De Europese Commissie heeft grote plannen met het European Digital Identity Framework. Qua omvang en tijdlijn een immense verbouwing van de infrastructuur rond onze digitale identiteit. Hoe gaan we dit in Nederland verantwoord vormgeven en zijn wij daar klaar voor?
Beeld: Shutterstock
Op 3 juni 2021 staan Eurocommissarissen Margrethe Vestager en Thierry Breton voor een zaal met journalisten en veel geïnteresseerde videokijkers. Ze kondigen samen het European Digital Identity Framework aan: een Europese digitale identiteit voor iedere EU-burger, elke inwoner en elke onderneming die dat wil. Met deze digitale identiteit kunnen mensen zich identificeren, persoonlijke gegevens delen en documenten ondertekenen.
De digitale identiteit wordt bruikbaar door de gehele EU, en in de publieke en private sector. Mogelijk gemaakt door een digitale portemonnee, een wallet. Het concept van een wallet valt te begrijpen door te denken aan twee zaken die je meestal bij je hebt. Je portemonnee en je sleutels. Die gaan we digitaal integreren in iets dat je waarschijnlijk ook altijd bij je hebt: je smartphone.
Digitale sleutels en portemonnee in één
Hoe zorg je dat je op het internet toegang kunt krijgen tot plekken waarvoor de toegang beperkt is; zoals je in de fysieke wereld met je sleutels doet? Hoe kun je op het internet bewijzen dat je rijbevoegd bent, dat je een opleiding hebt of dat je verzekerd bent; zoals je fysiek met de inhoud van je portemonnee doet?
Voor toegang (je sleutels) gebruik je op het internet waarschijnlijk een hele berg gebruikersnaam-wachtwoordcombinaties. Mogelijk heb je hier nog een vorm van een tweede factorauthenticatiemiddel bij (pasje of authenticator-app). En als het echt belangrijk is dat alleen jij toegang krijgt, zal er waarschijnlijk een unieke eigenschap (biometrisch) van jou gevraagd worden.
Het idee van het European Digital Identity Framework is dat alle nationale overheden vanaf 2024 minimaal één wallet gaan uitgeven of erkennen.
Voor je claims ben je waarschijnlijk veel meer tijd kwijt. Vaak verval je in de ouderwetse en onbetrouwbare kopie of scan, om iets te bewijzen. Via je bankaccount zie je bijvoorbeeld hoeveel geld je (volgens de bank) hebt. Via je verzekeraar of je (volgens hen) een polis hebt. Via DUO of onderwijsinstelling of en welke diploma’s je (volgens hen) hebt. Via MijnOverheid wat de Rijksoverheid allemaal van je geregistreerd heeft. Je kunt deze gegevens echter lastig ‘meenemen’ en ergens anders gebruiken om iets over jezelf te bewijzen, omdat ze niet zijn voorzien van digitale echtheidskenmerken.
Rooskleurig toekomstbeeld
Wat nu als deze complexe vormen van toegang (digitale sleutel) en claims (digitale portemonnee) allemaal simpel, veilig en betrouwbaar op je telefoon zouden staan? En wat als je met die telefoon ook nog eens digitaal je handtekening kunt zetten? Met behoud van autonomie, privacy en volledig onder jouw controle en zonder gebruik van niet-Europese techbedrijven die zich matig aan onze regels houden. Dat is het streven van de Europese digitale identiteit wallet.
Het idee van het European Digital Identity Framework is dat alle nationale overheden vanaf 2024 minimaal één wallet gaan uitgeven of erkennen. Deze wallet moet op mobiele apparaten werken, het hoogste niveau van betrouwbaarheid bieden, in de publieke en private sector bruikbaar zijn, en de gebruiker regie over zijn eigen gegevens bieden. U begrijpt, dit is een flinke opgave.
Doembeelden
Deze veelomvattende wallet is niet zomaar een neutraal vraagstuk. De risico’s liggen grof gezegd op het domein van persoonlijke autonomie, privacy, gegevensbescherming, inclusie, projectuitvoering en governance. Ook zijn er complexe vragen over de marktinrichting rond de wallet. Is het een taak van de overheid om één goed werkende wallet te leveren omdat het een te belangrijke nutsfunctie is? Of kan de overheid beter toezicht houden op een open stelsel en wallets certificeren die voldoen aan bepaalde eisen?
Gemak is fijn, maar het maakt ook dat we makkelijker verleid kunnen worden tot zaken waarvan we spijt krijgen.
Critici wijzen op het risico dat de leverancier van zo’n wallet veel gegevens kan verzamelen (en dus ook kwijtraken) over waar en wanneer de gebruiker allemaal zakendoet. Dit risico ziet de Europese Commissie ook. Daarom wordt in het wetsvoorstel aangegeven dat gebruikers volledige controle over hun gegevens moeten hebben en de leverancier van een wallet gebruiksgegevens niet voor commerciële doelen mag gebruiken (artikel 6a-7).
Er zijn echter nog complexere risico’s. Bijvoorbeeld: doordat gegevens steeds makkelijker te delen zijn, zal er ook steeds meer door dienstverleners om gegevens worden gevraagd. Gemak is fijn, maar het maakt ook dat we makkelijker verleid kunnen worden tot zaken waarvan we spijt krijgen en waar we de risico’s niet van kunnen overzien. Ook is het misschien wel helemaal niet wenselijk dat we steeds vaker zaken heel betrouwbaar gaan bewijzen. Online gemak zonder begrip is altijd een risico.
Tot slot is het een complex project om een wallet te realiseren die zo breed inzetbaar is als voorgesteld. Het moet volgens gangbare standaarden, waarbij alle partijen zich goed gehoord weten; zowel de partijen die gegevens beheren als de partijen waar je de wallet moet kunnen gebruiken.
Competente overheid
Het vraagstuk van onze toekomstige digitale identiteit infrastructuur met als centrale component de wallet is niet een probleem waar even ‘een oplossing’ voor moet komen. Het is een richting die met de juiste bedoelingen wordt ingeslagen en waarbij nog veel zaken grondig uitgewerkt moeten worden. Dit initiatief vereist een competente overheid. Een overheid die leiderschap, mandaat en open maatschappelijk debat op de juiste manier organiseert. De komende jaren gaan we zien of we hier als Nederland toe in staat zijn.
Wouter Welling is coördinator digitale identiteit bij het ministerie van Binnenlandse Zaken en Koninkrijksrelaties. Dit artikel is geschreven op persoonlijke titel en verwoordt niet het formele standpunt van de overheid.
Dit artikel is gepubliceerd in iBestuur Magazine #41.
Een abonnement op ons kwartaalmagazine is gratis voor bestuurders, beslissers en beleidsmakers binnen de publieke sector. Nog geen abonnement? Meteen even aanmelden!
Ik ben het volledig eens met Wouter.
Deze forse Europese ontwikkeling, waarbij iedereen een veilig en privacy vriendelijke wallet kan krijgen op zijn mobiele waarmee hij zijn betrouwbare gegevens, verklaringen en op wat langere termijn ook betalingen kan gaan doen, vereist van de overheid sterk leiderschap.
Een overheid die helder stuurt op wat de maatschappelijke opbrengst moet zijn en daarbij een level playing field creëert, op basis van de Europese verordening, om alle partijen gelijk te behandelen.
Dit leiderschap moet vertrouwen geven aan alle partijen dat, in kleine stapjes, we in Nederland de komende jaren gezamenlijk (publiek, privaat en wetenschappelijk) binnen Europa een geweldig stap voorwaarts zetten. De doelstelling daarbij is om invulling te geven aan de Digital Single Market.
Wouter geeft een hele duidelijke uitleg van de mogelijkheden en ook de risico’s van het traject van de digitale identiteit wallets. Dit biedt grote kansen, maar de vraag is ook vooral hoe deze beweging wordt ingezet, hoe wordt geborgd dat er geen misbruik van burgers kan worden gemaakt, door private of publieke partijen. En hoe wordt geborgd dat zowel publieke als private partijen deze wallets accepteren en toepasesn. Zijn onze identiteit en persoonsgegevens net zo veilig in Hongarije, Polen of Bulgarije als in Nederland? En hoe controleer je dat er door partijen in de verdere keten wel commercieel gebruik gemaakt wordt van gegevens uit de wallet? Welke waarborgen worden ingebouwd en hoe kan je als burger je rechten uitoefenen? Als dit al niet lukt met de AVG, hoe gaat het dan straks met eIDAS2? Ik ben het ook helemaal eens met André, want een moedige overheid is wat wij nodig hebben, om vertrouwen tussen burgers en deelnemers aan stelsels te borgen, en bij problemen te bemiddelen danwel te oordelen. Er zal dus heel wat water door de Rijn gaan voordat deze details helder zijn. Maar ik juich deze beweging vooral toe, want nu zijn we als burgers en consumenten redelijk kansloos. Als Europa regelt dat wij rechten krijgen die we ook echt kunnen uitoefenen dan zitten wij op de goede weg!