EUDI Wallet: het vocabulaire eenvoudig uitgelegd (PID, QEAA, selectieve openbaarmaking)

Kort gezegd: de Europese portemonnee voor digitale identiteit (EUDI Wallet) komt eraan met een eigen vocabulaire, vaak in het Engels en vol afkortingen. PID, EAA, QEAA, uitgever, relying party, selectieve openbaarmaking: achter deze termen schuilen eenvoudige ideeën. Deze woordenlijst geeft u, term voor term, een heldere definitie van elke bouwsteen van de wallet, zodat u begrijpt waar het over gaat voordat u uw trajecten voorbereidt.

‍

De verordening eIDAS 2.0, officieel Verordening (EU) 2024/1183, voert een Europese portemonnee voor digitale identiteit in, ofwel de EUDI Wallet (European Digital Identity Wallet). Elke Europese burger kan daarin zijn identiteitsgegevens en diverse bewijsstukken opslaan en presenteren, vanaf zijn smartphone, overal in de Unie.

‍

Het probleem, wanneer je je in het onderwerp verdiept, is het jargon. De officiële documenten en technische artikelen rijgen afkortingen aaneen zonder ze altijd uit te leggen. Nochtans is het begrijpen van dit vocabulaire de voorwaarde om te weten wat de wallet concreet gaat veranderen in uw trajecten voor het aangaan van een relatie. Hieronder de sleuteltermen, eenvoudig gedefinieerd.

‍

De bouwstenen van de wallet

De Wallet (portemonnee)

‍

De Wallet, ofwel de Europese portemonnee voor digitale identiteit, is een applicatie op de smartphone van de burger. Ze werkt als een echte fysieke portemonnee: in plaats van er een identiteitskaart, een kentekenbewijs of een studentenkaart van plastic in op te bergen, bewaart de gebruiker er de digitale, verifieerbare en ondertekende equivalenten van.

‍

Het centrale idee is de controle door de gebruiker: hij beslist wat hij deelt, met wie, en wanneer. Niets verlaat de portemonnee zonder zijn toestemming. De wallet wordt gratis aangeboden door elke lidstaat (of door een entiteit die daartoe wordt gemachtigd) en moet een hoog betrouwbaarheidsniveau bereiken (zie verderop).

‍

De PID (Person Identification Data)

‍

De PID, voor Person Identification Data, staat voor de basisidentiteitsgegevens van de persoon: naam, voornaam, geboortedatum, en naargelang het geval geboorteplaats, nationaliteit of nationaal identificatienummer.

‍

Wat de waarde van de PID bepaalt, is de oorsprong ervan: hij wordt uitgegeven door de Staat (of een autoriteit die de Staat aanwijst), op basis van de officiële registers. Het is het digitale equivalent, in de wallet, van wat vandaag een nationale identiteitskaart bewijst. De PID is de eerste bouwsteen die in de portemonnee wordt gelegd, degene die antwoord geeft op de vraag "wie bent u?".

‍

De EAA en de QEAA (attesten van attributen)

‍

Zodra de basisidentiteit aanwezig is, kan de wallet andere bewijsstukken opnemen. Die worden elektronische attesten van attributen genoemd, ofwel EAA (Electronic Attestation of Attributes).

Een attribuut is een precieze eigenschap van de persoon: een adres, een diploma, een rijbewijs, een beroepshoedanigheid, een recht op een verlaagd tarief. Een EAA is dus een digitaal en verifieerbaar bewijs van een attribuut, opgeborgen in de wallet naast de PID.

‍

De QEAA (Qualified Electronic Attestation of Attributes) is de versterkte versie ervan: het is een gekwalificeerd attest, uitgegeven door een gekwalificeerde vertrouwensdienstverlener, onderworpen aan strenge eisen en onder toezicht. Concreet biedt een QEAA een versterkte juridische waarde en een hoger vertrouwensniveau ten opzichte van een klassieke EAA. Het onderscheid is belangrijk: afhankelijk van het gebruik kan een onderneming een gekwalificeerd attest eisen in plaats van een eenvoudig attest.

‍

De uitgever (issuer)

‍

De uitgever, ofwel issuer, is de vertrouwde entiteit die de PID of de attesten in de wallet aflevert. Voor de PID is dat de Staat of de autoriteit die hij aanwijst. Voor een diploma-attest zal dat bijvoorbeeld de betrokken instelling of het bevoegde ministerie zijn; voor een bewijs van adres het gemachtigde orgaan.

‍

De uitgever draagt de verantwoordelijkheid voor de juistheid van wat hij aflevert. Hij plaatst de cryptografische handtekening op het attest, waardoor het nadien verifieerbaar wordt.

‍

De relying party (partie utilisatrice)

‍

De relying party, ofwel partie utilisatrice, is de onderneming of dienst die de door de wallet gepresenteerde attributen ontvangt en verifieert. Dat is de rol die uw organisatie zal spelen wanneer een klant zich aanbiedt met zijn Europese portemonnee.

‍

Een bank die de identiteit van een nieuwe klant verifieert, een telecomoperator die de leeftijd en het adres controleert, een verhuurder die een rijbewijs verifieert: allemaal zijn ze relying parties. Hun werk bestaat er niet langer in een document te verzamelen en te ontleden, maar in het precies opvragen van de attributen die ze nodig hebben, en vervolgens te verifiëren dat het ontvangen bewijs authentiek is.

‍

De selectieve openbaarmaking (selective disclosure)

‍

Dit is een van de meest concrete bijdragen van de wallet. De selectieve openbaarmaking (selective disclosure) bestaat erin alleen het strikt noodzakelijke attribuut te delen, zonder de rest prijs te geven.

‍

Het klassieke voorbeeld: bewijzen dat men meerderjarig is zonder de exacte geboortedatum te onthullen. De wallet antwoordt "ja, deze persoon is ouder dan 18 jaar" zonder de dag, de maand en het jaar van geboorte door te geven. Op dezelfde manier kan men bewijzen dat men in een bepaald land woont zonder het volledige adres mee te delen.

‍

Deze logica dient rechtstreeks de gegevensminimalisatie: de onderneming ontvangt enkel wat voor haar nuttig is, en de burger beperkt zijn blootstelling. Het bewijs blijft cryptografisch geverifieerd: zelfs herleid tot één enkel attribuut blijft het betrouwbaar, want de handtekening van de uitgever bewijst de authenticiteit en de integriteit van de gedeelde gegevens.

‍

Het hoge betrouwbaarheidsniveau (Level of Assurance high)

‍

eIDAS definieert betrouwbaarheidsniveaus voor de middelen voor elektronische identificatie, die de mate van vertrouwen meten in het feit dat een persoon wel degelijk is wie hij beweert te zijn. De Europese portemonnee moet het meest veeleisende niveau bereiken: het "hoge" betrouwbaarheidsniveau (Level of Assurance high).

Dit niveau veronderstelt strikte processen voor identiteitsverificatie bij het aanmaken van de wallet en sterke beveiligingseisen. In de praktijk komt een identiteitsbewijs uit de portemonnee met een veel hoger betrouwbaarheidsniveau dan dat van een foto van een document die een klant opstuurt.

Daar komt de grensoverschrijdende interoperabiliteit bij: een wallet die in één lidstaat wordt uitgegeven, moet in alle andere worden erkend en geverifieerd. Een burger van een land van de Unie zal zich kunnen identificeren bij een dienst in een ander land, zonder bijkomende stappen.

‍

Waarom dit vocabulaire voor u telt

‍

Deze termen zijn geen loutere regelgevende curiositeiten: ze bepalen de manier waarop uw trajecten voor het aangaan van een relatie zullen evolueren.

‍

Aan de kant van de onderneming zult u meestal een relying party zijn. Uw rol zal erin bestaan de juiste attributen op te vragen (PID, EAA of QEAA naargelang het vereiste bewijsniveau), hun handtekening te verifiëren en het antwoord te verwerken. De selectieve openbaarmaking verplicht u om uw formulieren te herdenken: in plaats van een maximum aan informatie te verzamelen "voor het geval dat", vraagt u precies wat u nodig hebt, niet meer en niet minder. Het is evenzeer een verandering van mentaliteit als een technische verandering.

‍

Dit vocabulaire goed beheersen laat ook toe om met de juiste gesprekspartners te praten en uw projecten af te bakenen: weten hoe je een EAA van een QEAA onderscheidt, of begrijpen wat het hoge betrouwbaarheidsniveau inhoudt, voorkomt misverstanden op het moment dat u uw eisen bepaalt. Voor meer over de concrete stappen, zie onze gids eIDAS 2.0: hoe je je goed voorbereidt.

Ten slotte moet één ding voor ogen worden gehouden: de wallet levert een betrouwbaar identiteitsbewijs, maar beantwoordt op zich niet alle risicovragen. Weten dat een identiteit authentiek is, zegt niet of het gedrag verdacht is, of het apparaat twijfelachtig is, of de onderneming aan de andere kant werkelijk solvabel is, of wie haar uiteindelijk begunstigden zijn. Het vocabulaire van de wallet beschrijft één vertrouwensbouwsteen, te integreren in een bredere controleketen.

‍

Tot slot

‍

Achter de afkortingen van de EUDI Wallet schuilen toegankelijke begrippen: de PID voor de door de Staat uitgegeven basisidentiteit, de EAA en QEAA voor de attesten van attributen, de uitgever die aflevert en ondertekent, de relying party die ontvangt en verifieert, de selectieve openbaarmaking om alleen het noodzakelijke te delen, en het hoge betrouwbaarheidsniveau dat de betrouwbaarheid van het geheel waarborgt.

‍

Dit vocabulaire begrijpen betekent al beginnen met het voorbereiden van uw trajecten. De Europese portemonnee vervangt geen globale strategie voor risicobeheersing: hij wordt er een vertrouwensbouwsteen van, te combineren met fraudedetectie, controle van ondernemingen en kredietwaardigheidsanalyse.

‍

Bronnen: Verordening (EU) 2024/1183 van 11 april 2024 (eIDAS 2.0), Europese portemonnee voor digitale identiteit; Europese Commissie, European Digital Identity Wallet, Architecture and Reference Framework (ARF).

‍