In de meeste gevallen zijn jouw gegevens niet permanent verloren als je de toegang tot jouw EUDI-wallet verliest. De attestaties die in jouw wallet zijn opgeslagen, worden bewaard door de oorspronkelijke uitgevers of kunnen worden hersteld via mechanismen die door jouw walletprovider zijn gedefinieerd. Wat er in de praktijk gebeurt, hangt af van hoe jouw wallet is ingesteld, welke documenten zijn opgeslagen en of er een herstelproces beschikbaar was en gebruikt is. Dit artikel behandelt de belangrijkste vragen rondom gegevensverlies bij de EUDI-wallet, zodat je precies weet waar je aan toe bent.
Zijn jouw gegevens permanent verloren als je de toegang tot jouw EUDI-wallet verliest?
Nee, jouw gegevens zijn niet per definitie voor altijd verdwenen wanneer je de toegang tot jouw EUDI-wallet verliest. De attestaties die in jouw wallet zijn opgeslagen, zoals jouw nationale identiteitskaart, rijbewijs of onderwijscertificaten, zijn uitgegeven door officiële instellingen die de oorspronkelijke gegevens nog steeds bezitten. De onderliggende gegevens bestaan onafhankelijk van jouw wallet-app en kunnen in de meeste gevallen opnieuw worden uitgegeven of geïmporteerd.
Jouw EUDI-wallet is een beveiligde digitale container waarvan de inhoud terug te herleiden is naar de bronnen. Het herstelproces verloopt echter niet altijd direct of automatisch. Mogelijk moet je jouw identiteit opnieuw verifiëren en bepaalde attestaties opnieuw aanvragen bij de oorspronkelijke uitgevers, wat tijd kost en afhankelijk is van de beschikbare diensten in jouw land.
Het belangrijkste onderscheid dat je moet begrijpen, is dat tussen de wallet instance (de app zoals geïnstalleerd op jouw apparaat) en de attestaties zelf (de geverifieerde documenten en attestaties die daarin zijn opgeslagen). Het verlies van de app betekent niet het verlies van het recht op die attestaties. Het betekent dat je de toegang daartoe opnieuw moet herstellen via een nieuwe wallet instance of een herstelproces.
Een belangrijk technisch gegeven hierbij: privésleutels die horen bij PID-attestaties en andere attestaties zijn gebonden aan de beveiligde cryptografische componenten van de wallet unit en kunnen dit beveiligde middel niet verlaten. Bij een nieuw apparaat worden attestaties daarom opnieuw uitgegeven door de uitgever, niet simpelweg gekopieerd of overgezet.
Wat gebeurt er met jouw attestaties als een wallet instance wordt verwijderd of verloren gaat?
Wanneer een wallet instance wordt verwijderd of een apparaat verloren gaat, zijn de attestaties die lokaal op dat apparaat zijn opgeslagen niet langer toegankelijk via die instantie. De attestaties zelf worden echter niet vernietigd. Ze zijn uitgegeven door vertrouwde partijen, en die uitgevers behouden de bevoegdheid om ze opnieuw uit te geven. De gegevens achter elke attestatie, zoals jouw identiteitsgegevens of diploma, bestaan nog steeds in officiële registers en systemen.
Attestaties in het EUDI-wallet-framework volgen een specifieke technische structuur. Ze zijn cryptografisch ondertekend door de uitgever en gekoppeld aan jouw identiteit via de wallet unit. Als je de wallet verliest, verlies je de ondertekende instantie van die attestatie, maar niet jouw identiteit of jouw recht op die attestatie. Je kunt een nieuwe ondertekende versie aanvragen bij de uitgever zodra je jouw wallet opnieuw hebt ingesteld op een gecertificeerde wallet solution.
Sommige attestaties zijn eenvoudiger te herstellen dan andere. Door de overheid uitgegeven documenten, zoals een nationale identiteitskaart of een rijbewijs, kunnen doorgaans eenvoudig opnieuw worden uitgegeven via officiële kanalen. Complexere attestaties, zoals beroepscertificeringen of medische dossiers, kunnen aanvullende stappen vereisen, afhankelijk van de uitgevende organisatie en het betrokken land.
Beschikt de EUDI-wallet over een back-up- of herstelmechanisme?
Verordening (EU) 2024/1183, waarmee eIDAS 2.0 Verordening (EU) 910/2014 wijzigt, en het Architecture and Reference Framework (ARF) adresseren de behoefte aan continuïteit van de wallet, maar de specifieke back-up- en herstelmechanismen worden grotendeels op nationaal niveau bepaald door de walletprovider van elke lidstaat. Dit betekent dat de herstelopties kunnen variëren afhankelijk van de wallet solution die jouw land aanbiedt.
In het algemeen wordt van walletproviders verwacht dat zij gebruikers een manier bieden om toegang tot hun wallet te herstellen bij verlies, diefstal of verwijdering van de app. Dit kan het volgende omvatten:
- Cloudgebaseerde back-up van walletmetadata en attestatiereferenties
- Herauthenticatie via een nationaal identiteitsschema om wallettoegang te herstellen
- De mogelijkheid om eerder uitgegeven attestaties opnieuw te importeren van de oorspronkelijke uitgevers
- Een veilige herstelsleutel of wachtwoordzin die tijdens de walletinstallatie is aangemaakt
Wat belangrijk is om te begrijpen, is dat zelfs waar back-upmechanismen bestaan, deze zijn ontworpen met privacy en gebruikerscontrole in gedachten. Het EUDI-wallet-framework benadrukt dat gebruikers altijd moeten kunnen bepalen welke gegevens worden gedeeld en opgeslagen. Volledig automatische cloudsynchronisatie van alle attestatiegegevens is daardoor niet per definitie de standaardbenadering, omdat dit in strijd zou zijn met de privacyprincipes die aan de wallet ten grondslag liggen.
Het praktische advies is eenvoudig: neem bij het instellen van jouw EUDI-wallet de tijd om de herstelopties die jouw walletprovider biedt te begrijpen en te activeren. Wacht niet tot er iets misgaat om erachter te komen hoe het herstelproces eruitziet.
Wie is verantwoordelijk voor de bescherming van jouw gegevens onder Verordening (EU) 2024/1183 en de AVG?
Onder Verordening (EU) 2024/1183 en de Algemene Verordening Gegevensbescherming (AVG) is de verantwoordelijkheid voor de bescherming van jouw gegevens verdeeld over meerdere partijen, waaronder de walletprovider, de uitgevers van attestaties en de relying parties die toegang tot jouw attestaties aanvragen. Elk speelt een gedefinieerde rol in het vertrouwenskader.
De walletprovider, doorgaans een overheidsinstantie of een door de overheid gecertificeerde private entiteit, is verantwoordelijk voor de beveiliging en integriteit van de wallet solution. Zij moeten ervoor zorgen dat de wallet voldoet aan het hoge betrouwbaarheidsniveau dat vereist is onder de verordening en moeten voldoen aan de AVG als verwerkingsverantwoordelijke of verwerker, afhankelijk van hun rol.
De uitgevers van attestaties, zoals overheidsinstanties, banken of zorgaanbieders, zijn verantwoordelijk voor de nauwkeurigheid en beveiliging van de gegevens die zij uitgeven. Zij blijven aansprakelijk voor de persoonsgegevens die zij verwerken bij het aanmaken en ondertekenen van een attestatie.
De gebruiker speelt ook een actieve rol. De EUDI-wallet is ontworpen rond het principe van selective disclosure, wat betekent dat je kiest welke gegevens je deelt en met wie. Dit geeft je echte controle, maar het betekent ook dat je enige verantwoordelijkheid draagt voor hoe je jouw wallet beheert, inclusief het instellen van herstelopties en het beveiligen van jouw apparaat.
Walletgebruik is vrijwillig. Artikel 5a van Verordening (EU) 2024/1183 beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Goedkeuring van een dataverzoek in de wallet is bovendien niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.
De AVG geeft je duidelijke rechten in deze context: het recht op toegang tot jouw gegevens, het recht op verwijdering en het recht op gegevensoverdraagbaarheid. Als je de toegang tot jouw wallet verliest en meent dat jouw gegevens verkeerd zijn behandeld, heb je het recht dit te melden bij jouw walletprovider en, indien nodig, bij jouw nationale gegevensbeschermingsautoriteit.
Wat moeten organisaties doen om zich voor te bereiden op scenario’s met walletgegevensverlies?
Organisaties die EUDI-wallet-attestaties accepteren of daarop vertrouwen, moeten rekening houden met de realiteit dat gebruikers soms de toegang tot hun wallets kunnen verliezen. Dit is geen zeldzaam randgeval. Het is een voorspelbaar scenario dat vanaf het begin in jouw digitale identiteitsworkflows moet worden ingebouwd.
Dit zijn de belangrijkste stappen die organisaties moeten nemen:
- Breng jouw attestatieafhankelijkheden in kaart: Identificeer welke gebruikersreizen in jouw diensten afhankelijk zijn van EUDI-wallet-attestaties. Begrijp wat er met die reizen gebeurt als een gebruiker zijn wallet niet kan tonen.
- Ontwerp alternatieve identiteitsverificatiepaden: Zorg ervoor dat gebruikers via alternatieve identiteitsverificatiemethoden nog steeds toegang hebben tot kritieke diensten terwijl ze hun wallet herstellen. Dit is zowel een bruikbaarheidsvereiste als, in veel gereguleerde sectoren, een complianceoverweging.
- Informeer gebruikers proactief: Als jouw dienst attestaties uitgeeft aan de wallets van gebruikers, communiceer dan duidelijk wat er gebeurt als ze de toegang verliezen en hoe ze attestaties bij jou opnieuw kunnen aanvragen.
- Stem af op de herstelprotocollen van jouw walletprovider: Begrijp de herstelmechanismen die worden aangeboden door de walletproviders die jouw gebruikers waarschijnlijk zullen gebruiken, en stem jouw ondersteuningsprocessen hierop af.
- Evalueer jouw gegevensretentiebeleid: Onder de AVG bewaar je alleen het noodzakelijke. Voor heruitgiftedoeleinden moet je begrijpen welke gegevenspunten je mag en moet bewaren, zodat je gebruikers kunt ondersteunen in herstelscenario’s zonder de principes van gegevensminimalisatie te overschrijden.
Organisaties in gereguleerde sectoren zoals financiële dienstverlening, overheid en gezondheidszorg worden geconfronteerd met aanvullende overwegingen, omdat identiteitsverificatie vaak is gekoppeld aan wettelijke nalevingsvereisten. Het verlies van wallettoegang door een gebruiker mag geen nalevingsgat in jouw processen veroorzaken. Het inbouwen van veerkracht in jouw identiteitsinfrastructuur is nu effectiever dan het reactief aanpakken ervan.
Vanaf 24 december 2026 moeten publieke instanties genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals banken, zorg, telecom en energie geldt daarnaast een acceptatieplicht op grond van artikel 5f van Verordening (EU) 2024/1183 vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van deze verplichting uitgezonderd. Relying parties moeten zich bovendien registreren bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848 van 6 mei 2025 voordat zij walletdata kunnen opvragen. De relying party registreert per intended use welke attributen en attestaties worden opgevraagd, en de wallet controleert verzoeken tegen deze geregistreerde scope. Verken de beschikbare bronnen om op de hoogte te blijven naarmate de uitrol vordert.
Hoe de ID Connector organisaties ondersteunt bij walletgegevensverlies
Voorbereiden op walletgegevensverlies is slechts één onderdeel van de bredere implementatie van de EUDI-wallet in jouw organisatie. De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor het onderwerp van dit artikel ondersteunt de ID Connector concreet de volgende taken:
- Verificatie van de handtekening van de uitgever tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists, volgens ETSI TS 119 612
- Controle van de intrekkingsstatus van attestaties via statusinformatie van de uitgever
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de geregistreerde scope worden herkend
- Hergebruik van geverifieerde identiteitsdata bij heruitgifte van attestaties in herstelscenario’s
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid die EUDI-wallet-attestaties accepteren en hun processen moeten afstemmen op de verplichtingen die gelden vanaf 24 december 2026 en 24 december 2027.
Als jouw organisatie werkt aan de praktische implicaties van de EUDI-wallet en wil weten wat de ID Connector voor jouw specifieke situatie kan doen, neem dan contact op met TrustTech om het gesprek te starten.