Een Person Identification Data set (PID) is de fundamentele verzameling identiteitsattributen die elke Europese Digitale Identiteitswallet moet bevatten. Het is het digitale equivalent van een door de overheid uitgegeven identiteitsdocument, gestructureerd in een gestandaardiseerd, machineleesbaar formaat dat geverifieerd kan worden in alle EU-lidstaten. Onder eIDAS 2.0, de informele benaming voor Verordening (EU) 2024/1183 die Verordening (EU) 910/2014 wijzigt, is de PID de identiteitslaag waarop het gehele EUDI-wallet-ecosysteem is gebouwd.
Wat de PID bevat, hoe de uitgifte en verificatie werken en wat organisaties als relying party concreet moeten regelen, is essentieel om te begrijpen voor elk bedrijf dat zich voorbereidt op de uitrol van de EUDI-wallet. De onderstaande secties beantwoorden de belangrijkste vragen vanuit juridisch, technisch en praktisch perspectief.
Welke gegevens bevat een Person Identification Data set eigenlijk?
Een Person Identification Data set bevat de kernattributen die nodig zijn om een natuurlijk persoon uniek te identificeren. De verordening en de bijbehorende uitvoeringshandelingen schrijven een verplicht minimum voor: voornaam, achternaam, geboortedatum, geboorteplaats en een unieke persistente identificator die het individu koppelt aan het identiteitssysteem van de uitgevende lidstaat. Deze attributen zijn gestandaardiseerd om consistente erkenning in alle EU-wallets mogelijk te maken.
Naast dit verplichte minimum kan de PID aanvullende attributen bevatten, zoals nationaliteit, geslacht en een portretfoto, afhankelijk van wat de uitgevende lidstaat opneemt. Het kernprincipe is dat de gegevensset gestandaardiseerd is: ongeacht of een wallet wordt uitgegeven in Duitsland, Spanje of Nederland, de PID volgt dezelfde structuur en coderingsindeling. Dit maakt grensoverschrijdende erkenning technisch realiseerbaar op een manier die eerder niet bestond.
De gegevens in de PID worden uitgedrukt als cryptografisch ondertekende attestaties. Elk attribuut is ondertekend door de uitgevende autoriteit, waardoor een relying party kan vaststellen wat de gegevens vermelden, dat ze zijn uitgegeven door een vertrouwde overheidsinstantie en dat ze niet zijn gewijzigd. Het gebruikte credentialformaat is mdoc of SD-JWT VC, conform de technische vereisten uit de Architecture and Reference Framework (ARF) en de toepasselijke uitvoeringshandelingen.
Hoe verschilt de PID van een traditionele digitale identiteitsattestatie?
Een traditionele digitale identiteitsoplossing is doorgaans afhankelijk van een centrale identiteitsprovider die de gebruiker authenticeert namens een dienst. De identiteitsprovider ziet elke transactie, en de relying party is afhankelijk van die tussenpersoon. De PID in een EUDI-wallet werkt anders: de wallet bevindt zich op het eigen apparaat van de gebruiker, en de gebruiker presenteert identiteitsattributen rechtstreeks aan de relying party via OID4VP. De uitgevende overheidsinstantie hoeft niet betrokken te zijn bij elke transactie.
Dit heeft drie directe gevolgen. Ten eerste leert de PID-provider niet welke diensten de gebruiker raadpleegt, wat de privacy structureel versterkt. Ten tweede ondersteunt de PID selective disclosure: een gebruiker deelt alleen de attributen die een dienst daadwerkelijk nodig heeft. Om te bewijzen dat je ouder bent dan 18, hoef je jouw exacte geboortedatum niet vrij te geven. Om jouw nationaliteit aan te tonen, hoef je jouw thuisadres niet te delen. Ten derde is de PID herbruikbaar voor verschillende diensten zonder herverificatie bij de uitgevende autoriteit: zodra de PID is uitgegeven aan de wallet, kan diezelfde geverifieerde identiteitsdata worden gebruikt om een bankrekening te openen, medische dossiers te raadplegen of een contract te ondertekenen.
Dit minimaliseert de hoeveelheid persoonsgegevens die naar een bepaalde dienst stroomt, wat relevant is voor de AVG-naleving van zowel gebruikers als organisaties. Let daarbij op het onderscheid tussen goedkeuring van gegevensdeling in de wallet en AVG-toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG: dat zijn twee verschillende dingen. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen identiteitsgegevens.
Wie geeft de PID uit onder eIDAS 2.0?
Onder Verordening (EU) 2024/1183 wordt de Person Identification Data set uitgegeven door een aangewezen PID-provider in elke EU-lidstaat. Dit is doorgaans een overheidsinstantie of een door de staat officieel erkende autoriteit, zoals een nationaal identiteitsregister of een instantie die verantwoordelijk is voor de uitgifte van nationale identiteitsdocumenten. PID-providers moeten op nationale trusted lists verschijnen, zodat relying parties hun authenticiteit kunnen verifiëren.
Lidstaten hebben enige flexibiliteit in de manier waarop ze de PID-uitgifte structureren. Een overheid kan de PID-provider rechtstreeks beheren, of deze functie delegeren aan een gecertificeerde organisatie, mits die organisatie voldoet aan de vereisten uit de verordening en de uitvoeringshandelingen. Wat de verordening niet toestaat, is dat een particulier bedrijf een PID uitgeeft zonder officiële overheidserkenning: de PID moet zijn geworteld in een juridisch gezaghebbende identiteitsbron.
Dit onderscheidt de PID van andere attestaties die in de EUDI-wallet kunnen worden opgeslagen. Een universiteit kan een diploma uitgeven als Qualified Electronic Attestation of Attributes (QEAA), en een bank kan bewijs van rekeninghouderschap uitgeven. Maar alleen een door de staat gemachtigde PID-provider kan de kern-Person Identification Data set uitgeven die de identiteitslaag van de wallet vormt.
Hoe wordt de PID opgeslagen en beschermd in de EUDI-wallet?
De PID wordt opgeslagen in de EUDI-wallet als een cryptografisch ondertekende attestatie, gebonden aan de wallet unit op het apparaat van de gebruiker. De wallet unit omvat de wallet instance samen met de beveiligde cryptografische componenten waarin de sleutels zich bevinden. De privésleutels die worden gebruikt om de PID te authenticeren, kunnen het beveiligde middel niet verlaten. Bij een nieuw apparaat worden attestaties daarom opnieuw uitgegeven in plaats van gekopieerd.
De wallet solution moet voldoen aan de beveiligingsnormen die zijn gedefinieerd in de uitvoeringshandelingen van eIDAS 2.0. Wanneer een gebruiker zijn of haar PID presenteert aan een relying party, genereert de wallet een cryptografisch bewijs dat aantoont dat de attestatie authentiek is, is uitgegeven aan deze wallet unit en tamper-evident is. Dit gebeurt zonder dat de uitgevende autoriteit in real time wordt geraadpleegd voor de handtekeningverificatie zelf, maar een volledige verificatie omvat meer dan alleen die handtekening.
Een correcte verificatie door een relying party bestaat uit drie afzonderlijke controles. Ten eerste de verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, conform de EU List of Trusted Lists. Ten tweede de controle van de intrekkingsstatus via statusinformatie van de uitgever: deze stap vereist contact met een externe bron en kan niet volledig offline plaatsvinden. Ten derde de verificatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline worden uitgevoerd.
Selective disclosure is ingebouwd in de credentialformaten mdoc en SD-JWT VC. In plaats van de volledige gegevensset te presenteren, kan een gebruiker ervoor kiezen alleen specifieke attributen te delen. Dit minimaliseert de hoeveelheid persoonsgegevens die naar een bepaalde dienst stroomt.
Wat kunnen organisaties doen met een geverifieerde PID?
Organisaties die een geverifieerde PID accepteren, kunnen daarmee de identiteit van een gebruiker vaststellen op een betrouwbaarheidsniveau dat vergelijkbaar is met verificatie van documenten in persoon. Dit maakt volledig digitale onboarding mogelijk voor diensten die momenteel fysieke identiteitscontroles vereisen. Sectoren zoals financiële dienstverlening, gezondheidszorg en overheidsdiensten profiteren het meest direct, omdat identiteitsverificatie daar zowel wettelijk verplicht als operationeel belastend is.
Praktische toepassingen voor organisaties die een geverifieerde PID accepteren zijn onder meer:
- Een bankrekening openen of KYC-controles op afstand uitvoeren, zonder dat de klant een kantoor hoeft te bezoeken of documentscans hoeft te uploaden
- Toegang verlenen tot overheidsportalen of publieke diensten in EU-lidstaten met behulp van één vertrouwde identiteit
- Patiëntidentiteit verifiëren in de gezondheidszorg voordat medische dossiers of recepten worden gedeeld
- De onboarding van medewerkers stroomlijnen door geverifieerde identiteits- en kwalificatiegegevens rechtstreeks vanuit de wallet te accepteren
- Juridisch bindende gekwalificeerde elektronische handtekeningen mogelijk maken die zijn gekoppeld aan een geverifieerde identiteit, in overeenstemming met de eIDAS 2.0-vereisten
Hergebruik van KYC-verificatie op basis van een PID wordt mede bepaald door AML-regelgeving en sectorale regels, niet uitsluitend door eIDAS 2.0. Organisaties in gereguleerde sectoren moeten de toepasselijke sectorale verplichtingen toetsen voordat ze aannemen dat een PID-verificatie volstaat als KYC-bewijs.
Organisaties moeten zich registreren als relying party bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat ze PID-attributen kunnen opvragen, conform CIR (EU) 2025/848 van 6 mei 2025. Bij die registratie leggen ze per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten de geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party: de registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert. Een relying party heeft geen Qualified Trust Service Provider (QTSP) nodig om een EUDI-wallet te accepteren. Een QTSP wordt relevant wanneer de organisatie gekwalificeerd tekenen of gekwalificeerde attestaties wil aanbieden.
Voor organisaties die zich afvragen hoe ze hun bestaande systemen kunnen verbinden met op wallet gebaseerde identiteitsstromen, zijn de identiteitsoplossingen van TrustTech specifiek gebouwd voor dit soort integratie-uitdagingen.
Wanneer wordt de PID beschikbaar in de EU-lidstaten?
Elke EU-lidstaat moet uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Deze datum is een uiterste deadline voor notificatie en uitgifte, geen voorspelde lanceringsdatum, en betekent niet automatisch dat volledige functionele interoperabiliteit in de hele EU op dat moment bestaat.
De tijdlijn voor praktische beschikbaarheid verschilt per land. De vier Large Scale Pilots die van april 2023 tot 2025 liepen, hebben de technische architectuur getest en praktijkfeedback opgeleverd. Het consortium POTENTIAL piloteerde toepassingen zoals overheidsdiensten, het openen van een bankrekening, SIM-registratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten. DC4EU richtte zich op onderwijs en sociale zekerheid. EWC piloteerde Digital Travel Credentials, betalingen en organisational digital identity. NOBID richtte zich op betalingen. Deze pilots zijn afgerond. Digital Travel Credentials zijn gepiloteerd, maar gebruik bij grens- of luchthavencontrole is nog geen algemeen operationele EUDI-walletfunctionaliteit. Een tweede pilotgolf startte in 2025 met onder andere WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.
Voor gereguleerde private partijen in sectoren zoals banken en financiële dienstverlening, gezondheidszorg, telecom, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten geldt een afzonderlijke acceptatieplicht. Op grond van artikel 5f van Verordening (EU) 2024/1183 moeten zij de EUDI-wallet accepteren als authenticatiemiddel in contexten waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor Very Large Online Platforms (VLOP’s) geldt een afzonderlijke bepaling van artikel 5f: zij moeten de EUDI-wallet accepteren waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. De acceptatieplicht voor gereguleerde private partijen gaat in op 24 december 2027. Micro- en kleine ondernemingen zijn hiervan uitgezonderd: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro vallen buiten de reikwijdte van artikel 5f.
Voor private relying parties is 24 december 2026 bovendien het moment waarop wallets daadwerkelijk beschikbaar komen en acceptatie vóór de eigen deadline van 24 december 2027 kan worden getest. De betrokken stappen, van registratie als relying party conform CIR (EU) 2025/848 tot het integreren van wallet-stromen in bestaande onboardingprocessen, zijn het waard om ruim van tevoren in kaart te brengen. Organisaties in de financiële dienstverlening, overheid en gezondheidszorg moeten deze deadlines behandelen als concrete mijlpalen in hun planningsproces.
Hoe ondersteunt de ID Connector van TrustTech PID-gebaseerde identiteitsverificatie
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor PID-gebaseerde identiteitsverificatie voert de ID Connector de drie verificatiestappen uit die hierboven zijn beschreven: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en validatie van de wallet unit attestation om vast te stellen dat de presenterende wallet op een gecertificeerde wallet solution draait. Daarnaast bewaakt de ID Connector de geregistreerde attributenscope per relying party, zodat verzoeken buiten de geregistreerde scope worden gesignaleerd. Geverifieerde identiteitsdata kan worden hergebruikt voor vervolgdiensten zonder dat de gebruiker opnieuw hoeft te presenteren. Voor organisaties die gekwalificeerd tekenen willen aanbieden, verbindt de ID Connector met een aangesloten QTSP.
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en overheid, waar identiteitszekerheid op het hoogste betrouwbaarheidsniveau wettelijk of operationeel vereist is en waar de deadline van 24 december 2027 een concrete planningshorizon vormt.
Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op jouw bestaande onboarding- en nalevingsprocessen.