eIDAS 2.0 heeft invloed op digitale identiteit voor minderjarigen, maar stelt geen uniform kader vast dat specifiek voor kinderen is ontworpen. Verordening (EU) 2024/1183 wijzigt Verordening (EU) 910/2014 en legt een brede digitale identiteitsinfrastructuur vast die lidstaten nationaal moeten uitvoeren. Vraagstukken rond minderjarigen, zoals leeftijdsverificatie, ouderlijke toestemming en gegevensbescherming, worden behandeld via een combinatie van eIDAS 2.0-vereisten, de AVG en nationaal recht. Voor organisaties die jongere gebruikers bedienen, schept dit zowel verplichtingen als kansen die de moeite waard zijn om in detail te begrijpen.
Wat bepaalt eIDAS 2.0 over leeftijdsverificatie voor minderjarigen?
eIDAS 2.0 maakt betrouwbare, privacybeschermende leeftijdsverificatie in de hele EU mogelijk door de EUDI-wallet beschikbaar te stellen aan alle EU-burgers en ingezetenen. Met de wallet kunnen gebruikers specifieke kenmerken bewijzen, zoals hun leeftijd of geboortedatum, zonder hun volledige identiteit te delen. Dit is technisch mogelijk via selective disclosure: de wallet geeft alleen het gevraagde attribuut vrij, bijvoorbeeld een bevestiging dat de gebruiker boven of onder een bepaalde leeftijdsdrempel valt, zonder naam, adres of andere persoonsgegevens mee te sturen.
Onder het oorspronkelijke eIDAS-kader was leeftijdsverificatie inconsistent in de EU. Sommige lidstaten hadden sterke nationale eID-systemen, andere nauwelijks. Verordening (EU) 2024/1183 pakt dit aan door elke lidstaat te verplichten een gecertificeerde wallet solution aan te bieden die selective disclosure ondersteunt. De juridische grondslag hiervoor ligt in artikel 5a van de verordening, dat de beschikbaarstelling van de EUDI-wallet regelt.
Voor organisaties die leeftijdsgebonden diensten aanbieden, zoals online platforms, gamingdiensten of financiële producten, is dit een betekenisvolle verschuiving. Zij kunnen een cryptografisch verifieerbaar leeftijdsattribuut opvragen via een gecertificeerde wallet instance, afkomstig van een betrouwbare uitgever. Dat is technisch robuuster dan zelfverklaring of creditcardcontroles, en sluit beter aan bij het dataminimalisatiebeginsel uit de AVG.
Belangrijk voorbehoud: de wallet beschermt de overdracht van het attribuut. De relying party blijft zelf verantwoordelijk voor de verwerking van ontvangen gegevens en heeft daarvoor een zelfstandige AVG-grondslag nodig.
Hoe werkt ouderlijke toestemming onder eIDAS 2.0?
eIDAS 2.0 definieert geen specifiek mechanisme voor ouderlijke toestemming. De verordening creëert wel de digitale infrastructuur waarbinnen toestemmingsprocessen betrouwbaarder en verifieerbaar kunnen worden ingericht. De verordening werkt samen met de AVG, die ouderlijke toestemming of toestemming van een voogd vereist voor de verwerking van persoonsgegevens van kinderen onder de 16 jaar, waarbij lidstaten dit kunnen verlagen naar 13 (artikel 8 AVG). Samen dringen deze kaders organisaties ertoe aan toestemmingsstromen te ontwikkelen die daadwerkelijk verifieerbaar zijn.
Technisch gezien zou de EUDI-wallet gedelegeerde autorisatie kunnen ondersteunen, waarbij een ouder of voogd zijn of haar eigen identiteit verifieert en een digitale handeling namens een minderjarige autoriseert. Dit is architectureel mogelijk binnen het wallet-ecosysteem, maar de exacte invulling hangt af van nationale uitvoeringsregels en de keuzes van individuele dienstverleners. Dit is een technische mogelijkheid, geen vastgestelde verplichting uit de verordening.
Voor organisaties betekent dit dat ouderlijke toestemming onder eIDAS 2.0 vraagt om toestemmingsstromen die tegelijkertijd voldoen aan de eIDAS-normen voor identiteitszekerheid en de AVG-vereisten voor verwerking van gegevens van minderjarigen. Goedkeuring van gegevensdeling in de wallet is daarbij niet hetzelfde als AVG-toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. De relying party heeft een zelfstandige verwerkingsgrondslag nodig.
Kunnen minderjarigen een EUDI-wallet bezitten en gebruiken?
Artikel 5a van Verordening (EU) 2024/1183 bepaalt dat de EUDI-wallet beschikbaar moet worden gesteld aan EU-burgers en ingezetenen. De verordening sluit minderjarigen niet expliciet uit. Of en hoe een minderjarige in de praktijk toegang krijgt tot een wallet instance, hangt af van nationale uitvoeringsregels, inclusief eventuele leeftijdsdrempels of vereisten voor betrokkenheid van een voogd die door individuele lidstaten worden vastgesteld.
De wallet solution is ontworpen om een reeks digitale attestaties op te slaan, van een persoonlijk identificatiedocument tot onderwijsattestaties, en ondersteunt selective disclosure zodat gebruikers alleen delen wat nodig is voor een bepaalde interactie. Voor minderjarigen kan dit relevant zijn in contexten zoals:
- Toegang tot leeftijdsgeschikte digitale overheidsdiensten
- Bewijs van recht op studentenkortingen of jeugdprogramma’s
- Leeftijdsbevestiging voor online platforms zonder volledige identiteitsgegevens te delen
- Opslag van onderwijsattestaties of deelnamecertificaten
- Toegang tot gezondheidsinformatie die relevant is voor hun leeftijdsgroep
Lidstaten zijn op grond van artikel 5a verplicht om uiterlijk op 24 december 2026 gecertificeerde wallets beschikbaar te stellen aan burgers en ingezetenen. Naarmate nationale uitvoeringsplannen vorm krijgen, wordt verwacht dat richtlijnen over toegang voor minderjarigen en toezicht door voogden duidelijker worden via nationale wetgeving en technische specificaties. Controleer landspecifieke informatie vlak voor publicatie, want deze veroudert snel.
Welke privacybeschermingen biedt eIDAS 2.0 voor identiteitsgegevens van kinderen?
eIDAS 2.0 verankert privacybeschermingen rechtstreeks in zijn architectuur, en deze gelden voor alle gebruikers, inclusief kinderen. De kern is het principe van minimale openbaarmaking: de wallet geeft via selective disclosure alleen de gegevens vrij die strikt noodzakelijk zijn voor een bepaalde transactie. Voor minderjarigen betekent dit dat een dienst die leeftijdsbevestiging vereist, geen volledig identiteitsprofiel ontvangt, alleen het relevante attribuut.
De wallet unit is door ontwerp gebruikersgestuurd. De gebruiker beslist welke attestaties worden gedeeld, met wie en wanneer. De gebruiker keurt ieder verzoek afzonderlijk goed. Dit geldt ongeacht de leeftijd, hoewel minderjarigen deze controle in de praktijk mogelijk uitoefenen met betrokkenheid van ouders of voogden, afhankelijk van nationale uitvoeringsregels.
Naast eIDAS 2.0 worden identiteitsgegevens van kinderen beschermd door de AVG, die aanvullende beperkingen oplegt aan de verwerking van persoonsgegevens van minderjarigen. Organisaties moeten een geldige rechtsgrondslag hebben voor verwerking. Voor kinderen is dat vaak expliciete ouderlijke toestemming, maar afhankelijk van de context kan ook een andere grond uit artikel 6 AVG van toepassing zijn. Bij gezondheidsgegevens geldt bovendien een toepasselijke grond uit artikel 9, lid 2, AVG.
Organisaties die identiteitsgegevens ontvangen via de EUDI-wallet, blijven volledig verantwoordelijk voor de verwerking en opslag van die gegevens na ontvangst. De wallet beschermt de overdracht van het attribuut. Nalevingsverplichtingen gelden voor alles wat daarna gebeurt.
Welke sectoren worden het meest beïnvloed door de eIDAS 2.0-identiteitsregels voor minderjarigen?
Verschillende sectoren worden direct beïnvloed als het gaat om digitale identiteit voor minderjarigen onder eIDAS 2.0. De meest betrokken sectoren zijn die waarbij leeftijdsverificatie, ouderlijke toestemming of jeugdspecifieke diensten een belangrijke rol spelen in de dagelijkse bedrijfsvoering.
- Gezondheidszorg: Minderjarigen maken gebruik van gezondheidszorgdiensten, hebben toestemming nodig voor behandelingen en moeten mogelijk gezondheidsgerelateerde attestaties opslaan of delen. Veilige, privacybeschermende identiteitsverificatie is in deze context essentieel. Identiteitsoplossingen voor de gezondheidszorg moeten voldoen aan zowel eIDAS 2.0 als de regels voor bescherming van medische gegevens, inclusief artikel 9 AVG.
- Onderwijs: Scholen, universiteiten en online leerplatforms moeten de identiteit en leeftijd van studenten verifiëren. De EUDI-wallet ondersteunt onderwijsattestaties en kan inschrijving en toegang tot digitale leeromgevingen vereenvoudigen.
- Financiële diensten: Banken en fintech-aanbieders moeten de leeftijd verifiëren voordat ze bepaalde producten aanbieden. eIDAS 2.0 maakt deze verificatie technisch robuuster en vermindert wrijving bij onboarding in de financiële sector voor jongere klanten.
- Overheidsdiensten: Digitale overheidsdiensten vereisen steeds vaker geverifieerde identiteit. Voor minderjarigen die toegang zoeken tot uitkeringen, sociale diensten of burgerplatforms, maakt de wallet veilige toegang mogelijk op basis van selective disclosure.
- Online platforms en gaming: Leeftijdsgebonden inhoud en diensten vereisen betrouwbare leeftijdscontroles. Zeer grote online platforms met meer dan 45 miljoen gebruikers in de EU vallen onder een afzonderlijke bepaling van artikel 5f van de verordening: de acceptatieplicht geldt daar waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. De EUDI-wallet biedt een technisch robuuster alternatief voor zelfverklaring.
Elke sector moet de huidige identiteitsprocessen evalueren en beoordelen waar eIDAS 2.0 nieuwe verplichtingen of mogelijkheden creëert met betrekking tot jongere gebruikers. Micro- en kleine ondernemingen, met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn uitgezonderd van de private acceptatieplicht onder artikel 5f.
Hoe moeten organisaties zich voorbereiden op naleving rond minderjarigheidsidentiteit onder eIDAS 2.0?
Organisaties moeten beginnen met het in kaart brengen van elk punt in hun diensten waar de leeftijd of identiteit van een gebruiker relevant is, en vervolgens beoordelen of de huidige aanpak voldoet aan de normen die eIDAS 2.0 en de AVG samen stellen. Voorbereiding is geen eenmalig project, maar een doorlopend proces van afstemming van technische systemen, juridische kaders en operationele werkstromen.
Belangrijke stappen die nu genomen moeten worden:
- Audit bestaande leeftijdsverificatie- en ouderlijke toestemmingsprocessen op juridische en technische lacunes
- Beoordeel de gereedheid om EUDI-wallet-gebaseerde attestaties te accepteren zodra gecertificeerde wallets beschikbaar komen
- Controleer dataminimalisatiepraktijken om te waarborgen dat alleen noodzakelijke gegevens worden verzameld van of over minderjarigen
- Betrek juridische en compliance-teams om toestemmingsstromen af te stemmen op zowel eIDAS 2.0-vereisten voor identiteitszekerheid als AVG-verplichtingen voor ouderlijke toestemming
- Volg nationale uitvoeringsrichtlijnen van jouw lidstaat over tijdlijnen voor de uitrol van wallets en toegangsregels voor minderjarigen
- Registreer je als relying party bij de bevoegde nationale autoriteit conform CIR (EU) 2025/848 van 6 mei 2025, voordat walletdata kan worden opgevraagd
Organisaties in gereguleerde sectoren moeten ook beoordelen hoe de huidige onboarding- en verificatie-infrastructuur zal moeten evolueren. De aanpak van digitale identiteit moet verschuiven van eenmalige controles naar herbruikbare, op standaarden gebaseerde verificatie die zich kan aanpassen naarmate de regelgeving zich ontwikkelt.
Wachten op volledige regelgevende duidelijkheid brengt zijn eigen risico’s met zich mee. Op grond van artikel 5a van de verordening moeten lidstaten uiterlijk op 24 december 2026 gecertificeerde wallets beschikbaar hebben voor burgers en ingezetenen, en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals financiële dienstverlening, zorg en onderwijs geldt de acceptatieplicht onder artikel 5f uiterlijk op 24 december 2027, in contexten waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Organisaties die hun systemen niet tijdig aanpassen, lopen het risico op nalevingslacunes, gebruikerswrijving of concurrentieel nadeel.
Hoe ondersteunt de ID Connector digitale identiteit voor minderjarigen onder eIDAS 2.0
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor organisaties die minderjarigen bedienen, ondersteunt de ID Connector concreet:
- Verificatie van leeftijdsattributen via selective disclosure, zonder dat de relying party meer persoonsgegevens ontvangt dan noodzakelijk
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list conform ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de geregistreerde scope worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata binnen de grenzen van de AVG-grondslag van de relying party
- Gekwalificeerd tekenen via een aangesloten qualified trust service provider, voor werkstromen waarbij autorisatie door of namens een minderjarige vereist is
De ID Connector is relevant voor organisaties in de gezondheidszorg, financiële diensten, farmacie en de publieke sector die tijdig willen aansluiten op de verplichtingen die per 24 december 2026 en 24 december 2027 van kracht worden. Verken onze identiteitsoplossingen of neem contact op om te bespreken hoe de ID Connector aansluit op de specifieke situatie van jouw organisatie.