eIDAS 2.0 geeft burgers directe controle over hun persoonsgegevens door te vereisen dat de EUDI-wallet gebruikers laat bepalen welke informatie ze delen, met wie en wanneer. Dit is een betekenisvolle verschuiving ten opzichte van eerdere digitale identiteitssystemen, waarbij het delen van gegevens vaak ondoorzichtig of gebundeld was. Verordening (EU) 2024/1183 wijzigt Verordening (EU) 910/2014 en plaatst gegevensminimalisatie en gebruikerscontrole centraal in het Europese digitale identiteitskader. Hieronder beantwoorden we de belangrijkste vragen die burgers en organisaties stellen over dit nieuwe kader.
Welke rechten geeft eIDAS 2.0 burgers over hun persoonsgegevens?
Onder eIDAS 2.0 hebben burgers het recht om selectief alleen de persoonsgegevens te delen die strikt noodzakelijk zijn voor een bepaalde interactie, zonder aanvullende informatie prijs te geven. De verordening vereist dat de EUDI-wallet is ontworpen met privacy als standaard, wat betekent dat gegevensminimalisatie in het systeem is ingebouwd in plaats van overgelaten aan individuele dienstverleners. Deze rechten gelden voor alle EU-burgers, inwoners en bedrijven.
In de praktijk versterkt eIDAS 2.0 de positie van het individu bij digitale interacties op verschillende belangrijke manieren:
- Geïnformeerde goedkeuring: Gebruikers moeten expliciet akkoord gaan met het delen van elk gegeven voordat dit naar een relying party wordt verzonden.
- Gegevensminimalisatie: Alleen de gegevens die daadwerkelijk nodig zijn voor een dienst kunnen worden opgevraagd. Een dienst die naar je leeftijd vraagt, kan niet jouw volledige geboortedatum eisen als een eenvoudige leeftijdsbevestiging volstaat.
- Transparantie: Burgers kunnen zien welke organisaties toegang tot hun gegevens hebben aangevraagd en voor welk doel.
- Overdraagbaarheid: Identiteitsattestaties die in de wallet zijn opgeslagen, kunnen worden hergebruikt voor verschillende diensten zonder elke keer opnieuw te beginnen.
- Intrekbaarheid: Gebruikers keuren ieder verzoek afzonderlijk goed en kunnen op elk moment stoppen met het delen van gegevens met een bepaalde dienst.
Walletgebruik is vrijwillig. Artikel 5a van de verordening beschermt gebruikers expliciet tegen benadeling wanneer zij geen wallet gebruiken. De goedkeuring die een gebruiker in de wallet geeft voor het delen van gegevens, is bovendien niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verdere verwerking van ontvangen gegevens.
Hoe werkt selective disclosure in de EUDI-wallet?
Selective disclosure in de EUDI-wallet betekent dat een gebruiker één enkel attribuut van zijn identiteit kan delen, zoals bewijs van leeftijd of nationaliteit, zonder andere attestaties die in de wallet zijn opgeslagen prijs te geven. Dit is mogelijk dankzij credentialformaten zoals SD-JWT VC en mdoc, die cryptografische technieken gebruiken waarmee specifieke claims kunnen worden bevestigd zonder de onderliggende gegevens bloot te leggen.
Een concreet voorbeeld maakt dit duidelijk. Stel dat je online een kaartje wilt kopen voor een evenement met leeftijdsbeperking. In plaats van een kopie van jouw paspoort te uploaden, laat de EUDI-wallet je alleen een bevestigd “18+”-attribuut delen. De relying party ontvangt een cryptografisch verifieerbaar antwoord op de vraag die hij daadwerkelijk nodig heeft, en niets meer. Jouw naam, adres en geboortedatum blijven volledig buiten de uitwisseling. Leeftijdsbewijs zonder geboortedatum is zo mogelijk via selective disclosure van het attribuut “ouder dan 18”. Zero-knowledge proofs zijn daarvoor niet noodzakelijk.
Deze aanpak verschilt wezenlijk van hoe identiteit traditioneel online heeft gewerkt. De meeste huidige systemen vereisen dat gebruikers meer informatie verstrekken dan nodig is, simpelweg omdat de infrastructuur niet is ontworpen om individuele attributen te scheiden. De architectuur van de EUDI-wallet, uitgewerkt in het Architecture and Reference Framework (ARF), is specifiek ontworpen om granulaire uitwisseling op attribuutniveau mogelijk te maken. Voor uitgifte van attestaties schrijft het ARF OID4VCI voor als uitwisselingsprotocol; voor presentatie wordt OID4VP gebruikt.
Voor relying parties heeft selective disclosure ook een praktisch gevolg: wanneer een dienst alleen de gegevens ontvangt die hij daadwerkelijk nodig heeft, bewaart hij minder gevoelige informatie. Dat beperkt de blootstelling bij een datalek en verkleint de AVG-verwerkingsvoetafdruk.
Wie heeft toegang tot de gegevens die zijn opgeslagen in de EUDI-wallet?
Alleen de wallethouder beheert de toegang tot gegevens die zijn opgeslagen in de EUDI-wallet. Geen enkele derde partij, inclusief de wallet provider of de lidstaat die de wallet heeft uitgegeven, kan de gegevens van de gebruiker raadplegen of delen zonder expliciete goedkeuring van de gebruiker. Toegang wordt verleend op basis van elke afzonderlijke interactie, wat betekent dat elk gegevensverzoek individueel door de gebruiker moet worden goedgekeurd.
Organisaties die gegevens uit een wallet willen opvragen, moeten zich registreren als relying party. Op grond van CIR (EU) 2025/848 van 6 mei 2025 vindt deze registratie plaats bij de bevoegde nationale autoriteit van de lidstaat van vestiging, voordat walletdata kan worden opgevraagd. Bij registratie legt een relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Gebruikers kunnen precies zien wie een verzoek doet voordat zij beslissen of zij antwoorden. Niet-geregistreerde partijen kunnen geen walletgegevens ontvangen.
De EUDI-wallet is zo ontworpen dat attestaties worden opgeslagen in de wallet unit van de gebruiker: de wallet instance samen met de Wallet Secure Cryptographic Application en het Wallet Secure Cryptographic Device waarin de sleutels zich bevinden. Privésleutels kunnen het beveiligde middel niet verlaten. Bij een nieuw toestel worden attestaties daarom opnieuw uitgegeven in plaats van gekopieerd. Deze architecturale keuze vermindert het risico op grootschalige datalekken aanzienlijk en voorkomt dat één enkele organisatie een profiel kan opbouwen van de activiteiten van een gebruiker bij verschillende diensten.
Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht op grond van CIR (EU) 2025/848 ligt bij de organisatie die de dienst aan de eindgebruiker levert.
Wat is het verschil tussen eIDAS 2.0 en de AVG-gegevensrechten?
eIDAS 2.0 en de AVG beschermen beide persoonsgegevens, maar ze opereren op verschillende niveaus. De AVG stelt brede wettelijke rechten vast over hoe organisaties persoonsgegevens verzamelen, opslaan en verwerken. eIDAS 2.0 definieert de technische en regelgevende infrastructuur die gegevensminimalisatie en gebruikerscontrole actief afdwingt op het moment van interactie, voordat gegevens worden gedeeld.
De AVG geeft je het recht om achteraf te verzoeken dat een organisatie jouw gegevens verwijdert. eIDAS 2.0 geeft je de technische middelen om onnodige gegevensdeling vooraf te voorkomen. De twee kaders zijn complementair.
Er zijn een paar belangrijke onderscheidingen die het waard zijn te begrijpen:
- Toepassingsgebied: De AVG is van toepassing op alle verwerking van persoonsgegevens door organisaties. eIDAS 2.0 regelt specifiek digitale identiteit, authenticatie en trust services in de hele EU.
- Mechanisme: De AVG is gebaseerd op wettelijke verplichtingen en handhaving. eIDAS 2.0 integreert gegevenscontrole rechtstreeks in de technische architectuur van de EUDI-wallet.
- Timing: AVG-rechten worden vaak uitgeoefend nadat gegevens zijn gedeeld. eIDAS 2.0 werkt op het moment van delen en geeft gebruikers realtime controle over wat hun wallet verlaat.
- Handhaving: Beide kaders leggen nalevingsverplichtingen op aan organisaties, maar eIDAS 2.0 introduceert specifieke vereisten rondom relying party-registratie en technische interoperabiliteit die verder gaan dan het toepassingsgebied van de AVG.
Voor organisaties die actief zijn in gereguleerde sectoren moeten beide kaders samen worden aangepakt. Naleving van het ene betekent niet automatisch naleving van het andere. Goedkeuring van gegevensdeling in de wallet is bovendien geen vervanging voor een zelfstandige AVG-verwerkingsgrondslag. Bij wettelijke KYC-verplichtingen kan een wettelijke verplichting als grondslag relevant zijn; voor gezondheidsgegevens moet daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG bestaan.
Hoe kunnen organisaties voldoen aan de eIDAS 2.0-vereisten voor gegevenscontrole?
Organisaties kunnen voldoen aan de eIDAS 2.0-vereisten voor gegevenscontrole door zich te registreren als relying party op grond van CIR (EU) 2025/848, hun gegevensopvragingspraktijken bij te werken in lijn met de principes van gegevensminimalisatie en hun systemen te integreren met EUDI-wallet-compatibele infrastructuur. Een relying party heeft geen QTSP nodig om een EUDI-wallet te accepteren. Een QTSP wordt relevant wanneer een dienst ook gekwalificeerde attestaties uitgeeft of gekwalificeerd tekenen ondersteunt.
Op 24 december 2026 moeten alle EU-lidstaten minimaal één gecertificeerde EUDI-wallet beschikbaar hebben voor burgers, inwoners en bedrijven, en moeten publieke instanties genotificeerde wallets accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen, waaronder organisaties in sectoren als financiële dienstverlening, zorg, telecom, energie, transport, onderwijs, sociale zekerheid en digitale diensten, geldt de acceptatieplicht op grond van artikel 5f vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor zeer grote onlineplatforms (VLOP’s) geldt artikel 5f waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van de acceptatieplicht voor gereguleerde private partijen uitgezonderd. Organisaties die de voorbereiding uitstellen, lopen het risico op regelgevende non-compliance en een slechtere gebruikerservaring ten opzichte van concurrenten die al wallet-klare processen hebben geïntegreerd.
Praktische stappen die organisaties moeten nemen, zijn onder meer het herzien van welke persoonsgegevens zij momenteel verzamelen tijdens onboarding- of verificatieprocessen, het identificeren waar gegevensverzoeken kunnen worden teruggebracht tot het noodzakelijke minimum, en samenwerken met aanbieders van identiteitsinfrastructuur die al attestaties en eIDAS 2.0-standaarden ondersteunen.
Hoe de ID Connector van TrustTech organisaties ondersteunt bij eIDAS 2.0-gegevenscontrole
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor het onderwerp van dit artikel ondersteunt de ID Connector concreet de volgende technische taken:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists volgens ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van de intrekkingsstatus via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de geregistreerde intended use worden onderkend
- Hergebruik van geverifieerde identiteitsattestaties over diensten en grenzen heen
- Gekwalificeerd tekenen via een aangesloten QTSP, waarbij de QES tot stand komt bij de gekwalificeerde trust service provider
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector die tijdig wallet-klare processen willen hebben voor de deadlines van 24 december 2026 en 24 december 2027. Klaar voor de volgende stap? Neem contact op met TrustTech om te bespreken hoe jouw organisatie zich kan voorbereiden op eIDAS 2.0.