De EUDI-wallet beschikt over ingebouwde privacybescherming, maar introduceert ook reële privacyrisico’s die organisaties en gebruikers moeten begrijpen. De wallet is ontworpen rondom principes zoals dataminimalisatie en gebruikerscontrole, maar risico’s op misbruik van gegevens, tracking en nalevingsverantwoordelijkheden blijven bestaan. Dit artikel behandelt de belangrijkste privacyvragen rondom de EUDI-wallet en wat deze concreet betekenen voor relying parties.
Hoe gaat de EUDI-wallet om met persoonsgegevens onder eIDAS 2.0?
Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, verwerkt persoonsgegevens via een privacy-by-design-raamwerk. Gebruikers slaan hun eigen gegevens lokaal op hun apparaat op en kiezen wat ze met welke dienst delen. Er is geen centrale database die alle walletgegevens bewaart, en relying parties mogen alleen de informatie opvragen die ze daadwerkelijk nodig hebben voor een specifieke interactie.
De verordening vereist dat walletaanbieders en relying parties voldoen aan de Algemene Verordening Gegevensbescherming (AVG). Dit betekent dat gegevensverwerking een rechtmatige grondslag moet hebben, bewaartermijnen beperkt moeten zijn en gebruikers geïnformeerd moeten worden over hoe hun gegevens worden gebruikt. De walletarchitectuur is zo opgezet dat persoonsgegevens rechtstreeks tussen de gebruiker en de relying party worden uitgewisseld, zonder tussenkomst van een centrale partij.
In de praktijk betekent dit dat een gebruiker die zijn leeftijd toont om toegang te krijgen tot een dienst, zijn volledige naam, adres of geboortedatum niet hoeft te delen. De wallet geeft attestaties af: cryptografisch ondertekende stukken informatie die geverifieerd kunnen worden zonder meer te onthullen dan noodzakelijk. Deze aanpak brengt eIDAS 2.0 nauw in lijn met de AVG-beginselen, maar legt ook concrete verantwoordelijkheden op aan de organisaties die deze gegevens ontvangen en verwerken.
Belangrijk om te benoemen: goedkeuring van gegevensdeling in de wallet is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van ontvangen gegevens. Bij wettelijke KYC-verplichtingen kan een wettelijke verplichting als grondslag relevant zijn. Voor bijzondere categorieën zoals gezondheidsgegevens geldt daarnaast een toepasselijke grond uit artikel 9, lid 2, AVG.
Wat zijn de belangrijkste privacyrisico’s van de EUDI-wallet?
De belangrijkste privacyrisico’s van de EUDI-wallet zijn onrechtmatige gegevensverzameling door relying parties, onvoldoende begrip bij gebruikers over wat ze delen, de mogelijkheid van gegevensaggregatie over diensten heen, en implementatiezwakheden die persoonsgegevens kunnen blootstellen. Het walletraamwerk is privacybewust opgezet, maar risico’s ontstaan in de manier waarop organisaties het inzetten en gebruiken.
Belangrijke privacyproblemen om rekening mee te houden zijn:
- Overmatig opvragen van gegevens: Relying parties kunnen meer attributen opvragen dan ze daadwerkelijk nodig hebben, wat leidt tot onnodige blootstelling van persoonsgegevens. Onder CIR (EU) 2025/848 registreert een relying party per intended use welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
- Zwakke toestemmingsmechanismen: Als toestemmingsstromen slecht zijn ontworpen, kunnen gebruikers gegevens delen zonder volledig te begrijpen waarmee ze instemmen. Bovendien is goedkeuring in de wallet niet gelijk aan toestemming als AVG-grondslag.
- Bewaren van gegevens na gebruik: Organisaties die walletgegevens ontvangen, kunnen deze langer bewaren dan toegestaan, wat nalevings- en beveiligingsrisico’s met zich meebrengt.
- Onveilige opslag of overdracht: Technische kwetsbaarheden in wallet solutions of systemen van relying parties kunnen ontvangen gegevens blootstellen.
- Cross-context profilering: Zelfs met selective disclosure kunnen gebruikspatronen van de wallet worden geanalyseerd om in de loop van de tijd profielen van personen op te bouwen.
Deze risico’s betekenen niet dat de EUDI-wallet fundamenteel onveilig is. Ze betekenen wel dat privacybescherming sterk afhankelijk is van hoe goed de organisaties aan de ontvangende kant van walletpresentaties hun eigen systemen en processen implementeren.
Kan de EUDI-wallet worden gebruikt om gebruikers over diensten heen te volgen?
De EUDI-wallet is specifiek ontworpen om cross-service tracking te voorkomen, maar het risico kan niet volledig worden uitgesloten. De technische architectuur maakt gebruik van mechanismen zoals pseudonieme identificatoren en selective disclosure om te voorkomen dat één persistente identificator de activiteit van een gebruiker over verschillende diensten heen koppelt. Toch kunnen trackingrisico’s nog steeds ontstaan via indirecte middelen.
Als een relying party bijvoorbeeld een uniek cryptografisch attribuut ontvangt dat consistent is over presentaties heen, kan dat attribuut theoretisch worden gebruikt om de activiteit van een gebruiker te correleren. Het Architecture and Reference Framework (ARF) dat voor de EUDI-wallet is ontwikkeld, pakt dit aan door te specificeren dat wallet solutions waar mogelijk statische, koppelbare identificatoren moeten vermijden.
Een meer praktisch trackingprobleem komt van de relying parties zelf. Als een organisatie walletafgeleide gegevens verzamelt en combineert met andere gegevensbronnen, kan ze mogelijk een profiel van een gebruiker opbouwen, zelfs zonder een persistente walletidentificator. Dit is waar AVG-handhaving en goed gegevensbeheer aan de kant van de organisatie cruciaal worden. De wallet beperkt wat er gedeeld kan worden, maar kan niet controleren wat er met gegevens gebeurt zodra ze rechtmatig zijn ontvangen.
Het transactieoverzicht dat de wallet bijhoudt, is een functionaliteit voor de gebruiker zelf, niet een loggingvoorziening voor de relying party of de walletaanbieder. Relying parties hebben geen toegang tot dit overzicht.
Hoe vermindert selective disclosure de privacyrisico’s van de EUDI-wallet?
Selective disclosure vermindert de privacyrisico’s van de EUDI-wallet doordat gebruikers alleen de specifieke attributen kunnen delen die nodig zijn voor een transactie, in plaats van een volledig identiteitsdocument te presenteren. In plaats van een heel paspoort te tonen om leeftijd te bewijzen, kan een gebruiker een enkele ja-of-nee-bevestiging delen dat hij of zij ouder is dan een bepaalde leeftijd. Dit beperkt de hoeveelheid persoonsgegevens die bij een bepaalde interactie worden blootgesteld. Zero-knowledge proofs zijn daarvoor niet noodzakelijk: selective disclosure van een attribuut zoals “ouder dan 18” volstaat.
Deze mogelijkheid is een van de belangrijkste privacyverbeteringen die de EUDI-wallet biedt ten opzichte van traditionele methoden voor identiteitsverificatie. Met een fysiek document ziet de ontvanger alles. Met selective disclosure bepaalt de gebruiker wat er wordt onthuld.
De onderliggende technologie maakt gebruik van cryptografische bewijzen in credentialformaten zoals mdoc en SD-JWT VC. De relying party kan de claim verifiëren zonder dat de walletaanbieder of een derde partij bij de transactie betrokken hoeft te zijn. Dit verkleint een veelvoorkomend privacyrisico in gecentraliseerde identiteitssystemen, waarbij een aanbieder theoretisch elke verificatie van de identiteit van een gebruiker kon registreren.
Verificatie omvat meer dan het controleren van de cryptografische handtekening. Een volledige controle bestaat uit drie stappen: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden.
Selective disclosure elimineert niet alle risico’s, maar verkleint het aanvalsoppervlak voor misbruik van gegevens aanzienlijk. Relying parties die walletpresentaties accepteren, moeten hun gegevensverzoeken rond dit principe ontwerpen en alleen vragen wat ze daadwerkelijk nodig hebben, binnen de scope die ze hebben geregistreerd onder CIR (EU) 2025/848.
Wie is verantwoordelijk voor de privacynaleving van de EUDI-wallet?
De verantwoordelijkheid voor de privacynaleving van de EUDI-wallet wordt gedeeld tussen walletaanbieders en relying parties. Walletaanbieders moeten voldoen aan de technische en beveiligingsvereisten onder Verordening (EU) 2024/1183. Relying parties zijn verantwoordelijk voor de manier waarop ze persoonsgegevens opvragen, ontvangen en verwerken. Onder de AVG treedt de relying party op als verwerkingsverantwoordelijke voor alle persoonsgegevens die ze via een wallettransactie ontvangt.
Walletaanbieders, die overheidsinstanties of gecertificeerde private organisaties kunnen zijn, zijn verantwoordelijk voor de beveiliging van de wallet solution zelf, de integriteit van de attestaties die deze afgeeft, en de privacy van de opgeslagen gegevens van de gebruiker. Ze moeten voldoen aan de certificeringsvereisten onder het eIDAS 2.0-raamwerk.
Relying parties dragen een aparte en significante nalevingsverantwoordelijkheid. Ze moeten:
- Een rechtmatige grondslag hebben onder de AVG voor het opvragen en verwerken van de gegevens die ze ontvangen.
- Alleen de minimaal noodzakelijke gegevens opvragen voor het specifieke doel, binnen de geregistreerde attributenscope.
- Geregistreerd zijn bij de bevoegde nationale autoriteit onder CIR (EU) 2025/848 voordat walletdata kan worden opgevraagd.
- Passende technische en organisatorische maatregelen toepassen om ontvangen gegevens te beschermen.
- Bewaartermijnen en verwijderingsverplichtingen respecteren.
Een leverancier die walletdata technisch namens een klant verwerkt, wordt daardoor niet automatisch zelf relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert. Die leverancier treedt in dat geval op als verwerker onder de AVG, met de bijbehorende verwerkersovereenkomst als vereiste.
Organisaties in gereguleerde sectoren zoals financiële dienstverlening, gezondheidszorg en overheid moeten hun walletgerelateerde gegevensverwerking ook afstemmen op sectorspecifieke regelgeving naast de AVG en eIDAS 2.0. Walletgebruik is vrijwillig: artikel 5a van de verordening beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.
Wat moeten organisaties doen om de privacyrisico’s van de EUDI-wallet aan te pakken?
Organisaties moeten de privacyrisico’s van de EUDI-wallet aanpakken door hun dataminimalisatiepraktijken te herzien, hun privacydocumentatie bij te werken, hun technische gereedheid te beoordelen om walletafgeleide gegevens veilig te verwerken, en ervoor te zorgen dat hun teams hun nalevingsverplichtingen als relying parties begrijpen. Vroeg handelen geeft organisaties de tijd om doordachte beslissingen te nemen.
Een praktisch startpunt is het in kaart brengen van welke gebruiksscenario’s walletpresentaties zullen omvatten en welke attributen daarbij worden opgevraagd. Vervolgens kunnen organisaties beoordelen of hun huidige gegevensbeheerkaders toereikend zijn of bijgewerkt moeten worden. Privacyeffectbeoordelingen zijn hierbij een nuttig instrument, met name voor hoog-risico verwerkingsactiviteiten.
Technische teams moeten ook bekijken hoe ontvangen walletgegevens worden opgeslagen, wie er toegang toe heeft en hoe lang ze worden bewaard. Dit zijn niet alleen nalevingsvragen. Het zijn ook risicobeheersbeslissingen die het vertrouwen van gebruikers en de reputatie van de organisatie beïnvloeden. Verken de beschikbare bronnen over digitale identiteit om je begrip van het technische en regelgevende landschap te verdiepen.
Relevante planning voor relying parties: vanaf 24 december 2026 moeten publieke instanties genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Vanaf 24 december 2027 geldt artikel 5f voor de relevante gereguleerde private sectoren, waaronder banken en financiële dienstverlening, gezondheidszorg, telecom, energie, transport en digitale diensten. Micro- en kleine ondernemingen zijn uitgezonderd: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen vallen buiten de acceptatieplicht.
Hoe de ID Connector de privacyrisico’s beheersbaar maakt
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor het onderwerp van dit artikel zijn de volgende functionaliteiten direct relevant:
- Verificatie van attestaties tegen de relevante nationale trusted lists, samengebracht in de EU List of Trusted Lists (LOTL), conform de ETSI TS 119 612-structuur.
- Controle van de intrekkingsstatus via statusinformatie van de uitgever, zodat ingetrokken attestaties niet worden geaccepteerd.
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait.
- Bewaking van de geregistreerde attributenscope, zodat verzoeken buiten de onder CIR (EU) 2025/848 geregistreerde scope worden gesignaleerd.
- Ondersteuning van selective disclosure via de credentialformaten mdoc en SD-JWT VC, zodat relying parties alleen de attributen ontvangen die ze daadwerkelijk hebben opgevraagd.
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farma en overheid die zich voorbereiden op hun verplichtingen als relying party onder eIDAS 2.0. Neem contact op met TrustTech om te bespreken hoe de ID Connector aansluit op de privacyvereisten binnen jouw organisatie.