De digitale identiteitswereld is volop in beweging. Aan de ene kant wordt er hard gewerkt aan de uitrol van Europese Digitale Identititeit (EDI) wallets inclusief bijbehorend ecosysteem dat hoge eisen stelt aan alle partijen, van wallets tot relying parties. Anderzijds hebben we Google Wallet, dat in Europa identiteitsdiensten uitrolt, zoals leeftijdsverificatie in Duitsland in samenwerking met Sparkasse. Beide benaderingen hebben hun waarde, maar de spanning tussen gebruiksgemak en bescherming wordt steeds duidelijker. In deze blog neem ik je mee in wat dit voor gebruikers, organisaties en de toekomst van onze digitale identiteit in Europa betekent.

Google Wallet: Identiteit die gewoon werkt

Google Wallet is niet langer alleen een opslagplaats voor betaalpassen en boardingpasses. Waar je in de VS al rijbewijzen en paspoorten aan de Google Wallet kon toevoegen, breidt het zijn diensten voor identiteitsverificatie nu ook uit naar de EU. Een opvallend voorbeeld is de samenwerking met Sparkasse in Duitsland, waardoor het mogelijk wordt om de Google Wallet te gebruiken voor leeftijdsverificatie. Dit toont aan dat Google praktische toepassingen weet te creëren die direct waarde bieden voor gebruikers en bedrijven.

Wat Google vooral goed doet? Het werkt en het werkt altijd. Als Google een functie introduceert, is de kans groot dat deze naadloos geïntegreerd wordt in het dagelijks leven van miljoenen gebruikers. Geen complexe instellingen, geen ingewikkelde compliance, gewoon een oplossing die direct bruikbaar is. Dat is de kracht van een techgigant met een wereldwijd ecosysteem. Een goed voorbeeld is het succes van mobiel betalen met de Google Wallet. Maar er zijn ook zorgen over de big tech wallets. Onder andere rondom privacy, afhankelijkheid van big tech en soevereiniteit. Juist deze zorgen waren voor de Europese Commissie de aanleiding om de eIDAS verordening te herzien en EDI wallets te introduceren.

EDI Wallets: Hoge betrouwbaarheid en bescherming als prioriteit

eIDAS 2.0 en het EDI Wallet-ecosysteem zijn ontworpen met een belangrijk doel: betrouwbaar inloggen en gegevens delen in de hele EU. Daarbij wordt de Europese burger beschermt conform Europese normen en waarden. Logischerwijs stelt eIDAS 2.0 hoge eisen aan alle rollen binnen het ecosysteem, bijvoorbeeld:

• EDI wallets moeten voldoen aan strenge veiligheids- en privacy normen. Hiervoor moeten ze zich laten certificeren en staan ze onder toezicht van de nationale toezichthouder.
• Relying parties (dienstverleners die op gegevens uit de wallet vertrouwen) mogen gebruikers niet dwingen een EDI wallet te gebruiken en mogen niet meer gegevens opvragen dan noodzakelijk. Hiertoe moeten ze zich registreren en een toegangs- en registratiecertificaat aanvragen.

Dit is een belangrijk onderdeel van eIDAS 2.0. De eisen zijn niet zomaar regels, ze waarborgen dat inwoners beschermd worden en dat ze veilig, transparant en betrouwbaar toegang krijgen tot diensten met hun EDI wallet. Het is een belangrijke stap om misbruik, privacy inbreuken en andere risico’s te minimaliseren. Maar dit is heeft ook een keerzijde.

Te hoge drempels drijven actoren weg

De kracht van het EDI-ecosysteem, de hoge betrouwbaarheid en strenge eisen, is tegelijkertijd een groot risico. Als de drempels te hoog worden, dreigen we partijen uit het ecosysteem te verdrijven. Dit speelt op twee niveaus:

1. Voor gebruikers: Complexiteit wint het van gemak

Voor de dagelijkse toepassingen (zoals inloggen bij een webshop of het delen van een leeftijdsbewijs) grijpen gebruikers naar de eenvoudigste oplossing. Als een EDI Wallet ingewikkeld is om in te stellen of te gebruiken, zullen veel mensen terugvallen op minder veilige, maar wel handige alternatieven, zoals de Google Wallet of andere commerciële wallets die niet aan de EDI-normen hoeven te voldoen.

Het gevolg? EDI Wallets worden alleen gebruikt wanneer het echt moet, bijvoorbeeld voor officiële overheidsdiensten waar inloggen op een hoog betrouwbaarheidsniveau verplicht is. Voor de rest van de tijd kiest men voor gemak.

2. Voor relying parties: Implementaties worden een last

Voor bedrijven en organisaties die identiteiten willen verifiëren, is de keuze vaak simpel: kies de eenvoudigste route. Als de implementatie van EDI Wallets complex en kostbaar is, zullen veel relying parties alleen aansluiten wanneer het wettelijk verplicht is. Voor andere gevallen volstaat een simpelere, minder streng gereguleerde oplossing , zoals die van Google.

Een onwenselijke toekomst: Een tweedeling in digitale identiteit

Het reëel risico is dat we op weg zijn naar een tweedeling in het wallet landschap, waarbij er duidelijke redenen zijn om wel of vooral juist niet voor een EDI wallet te kiezen. Onderstaand geven we een aantal voorbeelden:

• Bij dagelijkse toepassingen is vooral gemak en een laag instapniveau belangrijk. Daar zal dus eerder voor de Google wallet of vergelijkbare alternatieven gekozen worden.
• Bij sommige overheidsdiensten is er een acceptatieplicht voor identificatie en authenticatie. Hier zal logischerwijs de EDI wallet geaccepteerd worden.
• Bij complexe use-cases met gevoelige gegevens, zoals een hypotheekaanvraag is hoge betrouwbaarheid en rechtszekerheid belangrijk. Dit weegt op tegen de extra moeite en lasten. Dan is het logischer om een EDI wallet te gebruiken.

Dit betekent dat de normen, waarden en bescherming die het EDI-ecosysteem biedt, alleen gelden in een beperkt deel van het digitale leven van de inwoner. Voor de rest van de tijd vertrouwen we op oplossingen die misschien wel werken met minder gedoe, maar ook minder veilig zijn.

Hoe maken we de EDI wallet een succes?

De verdere uitrol van de Google Wallet in Europa en de uitdagingen van het EDI-ecosysteem tonen aan dat bescherming en gemak vaak niet hand in hand gaan. Om ervoor te zorgen dat EDI Wallets wél een centrale rol gaan spelen, moeten we:

1. De gebruikerservaring verbeteren: EDI Wallets moeten net zo intuïtief en naadloos werken als commerciële alternatieven. Hier wordt al hard aan gewerkt, onder andere met gebruikersonderzoek.
2. De drempels verlagen: Uit ons onderzoek naar relying party registratie voor de VNG bleek dat registratie een complex proces kan worden. Daarnaast dreigt de registratie en het aanvragen van de benodigde certificaten tevens kostbaar te worden. Voor succes van EDI moet implementatie voor relying parties eenvoudiger en goedkoper worden, zonder afbreuk te doen aan veiligheid.
3. Meerwaarde tonen: Het succes van de Europese Digitale Identiteit wallet is afhankelijk van het succes van het stelsel waarin het gebruikt kan worden. Daardoor is voor een individuele organisatie niet altijd direct de meerwaarde inzichtelijk, terwijl die vanuit maatschappelijk perspectief of een ecosysteembenadering wel duidelijk is. Uiteindelijk moeten gebruikers en bedrijven concrete voordelen zien in het gebruik van EDI Wallets, niet alleen een wettelijke verplichtingen. . Pilots zoals de proeftuin van gemeente Nijmegen helpen dit inzichtelijk maken.

Als we daarin slagen, kan het EDI-ecosysteem uitgroeien tot de standaard voor veilige digitale identiteit in Europa. Zo niet, dan blijft het een mooi idee, maar geen praktische oplossing voor het dagelijks leven.