Hoe beïnvloedt de EUDI Wallet de AVG-naleving voor organisaties?

De EUDI-wallet vervangt de AVG niet en werkt er ook niet los van. Organisaties die attestaties van de EUDI-wallet accepteren of verwerken, blijven volledig onderworpen aan AVG-verplichtingen. De EUDI-wallet is ontworpen om kernprincipes van de AVG te versterken, met name op het gebied van dataminimalisatie en gebruikerscontrole. De onderstaande secties behandelen de belangrijkste compliance-vragen die organisaties moeten beantwoorden voordat ze wallet-gebaseerde identiteit in hun diensten integreren.

Vervangt de EUDI-wallet de AVG of vormt hij een aanvulling daarop?

De EUDI-wallet vormt een aanvulling op de AVG. De twee kaders werken parallel: eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) 910/2014 wijzigt, regelt hoe digitale identiteitsattestaties worden uitgegeven, opgeslagen en gepresenteerd, terwijl de AVG blijft regelen hoe organisaties persoonsgegevens verzamelen, verwerken en opslaan. Alle persoonsgegevens die via een wallet-interactie stromen, blijven onderworpen aan de AVG vanaf het moment dat een organisatie ze ontvangt.

Dit onderscheid is in de praktijk belangrijk. De EUDI-wallet geeft gebruikers een privacybeschermend instrument om alleen de gegevens te delen die zij zelf kiezen. Maar zodra een organisatie die gegevens accepteert en verwerkt, zijn de volledige AVG-verplichtingen van toepassing, inclusief de noodzaak van een rechtmatige grondslag, bewaartermijnen en het recht op verwijdering. De wallet creëert geen AVG-vrijstelling en draagt de verantwoordelijkheid niet over aan de ontvangende organisatie.

Wat eIDAS 2.0 toevoegt, is een sterkere technische basis voor privacy by design. De architectuur is gebouwd rond selective disclosure en minimale gegevensdeling, wat aansluit bij de principes van de AVG. Voor organisaties in gereguleerde sectoren zoals financiën, overheid en gezondheidszorg kunnen de twee kaders samen de algehele compliance-positie versterken. Daarvoor is wel vereist dat de wallet-integratie bewust wordt ingericht, want de technische mogelijkheden vertalen zich niet automatisch in juridische compliance.

Hoe ondersteunt de EUDI-wallet dataminimalisatie onder de AVG?

De EUDI-wallet ondersteunt het dataminimalisatieprincipe van de AVG direct door gebruikers in staat te stellen alleen de specifieke attributen te delen die een dienst daadwerkelijk nodig heeft. In plaats van een volledig identiteitsdocument te presenteren, kan een gebruiker één geverifieerde claim onthullen, zoals bewijs van leeftijd of nationaliteit, zonder aanvullende persoonsgegevens prijs te geven. Deze mogelijkheid voor selective disclosure is ingebouwd in de technische architectuur van de wallet, via credentialformaten als mdoc en SD-JWT VC.

Onder de AVG vereist dataminimalisatie dat organisaties alleen gegevens verzamelen die toereikend, relevant en beperkt zijn tot wat noodzakelijk is voor het genoemde doel. De EUDI-wallet maakt dit in de praktijk gemakkelijker te realiseren. Een organisatie die verifieert dat een gebruiker ouder is dan 18, hoeft geen volledige geboortedatum te ontvangen en op te slaan. Een leeftijdsbevestiging op basis van een geverifieerde attestatie volstaat en is meer privacyconform. Leeftijdsbewijs zonder geboortedatum is mogelijk via selective disclosure van bijvoorbeeld het attribuut “ouder dan 18”.

Voor organisaties schept dit zowel een kans als een verantwoordelijkheid. De kans is om het volume aan persoonsgegevens dat zij verwerken te verminderen, wat risico’s verlaagt en compliance vereenvoudigt. De verantwoordelijkheid is om de wallet-integratie actief zo te ontwerpen dat alleen wordt gevraagd wat werkelijk noodzakelijk is. Het dataminimalisatieprincipe van de AVG vereist een bewuste keuze, en de technische mogelijkheden van de wallet maken het gemakkelijker om die keuze te realiseren. Organisaties die standaard alle beschikbare attributen opvragen, handelen in strijd met dit principe, ook als de wallet die attributen technisch beschikbaar stelt.

Welke rechtmatige grondslag geldt bij de verwerking van EUDI-wallet-attestaties?

Er is geen enkele rechtmatige grondslag die van toepassing is op alle EUDI-wallet-interacties. De juiste rechtsgrond hangt af van het doel van de verwerking en de context waarin de wallet-attestatie wordt gebruikt. Organisaties moeten hun rechtmatige grondslag identificeren en documenteren voordat zij beginnen met het verwerken van wallet-gebaseerde gegevens, net zoals zij dat zouden doen voor elke andere vorm van verwerking van persoonsgegevens onder de AVG.

De meest voorkomende rechtmatige grondslagen die van toepassing zijn in wallet-scenario’s zijn:

• Uitvoering van een overeenkomst: Wanneer verwerking noodzakelijk is om een dienst te leveren die de gebruiker heeft aangevraagd, zoals het openen van een bankrekening of toegang tot een digitaal platform.
• Wettelijke verplichting: Wanneer een wettelijk vereiste identiteitsverificatie voorschrijft, zoals Know Your Customer-controles in financiële dienstverlening of leeftijdsverificatie op grond van sectorspecifieke regels.
• Gerechtvaardigde belangen: In sommige gevallen, waarbij de organisatie een gerechtvaardigd belang heeft dat niet wordt overschaduwd door de rechten van het individu. Dit vereist een zorgvuldige afweging en documentatie.
• Toestemming: Relevant in specifieke contexten, maar zelden de meest geschikte grondslag voor identiteitsverificatie. Toestemming moet vrijelijk gegeven en intrekbaar zijn.

Een belangrijke nuance: het feit dat een gebruiker vrijwillig een wallet-attestatie heeft gepresenteerd en het bijbehorende gegevensverzoek in de wallet heeft goedgekeurd, betekent niet automatisch dat toestemming de juiste rechtmatige grondslag is. Goedkeuring van een gegevensverzoek in de wallet en AVG-toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG zijn juridisch verschillende begrippen. Organisaties moeten het doel van elke wallet-interactie afzonderlijk beoordelen en hun redenering documenteren. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.

Wie is de verwerkingsverantwoordelijke wanneer een organisatie een wallet-attestatie accepteert?

Wanneer een organisatie een attestatie van een EUDI-wallet accepteert en verwerkt, treedt zij op als verwerkingsverantwoordelijke voor die verwerkingsactiviteit. De wallet-aanbieder of attestatie-uitgever is niet verantwoordelijk voor wat de ontvangende organisatie met de gegevens doet nadat deze zijn gepresenteerd. De verantwoordelijkheden van de verwerkingsverantwoordelijke onder de AVG zijn van toepassing op de organisatie die het doel en de middelen van de verwerking bepaalt.

Dit heeft directe gevolgen voor de verantwoordingsplicht. Als verwerkingsverantwoordelijke moet de accepterende organisatie:

1. Een gedocumenteerde rechtmatige grondslag voor de verwerking hebben.
2. De betrokkene informeren over hoe zijn of haar gegevens worden gebruikt, doorgaans via een privacyverklaring.
3. Ervoor zorgen dat de gegevens niet langer dan noodzakelijk worden bewaard.
4. Reageren op verzoeken van betrokkenen inzake hun rechten, waaronder inzage, correctie en verwijdering.
5. Passende technische en organisatorische beveiligingsmaatregelen implementeren.

In sommige scenario’s kunnen meerdere partijen betrokken zijn bij één wallet-interactie, bijvoorbeeld wanneer een relying party gebruik maakt van een externe verificatiedienst. In die gevallen kunnen gezamenlijke verwerkingsverantwoordelijkheid of verwerkersregelingen van toepassing zijn, en moeten de rollen duidelijk worden vastgelegd in een schriftelijke overeenkomst. Een leverancier die wallet-data technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf verwerkingsverantwoordelijke, en ook niet automatisch de relying party: de registratieplicht onder CIR (EU) 2025/848 ligt bij de organisatie die de dienst aan de eindgebruiker levert. De rolverdeling moet wel contractueel zijn geborgd. Onduidelijkheid over wie de verwerkingsverantwoordelijkheid draagt, is op zichzelf al een compliance-risico onder de AVG.

Wat zijn de belangrijkste AVG-risico’s voor organisaties bij EUDI-wallet-integratie?

De belangrijkste AVG-risico’s bij EUDI-wallet-integratie komen niet voort uit de wallet zelf, maar uit de manier waarop organisaties hun kant van de interactie ontwerpen en beheren. De meest voorkomende risico’s zijn het verzamelen van te veel gegevens, onduidelijke bewaarpraktijken, onvoldoende privacydocumentatie en het nalaten een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren waar dat vereist is.

Organisaties moeten zich bewust zijn van deze specifieke risicogebieden:

• Te veel attributen opvragen: Meer gegevens vragen dan de dienst vereist, schendt dataminimalisatie en kan een geldige rechtmatige grondslag ontberen. Onder CIR (EU) 2025/848 registreert een relying party per intended use welke attributen worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
• Onnodig opslaan van geverifieerde gegevens: Zodra een attestatie is geverifieerd, creëert het bewaren van de onderliggende persoonsgegevens langer dan noodzakelijk zowel juridische als beveiligingsrisico’s.
• Ontoereikende DPIA: Wallet-gebaseerde identiteitsverificatie kan systematische verwerking van identiteitsgegevens op grote schaal omvatten, wat de verplichting kan triggeren om een DPIA uit te voeren op grond van artikel 35 van de AVG.
• Externe verwerkers: Als een verificatiedienst wallet-attestaties verwerkt namens de organisatie, moet er een conforme gegevensverwerkingsovereenkomst van kracht zijn.
• Grensoverschrijdende gegevensstromen: De EUDI-wallet is ontworpen voor grensoverschrijdend gebruik binnen de EU-lidstaten. Als verwerking overdrachten buiten de EER omvat, gelden aanvullende waarborgen.

Organisaties in gereguleerde sectoren zoals financiële dienstverlening of gezondheidszorg hebben te maken met aanvullende sectorspecifieke verplichtingen bovenop de AVG, wat betekent dat het risicoprofiel nog complexer is. Een grondige compliance-review voordat de wallet-integratie live gaat, is een praktische noodzaak.

Hoe moeten organisaties hun privacydocumentatie bijwerken voor EUDI-wallet-gebruik?

Organisaties moeten hun privacyverklaringen, verwerkingsregisters en interne gegevensbeheersdocumentatie bijwerken voordat zij EUDI-wallet-attestaties van gebruikers accepteren. De AVG vereist dat personen worden geïnformeerd over hoe hun gegevens worden verwerkt op het moment van verzameling, inclusief wallet-gebaseerde interacties. Bestaande privacydocumentatie dekt deze nieuwe gegevensbron doorgaans niet zonder specifieke updates.

Belangrijke documentatie-updates die moeten worden aangepakt zijn:

• Privacyverklaring: Voeg een duidelijke beschrijving toe van wallet-gebaseerde gegevensverzameling, de specifiek gevraagde attributen, de rechtmatige grondslag en hoe lang de gegevens worden bewaard.
• Verwerkingsregister (RoPA): Maak nieuwe vermeldingen aan of update bestaande vermeldingen voor de verwerking van wallet-attestaties, inclusief de categorieën gegevens, doeleinden, ontvangers en bewaartermijnen.
• DPIA: Beoordeel of een gegevensbeschermingseffectbeoordeling vereist is en documenteer de uitkomst, inclusief eventuele getroffen mitigerende maatregelen.
• Verwerkersovereenkomsten: Beoordeel en update contracten met eventuele externe verificatieaanbieders die betrokken zijn bij de wallet-interactie.
• Intern beleid: Update procedures voor gegevensverwerking en personeelsinstructies om de nieuwe gegevensbron en eventuele specifieke regels voor geverifieerde attestatie-gegevens te weerspiegelen.

Privacydocumentatie moet worden behandeld als een levende set van registers. Naarmate wallet-use cases zich uitbreiden en de regelgeving onder eIDAS 2.0 verder wordt uitgewerkt via uitvoeringshandelingen, moeten organisaties periodieke reviews plannen om de documentatie nauwkeurig en volledig te houden. Organisaties die actief zijn in overheidsdiensten of andere gereguleerde domeinen moeten wallet-gerelateerde documentatie ook afstemmen op eventuele sectorspecifieke privacyvereisten die naast de AVG gelden.

Hoe ondersteunt de ID Connector van TrustTech organisaties bij EUDI-wallet- en AVG-compliance

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Voor de AVG-gerelateerde uitdagingen die in dit artikel worden beschreven, ondersteunt de ID Connector organisaties op de volgende punten:

• Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden opgevraagd die overeenkomen met de registratie onder CIR (EU) 2025/848.
• Selective disclosure op technisch niveau, waardoor alleen de strikt noodzakelijke attributen worden uitgewisseld en dataminimalisatie in de praktijk wordt gerealiseerd.
• Hergebruik van geverifieerde identiteitsdata binnen de grenzen van de geregistreerde use case, zonder onnodige opslag van onderliggende persoonsgegevens.
• Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists, controle van de intrekkingsstatus en validatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait.
• Ondersteuning van gekwalificeerd tekenen via een aangesloten qualified trust service provider, waarbij de QES tot stand komt bij de QTSP en niet bij TrustTech zelf.

De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid: sectoren waar wallet-integratie samenvalt met strikte sectorale verplichtingen bovenop de AVG. Of jouw organisatie nu voorbereidt op de publieke acceptatieplicht per 24 december 2026 of de private acceptatieplicht onder artikel 5f per 24 december 2027, de technische inrichting van de wallet-integratie bepaalt mede of de AVG-verplichtingen in de praktijk worden nageleefd. Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op de specifieke situatie van jouw organisatie.