Ja, de EUDI-wallet kan worden gebruikt voor leeftijdsverificatie online. De wallet stelt gebruikers in staat een geverifieerde bevestiging te delen, zoals “Ik ben ouder dan 18”, zonder hun volledige geboortedatum of andere persoonsgegevens prijs te geven. Dit maakt het een privacyvriendelijke en juridisch betrouwbare methode voor digitale leeftijdsverificatie binnen het Europese eIDAS 2.0-kader.
Verordening (EU) 2024/1183, informeel aangeduid als eIDAS 2.0, wijzigt Verordening (EU) 910/2014 en introduceert de EUDI-wallet als gestandaardiseerd instrument voor het delen van geverifieerde identiteitsattributen. Leeftijdsverificatie is een van de meest directe en praktisch relevante toepassingen die dit kader mogelijk maakt. De onderstaande secties beschrijven hoe het werkt, hoe het zich verhoudt tot bestaande methoden en wat organisaties moeten doen om klaar te zijn.
Welke leeftijdsverificatietoepassingen ondersteunt de EUDI-wallet?
De EUDI-wallet ondersteunt leeftijdsverificatie in elke online of fysieke context waar een dienst moet bevestigen dat een gebruiker een minimumleeftijd heeft bereikt. De wallet stelt gebruikers in staat een geverifieerde, cryptografisch ondertekende attestatie te tonen dat zij boven een bepaalde leeftijdsgrens vallen, zonder dat daarvoor aanvullende persoonsgegevens worden gedeeld.
Dit selective disclosure-mechanisme maakt de wallet geschikt voor een breed scala aan praktische situaties. Enkele van de meest relevante leeftijdsverificatietoepassingen zijn:
- Toegang tot leeftijdsgebonden content of platforms online, zoals streamingdiensten, goksites of content voor volwassenen
- Aankoop van leeftijdsgebonden producten in e-commerce, zoals alcohol, tabak of medicijnen
- Registreren voor diensten waarvoor gebruikers een minimumleeftijd moeten hebben, zoals financiële producten of sociale mediaplatforms
- Leeftijdsverificatie bij fysieke verkooppunten of toegang tot evenementen via dezelfde wallet op een mobiel apparaat
- Toegang tot gezondheidszorgdiensten of het ophalen van recepten waarbij leeftijdsgebonden geschiktheid van toepassing is
De vier Large Scale Pilots liepen van april 2023 tot 2025 en zijn afgerond. Ze omvatten meer dan 350 entiteiten uit 26 lidstaten en bestreken sectoren zoals financiële dienstverlening, gezondheidszorg en overheidsdiensten. Daarmee leverden zij praktijkbewijs dat leeftijdsverificatie een levensvatbare en kernfunctie van de wallet is.
Hoe werkt leeftijdsverificatie binnen de EUDI-wallet?
Leeftijdsverificatie binnen de EUDI-wallet werkt via selective disclosure. Wanneer een dienst om een leeftijdscontrole vraagt, stuurt de wallet geen geboortedatum. De wallet stuurt een cryptografisch ondertekend antwoord op een specifieke vraag, bijvoorbeeld: “Is deze gebruiker 18 jaar of ouder?” Het antwoord is ja of nee, geverifieerd aan de hand van de door de overheid uitgegeven identiteitsgegevens die in de wallet zijn opgeslagen.
De identiteitsgegevens in de wallet worden uitgegeven en gecertificeerd door een vertrouwde autoriteit, zoals een nationale overheid of een officieel erkende identiteitsprovider. De leeftijdsattestatie heeft daarmee dezelfde juridische grondslag als een fysiek identiteitsdocument, maar met aanzienlijk minder blootgestelde persoonsgegevens.
De gebruiker behoudt gedurende het hele proces de controle. Voordat gegevens worden gedeeld, toont de wallet een toestemmingsscherm waarop precies staat welke informatie wordt gedeeld en met welke relying party. De gebruiker moet de transactie actief goedkeuren. Er wordt niets gedeeld zonder die uitdrukkelijke handeling. Belangrijk is dat deze goedkeuring in de wallet niet automatisch gelijkstaat aan toestemming als rechtsgrond onder artikel 6, lid 1, onder a, van de AVG. De relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.
De technische uitwerking van dit mechanisme is beschreven in het Architecture and Reference Framework (ARF), dat is ontwikkeld door de eIDAS Expert Group. De ARF definieert hoe wallet instances, wallet units en relying parties met elkaar communiceren. De juridisch bindende vereisten volgen uit Verordening (EU) 2024/1183 en de bijbehorende uitvoeringshandelingen. Het resultaat is een interoperabele ervaring, ongeacht welke lidstaat de wallet solution heeft uitgegeven of in welk land de dienst actief is.
Verificatie door een relying party omvat meer dan het controleren van een cryptografische handtekening. Een volledige verificatie bestaat uit drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list volgens ETSI TS 119 612, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet instance draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline plaatsvinden.
Wat is het verschil tussen EUDI-wallet-leeftijdsverificatie en bestaande methoden?
Het kernverschil is dat de EUDI-wallet uitsluitend deelt wat strikt noodzakelijk is, terwijl de meeste bestaande methoden structureel meer gegevens verwerken dan nodig. Traditionele leeftijdscontroles vereisen doorgaans dat gebruikers een kopie van hun paspoort of rijbewijs uploaden, een volledige geboortedatum invoeren, of een verificatiedienst van derden doorlopen die persoonsgegevens verwerkt en opslaat. De EUDI-wallet vervangt dit door één enkele, privacybeschermende attestatie.
Bestaande methoden en hun beperkingen
Huidige benaderingen van online leeftijdsverificatie variëren van zelfverklaring, simpelweg een vakje aanvinken om leeftijd te bevestigen, tot het uploaden van documenten, creditcardcontroles en verificatiediensten van derden. Zelfverklaring biedt geen echte zekerheid. Het uploaden van documenten creëert gegevensbeveiligingsrisico’s en wrijving voor gebruikers. Diensten van derden omvatten vaak uitgebreide verwerking van persoonsgegevens, wat nalevingsvragen oproept onder de AVG.
Wat de EUDI-wallet anders doet
De EUDI-wallet is gebouwd op door de overheid geverifieerde identiteitsgegevens, wat betekent dat de leeftijdsattestatie juridisch betrouwbaar is en niet zelfgerapporteerd. Het selective disclosure-model zorgt er tegelijkertijd voor dat alleen de minimaal noodzakelijke informatie wordt gedeeld. Een bioscoop, een online retailer of een gamingplatform ontvangt bevestiging dat de gebruiker boven de vereiste leeftijdsgrens valt, maar geen naam, geen adres en geen geboortedatum.
Deze combinatie van hoge zekerheid en minimale gegevensblootstelling pakt zowel het betrouwbaarheidsprobleem van zelfverklaring als het privacyprobleem van documentgebaseerde verificatie aan. Voor organisaties die opereren onder financiële compliance of gegevensbeschermingsvereisten is dit een betekenisvolle verbetering ten opzichte van bestaande methoden.
Welke sectoren zijn verplicht de EUDI-wallet te accepteren voor leeftijdscontroles?
Onder Verordening (EU) 2024/1183 geldt voor bepaalde categorieën dienstverleners een acceptatieplicht voor de EUDI-wallet als geldige methode voor identiteits- en attribuutverificatie, inclusief leeftijd. Voor publieke instanties en publieke dienstverleners gaat deze verplichting in op 24 december 2026, de deadline waarop lidstaten genotificeerde EUDI-wallets beschikbaar moeten stellen en publieke onlinediensten deze moeten accepteren voor elektronische identificatie. Voor gereguleerde private partijen treedt de acceptatieplicht onder artikel 5f in werking op 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. De verplichting geldt niet voor alle bedrijven. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn uitgezonderd. De verplichting geldt specifiek voor de sectoren aangewezen in artikel 5f van de verordening.
De sectoren waar leeftijdsverificatieverplichtingen het meest prominent zijn en waar acceptatie van de EUDI-wallet het meest relevant is:
- Zeer grote onlineplatforms (VLOP’s) met meer dan 45 miljoen gebruikers in de EU, die vallen onder de Digital Services Act. Voor VLOP’s geldt de acceptatieplicht waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens.
- Online gokken en gaming-exploitanten, waarbij leeftijdsverificatie een kernvereiste voor vergunningverlening is
- Financiële dienstverlening, inclusief banken en verzekeraars, waarbij leeftijd de productgeschiktheid bepaalt
- Gezondheidszorg en apotheken, waar bepaalde producten en diensten leeftijdsgebonden zijn
- E-commerceplatforms die leeftijdsgebonden goederen verkopen, zoals alcohol of tabak
- Digitale overheidsdiensten, die tot de eersten behoren die verplicht zijn de wallet te accepteren
Voor organisaties in de gezondheidszorg en overheidsdiensten is de tijdlijn bijzonder urgent. Lidstaten zijn wettelijk verplicht de EUDI-wallet uiterlijk op 24 december 2026 beschikbaar te stellen aan burgers, inwoners en bedrijven, en publieke dienstverleners moeten de wallet vanaf die datum accepteren. Voor gereguleerde private partijen is 24 december 2026 het moment waarop wallets daadwerkelijk beschikbaar komen en waarop acceptatie vóór de eigen deadline van 24 december 2027 tijdig kan worden getest. 24 december 2026 is een deadline voor notificatie en uitgifte; volledige functionele interoperabiliteit in de gehele EU is op dat moment niet gegarandeerd.
Wat hebben organisaties nodig om EUDI-wallet-leeftijdsverificatie te implementeren?
Om EUDI-wallet-leeftijdsverificatie te accepteren, moet een organisatie zich registreren als relying party bij de bevoegde nationale autoriteit van de lidstaat van vestiging, conform CIR (EU) 2025/848 van 6 mei 2025. Zonder deze registratie kan een organisatie geen walletdata opvragen. De registratie is per intended use: een relying party legt per gebruik vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie zelf.
Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert. Een relying party heeft geen gekwalificeerde vertrouwensdienstverlener (QTSP) nodig om een EUDI-wallet te accepteren. Een QTSP wordt relevant wanneer de toepassing ook gekwalificeerde attestaties of gekwalificeerde handtekeningen omvat.
In praktische termen omvat het implementatietraject verschillende stappen. Organisaties moeten de ARF begrijpen die bepaalt hoe wallet units en relying parties met elkaar communiceren. Ze moeten hun gebruikersstromen bijwerken om op wallet gebaseerde interacties te ondersteunen, inclusief de toestemmings- en openbaarmakingsschermen die gebruikers zien voordat zij informatie delen. Een relying party kiest daarbij geen specifieke walletprovider: de organisatie moet iedere relevante genotificeerde wallet kunnen accepteren, ongeacht de provider.
Vanuit nalevingsperspectief moeten organisaties ook hun dataminimalisatiepraktijken herzien. Leeftijdsverificatie via de EUDI-wallet vermindert de hoeveelheid persoonsgegevens die een organisatie moet verzamelen en opslaan. Dit vereenvoudigt de AVG-naleving, maar kan updates vereisen van bestaande privacybeleid, gegevensverwerkingsregisters en interne procedures. Walletgebruik is vrijwillig: artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Organisaties moeten alternatieve toegangswegen beschikbaar houden.
Technische gereedheid, regelgevingsafstemming en gebruikerservaringsontwerp moeten allemaal samenkomen. Organisaties die dit proces vroeg starten, zijn beter gepositioneerd om de relevante deadlines te halen en een soepele ervaring te bieden aan gebruikers die met een wallet aankomen.
Hoe de ID Connector van TrustTech werkt bij leeftijdsverificatie
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor leeftijdsverificatie ondersteunt de ID Connector de volgende technische taken:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists en de EU List of Trusted Lists
- Controle van de intrekkingsstatus via de statusinformatie van de uitgever
- Validatie van de wallet unit attestation, zodat wordt vastgesteld dat de presenterende wallet instance draait op een gecertificeerde wallet solution
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de geregistreerde intended use worden gesignaleerd
- Ondersteuning van selective disclosure-verzoeken, zodat uitsluitend de gevraagde leeftijdsattestatie wordt ontvangen en geen aanvullende persoonsgegevens
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid die vóór 24 december 2026 of 24 december 2027 moeten kunnen aantonen dat zij genotificeerde EUDI-wallets accepteren. Als je wilt begrijpen wat EUDI-wallet-leeftijdsverificatie specifiek voor jouw organisatie betekent, neem dan contact op met TrustTech voor een gesprek over de concrete vervolgstappen.