De burger centraal bij de ontwikkelingen digitale identiteit en eWallet

Biedt een digitale identiteit inclusief digitale portemonnee de burger een veilige regierol over zijn gegevens in de publieke en private digitale wereld? Manfred Rosenboom van Capgemini Invent deelt zijn visie op het onderwerp.

Uit onlangs gehouden onderzoek door Ipsos onder zo’n 1.000 burgers blijkt dat het met het vertrouwen in en de tevredenheid over het gebruik van DigiD wel goed zit.

Dat is natuurlijk een groot goed natuurlijk maar hoe zou het zijn als je als burger een middel bezit waarmee je volledige regie hebt over je brongegevens èn waarmee je digitaal privaat en publiek zaken kunt doen? Een soort digital twin van je identiteit.

Het is een doodgewone maandag en ik ben op weg naar kantoor. Een dag vol identificatie-momenten. De paslezer bij de parkeergarage herkent mijn pas en ik mag naar binnen. Ik sluit mijn elektrische auto aan op de lader nadat het laadstation mij en mijn auto heeft geïdentificeerd. Dan naar kantoor. Ik start mijn computer op en identificeer mij via gezichtsherkenning en ga aan de slag.

Tijdens het werk krijg ik een melding op mijn mobiel dat ik aangifte moet doen voor de omzetbelasting. Ik start de DigiD-app op en in een paar minuten is die klus geklaard en kan ik verder met mijn werk. In de pauze log ik nog even in via mijn bank app en maak wat geld over naar mijn studerende dochter.

In slechts een paar uur van een normale dag zijn mijn persoonlijke gegevens gedeeld met meerdere organisaties en is steeds gecheckt of ik besta, wie ik ben, of ik ben wie ik zeg dat ik ben en of ik mag doen wat ik vraag.

Onduidelijk is in veel gevallen wat er precies met mijn gegevens gebeurt en of ik niet te veel gegevens heb gedeeld. Meestal kun je immers niet selecteren wat je deelt om iets wel of niet te kunnen of te mogen. In je rijbewijs of paspoort staat immers veel meer en dat kun je niet afschermen.

Naast alle activiteiten in de fysieke wereld, bewegen burgers en bedrijven zich meer en meer in de digitale en virtuele wereld. Zowel zakelijke diensten en producten als overheidsdiensten worden steeds meer volledig digitaal besteld, afgenomen en gebruikt. Bij al die digitale handelingen en transacties volgen vier stappen elkaar steeds op:
1. Het toekennen van een digitale identiteit aan iemand (Ik besta)
2. Identificatie (Wie bent u?)
3. Authenticatie (bent u wie u zegt dat u bent?)
4. Autorisatie (Mag u doen wat u vraagt, bent u geautoriseerd?)

In veel gevallen voelt dit inmiddels als één handeling en worden de stappen razendsnel genomen omdat je bij de eerste stap zoveel gegevens hebt geleverd dat je als een vertrouwd persoon of bedrijf wordt beschouwd.

Met het toenemende, internationale, digitale verkeer is het hebben van een veilige digitale identiteit en dito identificatiemiddel zeer belangrijk. Ook voor de overheid is het van belang om over en weer veilig te kunnen blijven interacteren met burgers en bedrijven.

Balans digitale veiligheid en gebruiksgemak

Er zijn de afgelopen jaren veel initiatieven genomen om veilige, gebruiksvriendelijk en inclusieve digitale identiteiten te ontwikkelen. Zowel private initiatieven als publieke initiatieven nationaal en internationaal zijn bekend, zoals onder andere IRMA, iDIN en Itsme en de KDTI pilot. In een aantal gevallen wordt gebruik gemaakt van een app en biometrische gegevens. Dit zijn gegevens zoals een vingerafdruk, irisscan of gezichtsherkenning.

De Autoriteit Persoonsgegevens (API) stelt strenge eisen aan het gebruik hiervan omdat deze gegevens vaak meer informatie bevatten dan strikt noodzakelijk is voor identificatie. Zo kan er uit bepaalde lichaamskenmerken ook afgeleid worden wat iemands gezondheidstoestand, gender of etniciteit is. De verwerking van biometrische gegevens valt binnen de Algemene Verordening Gegevensbescherming (AVG) onder bijzondere persoonsgegevens en het gebruik ervan voor identificatie is in beginsel verboden.

Echter, als er een zwaarwegend belang aan de orde is mogen biometrische gegevens gebruikt worden voor authenticatie- of beveiligingsdoeleinden. Voor de overheid dus niet vanzelfsprekend om hier gebruik van te maken terwijl in de praktijk veel mensen met een smartphone al lang gebruik maken van gezichtsherkenning of een vingerafdruk.

Dat brengt ons op het volgende; de ontwikkelaars van digitale identiteiten maken gebruik van verschillende technologieën die variëren van open source software tot closed software en centrale en decentrale architectuur. Aan deze technologieën kleven voor- en nadelen en ze zorgen voor forse discussies, ook in de politiek.

Daar heeft de discussie over onder andere privacy by design, omgang met gegevens en open source geleid tot voorstel voor aanpassing van de Wet digitale overheid (Wdo). Duidelijk is dat de mogelijkheid om identiteitsgegevens te koppelen aan gebruiksgegevens niet gewenst is.

Huidige en toekomstige middelen

In ons land zijn DigiD voor het burgerdomein en E-herkenning voor het bedrijvendomein de meest gebruikte digitale middelen om je identiteit mee te tonen en te bevestigen als je zaken doet met overheidsorganisaties. DigiD is inmiddels een zeer vertrouwd en enig inlogmiddel om als burger zaken te doen met de overheid. In 2021 registreerde Logius, de beheerder en ontwikkelaar van DigiD, meer dan 550 miljoen geslaagde authenticaties.

DigiD is ook erkend als Europees inlogmiddel en voldoet hiermee aan de eIDAS verordening. eIDAS staat voor Electronic Identification And Trust Services. eIDAS zorgt ervoor dat overheidsorganisaties in landen binnen de Europese Unie elkaars inlogmiddelen toegang geven.

Net als DigiD is eHerkenning een Europees erkend inlogmiddel maar dan voor gebruik in het bedrijven domein. Nederland kent als enige in Europa het onderscheid tussen het burger- en bedrijvendomein. Dat maakt de weg naar een Europees geïntegreerd middel lastig. Daarom is in de Wdo integratie van beide middelen een van de doelen.

De toekomst komt uit Europa?

Tot nu toe heeft de in 2014 aangenomen eIDAS verordening waarin de lidstaten ervoor zouden zorgen dat binnen Europa erkende elektronische identificatiemiddelenkomen die grensoverschrijdend gebruikt kunnen worden niet veel succes opgeleverd. Enerzijds zijn er nog veel landen die geen Europese erkenning hebben en anderzijds blijkt dat maar weinig dienstverleners aangesloten zijn op de eIDAS infrastructuur.

Mede hierdoor heeft de Europese Commissie besloten om de eIDAS wetgeving te reviseren en te versterken. Onder andere door de introductie van de eWallet. In haar ‘state of the union’ speech van 16 september 2022 kondigde Ursula van der Leyen het al aan; er moet een beveiligde e-identiteit komen die elke burger en bedrijf overal in Europa kan gebruiken. Van belasting betalen tot een fiets huren. Het moet een technologie worden waarbij burgers zelf kunnen controleren welke gegevens worden gebruikt en hoe ze worden gebruikt.

Er is een ambitieus tijdpad vastgesteld; in 2023 moet het raamwerk voor een Europese Digitale Identiteit (EDI) staan. In 2025 zou het zover moeten zijn dat als je als burger of bedrijf zou moeten kunnen beschikken over een Europese Wallet. Want dat is waar de huidige gedachten naar uitgaan; een e-identiteit die wordt opgeslagen in een persoonlijke eWallet.

De eWallet bevat je digitale identiteit, die uit authentieke brongegevens zoals BSN en gegevens uit de Basisregistratie persoonsgegevens BRP bestaat. Die gegevens kunnen gekoppeld worden met andere digitale gegevens en digitale bewijzen, ook wel attributen genoemd (documenten zoals rijbewijs, diploma’s, bankpas). Via een smartphone of andere mobiele applicatie kun je er gebruik van maken.

De eWallet wordt overigens geen verplicht middel. Het staat iedereen vrij om er gebruik van te maken.

Doel

Het doel van de eWallet is meerledig. Enerzijds is het de bedoeling om burgers en bedrijven meer gebruiksgemak te bieden omdat je met één eWallet alle digitale transacties zou moeten kunnen doen die anders verschillende identificatiemiddelen vragen. Zo zou je er bijvoorbeeld online bankzaken, de belastingaangifte, aankopen bij bedrijven, inschrijving bij een school of een auto huren, mee moeten kunnen regelen.

Anderzijds wil Europa er ook voor zorgen dat burgers en bedrijven kunnen vertrouwen op een middel op het hoogste betrouwbaarheidsniveau. De EU maakt zich zorgen over de macht van big tech en mogelijke misbruik van gegevens. Google en Facebook bijvoorbeeld maken het nu ook al mogelijk om je via hen te identificeren. Met de eWallet wil de EU een veilig en vertrouwd alternatief bieden.

De burgers staat centraal en kan regie voeren op zijn persoonlijke gegevens en zelf bepalen wat hij met wie deelt.

Daarnaast biedt de eWallet volgens de plannen de mogelijkheid om ‘grenzeloos’ transacties te verrichten in heel Europa. Daarmee worden deze transacties makkelijker omdat bepaalde bureaucratische processen achterweg kunnen blijven. Een bankrekening openen in het buitenland is bijvoorbeeld eenvoudiger met de eigen nationale wallet. Het geldt ook voor andere processen waar normaliter veel fysieke stukken over en weer gaan.

Denk bijvoorbeeld aan het afsluiten van een hypotheek. eWallets hebben zeer waarschijnlijk ook de potentie in zich voor innovatie. Je kunt er als gebruiker zelf nieuwe attributen van leveranciers aan toevoegen (via een scan of QR code) die voor jou persoonlijk van belang zijn (zoals bepaalde klantenkaarten, toegangscontrole gegevens, login gegevens) en hebt en houdt hier zelf de regie op.

Multidisciplinaire aanpak

Kortom, de ambitie is mooi zo lijkt het maar er zijn nog heel veel hobbels te nemen en vragen te beantwoorden voor het zover is. De aanpak in Nederland om een eWallet te ontwikkelen is multidisciplinair. Multidisciplinair in de zin van een nadrukkelijke vraag vanuit het ministerie en het programma om zowel publieke en private partijen, maatschappelijke organisaties en universiteiten te betrekken bij de ontwikkeling.

Ook werkt Nederland samen met andere landen zoals Duitsland. Deze werkwijze is toe te juichen. Enkele belangrijke vraagstukken die bij de ontwikkeling van de eWallet opgepakt moeten worden, zijn bijvoorbeeld het wel of geen gebruikmaken van technologie onafhankelijke principes bij het ontwerp en, de keuze voor het gebruik van open standaarden.

Dit zijn belangrijke ‘basis’ voorwaarden. Het is natuurlijk de bedoeling dat burgers en bedrijven niet gedwongen worden om een Apple device aan te schaffen omdat een bepaalde dienst alleen daar wordt aangeboden.

Een andere randvoorwaarde is privacy by design. Hiermee houdt de eigenaar van de identiteit de controle over zijn of haar gegevens en is er bescherming geregeld. Encryptie, data minimalisatie, het vaststellen van bewaartermijnen en andere privacy verhogende maatregelen zijn hierbij van belang. Zo zal een uitgever van attributen het tonen van die attributen door de gebruiker niet moeten kunnen traceren.

Verder mag het opslaan van het tonen van een attribuut niet voorkomen. Het bijhouden van handelingen door een gebruiker bij een bedrijf wordt daarmee voorkomen. Daarnaast moet geborgd worden dat identificatiegegevens en attributen alleen op je device staan of in je persoonlijke cloud en niet gedeeld zijn met bijvoorbeeld de leverancier van je device.

De vraag naar over identificatie ligt ook bij het gebruik van de wallet op de loer. Het kan gebeuren dat bedrijven meer gegevens uitvragen dan nodig is. Een functie in de wallet die checkt wat een dienstaanbieder mag uitvragen zou dit mogelijk kunnen voorkomen.

Daarnaast zijn er nog allerlei beleidsmatige vraagstukken op te lossen. Zo moet onderzocht worden wat de risico’s zijn van een uniek Europees identificatienummer. In de Tweede Kamer zijn hier al vragen over gesteld. Verder zijn er nog altijd veel verschillen tussen de landen in de EU als het gaat om beveiliging en privacy. Hoe ga je daar mee om als er een middel komt dat in alle landen op gelijke wijze gebruikt kan worden? Is het gebruik van biometrie vanzelfsprekend bij gebruik van de eWallet of is dit te kwetsbaar en zijn andere oplossingen ook mogelijk?

Hoe gaan we om met de bestaande identificatiemiddelen in Nederland zoals Digid? Blijft dit in de huidige vorm bestaan naast de eWallet? Het is in ieder geval duidelijk dat met deze stap het ontwikkelen van een digitale identiteit in de vorm van een eWallet een nieuwe weg wordt ingeslagen maar dat die niet zonder risico’s is.

De betrouwbaarheid, veiligheid en borging van privacy hangt bij de ontwikkeling in grote mate af van wet- en regelgeving, het aantal partijen dat deelneemt, de componenten die gebruikt worden, de samenwerking en afstemming tussen landen en de verschillende koppelingen die gebruikt worden.

Er is dus nog veel te doen om de ambitie van de EU waar te maken en burgers en bedrijven daadwerkelijk een middel te leveren dat veilig, betrouwbaar en qua gebruik zodanig is doorontwikkeld dat volledige regie over de eigen digitale identiteit en internationaal gebruiksgemak geborgd is.

Over de auteur: Manfred Rosenboom is Senior Manager bij Capgemini Invent. Manfred is gespecialiseerd in complexere veranderopgaven en organisatieontwikkeling waarbij maatschappelijke doelen voorop staan en waarbij digitalisering meestal een belangrijke rol speelt.