevestigingsproces dat plaatsvindt voordat een portemonnee wordt uitgegeven, maar dat is een afzonderlijke stap.

Het onderscheid is belangrijk omdat veel organisaties ervan uitgaan dat een digitale identiteitsportemonnee automatisch een biometrische database impliceert. In de praktijk slaat de portemonnee attestaties op over iemands identiteit, geen ruwe biometrische gegevens. Een portemonnee kan bijvoorbeeld een credential bevatten die bevestigt dat iemands identiteit op een hoog zekerheidsniveau is geverifieerd, zonder de vingerafdruk of gezichtsafbeelding op te slaan die werd gebruikt om tot die conclusie te komen.

Deze ontwerpkeuze weerspiegelt een kernprincipe van eIDAS 2.0: dataminimalisatie. Gebruikers mogen alleen delen wat strikt noodzakelijk is. Het opslaan van biometrische gegevens in de portemonnee zou onnodig risico creëren en in strijd zijn met dat principe.

Hoe beschermt eIDAS 2.0 biometrische gegevens onder de AVG?

eIDAS 2.0 werkt samen met de AVG om biometrische gegevens te beschermen. Omdat biometrische gegevens worden geclassificeerd als een bijzondere categorie van persoonsgegevens onder AVG Artikel 9, vereist elke verwerking ervan een expliciete wettelijke grondslag, zoals uitdrukkelijke toestemming van de gebruiker of een specifieke wettelijke verplichting. eIDAS 2.0 versterkt dit door te vereisen dat identiteitsportemonnees de privacy van gebruikers respecteren en gedurende elke interactie principes van dataminimalisatie toepassen.

In de praktijk betekent dit dat organisaties die betrokken zijn bij identiteitsverificatie of de uitgifte van portemonnees geen biometrische gegevens mogen verzamelen of bewaren buiten wat strikt noodzakelijk is voor het betreffende doel. Zodra de identiteitsbevestigingsstap is voltooid, mogen de biometrische gegevens die tijdens dat proces zijn gebruikt niet worden bewaard, tenzij daar een duidelijke en rechtmatige reden voor is.

De verordening vereist ook dat portemonnee-aanbieders en vertrouwende partijen passende technische en organisatorische beveiligingsmaatregelen implementeren. Dit omvat versleuteling, toegangscontroles en audittrails. De combinatie van eIDAS 2.0 en de AVG creëert een gelaagd kader waarbij biometrische gegevens zowel op regelgevingsniveau als door technisch ontwerp worden beschermd.

Wat is het verschil tussen biometrische authenticatie en biometrische verificatie in de EUDI Wallet?

Biometrische authenticatie en biometrische verificatie dienen verschillende doelen in de context van de EUDI Wallet. Biometrische authenticatie vindt plaats op het apparaat van de gebruiker en ontgrendelt de toegang tot de portemonnee zelf, bijvoorbeeld via Face ID of een vingerafdruksensor. Biometrische verificatie verwijst naar het proces van het bevestigen van iemands identiteit aan de hand van een betrouwbare referentie, zoals een pasfoto, en vindt doorgaans plaats tijdens de eerste onboarding of identiteitsbevestigingsfase.

Dit is een belangrijk onderscheid voor organisaties om te begrijpen, omdat de twee processen zeer verschillende gegevensstromen en nalevingsimplicaties hebben.

Biometrische authenticatie: lokaal en apparaatgebonden

Wanneer een gebruiker hun EUDI Wallet ontgrendelt met een vingerafdruk of gezichtsscan, verlaten die biometrische gegevens het apparaat nooit. Ze worden lokaal verwerkt door het beveiligde element van het apparaat. Er worden geen biometrische gegevens verzonden naar de portemonnee-aanbieder of een vertrouwende partij. Deze aanpak is privacybeschermend van opzet en sluit aan bij de dataminimalisatieprincipes die zijn ingebed in eIDAS 2.0.

Biometrische verificatie: identiteitsbevestiging bij onboarding

Biometrische verificatie vindt plaats wanneer een persoon zich voor het eerst inschrijft en zijn identiteit wordt gecontroleerd aan de hand van een door de overheid uitgegeven document. Dit proces kan een levensechtheidscontrole of een vergelijking tussen een selfie en een pasfoto omvatten. Deze stap vindt plaats voordat de portemonnee wordt uitgegeven en wordt geregeld door strikte regels over gegevensbewaring en doelbinding. Zodra de identiteit is bevestigd en de portemonneecredential is uitgegeven, mogen de biometrische gegevens die in dat proces zijn gebruikt niet voor onbepaalde tijd worden bewaard.

Wie heeft toegang tot biometrische gegevens die via een identiteitsportemonnee worden gedeeld?

In het EUDI Wallet-model worden biometrische gegevens over het algemeen helemaal niet via de portemonnee gedeeld. Wat wordt gedeeld zijn verifieerbare credentials die iemands identiteit of kenmerken bevestigen, zonder de onderliggende biometrische gegevens bloot te stellen. De gebruiker behoudt de controle over wat hij deelt en met wie. Geen enkele vertrouwende partij, zoals een bank of overheidsdienst, ontvangt ruwe biometrische gegevens via een standaard portemonnee-interactie.

De toegang tot biometrische gegevens die zijn verzameld tijdens het identiteitsbevestigingsproces is strikt beperkt. Alleen de entiteit die verantwoordelijk is voor de uitgifte van de portemonneecredential, doorgaans een overheidsinstantie of een gecertificeerde vertrouwensdienstverlener, zou toegang hebben tot die gegevens, en alleen voor de duur die wettelijk is vereist.

eIDAS 2.0 is expliciet over gebruikerscontrole: individuen moeten kunnen zien welke gegevens worden gedeeld, met wie en voor welk doel. Dit geldt voor alle persoonsgegevens die via de portemonnee worden uitgewisseld. Elke poging van een vertrouwende partij om meer gegevens op te vragen dan nodig is voor de dienst die zij verlenen, zou een schending zijn van zowel eIDAS 2.0 als de AVG.

Welke biometrische gegevens kunnen worden opgenomen in verifieerbare credentials onder eIDAS 2.0?

Bepaalde digitale documenten die kunnen worden opgeslagen in de EUDI Wallet, zoals een mobiel rijbewijs of een digitale reiscredential, kunnen een gezichtsafbeelding bevatten als onderdeel van de gegevensset van de credential. Dit komt doordat deze documenten digitale representaties zijn van fysieke identiteitsdocumenten die al een foto bevatten. In die zin kan een gezichtsafbeelding deel uitmaken van een verifieerbare credential, maar wordt deze behandeld als een identiteitskenmerk in plaats van een biometrisch sjabloon.

Het belangrijkste verschil is dat een biometrisch sjabloon, zoals een vingerafdrukkaart of een gezichtsgeometriemodel, een verwerkte representatie is die wordt gebruikt voor matching. Een gezichtsafbeelding, zoals de foto op een rijbewijs, is een identiteitskenmerk dat een mens of systeem visueel kan vergelijken. eIDAS 2.0 en het Architectuur- en Referentiekader voor de EUDI Wallet staan gezichtsafbeeldingen toe binnen specifieke credentials, maar introduceren geen algemeen mechanisme voor het opslaan of delen van biometrische sjablonen.

Organisaties in sectoren zoals gezondheidszorg of financiële dienstverlening die identiteitsverificatie uitvoeren, moeten dit onderscheid goed in de gaten houden. Het gebruik van een gezichtsafbeelding uit een portemonneecredential voor geautomatiseerde biometrische matching zou biometrische gegevensverwerking onder de AVG vormen en zou een specifieke wettelijke grondslag vereisen.

Hoe moeten organisaties zich voorbereiden op biometrische gegevensvereisten in eIDAS 2.0-naleving?

Organisaties moeten beginnen met het in kaart brengen van waar biometrische gegevens momenteel hun identiteitsprocessen binnenkomen en op welke wettelijke grondslag zij voor de verwerking ervan vertrouwen. eIDAS 2.0-naleving is niet alleen een technische oefening. Het vereist een duidelijk begrip van gegevensstromen, bewaarbeleid en het onderscheid tussen wat er gebeurt tijdens identiteitsbevestiging en wat er gebeurt tijdens doorlopende authenticatie.

Hier zijn de belangrijkste stappen die organisaties moeten nemen:

1. Controleer uw huidige identiteitsbevestigingsproces. Identificeer waar biometrische gegevens worden verzameld, hoe lang ze worden bewaard en of uw huidige praktijken aansluiten bij de dataminimalisatie- en doelbindingsprincipes van de AVG.
2. Verduidelijk de wettelijke grondslag voor biometrische verwerking. Biometrische gegevens zijn een bijzondere categorie onder de AVG. Zorg ervoor dat u een rechtmatige grondslag heeft gedocumenteerd voor elke fase waarin biometrie wordt verwerkt.
3. Scheid authenticatie van verificatie in uw architectuur. Ontwerp uw systemen zo dat biometrische authenticatie op apparaatniveau (het ontgrendelen van de portemonnee) duidelijk onderscheiden is van identiteitsverificatieprocessen waarbij biometrische controles betrokken kunnen zijn.
4. Herzie uw gegevensbewaarbeleid. Biometrische gegevens die tijdens onboarding zijn verzameld, mogen niet langer worden bewaard dan wettelijk vereist is. Werk uw beleid bij om dit te weerspiegelen.
5. Bereid u voor op portemonnee-gebaseerde interacties. Als uw organisatie zal optreden als vertrouwende partij die EUDI Wallet-credentials accepteert, zorg er dan voor dat uw systemen alleen de kenmerken opvragen die u daadwerkelijk nodig heeft en nooit proberen biometrische gegevens uit die credentials te extraheren of opnieuw te verwerken.

Organisaties in de overheid en gereguleerde sectoren moeten ook betrokken raken bij de technische specificaties die worden ontwikkeld via de grootschalige pilotprogramma’s, omdat deze de praktische vereisten voor portemonnee-uitgifte en credentialformaten in de toekomst zullen bepalen. Op de hoogte blijven van de laatste ontwikkelingen in het Architectuur- en Referentiekader is essentieel voor organisaties die identiteitsinfrastructuur bouwen of aanpassen.

Hoe TrustTech helpt bij biometrische gegevens en eIDAS 2.0-naleving

Navigeren door het snijvlak van biometrische gegevens, de AVG en eIDAS 2.0 is complex, vooral voor organisaties die bestaande identiteitsinfrastructuur moeten aanpassen terwijl ze compliant blijven. TrustTech ondersteunt organisaties in gereguleerde sectoren bij het opbouwen van identiteitsprocessen die veilig, privacybeschermend en klaar zijn voor het EUDI Wallet-tijdperk.

Samenwerken met TrustTech betekent dat u praktische ondersteuning krijgt op de gebieden die er het meest toe doen:

• Identiteitsbevestiging en -verificatie die voldoet aan de zekerheidsniveaus van eIDAS 2.0 zonder onnodige gegevensverzameling
• Herbruikbare digitale identiteitsinfrastructuur zodat gebruikers eenmalig verifiëren en alleen delen wat nodig is, waardoor herhaalde biometrische controles worden verminderd
• Portemonnee-klare architectuur gebouwd op Europese digitale identiteitsstandaarden, ontworpen om te integreren met de EUDI Wallet naarmate deze wordt uitgerold
• Nalevingsbegeleiding die de technische en regelgevingsdimensies van biometrische gegevensverwerking onder de AVG en eIDAS 2.0 overbrugt

Of u nu uw huidige nalevingspositie beoordeelt of actief werkt aan EUDI Wallet-integratie, TrustTech biedt de expertise en technologie om daar te komen. Verken onze identiteitsoplossingen of neem contact op om te bespreken wat eIDAS 2.0 betekent voor uw organisatie.