Politiek en maatschappelijk is er de nodige discussie over wel of geen digitaal paspoort of een Europese digitale identiteit. Een Europese ‘wallet’ vereist een soort Europees Burgerservicenummer (BSN). Is het nou zo wenselijk dat je overal online met steeds hetzelfde persoonsnummer bekend staat? Krijg je dan niet een soort Europees supercookie? Dat moet en kan beter.
De voornaamste uitdaging bij de wallet is de spanning tussen privacy, veiligheid en gebruiksgemak. | Beeld: Shutterstock
De Tweede Kamer bespreekt 31 mei, voorafgaand aan de Telecomraad van 3 juni, het EU-voorstel voor een raamwerk voor een Europese digitale identiteit. In Brussel is een belangrijke update van de technische eIDAS verordening aangekondigd. Dé verordening die Europees de totstandkoming van een digitaal ID regelt.
Uitdaging
Het gaat erom een veilige, betrouwbare digitaal ID opzetten die mensen praktisch kunnen gebruiken. Met de Europese ID-wallet, typisch een mobiele app, moet iemand overal in Europa kunnen inloggen: zowel bij een overheidsinstantie als bij een webshop. Een gereguleerde markt van veilige mobiele apps, die ons minder afhankelijk maken van Amerikaanse big tech en online zakendoen makkelijker en veiliger maakt.
Eén datalek bij een dienstverlener kan ineens grote gevolgen hebben.
De voornaamste uitdaging bij de wallet is de spanning tussen privacy, veiligheid en gebruiksgemak. De kern is dat om effectief te zijn een wallet vaak gebruik maakt van een algemeen persoonsnummer (één nummertje voor iedere dienstverlener). Voor veiligheid heeft dat een groot voordeel. Het stelt partijen in staat om gemakkelijk identiteitsverwisseling te signaleren en maakt identiteitsfraude lastiger. In praktijk verschilt het binnen Europa: sommige landen kennen voor bedrijven en overheid hetzelfde persoonsnummer. In andere lidstaten, zoals Nederland, zijn de overheid persoonsnummers in het private domein niet toegestaan. De risico’s bij een breed gebruikt nummer is inbreuk op privacy en één datalek bij een dienstverlener kan ineens grote gevolgen hebben.
BSN-koppelregister
Dit probleem hebben we in Nederland al eerder opgelost. Denk eens aan het volgende voorbeeld. Wanneer een HR medewerker namens een bedrijf inlogt bij het UWV om een personeelslid ziek te melden, heeft het UWV in deze rol niets met de BSN van het personeelslid te maken. Toch moet de UWV wel zekerheid hebben dat de HR medewerker bevoegd is om de melding te doen. Daarom heeft de overheid het zogenaamde BSN-koppelregister (BSNk) opgericht. Het BSNk maak het mogelijk op pseudoniemen te berekenen voor dienstverleners op basis van het BSN. Deze pseudoniemen zijn uniek voor de burger bij een specifieke dienstverlener maar wel verschillend bij verschillende dienstverleners. Zo kan de HR medewerker de ziekmelding doen, zonder dat UWV het BSN nodig heeft. Dus zowel veilig als privacyproof.
Persoonlijke gezondheidsomgeving
Andere varianten zijn ook mogelijk. Bijvoorbeeld in de zorg wanneer een gebruiker diens persoonlijke gezondheidsomgeving (PGOs) wil vullen bij een private dienstverlener zoals een ziekenhuis. De gebruiker kan dan inloggen bij een ziekenhuis onder verstrekking van het BSN en een versleuteld pseudoniem bij de PGO. Het BSN stelt het ziekenhuis in staat de gebruiker te herkennen en het pseudoniem om gericht (met gebruikerstoestemming) gezondheidsgegevens te verstrekken aan de PGO. De gebruiker kan vervolgens onder pseudoniem inloggen bij de PGO en zijn gezondheidsgegevens beheren, maar zonder verder zijn BSN nodig te hebben of te delen.
Draag een oplossing als BSN-koppelregister aan als best practice.
Wet Digitale Overheid
Om het BSNk breder mogelijk te maken is de Wet Digitale Overheid (WDO) nodig. Door snelle invoering kan Nederland de koploperspositie uitbouwen en geeft ze ruimte aan een sterke Nederlandse tech markt die de komende jaren bepalend kan zijn bij het opzetten van een Europese wallet. Want dit jaar legt Europa de basis voor de wallet vast. Nederland moet met landen die vergelijkbare publieke waarden kennen het initiatief nemen en een oplossing als BSNk aandragen als best practice. En dat samen met overheden, Nederlandse bedrijven en experts doen die in die waarden geloven. Zo vermijden we de Europese supercookie en kunnen mensen toch gemakkelijk en verantwoord online zakendoen.
Eric Verheul is hoogleraar binnen de digital security groep van de Radboud universiteit en onafhankelijk cryptografisch ontwerper. Hij is de ontwerper van de pseudonimisering techniek binnen BSN-koppelregister dat in dit artikel wordt genoemd. Dit artikel is geschreven op persoonlijke titel.
Remco van Wijk is lead van Vidua – een dienstverlener die onder eIDAS vertrouwensdiensten voor overheden en bedrijven levert.
Het vermijden van een Europese supercookie en mensen rechtzeker faciliteren om gemakkelijk en verantwoord online zaken te doen is logischerwijs voorwaardelijk.
Heldere toelichting
Zeer geïnteresseerd