Digitalisering heeft op veel vragen een antwoord gevonden, maar het roept ook weer (veel) vragen op. Wie gaat er bijvoorbeeld over digitale identiteit? Is dat (nog) een taak voor de overheid, of vinden we het goed dat (markt-)partijen dat oppakken? En zo ja, waar ligt dan de grens van wat kan? En hoe staan we tegenover self sovereign identity? Is dát dan misschien de heilige graal of is het de zoveelste hype?
Met de klok mee: Diederik van Leeuwen, Esther Makaay, Rhodia Maas en Jaap-Henk Hoepman.
Hoe bewijs je dat je bent wie je zegt dat je bent? Hoe weet je zeker dat een diploma dat getoond wordt door iemand die vanuit het buitenland naar ons land komt, rechtsgeldig is en hoe weet je wat de waarde van zo’n diploma is? Hoe betrouwbaar is die informatie? En hoe weet je zeker dat een loodgieter die bij jou in huis een klus opknapt, niet alleen gekwalificeerd is, maar ook nog eens een góede loodgieter is? De ontwikkeling van een betrouwbare digitale identiteit, een onderwerp dat volgens debatleider Diederik van Leeuwen (programmadirecteur Innovatiemanagement UBR) zo breed is dat je daar met een gemak een halve dag over kan praten, is urgenter dan ooit.
In hoeverre kan alleen de overheid een betrouwbare digitale identiteit uitgeven, of ligt daar ook een rol voor de markt? Esther Makaay, specialist op het gebied van digitale identiteit bij Connectis en SIDN, ziet dat er meer partijen zijn die een dergelijke digitale identiteit kunnen bezorgen, maar ziet ook dat de overheid wel een unique selling point in huis heeft. “De overheid kan de uitspraak doen dat ik een écht persoon ben en dat kunnen ze op een vrij gemakkelijke manier doen. Andere partijen kunnen dat misschien ook, maar moeten daar veel meer moeite voor doen en kosten voor maken.”
De Rijksdienst voor Identiteitsgegevens (RvIG) is de beheerder van het register waarin de identiteitsgegevens van alle Nederlanders staan. Vanuit die optiek vindt Rhodia Maas, algemeen directeur van de RvIG, het “logisch” dat de overheid dé betrouwbare identiteit kan uitgeven. “Niet alleen zoals het nu is, maar ook in een digitale identiteit.” Wat betreft Jaap-Henk Hoepman, onder meer universitair hoofddocent aan de Radboud Universiteit, kan de overheid zeker iets zeggen over mij of iemand anders als natuurlijke persoon, maar het roept ook de vraag op wat identiteit is. “Ik zie dan twee verschillende dingen. We hebben het over personen van vlees en bloed die we ook een juridische identiteit meegeven. Aan de andere kant hebben we het over een digitale identiteit.” Een krappe meerderheid (55 procent) van de kijkers was het overigens eens met de stelling dat de overheid, en alleen de overheid, dé partij is die een betrouwbare digitale identiteit kan uitgeven.
Overheid en markt
De tweede stelling die in het derde thuisdebat aan de orde kwam, ging specifiek over de rol tussen overheid en marktpartijen. ‘Laat de overheid de bronidentiteit leveren en laat de digitale middelen maar aan andere (markt-)partijen over’. Makaay vindt de overheid sterk op bepaalde terreinen (“op paspoortniveau bijvoorbeeld”), maar op andere terreinen wel erg beperkt. “Bijvoorbeeld als we het hebben over online transacties, zoals het aanschaffen van concertkaartjes. Op die gebieden is de overheid niet goed. Ik denk ook niet dat je daar een rol moet willen zien van de overheid. In de markt zijn er veel partijen die zich richten op die extra gegevens en dat zal alleen maar toenemen. In die transactie gaat het niet alleen over hoe ik heet, maar het gaat ook over de positie die ik heb. Ben ik een erkend loodgieter of pak ik misschien een rol als voogd? Dat zijn zaken die allemaal veel relevanter zijn en die ik niet zomaar kan aantonen met een bron- of kernidentiteit.”
Ook aan de Radboud Universiteit wordt druk nagedacht over de relatie tussen overheid en markt en daarbij spelen op attribuut-gebaseerde credentials de hoofdrol. Hoepman: “Dat maakt het mogelijk dat verschillende uitgevende instanties uitspraken kunnen doen over allerlei aspecten van mijn identiteit. Of ik ouder ben dan 18 jaar of bijvoorbeeld wat voor opleidingen ik heb genoten. Wij hebben een systeem gebouwd waardoor je die gegevens op een veilige en privacyvriendelijke manier kunt aantonen. Als burger bepaal je zelf welke attributen je van jezelf laat zien”, aldus Hoepman, die aangeeft dat we met name moeten kijken naar het middel. “De koppeling tussen de natuurlijke persoon en de digitale identiteit. Daarin kan de overheid een belangrijke rol spelen. Zij kan het uitgeven van zo’n middel (DigiD, of de opvolger daarvan), niet overlaten aan de markt.”
Er wordt veel over gesproken: een digitaal paspoort. Is dat daadwerkelijk een stapeltje attributen? Is de RvIG dan toezichthouder? Volgens Rhodia Maas staan we op dat terrein nog maar aan het begin van een ontwikkeling, een ontwikkeling die vaak harder gaat dan de overheid kan bijbenen. “Er wordt binnen de overheid wel gewerkt aan een aantal pilots. Zo zijn we bezig met The Known Traveller Digital Identity, samen met Canada. Daarmee kun je met een digitaal paspoort de grens over. Ook zijn we bezig met een pilot met betrekking tot een virtuele identiteitskaart op je telefoon. Hoe dan ook, we hebben altijd de markt nodig. Zij hebben een veel groter innovatief vermogen dan de overheid en als je toekomstbestendig wil zijn, heb je ook het tempo nodig van die markt. De rol van de overheid is met name het scheppen van kaders, waaraan dit soort dingen kan voldoen.”
Over kaders gesproken. In de jaarlijkse ‘de Staat van het internet’ (februari van dit jaar) pleitte Jaap-Henk Hoepman voor het aanleggen van een decentrale, attribuut-gebaseerde, digitale identiteitssnelweg. Makaay vindt dat een prima idee, maar zou ook graag zien dat de overheid niet alleen digitale snelwegen aanlegt, maar ook ‘bestemmingsplannen’ levert. “Die gaan over de kaders waarbinnen opgetreden mag worden. Daarnaast moet de overheid bij de eerste adopters zitten.”
Self sovereign identity
Laatste stelling in het derde thuisdebat ging over self sovereign identity, volgens de stelling ‘de enige toekomstbestendige oplossing’. Jaap-Henk Hoepman: “Onder self sovereign identity versta ik ook het systeem dat wij gebruiken met op attribuut-gebaseerde credentials. Dat je zelf controle hebt over datgene wat jij over jezelf deelt met anderen.” Maar wat betreft Hoepman zijn er ook extremere definities en vormen van self sovereign identity, waarbij “iedereen uitspraken kan doen over iemands identiteit en waar andere partijen weer gebruik van kunnen maken.” “Dat betekent dat niet alleen de overheid een uitspraak kan doen over hoe oud ik ben, maar dat andere partijen dat ook kunnen doen. Ik denk niet dat dat gaat werken. Je hebt altijd bepaalde partijen met autoriteit nodig.”
Ook Rhodia Maas is nog niet honderd procent overtuigd met betrekking tot self sovereign identity, ook al worden er op dit moment door de overheid pilots gehouden rondom het thema. “Ik weet het gewoon niet. Ik weet niet of dit nu het ‘ei van Columbus’ is, ook al is het een hot topic in Europa. Ik denk wel dat het goed onderzocht moet worden, juist omdat het wel de ultieme vorm van regie op gegevens zóu kunnen zijn. Daarom moeten we dat goed onderzoeken: wat kúnnen we ermee?”
Grote zorgpunt van Esther Makaay betreft met name de betrouwbaarheid van gegevens. “Als het bijvoorbeeld gaat over opleidingen en diploma’s, dan is dat in ons land allemaal wel geregeld. We weten wat erkende scholen zijn, we weten dat de overheid daar uitspraken over doet, maar zo gauw je de grens overgaat en iemand laat je een diploma zien van een universiteit, dan weet je niet of dat vergelijkbaar is met een universiteit bij ons. Sowieso weet je niet of de universiteit bestaat. We missen alle context en er is een hele keten aan partijen die daar een uitspraak over moet doen. Dit geldt op alle vlakken als je het hebt over betrouwbaarheid. Kan ik een partij vertrouwen en zo ja, in welke mate? Daar wordt het ontzettend ingewikkeld, ook om het goed werkbaar te maken.”
Twijfels zijn er ook bij de kijkers van het debat. Zeven op de tien (69 procent) vindt niet dat self sovereign identity de enige toekomstbestendige oplossing is. Net zo duidelijk zijn de kijkers op de vraag van debatleider Diederik van Leeuwen of er, vanuit iBestuur, een langer durende verdiepingsslag moet komen als het gaat om digitale identiteit. Het gros van de kijkers stemt voor.
Wordt dus vervolgd…
Veel gemaakte tekstuele fout: “adaptors” moet zijn: adopters. Adopteren is wat anders dan aanpassen nl.
Erg leuk debat trouwens!
Dank, Harald. Foutje is aangepast!
Ik heb de terugblik met interesse gelezen, maar ook met een lichte verwondering.
Hieronder in kort bestek de reden daarvoor, waarbij ik eerst inga op de registratie van identiteit, en daarna op de digitale identiteit.
In een goed werkende democratie is de overheid dé partij om de identiteit te registreren en verzekeren. Reden daarvoor is dat die identiteit dan met allerlei waarborgen wordt ondersteund tegen misbruik, door die overheid zelf of door derden.
Één van die waarborgen betreft de opzet en werking van de registratie zélf. Die dient namelijk te bestaan uit een beperkte, goed gekozen en goed beveiligde set gegevens.
Onze bevolkingsboekhouding voldoet tot nu toe redelijk goed aan die eis. Het gaat bij de identiteitsbepaling echter om een beperkte set gegevens uit die boekhouding, zoals: naam, geboortedatum, lengte, kleur ogen, eventuele specifieke persoonskenmerken, maar vooral ook: een set familierelaties.
Deze gegevens zijn allemaal op zichzelf niet bepalend om te bewijzen dat je bent wie je zegt te zijn, maar gezamenlijk zijn ze uitzonderlijk effectief. Want onafhankelijk van elkaar, én in combinatie met de persoon in kwestie maakt de set gegevens het mogelijk iemands identiteit praktisch gezien onomstotelijk te bevestigen (absolute zekerheid bestaat uiteraard alleen voor gelovigen).
Met het toevoegen van meer gegevens aan de bevolkingsboekhouding is derhalve uiterste terughoudendheid geboden – het vergroot de kwetsbaarheid van de registratie (denk bijvoorbeeld aan registratie van vingerafdrukken of DNA – dat is vragen om problemen).
De digitale identiteit is per definitie een afgeleide van de werkelijke identiteit. Het zou naar mijn mening heel verstandig zijn als de overheid een digitale identiteit zou gaan verstrekken, net zoals ze dat op papier doet met een paspoort – maar noodzakelijk is het niet. Paspoorten waren in een wat verder verleden ook een private aangelegenheid.
Het is mijns inziens daarbij geen vraag of die digitale identiteit zou moeten worden opgenomen in de bevolkingsboekhouding – zie de kanttekeningen daarover hierboven. Niet voor niets zijn de paspoortregistratie en de DigiD-registratie geen onderdeel van de bevolkingsboekhouding – zij maken er slechts gebruik van.
Maar áls de overheid een digitale identiteit zou gaan verstrekken, dan dient zij dit uitdrukkelijk als infrastructurele voorziening te bestempelen. Hetgeen impliceert dat hoge, wettelijke eisen worden gesteld aan financiering, vormgeving, waarborging, onderhoud en productie. Productie en onderhoud zouden daarbij, even uitdrukkelijk en vergelijkbaar met het paspoort, aan marktpartijen moeten worden overgelaten – de overheid is zelf beslist niet de partij om dat te doen.
Kwestie van schoenmaker en leest… En dat geldt ook voor de DigiD overigens.
Boeiend debat! In deze reactie betoog ik dat in het debat de bouwstenen die je nodig hebt voor een oplossing wel aan de orde komen en dat er ook al een behoorlijke lijn in zit. Je kunt gericht gaan werken aan een werkende praktijk waarin de digitale identiteit beschikbaar is en gebruikt wordt. Mijn voorstel is om het aan te pakken als een inrichtingsvraagstuk waar op het juiste (hoge) bestuurlijke niveau op gestuurd gaat worden.
Het fundament wordt gelegd door de overheid als er bij de burgerlijke stand een geboorte akte wordt opgemaakt. Daar wordt (feitelijk en juridisch) vastgelegd dat iemand bestaat en hoe hij of zij heet. Dat is wereldwijd een verantwoordelijkheid die de overheid heeft. In Nederland ontsluiten we de gegevens via de BRP. Een onomstreden bouwsteen.
Je hebt ook een middel nodig waarmee iemand kan aantonen wie zij is. In de fysieke wereld een paspoort of ID kaart, in digitale wereld een digitaal middel. Omdat de digitale wereld heel anders werkt dan de fysieke wereld zien digitale middelen er heel anders uit, werken ze anders en brengen ze andere (privacy) risico´s met zich. De common sense in de discussie lijkt te zijn dat de overheid voor een basisdocument zorgt en de rest aan de markt overlaat. Een prima startpunt.
Een volgende bouwsteen die je echt nodig hebt is de decentrale attribuut gebaseerde digitale identiteit. Die brengt de burger in positie en laat gedifferentieerde verstrekking van identificerende en andere gegevens toe. Met DigiD verstrek je het BSN, dat is de enige mogelijkheid. In de informatiesamenleving, een ecosysteem met publieke en private partijen, is dat onwerkbaar. Naast identificeren op maat (precies de identificerende gegevens die de situatie vraagt) is ook anoniem werken (deze meneer is 18, het doet er niet toe wie hij is), of voorwaardelijk anoniem (als hij zijn rekening niet betaald kun je erachter komen wie het is) nodig.
Hiermee is de volgende bouwsteen al geïntroduceerd: regie op gegevens. Op 11 juli schreef staatssecretaris Knops aan de Tweede Kamer dat een burger de gegevens die de overheid heeft ook zelf moet kunnen gebruiken. Niet alleen wie je bent maar ook het diploma dat je hebt, je inkomen of dat je een bevoegd verpleegster bent. Dan wordt het echt interessant. In een Maatschappelijke Kosten Baten Analyse die Ecorys en PBLQ hebben opgesteld bleek dat de baten zowel maatschappelijk als bedrijfseconomisch aanzienlijk zijn.
Randvoorwaarde is wel dat de informatiesamenleving voor de burger een vertrouwde omgeving vormt. De bestemmingsplannen waar Esther Makaay over spreekt heten in de wereld van regie op gegevens afsprakenstelsels en daar wordt al in tal van sectoren ervaring mee opgedaan. MedMij in de zorg is een hele grote die al heel concrete resultaten laat zien. Opnieuw een bouwsteen die op de houtkoolschets kan worden ingetekend.
De techniek die nodig is begint te ontstaan in de internetgemeenschap. In W3C verband is het ´verifiable credentials datamodel 1.0´ inmiddels vastgesteld en wordt gewerkt aan een standaard voor ´Decentralised identification (DID) die over anderhalf jaar gereed zou moeten zijn. ´Solid´, waar Tim Berners Lee aan werkt gaat ook helpen.
Als één na laatste bouwsteen een nieuw businessmodel, anders dan de techbedrijven hanteren door je gedragsgegevens te verhandelen. In dit model is er geld beschikbaar doordat de officiële overheidsgegevens geld waard zijn. Een bedrijf dat voor twee euro aan proceskosten kan schrappen als het de officiële overlijdensdatum van een abonnee kan ontvangen, heeft daar heus wel een dubbeltje voor over.
De laatste bouwsteen is wetgeving, kaderstelling door de overheid. De staatssecretaris kondigt in de genoemde brief aan daarmee te zullen komen. Wat mij betreft zou een nieuwe ´Wet op de digitale samenleving´ beter passen bij het vraagstuk dat hier speelt dan de Wet op de digitale overheid die nu bij de Eerste Kamer ligt, maar dat is een uitwerkingskwestie.
Mijn conclusie is dat alle bouwstenen om tot een maatschappelijk buitengewoon belangrijke ontwikkeling te komen er op hoofdlijnen wel zijn. De overheid heeft een cruciale faciliterende en kaderstellende rol. Dit zou chefsache moeten zijn, met directe betrokkenheid en sturing vanuit ministerieel en SG niveau. Als het even kan met de Corona ervaring dat knopen wel degelijk kunnen worden doorgehakt, waardoor het tempo hoog kan zijn. Een prachtige kans!
Het valt me op dat vele bijdragen aan dit onderwerp komen van collega’s die “24/7” met digitale identiteiten werken. Wat ik niet expliciet lees is dat men streeft naar één digitale identiteit. Waar wordt de vraag gesteld of ik als burger dit wel wenselijk vindt? Ik heb momenteel een kleine 350 digitale identiteiten die, grotendeels, helemaal los staan van elkaar? Dat werkt voor mij als afnemer/consument uitstekend.
De overheid een grote rol geven bij digitale initiatieven lijkt mij, gezien de grote hoeveelheid digitale mislukkingen bij de overheid, een weg die je niet wilt inslaan.
Hetzelfde is voor één (digitale) identiteit. Dat roept big brother gevoelens en huiver bij me op. Als consument zeg ik wie ik ben en wil ik gewoon mijn ding kunnen doen. Als iemand niet gelooft dat ik ben wie ik zeg te zijn dan hoef ik geen zaken met je te doen. Waarom zou ik zaken met iemand doen die me niet vertrouwd?
Hier een (centrale) controle op uit willen voeren is voor control freaks die keer op keer teleurgesteld zullen worden als het “in control zijn” faalt.
Dus waarom je inspannen voor iets dat bij voorbaat niet oplevert wat je wilt (100% in control zijn) en waar een burger/consument niet op zit te wachten?