eIDAS-hervorming : Het EU-Parlement stemt voor digitale portemonnee

Bijna drie jaar lang werd er gevochten om het grootste digitale beleidsproject van de Europese Unie. Vandaag heeft het EU-Parlement groen licht gegeven voor de eIDAS-hervorming. Burgerrechtenorganisaties blijven waarschuwen voor de mogelijkheden van misbruik en eisen duidelijke normen voor de technische implementatie.

Het Europees Parlement heeft vandaag met grote meerderheid de eIDAS-hervorming aangenomen . Tegen het najaar van 2026 moeten alle EU-lidstaten hun burgers nu een zogenaamde ‘European Digital Identity Wallet’ (ID-portemonnee) aanbieden, waarmee zij zich vervolgens online en offline en op vrijwel alle terreinen van het leven kunnen identificeren.

Tijdens het plenaire debat vroeg de verantwoordelijke rapporteur van het Parlement, Romana Jerković, goedkeuring aan de parlementsleden. De ID-portemonnee is een praktisch en gegevensbeschermingsvriendelijk alternatief voor de identificatieaanbiedingen van technologiebedrijven en zal daarom de veiligheid op internet vergroten, aldus de sociaaldemocraat.

Thierry Breton, EU-commissaris voor de Interne Markt, promootte ook de hervorming. Het is feitelijk een “revolutie” die een digitale Europese interne markt mogelijk maakt, aldus Breton. De Commissie heeft de overeenkomstige ontwerpverordening in juni 2021 gepresenteerd. Als gevolg hiervan zou in 2030 80 procent van de EU-burgers een digitale identiteit moeten hebben.

ID-portemonnee is vrijwillig

Er is de afgelopen jaren hard gevochten om de wet . De hervorming die nu is doorgevoerd, bepaalt dat het gebruik van portemonnees vrijwillig en gratis is. Burgers die afzien van de digitale portemonnee mogen geen nadelen ondervinden.

Wie de portemonnee gebruikt, moet op transparante wijze kunnen bepalen welke gegevens worden doorgegeven aan zogenoemde ‘relying partijen’. Deze ‘vertrouwde partijen’ kunnen bedrijven of publieke instellingen zijn. U moet zich vooraf in de betreffende EU-lidstaten registreren en uitleggen welke gegevens u van gebruikers vraagt ​​en voor welk doel.

Bovendien mogen verschillende identificatieprocessen niet aan elkaar gekoppeld zijn. Concreet betekent dit: Als iemand bijvoorbeeld herhaaldelijk alcohol koopt in dezelfde winkel en zijn leeftijd aantoont met behulp van de ID-portemonnee, kan het bedrijf deze processen niet evalueren om het koopgedrag te volgen.

eIDAS Beperkte pseudonimiteit

Het door de Commissie voorgestelde permanente persoonlijke identificatienummer voor alle EU-burgers is niet in de wet opgenomen. In de toekomst mogen unieke identificatienummers alleen worden gebruikt wanneer EU-burgers grensoverschrijdend gebruik maken van administratieve diensten. Het EU-Parlement had gepleit voor meer gegevensbeschermingsvriendelijke alternatieven , maar had tijdens de trialoogonderhandelingen niet de overhand.

In het dagelijks leven moeten portemonneegebruikers hun persoonlijke gegevens, een pseudoniem of een zogenaamd nulkennisbewijs kunnen gebruiken. Dit hangt af van de use case: als naamidentificatie vereist is, zullen ze hun persoonlijke gegevens gebruiken. Om te bevestigen dat ze meerderjarig zijn, is een nulkennisbewijs voldoende. De portemonnee zou alleen bevestigen dat iemands leeftijd ouder is dan 18 jaar – zonder verdere persoonlijke informatie te onthullen.

Volgens de verordening kan het recht op pseudonimiteit echter worden beperkt door nationaal of EU-recht. En het nulkennisbewijs wordt alleen als vereiste aangetroffen in de toelichtende overwegingen van de verordening en vormt dus geen verplichting voor de EU-lidstaten.

Daarnaast zullen ook grote techbedrijven in de toekomst registratie via ID wallet als optie moeten aanbieden. Gebruikers zijn vrij om deze te gebruiken. Vanuit het oogpunt van gegevensbescherming zou het zinvol zijn geweest om het gebruik strikt te beperken tot die gevallen waarin identificatie wettelijk verplicht is. Dit is bijvoorbeeld het geval bij het openen van een bankrekening.

Als bedrijven identificatie nu ook voor andere diensten gebruiken, bestaat het risico van overidentificatie. Dit geeft bedrijven de mogelijkheid om nog preciezere profielen van hun gebruikers te creëren.

eIDAS Certificaten: Commissie geeft toe

Slechts een paar dagen voor de stemming van vandaag was er beweging in een verhit geschil . De vraag was of de eIDAS-hervorming browseraanbieders zou moeten verplichten bepaalde gekwalificeerde certificaten (QWAC’s) te accepteren.

IT-experts en NGO’s hadden met name kritiek op het feit dat artikel 45 van de ontwerpverordening de vertrouwelijke en veilige communicatie op internet bedreigde. Overheidsautoriteiten zouden de certificaten kunnen misbruiken om websites te compromitteren en zo mogelijk de internetcommunicatie van alle EU-burgers te bespioneren.

Dit geschil is inmiddels voorlopig beslecht. De verordening bepaalt in een nieuw toegevoegd artikel 45a dat browseraanbieders voorzorgsmaatregelen mogen nemen als ze “redelijke zorgen hebben over inbreuken op de beveiliging of verlies van integriteit” van certificaten.

Met zijn besluit van vandaag heeft het Parlement ook een formele verklaring van de Commissie aangenomen als bijlage bij de wet. Daarin bevestigt het college dat browseraanbieders zelf mogen beslissen welke beveiligingsmaatregelen zij in hun browsers implementeren. Ook in het plenaire debat benadrukte Thierry Breton dat aanbieders “hun eigen procedures en criteria kunnen toepassen om de veiligheid van online communicatie te handhaven.”

Mozilla verwelkomde de verduidelijking als een cruciale stap om de veiligheid van EU-burgers online te garanderen. “De verklaring van de Commissie heeft veel van onze zorgen over de verschillende interpretaties van artikel 45 weggenomen”, zegt Tasos Stampelos, hoofd van het EU-beleid van Mozilla. Deze beginselen zouden echter ook tot uiting moeten komen in de technische voorschriften waarmee de nieuwe regeling wordt geïmplementeerd. Alexis Hancock van de Electronic Frontier Foundation beschouwt de verduidelijking ook als een “positief compromis”.

eIDAS “Dystopisch potentieel voor misbruik”

Maar er zijn ook kritische stemmen. Thomas Lohninger van epicenter.works verwelkomt het feit dat de eIDAS-hervorming belangrijke beschermende maatregelen biedt en dat niemand gedwongen mag worden de digitale portemonnee te gebruiken. Er bestaat echter nog steeds een dreiging van “een compleet nieuw, dystopisch potentieel voor misbruik”, vertelde Lohninger aan netzpolitik.org. “Als de plannen van de EU werken en alle aspecten van het leven, van doktersbezoeken, Google-logins tot het openbaar vervoer, met elkaar verbonden zijn, zal een panopticon binnen handbereik zijn.” De hervorming reduceert de kosten voor het identificeren van een persoon tot vrijwel nul. Tegelijkertijd kwamen door de staat gecertificeerde, cryptografisch ondertekende persoonlijke gegevens in omloop.

“Deze verordening is een blanco cheque voor online surveillance van burgers”, bekritiseert Patrick Breyer . Hij is EU-Europarlementariër voor de Piratenpartij en stemde samen met zijn fractie tegen de eIDAS-hervorming. “Mark Zuckerberg zou niet het recht moeten hebben om onze identiteit te zien”, zei Breyer. “Als we ons digitale leven aan de overheid toevertrouwen in plaats van aan Facebook en Google, gaan we van kwaad naar erger.” De EU heeft de kans gemist om “een betrouwbaar raamwerk te creëren voor het moderniseren en digitaliseren van onze samenleving.”

De Raad van de Europese Unie moet de wet uiteindelijk goedkeuren, maar dit wordt als een formaliteit beschouwd. De Europese Commissie moet tegen de zomer nog richtlijnen presenteren voor het technisch ontwerp van het eID-systeem. Breyer kondigde aan dat hij deze implementatie nauwlettend zou volgen. En ook Thomas Lohninger kijkt uit naar de komende maanden. In een vandaag gepubliceerd rapport legt zijn NGO gedetailleerd uit welke beschermende maatregelen volgens haar moeten worden geïmplementeerd .

eIDAS Het ministerie van Binnenlandse Zaken werkt al aan een eigen portemonnee

Uiterlijk augustus 2026 moeten alle EU-lidstaten hun staats-eID-systemen hebben aangepast aan de Europese vereisten. Het federale ministerie van Binnenlandse Zaken (BMI) is hierover afgelopen zomer een consultatieproces gestart . Samen met vertegenwoordigers van verenigingen, wetenschap en administratie, maar ook bedrijven en het maatschappelijk middenveld wil het BMI een concept ontwikkelen voor “een Duits eIDAS 2.0-compatibel totaalsysteem”.

Het ministerie publiceerde afgelopen november een eerste architectonisch concept “voor een prototype van de EUdi-portemonnee” . De komende maanden plant het BMI verdere workshops die zich onder meer zullen richten op gegevensbescherming en data-economie, voordat het voltooide voorstel zal worden gepresenteerd en getest.

Volgens Markus Reichel, lid van de CDU-Bundestag, gebeurt dit proces niet snel genoeg. “De gewijzigde eIDAS-regelgeving maakt eindelijk de weg vrij voor veilige digitale identiteiten in Europa”, vertelde Reichel aan netzpolitik.org. Het is echter nog steeds niet duidelijk hoe dit ecosysteem moet worden gebouwd en geëxploiteerd. Vooral bedrijven hebben behoefte aan plannings- en investeringszekerheid. “De federale overheid moet hier eindelijk mee in het reine komen.”