Hoe maakt eIDAS 2.0 privacybeschermende identiteitsverificatie mogelijk?

eIDAS 2.0 maakt privacybeschermende identiteitsverificatie mogelijk door individuen controle te geven over welke persoonsgegevens ze delen, met wie en wanneer. In plaats van een volledig identiteitsdocument te tonen, kunnen gebruikers alleen de specifieke attributen vrijgeven die een dienst vereist. Deze mogelijkheid is rechtstreeks ingebouwd in de Europese Digitale Identiteitswallet en de technische standaarden die daaraan ten grondslag liggen. De onderstaande secties leggen uit hoe elk privacymechanisme werkt en wat dit in de praktijk betekent.

Wat betekent privacybeschermende identiteitsverificatie onder eIDAS 2.0?

Privacybeschermende identiteitsverificatie onder eIDAS 2.0 betekent vaststellen wie iemand is, of een specifiek attribuut over die persoon bevestigen, zonder meer persoonsgegevens bloot te stellen dan strikt noodzakelijk is voor de transactie. Een persoon bewijst alleen wat nodig is, en de relying party ontvangt alleen dat. Dit is een wezenlijk andere benadering dan traditionele identiteitsverificatie, waarbij doorgaans een volledige documentscan of dataset vereist is.

Verordening (EU) 2024/1183, informeel aangeduid als eIDAS 2.0, wijzigt Verordening (EU) nr. 910/2014 en bouwt gegevensminimalisatie rechtstreeks in de architectuur van de EUDI-wallet in. De verordening sluit nauw aan bij de AVG-beginselen, waardoor minimale openbaarmaking niet alleen een goede praktijk is, maar ook een technische en juridische vereiste. Onder het oorspronkelijke eIDAS-kader waren vergelijkbare privacybeschermingen beperkt aanwezig en werden ze inconsistent toegepast in de lidstaten.

Voor organisaties in sectoren zoals financiële dienstverlening, gezondheidszorg en overheid is dit van directe betekenis. Identiteitsverificatieprocessen die vroeger het verzamelen en opslaan van grote hoeveelheden persoonsgegevens vereisten, kunnen worden herontworpen rond geverifieerde attestaties. Een gebruiker kan bewijzen dat hij ouder is dan 18, dat hij een geldige beroepskwalificatie bezit, of dat hij inwoner is van een bepaald land, zonder zijn geboortedatum, volledige naam of thuisadres prijs te geven. Daarvoor gelden wel de beperkingen die voortvloeien uit sectorale regelgeving, waaronder AML- en KYC-verplichtingen.

Hoe werkt selective disclosure in de EUDI-wallet?

Selective disclosure in de EUDI-wallet stelt een gebruiker in staat om individuele attributen uit een attestatie te delen in plaats van de volledige attestatie. Wanneer een dienst bewijs van een specifiek feit opvraagt, presenteert de wallet alleen dat feit, cryptografisch ondertekend door de uitgever, terwijl alle andere opgeslagen gegevens privé blijven. De gebruiker ziet precies wat er wordt gedeeld voordat hij bevestigt.

Dit werkt via attestaties in gestandaardiseerde credentialformaten. Een door de overheid uitgegeven Personal Identification Data-attestatie die in de wallet is opgeslagen, kan meerdere gegevensvelden bevatten. Selective disclosure betekent dat een gebruiker op een verzoek om leeftijdsverificatie kan reageren door alleen een ja/nee-bevestiging vrij te geven, zonder zijn volledige geboortedatum of documentnummer te onthullen. Zero-knowledge proofs zijn daarvoor niet noodzakelijk: selective disclosure van het attribuut “ouder dan 18” volstaat in veel gevallen.

De technische basis berust op credentialformaten die openbaarmaking op attribuutniveau ondersteunen. De EUDI-wallet-architectuur, zoals beschreven in het Architecture and Reference Framework (ARF), verwijst naar de formaten SD-JWT VC en mdoc. Beide formaten maken het mogelijk dat individuele velden binnen een attestatie onafhankelijk worden onthuld of achtergehouden. SD-JWT VC wordt gebruikt voor online presentatie via het OID4VP-protocol. Voor mdoc geldt ISO/IEC 18013-5 voor proximity-presentatie en ISO/IEC TS 18013-7 voor online presentatie.

Voor organisaties die digitale identiteitsoplossingen bouwen, betekent dit dat onboardingprocessen kunnen worden herontworpen rond minimaal benodigde gegevens. Een financiële dienstverlener die een KYC-controle uitvoert, hoeft geen volledige identiteitsdocumentscan te ontvangen en op te slaan als een geverifieerde attestatie van een vertrouwde wallet-uitgever voldoende is om aan de regelgevingsvereiste te voldoen. Of dat daadwerkelijk voldoende is, hangt af van de toepasselijke AML-regelgeving en sectorale eisen.

Welke rol spelen zero-knowledge proofs in eIDAS 2.0?

Zero-knowledge proofs (ZKP’s) stellen de ene partij in staat om aan de andere te bewijzen dat een bewering waar is, zonder de onderliggende gegevens te onthullen die dat bewijs leveren. In de context van eIDAS 2.0 en digitale identiteitsprivacy betekent dit dat een gebruiker kan bewijzen dat hij aan een voorwaarde voldoet, zoals ouder zijn dan een bepaalde leeftijd of houder zijn van een geldige attestatie, zonder de werkelijke waarde achter die voorwaarde prijs te geven.

ZKP’s vertegenwoordigen het meest privacybeschermende uiteinde van het spectrum van selective disclosure. Waar standaard selective disclosure nog steeds de specifieke waarde van een gekozen attribuut onthult, onthult een zero-knowledge proof niets behalve de waarheid van de claim zelf. Een gebruiker kan bevestigen dat hij ouder is dan 21 zonder dat de relying party zijn werkelijke geboortedatum te weten komt.

Het technische kader van eIDAS 2.0 schrijft zero-knowledge proofs niet voor alle gebruikssituaties voor. Het ARF biedt wel ruimte voor ZKP-compatibele credentialformaten, maar de juridisch bindende vereisten volgen uit de verordening en de uitvoeringshandelingen, niet uit het ARF zelf. Dit geeft wallet-aanbieders en relying parties de mogelijkheid om een hoog niveau van privacybescherming te implementeren waar de gebruikssituatie dat toelaat.

Voor gereguleerde sectoren zoals gezondheidszorg en farmacie, waar gevoelige persoonsgegevens een aanzienlijk juridisch en ethisch gewicht dragen, bieden ZKP’s een technisch pad naar minimale gegevensblootstelling. De technologie ontwikkelt zich snel. Organisaties die hun implementatieaanpak plannen, doen er goed aan te beoordelen waar ZKP’s openbaarmaking op attribuutniveau in hun verificatieprocessen kunnen vervangen, rekening houdend met de stand van de standaardisatie op het moment van implementatie.

Hoe voorkomt eIDAS 2.0 identiteitsTracking via verschillende diensten?

eIDAS 2.0 beperkt cross-service identiteitsTracking door te vereisen dat wallet-interacties verschillende relying parties niet in staat stellen de activiteit van een gebruiker met elkaar te correleren. Dit wordt bereikt door het gebruik van niet-koppelbare pseudoniemen en het verbod op gedeelde identificatoren die kunnen worden gebruikt om een profiel van het gedrag van een gebruiker over diensten heen op te bouwen. Het risico op tracking of profiling is daarmee verminderd, maar niet volledig uitgesloten.

Een van de kernprivacyrisico’s in digitale identiteitssystemen is het creëren van een globale identificator, een enkel ID dat elke dienst ontvangt en dat kan worden gebruikt om de interacties van een persoon via het internet te volgen. eIDAS 2.0 pakt dit aan door te vereisen dat de EUDI-wallet voor verschillende relying parties verschillende pseudonieme identificatoren genereert. Deze pseudoniemen worden door de wallet gegenereerd en lokaal bewaard. Ze zijn geen PID-attribuut en verschillen per relying party. Twee diensten kunnen geen gegevens vergelijken en vaststellen dat dezelfde persoon beide heeft gebruikt, tenzij de gebruiker uitdrukkelijk toestemming geeft voor die koppeling.

Dit ontwerpprincipe weerspiegelt de bredere filosofie van digitale identiteitsprivacy die in de verordening is verankerd. Gebruikers behouden de soevereiniteit over hun eigen gegevensspoor. De wallet fungeert als privacybeschermende tussenpersoon, geen uitzender van identiteitssignalen naar derden.

Organisaties die momenteel vertrouwen op gedeelde identiteitstokens of gecentraliseerde identiteitsbrokers moeten er nota van nemen dat eIDAS 2.0 een heroverweging vereist van de manier waarop identiteitsgegevens door hun systemen stromen. Sectoren zoals overheidsdiensten en financiële dienstverlening, waar het kruislings raadplegen van gebruikersgegevens via platforms gebruikelijk was, zullen hun architecturen moeten aanpassen om te voldoen aan deze niet-koppelbaarheidsvereisten. Relying parties mogen een klantrecord ook niet permanent koppelen aan een wallet unit-identifier, omdat een wallet unit bij een nieuw toestel opnieuw wordt uitgegeven.

Wat zijn de grenzen van privacybescherming onder eIDAS 2.0?

eIDAS 2.0 biedt stevige privacybeschermingen by design, maar maakt identiteitstransacties niet volledig anoniem. Wallet-uitgevers, doorgaans overheidsinstanties of officieel erkende aanbieders, hebben inzicht in de attestaties die zij uitgeven. Relying parties ontvangen nog steeds de attributen die ze opvragen. En wettelijke verplichtingen zoals AML en KYC kunnen openbaarmaking vereisen die de voorkeur voor minimale gegevensdeling overstijgt.

Het is zinvol om duidelijk te maken wat eIDAS 2.0 wel en niet beschermt:

• Het garandeert geen anonimiteit. Geverifieerde identiteitsverificatie vereist inherent dat iemand weet wie de gebruiker is op het moment van uitgifte. De wallet-uitgever beschikt over die kennis.
• Het heft wettelijke openbaarmakingsvereisten niet op. Gereguleerde sectoren zoals bankieren en gezondheidszorg kunnen wettelijk verplicht zijn om specifieke identiteitsgegevens te verzamelen en te bewaren, ongeacht wat de instellingen voor minimale openbaarmaking van de wallet toestaan.
• Het hangt af van correcte implementatie. Privacygaranties gelden alleen als relying parties en wallet-aanbieders de technische standaarden correct implementeren. Een slecht geïntegreerde dienst kan nog steeds meer gegevens opvragen dan noodzakelijk, en gebruikers herkennen dit niet altijd.
• Apparaatbeveiliging is van belang. De privacy van wallet-gegevens hangt deels af van de beveiliging van het apparaat waarop de wallet instance is geïnstalleerd. Een gecompromitteerd apparaat ondermijnt privacybeschermingen op technisch niveau.
• Walletgebruik is vrijwillig. Artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Organisaties mogen wallet-gebruik niet als enige toegangsweg tot een dienst verplichten.
• Goedkeuring in de wallet is geen AVG-toestemming. De goedkeuring die een gebruiker in de wallet geeft voor het delen van gegevens, is geen rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen persoonsgegevens.

Het begrijpen van deze grenzen is belangrijk voor organisaties die nalevingskaders bouwen rond eIDAS 2.0. Privacy-by-design is een echte structurele verbetering ten opzichte van het vorige kader, maar het is geen alomvattende oplossing voor alle uitdagingen op het gebied van identiteitsprivacy.

Hoe moeten organisaties zich voorbereiden op privacy-by-design identiteitsverificatie?

Organisaties moeten zich voorbereiden op privacy-by-design identiteitsverificatie door hun huidige gegevensverzamelingspraktijken te controleren, te identificeren waar ze meer identiteitsgegevens verzamelen dan hun processen werkelijk vereisen, en verificatieprocessen te herontwerpen rond attestaties en selective disclosure. De verschuiving van documentgebaseerde naar attribuutgebaseerde identiteitsverificatie is zowel een technische als een procesmatige verandering.

Een praktische voorbereidingsroutekaart ziet er als volgt uit:

1. Breng je huidige identiteitsgegevensstromen in kaart. Begrijp welke persoonsgegevens je verzamelt tijdens onboarding en verificatie, waarom je ze verzamelt en waarvoor je ze daadwerkelijk gebruikt.
2. Identificeer minimale gegevensvereisten. Definieer voor elke verificatiestap de minimale set attributen die je nodig hebt om aan jouw wettelijke en operationele verplichtingen te voldoen.
3. Beoordeel je systemen op gereedheid voor attestaties. Controleer of jouw identiteitsinfrastructuur attestaties kan ontvangen en valideren in EUDI-wallet-compatibele formaten zoals SD-JWT VC of mdoc, via de uitwisselingsprotocollen OID4VCI en OID4VP.
4. Registreer je als relying party. Onder CIR (EU) 2025/848 van 6 mei 2025 moet je je registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat je wallet-data kunt opvragen. Je registreert per intended use welke attributen en attestaties je opvraagt. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd.
5. Beoordeel je juridische grondslag voor gegevensverwerking. Zorg ervoor dat jouw AVG-documentatie de verschuiving naar attribuutgebaseerde gegevensverzameling weerspiegelt, inclusief bijgewerkt beleid voor gegevensbewaring. Voor gezondheidsgegevens geldt daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG.
6. Raadpleeg de sectorspecifieke regelgevingsgidsen. Sectoren zoals financiële diensten en gezondheidszorg hebben specifieke richtlijnen over hoe eIDAS 2.0 samenwerkt met bestaande AML-, KYC- of patiëntgegevensregelgeving.

Organisaties die deze transitie puur als een nalevingsoefening beschouwen, missen de bredere consequentie. Privacybeschermende identiteitsverificatie vermindert de gegevens die je bewaart, wat je risicoblootstelling verkleint. Het vermindert ook de wrijving voor gebruikers, die niet langer herhaaldelijk dezelfde gegevens aan verschillende diensten hoeven te verstrekken.

Hoe de ID Connector van TrustTech privacybeschermende identiteitsverificatie ondersteunt

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Concreet ondersteunt de ID Connector de volgende technische taken die direct relevant zijn voor privacybeschermende identiteitsverificatie:

• Verificatie van handtekeningen van uitgevers tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists, volgens ETSI TS 119 612
• Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
• Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution
• Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden verwerkt die overeenkomen met de geregistreerde intended use onder CIR (EU) 2025/848
• Hergebruik van geverifieerde identiteitsdata uit de wallet, zodat gebruikers bij vervolginteracties alleen het noodzakelijke delen
• Ondersteuning van selective disclosure in de formaten SD-JWT VC en mdoc, afgestemd op de EUDI-wallet-architectuur
• Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de gekwalificeerde elektronische handtekening tot stand komt bij de betreffende qualified trust service provider

De ID Connector is relevant voor relying parties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, waar zowel de acceptatieverplichtingen als de sectorale gegevensvereisten specifieke eisen stellen aan de identiteitsinfrastructuur.

Als jouw organisatie klaar is om van begrip van eIDAS 2.0 naar concrete implementatie over te gaan, neem dan contact op met TrustTech om te verkennen hoe privacybeschermende identiteitsverificatie kan werken in jouw specifieke context.