Europese digitale identiteit – eID en eIDAS

Mark Vermeer opent:

• in tegenstelling tot de titel van deze commissievergadering (voortgangsrapportage (Europese) digitale identiteit komt er geen Europees paspoort of nummer … Vermeer geeft aan dat er op Eu-niveua gewerkt wordt aan een (onzichtbaar) digitaal raamwerk voor digitale identiteit en het zijn de lidstaten zelf die deze toekomstige digitale identiteiten zullen gaan maken/uitgeven
• burgers en bedrijven zouden vrijwillig via een Europese wallet (eID) gebruik kunnen gaan maken (die dus niet door de EU wordt beheerd of geïnitieerd)
• dit raamwerk zou de veiligheids- en betrouwbaarheidseisen moeten toetsen en borgen opdat er binnen eelke lidstaat aan dezelfde normering wordt voldaan
  • hiermee zouden burgers en bedrijven met zo’n eWallet digitaal zaken moeten kunnen doen over de grens zoals bv het alleen vrijwillig delen van een diploma of rijbevoegdheid

Tim Speelman gaat verder in 3 thema’s geheten Beleidsmatige Context, Europees Raamwerk voor Digitale Identiteit en als laatste Nationale Activiteiten en Publieke Wallet.

• Beleidsmatige Context
  • burgers, bedrijven en overheden met elkaar zaken kunnen laten doen op een veilige en betrouwbare wijze
  • middels regels en middelen werden instrumenten opgetuigd als DIGID en Wet Digitale Overheid
  • zulks mogelijk maken buiten de landsgrenzen van een lidstaat werd in 2014 door de EU de eIDAS verordening gerealiseerd
    • in Nederlands geheten elektronische identificatie- en vertrouwensdiensten
    • wederzijdse erkenning nationale inlogmiddelen en vertrouwensdiensten (bv elektronische handtekeningen)
    • evaluatie stelde dat onder meer private sector behoeftig was naar betrouwbaar inloggen, er behoefte was naar regie op eigen gegevens en marktdominantie techgiganten verminderd zou moeten worden
    • het laatste punt leidde naar een voorgestelde herziening van eIDAS in 2021 dat is verwerkt in Europees Raamwerk Digitale Identiteit
• Europees Raamwerk Digitale Identiteit
  • naast inlogmiddelen voorziet dit raamwerk in bv een id-wallet
  • deze id-wallet kan naast inloogen ook (persoonlijke) gegevens delen en ondertekenen
  • te gebruiken zowel in publieke als private sector
  • ook off-line te bruiken (in sommige omstandigheden als bv het rijbewijs tonen bij het huren van een auto)
  • iedere lidstaat moet tenminste één dergelijke wallet zelf uitgeven of erkennen waarmee aldus de heer Speelman ontkracht wordt dat de EU dit uitgeven/erkennen zou verzorgen
  • de wallet kent een uitbreiding: gegevensbewijzen zoals diploma’s of rijbewijzen

Speelman gaat verder met:

• het concept id-wallet zou burgers en bedrijven meer controle moeten geven op hun gegevens
• vrijwillig kan een individu een persoonlijke wallet installeren op bv een telefoon die voorzien wordt van een pincode waarmee exclusieve controle wordt geborgd
  • in deze persoonlijke wallet kunnen digitale gezet worden waarmee de eigenaar zijn/haar voordeel kan doen (in Speelman’s voorbeeld denkt hij aan een bank die de klant om gegevens kan vragen die dan uit die persoonlijke wallet gedeeld kunnen worden)
  • volgens de presentatie kan een traag werkje als gegevens delen om een huurwoning te verkrijgen veel sneller verlopen én in de transactie zou de omvang teveel data delen verminderd worden
•  WAARBORGEN Europees Raamwerk Digitale Identiteit
  • gebruik van de id-wallet is niet verplicht
    • identificatie wordt alleen gebruikt wanneer een individu dit zelf wenst en Speelman geeft aan dat de DIGI-d door deze verordening niet verdwijnt, dus DIGI-d zal in de toekomst gebruikt kunnen blijven worden
  • regie op eigen gegevens zoals terugkijken wat reeds werd gedeeld én zelf bepalen of je iets deelt
  • betrouwbaarheidsniveau eIDAS hoog
  • open source verplichting waarmee de broncode publiekelijk is en onafhankelijk van elkaar te verifiëren is
  • (her)certificering van wallets en kwetsbaarheidstoetsen
  • toezicht op wallet-diensten moet nationaal worden ingericht
  • er zal geen Europees identificerend nummer komen, er wordt gebruik gemaakt (vrijwillig) van het BSN-nr
    • pseudoniem kan gebruikt worden wanneer in contact met diensten waar wettelijke identificatie niet verplicht is
  • een verhandelverbod op te gelde maken van gegevens
  • privacy by-design en dataminimalisatie
  • vertrouwende partijen oftewel dienstverleners moeten in een nationaal register aangeven welke gegevens zij nodig achten
    • vanwege de aanwezigheid van een nationaal register kunnen toezichthouders/belangenpartijen deze informatie inzien
      • later vult Speelman aan een ‘openbaar register’ dus hiermee zouden burgers ook dit registerm oeten kunnen raadplegen
      • zo’n register zou o.a. excessen in het licht van de openbaarheid eruit moeten kunnen halen 
  • gebruikers van de ID-wallet kunnen bij twijfel of klacht direct vanuit deze ID-wallet meldingen maken bij een gegevensbeschermende autoriteit
    • ook kan vanuit de wallet een dienstverlener gevraagd worden om gegevens te verwijderen

Onderstaand maakt (ook) deel uit van het Europees Raamwerk voor Digitale Dienst

• Verplichtingen voor Lidstaten
  • tenminste één gecertificeerde ID-wallet uitgeven en/of erkennen
  • mogelijk maken dat gegevens uit overheidsbronnen door gebruiker geverifieerd kunnen worden
  • wallets van andere lidstaten accepteren tbv publieke diensten
  • stelselvoorzieningen inrichten dwz bv een register 24/7 online aanbieden waarin vertrouwende partijen vermeld staan
• Indicatieve Tijdlijn
  • Q4 2023 akkoord bereikt in Triloog op wettekst
  • Q1 2024 definitieve stemming Europese Raad en Europees Parlement
  • wanneer vorig punt accordatie bereikt zal in Q1 2024 publicatie en in werking treding van de herziene eIDAS verordening (EU raamwerk)
  • Q1-2 2024 uitvoeringen technische handelingen
  • 2024-2026 voorbereiding uitvoeringswet en regelgeving binnen parlementair proces
  • verwachting Q3 2026 deadline uitgifte/erkenning van ID-wallet(s)

Antwoorden op vragen

• Het gebruik van de ID-wallet zou vrijblijvend zijn … de één gaat er mee aan de slag en de ander mijdt de wallet.
  • tav publiek gebruik (overheden) zou in het bestuursrecht opgenomen zijn dat er meer dan één identificatiemogelijkheden geaccepteerd moeten worden
  • op de vraag of dienstverleners (vertrouwende partijen) wanneer zij zouden besluiten om enkel en alleen gebruik van hun diensten mogelijk te maken via de ID-wallet, andere mogelijkheden zou uitsluiten … dit zou niet in de eIDAS  verordening zijn opgenomen
    • hangend op vorig punt zou in de verordening opgenomen zijn dat dienstverleners bestaande identificatie inlogmiddelen moeten accepteren
  •  in de verordening zou niet opgenomen zijn dat attributen (kenmerken) en attesten (diploma’s, rijbewijzen, vaccinatiebewijzen) mbt gezondheids- en vaccinatiestatus noodzakelijk geacht worden
    • de heer Vermeer geeft aan (42:50) dat zaken mbt vorig punt altijd door gebruiker zelf wél of niet aangezet worden
  • Petronia beschrijft kort het proces waartoe toezichthouders zich dienen te verhouden; toezichthouders zijn onafhankelijk (worden niet door een lidstaat aangewezen) en dienen vtv een conformitietsbeoordeling ondergaan tegen hoge technische eisen door een geaccrediteerde auditor; vervolgens heeft de nationale toezichthouder (in nl de rdi) hierna de mogelijkheid om zelf aanvullend onderzoek te plegen teneinde te bezien of een partij de status ‘gekwalicifeerd’ zal ontvangen
  • mbt of er een Europees nummer aan een gebruiker wordt toegekend zou dit niet gebeuren; Speelman geeft aan (46:20) dat bv in NL het gebruikelijke BSNnr gebruikt kan worden; in andere situaties zullen er andere nummers gecreëerd worden … maar een gebruiker zou altijd zien wat er gedeeld wordt
• Nationale Activiteiten en de Publieke Wallet
  • programma EDI Stelsel NL verzorgt programma wallet, voorzieningen en toezicht
  • open gesprek (47:00) dwz meet-ups en dialoogsessies en communicatie hierover op edi.pleio website
• Publieke wallet
  • start ontwikkeling voor burgers (die dat willen) is gebeurd (deadline is september 2026)
  • privacy-by-design, dataminimalisatie, open source, toegankelijk, hoge mate van veiligheid en betrouwbaarheid
  • evaluatie van de ontwikkeling van de wallet wordt doorlopend geëvalueerd
  • Q3-4 eerste wallet beeproeving in beschermde omgeving door beperkt groepje gebruikers
  • broncode van de wallet is in te zien op Github
  •  in het videofragment dat volgt hier beneden neemt Speelman op het scherm een klein voorproefje van de e-wallet