Een Person Identification Data set (PID) is de fundamentele verzameling identiteitsattributen die elke Europese Digitale Identiteitsportemonnee moet bevatten. Het is het digitale equivalent van uw door de overheid uitgegeven identiteitsdocument, gestructureerd in een gestandaardiseerd, machineleesbaar formaat dat direct geverifieerd kan worden in alle EU-lidstaten. Onder eIDAS 2.0 is de PID de hoeksteen van hoe individuen hun identiteit bewijzen in digitale omgevingen.

Begrijpen wat de PID bevat, hoe het werkt en wat organisaties ermee kunnen doen, is essentieel voor elk bedrijf dat zich voorbereidt op de uitrol van de EUDI Wallet. De onderstaande secties behandelen de belangrijkste vragen rondom de PID in heldere, praktische bewoordingen.

Welke gegevens bevat een Person Identification Data set eigenlijk?

Een Person Identification Data set bevat de kernattributen die nodig zijn om een natuurlijk persoon uniek te identificeren. Dit omvat minimaal de voornaam en achternaam van een persoon, geboortedatum, geboorteplaats, huidig adres en een unieke persistente identificator die het individu koppelt aan het identiteitssysteem van zijn of haar lidstaat. Deze attributen zijn gedefinieerd in de eIDAS 2.0-verordening om consistentie te waarborgen in alle EU-portemonnees.

Naast het verplichte minimum kan de PID ook aanvullende attributen bevatten, zoals nationaliteit, geslacht en een portretfoto, afhankelijk van wat de uitgevende lidstaat opneemt. Het kernprincipe is dat de gegevensset gestandaardiseerd is: ongeacht of een portemonnee wordt uitgegeven in Duitsland, Spanje of Nederland, de PID volgt dezelfde structuur en coderingsindeling. Dit maakt grensoverschrijdende erkenning voor het eerst technisch betrouwbaar.

De gegevens in de PID worden uitgedrukt als verifieerbare credentials, wat betekent dat elk attribuut cryptografisch is ondertekend door de uitgevende autoriteit. Hierdoor kan een vertrouwende partij niet alleen bevestigen wat de gegevens vermelden, maar ook dat ze zijn uitgegeven door een vertrouwde overheidsinstantie en niet zijn gemanipuleerd.

Hoe verschilt de PID van een traditionele digitale identiteitscredential?

De PID verschilt op drie fundamentele manieren van een traditionele digitale identiteitscredential: ze wordt rechtstreeks uitgegeven door een overheidsinstantie, ze maakt gebruik van cryptografisch bewijs in plaats van een gebruikersnaam-en-wachtwoordmodel, en ze ondersteunt selectieve openbaarmaking zodat gebruikers alleen de attributen kunnen delen die een dienst daadwerkelijk nodig heeft. Traditionele credentials zijn doorgaans afhankelijk van een centrale identiteitsprovider die gebruikers namens een dienst authenticeert, waardoor een afhankelijkheid van die tussenpersoon ontstaat.

Bij een traditioneel eID of inlogcredential ziet de identiteitsprovider vaak elke transactie die de gebruiker uitvoert. De PID in een EUDI Wallet verandert deze dynamiek aanzienlijk. Omdat de portemonnee zich op het eigen apparaat van de gebruiker bevindt, presenteert de gebruiker identiteitsattributen rechtstreeks aan de vertrouwende partij. De uitgevende overheidsinstantie hoeft niet betrokken te zijn bij elke transactie, en de identiteitsprovider leert niet welke diensten de gebruiker raadpleegt.

Deze architectuur betekent ook dat de PID herbruikbaar is voor verschillende diensten zonder herverificatie. Zodra de identiteit van een persoon is gekoppeld aan zijn of haar portemonnee en de PID is uitgegeven, kan diezelfde geverifieerde identiteitsdata worden gebruikt om een bankrekening te openen, medische dossiers te raadplegen of een contract te ondertekenen, zonder elke keer opnieuw te beginnen. Dit is een aanzienlijke verbetering ten opzichte van het huidige gefragmenteerde landschap waarbij elke organisatie zijn eigen verificatieproces onafhankelijk uitvoert.

Wie geeft de PID uit onder eIDAS 2.0?

Onder eIDAS 2.0 wordt de Person Identification Data set uitgegeven door een aangewezen PID Provider in elke EU-lidstaat. Dit is doorgaans een overheidsinstantie of een door de staat officieel erkende autoriteit, zoals een nationaal identiteitsregister, een burgerlijke stand of een instantie die verantwoordelijk is voor de uitgifte van nationale identiteitsdocumenten. De verordening vereist dat PID-providers op nationale vertrouwenslijsten verschijnen, zodat vertrouwende partijen hun authenticiteit kunnen verifiëren.

Lidstaten hebben enige flexibiliteit in de manier waarop ze de PID-uitgifte structureren. Een overheid kan de PID-provider rechtstreeks beheren, of deze functie delegeren aan een gecertificeerde organisatie, zolang die organisatie voldoet aan de strikte vereisten die zijn vastgelegd in de verordening en de uitvoeringshandelingen. Wat niet is toegestaan, is dat een particulier bedrijf een PID uitgeeft zonder officiële overheidserkenning, omdat de PID geworteld moet zijn in een juridisch gezaghebbende identiteitsbron.

Dit verschilt van andere attestaties die in de EUDI Wallet kunnen worden opgeslagen. Een universiteit kan een diploma uitgeven als verifieerbare credential, en een bank kan bewijs van rekeninghouderschap uitgeven. Maar alleen een door de staat gemachtigde PID-provider kan de kern-Person Identification Data set uitgeven die de identiteitslaag van de portemonnee ondersteunt.

Hoe wordt de PID opgeslagen en beschermd in de EUDI Wallet?

De PID wordt opgeslagen in de EUDI Wallet als een cryptografisch ondertekende credential, gebonden aan de wallet-instantie op het apparaat van de gebruiker. De beveiliging is gebaseerd op een combinatie van beveiligde hardware, cryptografisch sleutelbeheer en de certificeringsvereisten van de portemonnee. De portemonnee zelf moet voldoen aan de hoogwaardige beveiligingsnormen die zijn gedefinieerd in de uitvoeringshandelingen van eIDAS 2.0, en de privésleutels die worden gebruikt om de PID te authenticeren, moeten worden opgeslagen in een beveiligd element of een gelijkwaardige vertrouwde uitvoeringsomgeving.

Wanneer een gebruiker zijn of haar PID presenteert aan een vertrouwende partij, genereert de portemonnee een cryptografisch bewijs dat aantoont dat de credential authentiek is, is uitgegeven aan deze portemonnee en niet is gewijzigd. Dit gebeurt zonder dat de uitgevende autoriteit in real time wordt geraadpleegd, wat de privacy van de gebruiker beschermt terwijl de vertrouwende partij de gegevens toch kan vertrouwen.

Selectieve openbaarmaking is een ander belangrijk beschermingsmechanisme dat is ingebouwd in het technische ontwerp van de PID. In plaats van de volledige gegevensset te presenteren, kan een gebruiker ervoor kiezen alleen specifieke attributen te delen. Om bijvoorbeeld te bewijzen dat ze ouder zijn dan 18, hoeven ze hun exacte geboortedatum niet te onthullen. Om hun nationaliteit te bewijzen, hoeven ze hun thuisadres niet te delen. Dit minimaliseert de hoeveelheid persoonsgegevens die naar een bepaalde dienst stroomt, wat rechtstreeks de AVG-naleving ondersteunt voor zowel gebruikers als organisaties.

Wat kunnen organisaties doen met een geverifieerde PID?

Organisaties die een geverifieerde PID accepteren, kunnen deze gebruiken om de identiteit van een gebruiker te bevestigen met een betrouwbaarheidsniveau dat gelijkwaardig is aan verificatie van documenten in persoon. Dit opent de deur naar volledig digitale, hoogwaardige onboarding voor diensten die momenteel fysieke identiteitscontroles vereisen. Sectoren zoals financiële dienstverlening, gezondheidszorg en overheidsdiensten profiteren het meest direct, omdat dit gebieden zijn waar identiteitsverificatie zowel verplicht als vaak belastend is.

Praktische toepassingen voor organisaties die een geverifieerde PID accepteren zijn onder meer:

• Een bankrekening openen of KYC-controles op afstand uitvoeren, zonder dat de klant een kantoor hoeft te bezoeken of documentscans hoeft te uploaden
• Toegang verlenen tot overheidsportalen of openbare diensten in EU-lidstaten met behulp van één vertrouwde identiteit
• Patiëntidentiteit verifiëren in de gezondheidszorg voordat medische dossiers of recepten worden gedeeld
• De onboarding van medewerkers stroomlijnen door geverifieerde identiteits- en kwalificatiegegevens rechtstreeks vanuit de portemonnee te accepteren
• Juridisch bindende elektronische handtekeningen mogelijk maken die zijn gekoppeld aan een geverifieerde identiteit, in overeenstemming met de eIDAS 2.0-vereisten voor gekwalificeerde handtekeningen

Organisaties moeten zich registreren als vertrouwende partijen om PID-attributen op te vragen en te ontvangen. Dit registratieproces is ontworpen om ervoor te zorgen dat alleen legitieme diensten identiteitsgegevens kunnen opvragen, en dat gebruikers precies kunnen zien wie wat vraagt voordat ze toestemming geven om iets te delen. Voor organisaties in gereguleerde sectoren kan het accepteren van een PID ook de nalevingsrapportage vereenvoudigen, omdat de identiteitsgegevens worden geleverd met een ingebouwd auditspoor en cryptografisch bewijs van de herkomst.

Voor organisaties die zich afvragen hoe ze hun bestaande systemen kunnen verbinden met op portemonnee gebaseerde identiteitsstromen, zijn de identiteitsoplossingen van TrustTech specifiek gebouwd voor dit soort integratie-uitdagingen.

Wanneer wordt de PID beschikbaar in de EU-lidstaten?

De EUDI Wallet, en daarmee de PID, is gepland om uiterlijk in 2026 beschikbaar te worden gesteld door alle EU-lidstaten. Deze deadline is vastgelegd in de eIDAS 2.0-verordening, die in 2024 in werking is getreden en vereist dat lidstaten een portemonnee aanbieden aan alle burgers, inwoners en bedrijven binnen de EU. In 2026 wordt deze verplichting actief geïmplementeerd, waarbij verschillende lidstaten al pilotprogramma’s of vroege uitroltrajecten uitvoeren.

De tijdlijn voor praktische beschikbaarheid verschilt per land. Sommige lidstaten zijn verder gevorderd dan andere, en de grootschalige pilotprojecten die werden uitgevoerd in 26 lidstaten, Noorwegen, IJsland en Oekraïne, zijn van onschatbare waarde geweest bij het testen van de technische architectuur en het verzamelen van praktijkfeedback. Deze pilots omvatten toepassingen variërend van het openen van een bankrekening tot het raadplegen van overheidsdiensten en het registreren van een simkaart.

Voor organisaties is de relevante vraag niet alleen wanneer de PID beschikbaar wordt, maar wanneer de infrastructuur voor vertrouwende partijen op zijn plaats moet zijn om deze te accepteren. Het opbouwen van die gereedheid kost tijd, en organisaties die nu beginnen met het voorbereiden van hun technische en nalevingskaders, zullen beter gepositioneerd zijn om vanaf dag één op portemonnee gebaseerde diensten aan te bieden. De regelgevingsdruk is reëel: onder eIDAS 2.0 zullen bepaalde categorieën onlinediensten verplicht zijn de EUDI Wallet te accepteren als authenticatiemiddel.

De betrokken implementatiestappen, van registratie als vertrouwende partij tot het integreren van portemonnee-stromen in bestaande onboardingprocessen, zijn het waard om ruim van tevoren in kaart te brengen. Organisaties in de financiële dienstverlening, overheid en gezondheidszorg in het bijzonder moeten 2026 behandelen als een concrete deadline in plaats van een toekomstig perspectief.

Hoe helpt TrustTech organisaties zich voor te bereiden op PID-gebaseerde identiteit

Het implementeren van PID-gebaseerde identiteitsverificatie is niet alleen een technisch project. Het raakt tegelijkertijd naleving, klantervaring, gegevensbeheer en systeemarchitectuur. TrustTech is specifiek gebouwd om organisaties te helpen deze complexiteit te navigeren en te gaan van het begrijpen van de regelgeving naar er daadwerkelijk klaar voor zijn.

Samenwerken met TrustTech geeft organisaties toegang tot:

1. Wallet-klare identiteitsinfrastructuur die PID-verificatie, herbruikbare credentials en gekwalificeerde elektronische handtekeningen verbindt in één platform
2. Integratie-ondersteuning voor vertrouwende partijen om bestaande onboarding- en nalevingsworkflows te verbinden met op EUDI Wallet gebaseerde identiteitsstromen
3. Sectorspecifieke implementatie-expertise in financiën, overheid, gezondheidszorg en andere gereguleerde sectoren waar de vereisten voor identiteitszekerheid het hoogst zijn
4. eIDAS 2.0-nalevingsbegeleiding die regelgevingsvereisten vertaalt naar concrete technische en organisatorische acties
5. Herbruikbare nalevingsarchitectuur zodat zodra een klant is geverifieerd met behulp van een PID, die verificatie opnieuw kan worden gebruikt voor diensten zonder opnieuw te beginnen

TrustTech bevindt zich tussen de partijen die met elkaar moeten communiceren en biedt de infrastructuur die vertrouwde digitale identiteit praktisch en schaalbaar maakt. Of uw organisatie nu net begint met het in kaart brengen van de eIDAS 2.0-gereedheid of al diep in de implementatie zit, de juiste ondersteuning maakt het verschil tussen een soepele overgang en een kostbare vertraging. Neem contact op met TrustTech om te bespreken hoe uw organisatie klaar kan zijn voor PID-gebaseerde identiteitsverificatie.