Hoe beschermt eIDAS 2.0 de privacy van gebruikers?

eIDAS 2.0 beschermt de privacy van gebruikers door mensen directe controle te geven over hun identiteitsgegevens. Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, vereist dat alleen de minimaal noodzakelijke informatie wordt gedeeld bij elke interactie. Dat is geen beleidsaanbeveling, maar een juridische verplichting die is ingebouwd in de technische architectuur van het EUDI-wallet-ecosysteem. Deze beschermingen gelden voor elke EU-burger, inwoner en onderneming die een EUDI-wallet gebruikt.

De onderstaande secties lichten de specifieke privacyrechten toe die gebruikers krijgen, hoe de technologie deze rechten afdwingt, en wat dit betekent voor organisaties die conforme digitale diensten bouwen.

Welke specifieke privacyrechten geeft eIDAS 2.0 aan gebruikers?

eIDAS 2.0 geeft gebruikers het recht om te bepalen welke persoonsgegevens ze delen, met wie en voor welk doel. Gebruikers kunnen kiezen welke attributen ze bij een bepaalde transactie vrijgeven, bijhouden welke organisaties toegang hebben gehad tot hun gegevens, en weigeren meer te delen dan strikt noodzakelijk is voor de dienst die ze gebruiken. Walletgebruik is vrijwillig: artikel 5a van de verordening beschermt gebruikers uitdrukkelijk tegen benadeling wanneer zij geen wallet gebruiken. Deze rechten zijn geen optionele functies, het zijn wettelijke vereisten die in de verordening zijn verankerd.

In de praktijk betekent dit dat een gebruiker die online een publieke dienst raadpleegt, alleen zijn naam en adres hoeft te delen, zonder zijn geboortedatum, nationaal ID-nummer of andere gegevens die de dienst niet nodig heeft, prijs te geven. Hetzelfde geldt voor interacties in de private sector, zoals het openen van een bankrekening of het verifiëren van leeftijd voor een online platform.

De kernprivacyrechten die eIDAS 2.0 voor gebruikers vastlegt, zijn:

• Dataminimalisatie: Alleen de gegevens die strikt noodzakelijk zijn voor een specifiek doel mogen worden opgevraagd of verwerkt.
• Toestemming en controle door de gebruiker: Gebruikers keuren actief goed wat ze delen voordat gegevens hun wallet verlaten.
• Transparantie: Gebruikers kunnen zien welke organisaties toegang tot hun gegevens hebben gevraagd en met welk doel. Het transactieoverzicht in de wallet is een functionaliteit voor de gebruiker, geen loggingvoorziening voor de relying party of wallet provider.
• Portabiliteit: Gebruikers kunnen hun geverifieerde identiteitsgegevens meenemen over grenzen en diensten heen, zonder opnieuw vanaf nul te hoeven verifiëren.
• Recht op weigering: Gebruikers kunnen gegevensverzoeken die verder gaan dan noodzakelijk is afwijzen, zonder de toegang tot de kerndienst te verliezen.

Deze rechten vormen een aanzienlijke uitbreiding ten opzichte van de oorspronkelijke eIDAS-verordening, die zich voornamelijk richtte op grensoverschrijdende erkenning van nationale eID’s zonder controle over persoonsgegevens op dit detailniveau te adresseren.

Hoe werkt selective disclosure in de EUDI-wallet?

Selective disclosure stelt een gebruiker in staat om alleen specifieke attributen uit een attestatie te delen, in plaats van het volledige document. In de EUDI-wallet betekent dit dat een gebruiker kan bewijzen dat hij ouder is dan 18 zonder zijn exacte geboortedatum te onthullen, of zijn nationaliteit kan bevestigen zonder zijn thuisadres vrij te geven. De wallet regelt dit op technisch niveau met behulp van cryptografische methoden die gedeeltelijke openbaarmakingen verifieerbaar en tamper-evident maken.

Een traditionele identiteitskaart toont alle gegevens tegelijk. Een EUDI-wallet-attestatie laat je alleen het relevante attribuut presenteren, terwijl de ontvangende partij toch kan verifiëren dat de onderliggende gegevens authentiek zijn en zijn uitgegeven door een vertrouwde bron.

Dit is mogelijk dankzij de credentialformaten die binnen het EUDI-wallet-ecosysteem worden gebruikt: mdoc (conform ISO/IEC 18013-5 voor proximity-presentatie en ISO/IEC TS 18013-7 voor online presentatie) en SD-JWT VC. Beide formaten ondersteunen selective disclosure op attribuutniveau. Leeftijdsbewijs zonder geboortedatum kan bijvoorbeeld via selective disclosure van het attribuut “ouder dan 18”. Met aanvullende cryptografische technieken zoals zero-knowledge proofs kan een wallet een bewijs genereren dat een specifieke claim waar is, zonder het onderliggende gegevenspunt te verzenden. De verifiërende partij ontvangt dan een bevestigd antwoord, geen ruwe persoonsgegevens.

Voor organisaties verandert dit de manier waarop identiteitsverificatie moet worden ontworpen. Een dienst kan alleen de specifieke attributen opvragen die nodig zijn en een cryptografisch geverifieerd antwoord ontvangen. Dit vermindert de gegevensaansprakelijkheid, vereenvoudigt de naleving van de AVG en sluit aan bij de verwachtingen van gebruikers die bewuster zijn geworden van hoe hun persoonsgegevens worden verwerkt. Organisaties die willen begrijpen hoe dit past binnen hun digitale identiteitsoplossingen zullen hun verificatiestromen dienovereenkomstig moeten afstemmen.

Hoe voorkomt eIDAS 2.0 dat gebruikers worden gevolgd over diensten heen?

eIDAS 2.0 voorkomt cross-service gebruikersregistratie door te vereisen dat elke interactie gebruikmaakt van niet-koppelbare of pseudonieme identificatoren, zodat verschillende dienstverleners hun gegevens niet kunnen combineren om een profiel van de activiteit van een gebruiker op te bouwen. Dit is een bewuste architecturale vereiste, vastgelegd in de verordening en uitgewerkt in de Architecture and Reference Framework (ARF). De technische specificaties voor de EUDI-wallet bevatten mechanismen die het moeilijker maken dat een enkele partij bijhoudt waar en hoe vaak een gebruiker zijn attestaties presenteert. Dat risico is daarmee verkleind, maar niet volledig uitgesloten.

Dit is belangrijk omdat een van de grootste risico’s van digitale identiteitssystemen het potentieel is om een surveillance-infrastructuur te creëren. Als elke keer dat je jouw digitale ID gebruikt een centrale partij of een netwerk van dienstverleners de interactie kan vastleggen, wordt jouw dagelijks gedrag zichtbaar op manieren die papieren documenten nooit toelieten.

De EUDI-wallet pakt dit aan via verschillende technische en bestuurlijke maatregelen:

1. Pseudonieme presentatie: Wanneer een gebruiker attestaties aan een dienst presenteert, genereert de wallet een sessiespecifieke identificator in plaats van een permanente, waardoor het moeilijker wordt om interacties over diensten heen te koppelen. Walletpseudoniemen worden door de wallet gegenereerd en lokaal bewaard. Een pseudoniem verschilt per relying party en is geen PID-attribuut.
2. Geen centrale logvereiste: De architectuur vereist geen centraal register om bij te houden wanneer of waar attestaties worden gebruikt.
3. Beperkingen voor wallet-aanbieders: Wallet-aanbieders zijn uitdrukkelijk verboden om gegevens te verzamelen over welke diensten hun gebruikers gebruiken.
4. Selective disclosure van attributen: Door alleen de minimaal noodzakelijke attributen te delen, beperken gebruikers op natuurlijke wijze de gegevensvoetafdruk die ze bij elke dienst achterlaten.

Voor sectoren zoals financiële dienstverlening of gezondheidszorg, waar gebruikers met meerdere aanbieders interageren, zijn deze anti-trackingmaatregelen bijzonder relevant. Ze stellen organisaties in staat identiteit te verifiëren zonder onnodige gegevensafhankelijkheden of blootstelling te creëren.

Wat is de relatie tussen eIDAS 2.0 en de AVG?

eIDAS 2.0 en de AVG werken samen. De AVG stelt het overkoepelende juridische kader vast voor hoe persoonsgegevens in de EU moeten worden verwerkt, terwijl eIDAS 2.0 de technische en regelgevende normen voor digitale identiteit specifiek definieert. Elke verwerking van persoonsgegevens binnen een eIDAS 2.0-context, inclusief het gebruik van EUDI-wallets, moet voldoen aan de AVG-vereisten zoals rechtmatige grondslag, doelbinding en rechten van betrokkenen.

In de praktijk versterkt eIDAS 2.0 veel AVG-principes op technisch niveau. Dataminimalisatie, een kernvereiste van de AVG, is direct ingebouwd in het selective disclosure-model van de EUDI-wallet. Privacy by design, een andere AVG-verplichting, wordt weerspiegeld in de architectuur van de wallet, die standaard zo min mogelijk gegevens deelt.

Waar de twee kaders het meest direct met elkaar in wisselwerking treden, is op het gebied van gebruikersgoedkeuring. Het is daarbij van belang onderscheid te maken: de goedkeuring die een gebruiker in de wallet geeft voor het delen van gegevens, is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens. Bij wettelijke identificatieverplichtingen, zoals KYC in de financiële sector, kan een wettelijke verplichting als grondslag gelden. Voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.

Organisaties die actief zijn in gereguleerde sectoren zoals gezondheidszorg of de overheid, moeten eIDAS 2.0-naleving en AVG-naleving behandelen als complementaire werkstromen. Het implementeren van de ene zonder de andere te overwegen, creëert hiaten die toezichthouders steeds vaker onder de loep zullen nemen.

Wie is verantwoordelijk voor privacynaleving in een eIDAS 2.0-ecosysteem?

Privacynaleving in een eIDAS 2.0-ecosysteem is een gedeelde verantwoordelijkheid verdeeld over meerdere partijen: wallet-aanbieders, attestatie-uitgevers en relying parties. Elke partij heeft afzonderlijke verplichtingen en geen enkele actor draagt alle verantwoordelijkheid. De verordening is expliciet over deze verdeling om te voorkomen dat één partij een enkel punt van falen of controle wordt.

Wallet-aanbieders zijn verantwoordelijk voor het waarborgen van de technische integriteit van de wallet solution, het beschermen van opgeslagen attestaties en het naleven van het verbod op het bijhouden van gebruikersactiviteit. Ze moeten voldoen aan certificeringsvereisten die zijn vastgesteld door hun lidstaat en zich houden aan de technische specificaties die zijn gedefinieerd in de ARF.

Attestatie-uitgevers, zoals overheidsinstanties of gekwalificeerde verleners van vertrouwensdiensten, zijn verantwoordelijk voor de nauwkeurigheid van de gegevens die zij attesteren en voor het uitgeven van attestaties in formaten die selective disclosure en privacybeschermende verificatie ondersteunen. Het uitgeven van attestaties van attributen is zelf een trust service. Uitgevers moeten waar van toepassing intrekkingsstatus beschikbaar stellen en heruitgifte ondersteunen wanneer een gebruiker van toestel wisselt, omdat privésleutels het beveiligde middel niet verlaten en attestaties bij een nieuw toestel opnieuw worden uitgegeven.

Relying parties, dat wil zeggen de organisaties die gebruikers vragen attestaties te presenteren, zijn verantwoordelijk voor het uitsluitend opvragen van gegevens die zij daadwerkelijk nodig hebben, het hebben van een rechtmatige AVG-grondslag voor de verwerking ervan, en het niet langer bewaren van die gegevens dan noodzakelijk is. Onder CIR (EU) 2025/848 van 6 mei 2025 moet een relying party zich bovendien registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Bij die registratie legt de relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Dit is waar veel organisaties de meest directe nalevingswerkzaamheden zullen ondervinden, omdat het vereist dat onboardingstromen, gegevensverzamelingsformulieren en interne verwerkingslogica opnieuw worden ontworpen.

Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert.

Voor organisaties die hun verantwoordelijkheden nog in kaart brengen, is samenwerken met partners die zowel de regelgevende als de technische dimensies van het eIDAS 2.0-ecosysteem begrijpen een praktisch startpunt. De TrustTech-aanpak voor de implementatie van digitale identiteit is precies gebouwd rond dit soort meervoudige verantwoordelijkheid.

Hoe ondersteunt de ID Connector van TrustTech eIDAS 2.0-privacynaleving

De privacyvereisten van eIDAS 2.0 vertalen naar werkende systemen vraagt om technische precisie. Selective disclosure, anti-trackingmaatregelen en AVG-conforme gegevensstromen vereisen zowel technische diepgang als regelgevend inzicht.

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU. De ID Connector ondersteunt concreet:

• EUDI-wallet-integratie: Jouw diensten verbinden met op wallet gebaseerde identiteitsstromen die selective disclosure en dataminimalisatie by design ondersteunen.
• Verificatie tegen nationale trusted lists: De ID Connector controleert de handtekening van de attestatie-uitgever tegen de relevante nationale trusted list conform ETSI TS 119 612 en de EU List of Trusted Lists.
• Controle van intrekkingsstatus: De ID Connector raadpleegt de statusinformatie van de uitgever om te controleren of een attestatie nog geldig is.
• Validatie van de wallet unit attestation: De ID Connector verifieert dat de presenterende wallet draait op een gecertificeerde wallet solution.
• Bewaking van de geregistreerde attributenscope: Verzoeken worden getoetst aan de scope die de relying party heeft geregistreerd onder CIR (EU) 2025/848, zodat geen attributen worden opgevraagd buiten de geregistreerde intended use.
• Hergebruik van geverifieerde identiteitsdata: Gebruikers kunnen eerder geverifieerde identiteitsgegevens hergebruiken voor jouw diensten, waardoor wrijving wordt verminderd terwijl de naleving behouden blijft.
• Gekwalificeerd tekenen via een aangesloten QTSP: Voor diensten waarbij een gekwalificeerde elektronische handtekening vereist is, maakt de ID Connector de verbinding met een qualified trust service provider mogelijk.

De ID Connector is relevant voor financiële dienstverlening, gezondheidszorg, farmacie en overheid: sectoren waar identiteitsverificatie aan strikte wettelijke eisen is gebonden en waar de combinatie van eIDAS 2.0-naleving en AVG-conformiteit direct van invloed is op de inrichting van identiteitsstromen.

Neem contact op met TrustTech om te bespreken wat eIDAS 2.0-privacynaleving concreet betekent voor de inrichting van jouw diensten.