Onder eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) 910/2014 wijzigt, is een pseudoniem een digitale identificator waarmee een persoon zichzelf kan authenticeren en met diensten kan communiceren zonder zijn wettelijke naam of volledige identiteit prijs te geven. Een pseudoniem is geen PID-attribuut, maar wordt door de wallet gegenereerd en lokaal bewaard. De onderstaande secties leggen uit hoe pseudoniemen in de praktijk werken, wat de verordening vereist en wanneer organisaties ze zouden moeten gebruiken.
Hoe verschilt een pseudoniem van een anonieme identificator in eIDAS 2.0?
Een pseudoniem onder eIDAS 2.0 is niet hetzelfde als een anonieme identificator. Een pseudoniem is een stabiele, verifieerbare vervanging voor een wettelijke identiteit die in de achtergrond nog steeds aan een bekende persoon is gekoppeld. Een anonieme identificator heeft geen dergelijke koppeling. Als iemand een anonieme identificator gebruikt, is er geen manier om deze te herleiden tot een echte persoon, zelfs niet voor bevoegde partijen.
Het belangrijkste onderscheid is traceerbaarheid met privacy. Met een pseudonieme identificator bestaat de onderliggende wettelijke identiteit en kan deze onder bepaalde wettelijke omstandigheden worden onthuld, bijvoorbeeld via een rechterlijk bevel of een toezichthoudende autoriteit. Hierbij is het van belang dat een wallet provider of relying party een pseudoniem niet zelfstandig aan de wettelijke identiteit kan koppelen: daarvoor is een bevoegde autoriteit nodig die toegang heeft tot de relevante koppeling buiten de wallet om. Bij anonimiteit is die verbinding permanent verbroken. Dit maakt pseudoniemen veel bruikbaarder in gereguleerde omgevingen, waar verantwoording nog steeds van belang is, ook wanneer privacy wordt beschermd.
In de praktijk stelt een pseudoniem een gebruiker in staat om consistent met een dienst te communiceren. Een relying party ziet elke keer dat de gebruiker terugkeert dezelfde pseudonieme identificator, wat sessievoortgang en personalisatie mogelijk maakt. Een anonieme identificator zou elke keer een nieuw, niet-gekoppeld token genereren, waardoor continuïteit onmogelijk is. Voor organisaties in sectoren zoals financiële dienstverlening of gezondheidszorg, waar het voor compliance van belang is dat dezelfde persoon terugkeert, bieden pseudoniemen de juiste balans tussen privacy en verantwoording.
Wat zijn de wettelijke vereisten voor pseudoniemen onder eIDAS 2.0?
Onder eIDAS 2.0 kunnen pseudoniemen worden opgenomen in de persoonsidentificatiegegevens van een EUDI-wallet. De verordening staat gebruikers toe een pseudoniem te presenteren in plaats van hun wettelijke naam bij het gebruik van diensten, mits de relying party de wettelijke naam niet wettelijk vereist. Cruciaal is dat het pseudoniem duidelijk als zodanig moet worden aangeduid, zodat de ontvangende partij weet dat zij geen wettelijke naam ontvangen.
De verordening bepaalt ook dat pseudoniemen niet mogen worden gebruikt om verplichtingen tot identiteitsverificatie te omzeilen. Wanneer een dienst wettelijk verplicht is de werkelijke identiteit van een gebruiker vast te stellen, zoals onder de anti-witwasregels, volstaat een pseudoniem niet. Het wettelijk kader trekt daarmee een duidelijke grens tussen diensten waarbij pseudonimiteit passend is en diensten waarbij dat niet het geval is.
Lidstaten en wallet-aanbieders zijn verplicht te zorgen dat pseudoniemen worden gegenereerd en beheerd op een manier die de privacy van de gebruiker beschermt. Dit betekent dat het pseudoniem niet mag worden afgeleid van, of het mogelijk mag maken de wettelijke identiteit van de gebruiker af te leiden zonder de juiste autorisatie. De onderliggende technische vereisten zijn uitgewerkt in het Architecture and Reference Framework (ARF) dat de implementatie van de EUDI-wallet in heel Europa begeleidt. De juridisch bindende vereisten volgen uit de verordening en de uitvoeringshandelingen zelf.
Hoe genereert en beheert de EUDI-wallet pseudoniemen?
De EUDI-wallet genereert pseudoniemen via een cryptografisch proces dat een unieke identificator aanmaakt voor elke combinatie van gebruiker en relying party. Dit betekent dat het pseudoniem dat een gebruiker aan een bank presenteert, verschilt van het pseudoniem dat diezelfde gebruiker aan een overheidsportaal presenteert, ook al zijn beide afgeleid van dezelfde geverifieerde identiteit. Dit ontwerp voorkomt dat verschillende diensten de activiteiten van een gebruiker zonder diens medeweten aan elkaar koppelen.
De wallet beheert pseudoniemen lokaal op het apparaat van de gebruiker, waardoor de gebruiker controle houdt over welk pseudoniem met welke dienst wordt gedeeld. Wanneer een gebruiker een interactie initieert, genereert of haalt de wallet unit het juiste pseudoniem op en presenteert dit samen met eventuele andere gevraagde attributen. De gebruiker keurt iedere presentatie afzonderlijk goed voordat deze wordt gedeeld.
Deze aanpak weerspiegelt een van de kernontwerprincipes van de EUDI-wallet: selective disclosure. Gebruikers delen alleen wat noodzakelijk is voor een bepaalde interactie. Voor veel alledaagse diensten is een pseudoniem gecombineerd met een beperkt aantal geverifieerde attributen, zoals leeftijdscategorie of land van verblijf, voldoende. Dit minimaliseert de persoonlijke gegevensvoetafdruk van elke interactie zonder de betrouwbaarheid van de uitwisseling te verminderen.
Vanuit technisch oogpunt maakt de pseudoniemgeneratie gebruik van dezelfde cryptografische infrastructuur die ten grondslag ligt aan de attestaties van de wallet. Privésleutels verlaten het beveiligde middel van de wallet unit niet. Het resultaat is een pseudonieme identificator die stabiel is voor de beoogde relying party en privacybeschermend binnen het bredere ecosysteem.
Wanneer moeten organisaties een pseudoniem aanvragen in plaats van een wettelijke identificator?
Organisaties moeten een pseudoniem aanvragen in plaats van een wettelijke identificator wanneer hun dienst wettelijk geen kennis van de wettelijke naam van de gebruiker vereist, en wanneer het verzamelen van die naam een onnodig privacyrisico zou vormen. De juiste vraag om te stellen is: hebben wij werkelijk te weten wie deze persoon is, of hoeven wij alleen te weten dat het dezelfde persoon is als voorheen?
Er zijn verschillende scenario’s waarbij een pseudoniem duidelijk de betere keuze is:
- Loyaliteits- of abonnementsdiensten waarbij continuïteit van belang is, maar wettelijke identiteit niet
- Online platforms waarbij leeftijdsverificatie vereist is, maar de naam van de gebruiker niet
- Onderzoeks- of enquêtetools waarbij consistente deelnameregistratie nodig is zonder verzameling van persoonsgegevens
- Toegangscontrolesystemen waarbij de vraag is “is dit een bevoegde gebruiker?” in plaats van “wie is deze persoon?”
- Grensoverschrijdende diensten waarbij het verzamelen van wettelijke namen aanvullende gegevensbeschermingsverplichtingen kan veroorzaken
Aan de andere kant hebben organisaties in gereguleerde sectoren zoals bankieren, verzekeringen of gezondheidszorg vaak wettelijke verplichtingen die werkelijke identiteitsverificatie vereisen. In die gevallen kan een pseudoniem nog steeds een rol spelen na de initiële identiteitscontrole, bijvoorbeeld als de identificator die wordt gebruikt in voortdurende interacties zodra de wettelijke identiteit is vastgesteld en geregistreerd.
Het kernprincipe onder eIDAS 2.0 is dataminimalisatie. Het opvragen van meer identiteitsgegevens dan noodzakelijk is niet alleen een privacykwestie; het is een compliancerisico. Het ontwerpen van diensten die waar passend pseudoniemen accepteren, is daarmee zowel een goede privacypraktijk als een solide regelgevingsstrategie. Let daarbij ook op de AVG: goedkeuring van een dataverzoek in de wallet is niet automatisch een toestemmingsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.
Wat is het verschil tussen een pseudoniem en een persistente unieke identificator in eIDAS 2.0?
Een persistente unieke identificator (PUI) onder eIDAS 2.0 is een stabiele identificator die aan een persoon wordt toegewezen en bij alle interacties met alle diensten gelijk blijft. Hij is ontworpen voor interoperabiliteit en registratiebeheer over systemen heen. Een pseudoniem is ontworpen om dienstspecifiek en privacybeschermend te zijn, en varieert van de ene relying party naar de andere, ook voor dezelfde gebruiker.
Het praktische verschil komt neer op koppelbaarheid. Een persistente unieke identificator stelt verschillende organisaties in staat te herkennen dat zij met dezelfde persoon te maken hebben, wat nuttig is voor sectoroverschrijdende gegevensuitwisseling, overheidsdiensten en langetermijnregistratiebeheer. Een pseudoniem voorkomt deze koppelbaarheid over diensten heen bewust, waardoor de gebruiker wordt beschermd tegen profilering in verschillende contexten. Koppel een klantrecord daarom niet permanent aan een wallet unit-identifier: wallet units kunnen worden ingetrokken en attestaties worden bij een nieuw toestel opnieuw uitgegeven.
Onder eIDAS 2.0 hebben beide typen identificatoren hun plaats, en de keuze tussen beide moet worden bepaald door het doel van de dienst:
- Gebruik een persistente unieke identificator wanneer systeemoverschrijdende continuïteit een wettelijke of operationele vereiste is, zoals bij medische dossiers, belastingadministratie of socialezekerheidssystemen.
- Gebruik een pseudoniem wanneer de dienst alleen een terugkerende gebruiker binnen zijn eigen context hoeft te herkennen, zonder die gebruiker te hoeven koppelen aan zijn activiteiten elders.
- Combineer beide in gelaagde architecturen waarbij een initiële geverifieerde interactie de PUI gebruikt voor compliance, en latere interacties een pseudoniem gebruiken voor privacy.
Voor organisaties die identiteitsstromen ontwerpen, is het begrijpen van dit onderscheid essentieel. Het kiezen van het verkeerde type identificator kan leiden tot onnodige gegevensblootstelling of het niet voldoen aan interoperabiliteitsvereisten. De implementatieaanpak die een organisatie kiest, moet de specifieke wettelijke en operationele context van elke dienst die zij levert weerspiegelen. Houd daarbij ook rekening met de registratieplicht onder CIR (EU) 2025/848 van 6 mei 2025: een relying party moet per intended use registreren welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd.
Voor overheidsdiensten, waar zowel verantwoording als de privacy van burgers cruciaal zijn, is dit onderscheid bijzonder significant. Organisaties in de publieke sector zullen vaak beide typen identificatoren binnen hetzelfde platform moeten hanteren. Publieke instanties moeten genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is vanaf 24 december 2026.
Hoe ondersteunt de ID Connector de implementatie van pseudoniemen
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU. Voor organisaties die pseudoniemen willen inzetten binnen een compliant identiteitsstroom, voert de ID Connector de volgende technische taken uit:
- Verificatie van de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list, conform ETSI TS 119 612 en de EU List of Trusted Lists (LOTL)
- Controle van de intrekkingsstatus via de statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat alleen attributen worden verwerkt die overeenkomen met de intended use zoals geregistreerd onder CIR (EU) 2025/848
- Ondersteuning van selective disclosure, zodat een pseudoniem gecombineerd met een minimale set geverifieerde attributen kan worden ontvangen en verwerkt
- Hergebruik van geverifieerde identiteitsdata in vervolginteracties, waarbij de relying party na de initiële verificatie kan werken met het pseudoniem als terugkerende identificator
De ID Connector is relevant voor relying parties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, sectoren waar zowel de keuze tussen pseudoniem en PUI als de correcte scope-registratie directe compliance-implicaties heeft. Een QES komt tot stand via een aangesloten qualified trust service provider; TrustTech geeft zelf geen gekwalificeerde attestaties of QES uit.
Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw identiteitsstromen en welke attributenscope passend is voor jouw dienst.