Ipas ontsluit persoonsgegevens

Vanaf 2017 moeten burgers al hun zaken met de overheid digitaal kunnen afhandelen. Dit vraagt om een sterker elektronisch identificatiebewijs dan het huidige DigiD, dat alleen een gebruikersnaam en wachtwoord vraagt. Een proef met vervanger eID, die ook bruikbaar zal zijn voor webshops en andere online diensten, is eind februari van start gegaan.

In de papieren wereld is het paspoort hét authenticatiemiddel. Wie een bouwvergunning of een visum wil aanvragen, zal het moeten laten zien, maar ook in contact met commerciële partijen als banken en autoverhuurders is een identiteitsbewijs noodzakelijk, ook als de transactie zelf net zo goed via internet had kunnen plaatsvinden. Wie van plan is te gaan internetbankieren, moet toch één keer fysiek naar het bankkantoor, namelijk om zich aan de hand van zijn paspoort te laten identificeren.

Authentificatiediensten

Hoewel het kabinet nog geen definitief besluit heeft genomen, is de planning dat dit volgend jaar verandert. Dan doet het nieuwe eID zijn intrede, dat de gebruiker op een of meerdere tokens (smartcards, telefoons) kan zetten. Elk token moet wel bekend zijn bij de authenticatiedienst, die controleert of een gepresenteerd eID geldig is. Met de eID krijgen Nederlandse burgers de mogelijkheid om zich online te identificeren op een manier die equivalent is aan het paspoort. Het systeem kan bankpasjes overbodig maken, maar even makkelijk een bankpasje in een e-paspoort omzetten – zonder dat bank en overheid van elkaar weten wat de burger voor zaken met hen te deed.

Als één dienst faalt, zijn er andere om op terug te vallen

In de opzet van het eID kan de gebruiker kiezen uit meerdere authenticatiediensten wanneer hij zich bij een serviceaanbieder wil identificeren. Dat elimineert alvast één kwetsbaarheid van het DigiD, dat in 2013 meerdere keren uit de lucht moest vanwege een DDoS-aanval. Als één dienst faalt, zijn er andere om op terug te vallen. De authenticatiediensten zijn gespecialiseerde (overheids) bedrijven, waaruit gebruikers kunnen kiezen als ze willen inloggen op de site van een van de vele serviceaanbieders (overheden, banken, webwinkels, ziekenhuizen enzovoorts).

Privacytest

De splitsing tussen serviceaanbieder en authenticatiedienst heeft een aantal voordelen. Ten eerste krijgt de serviceaanbieder alleen het sein dát de gebruiker zich heeft geïdentificeerd, niet wie hij is. De gebruiker moet apart toestemming geven om gegevens als naam en adres door te geven aan de serviceaanbieder. Deze rolverdeling is nu al in gebruik bij eHerkenning, de elektronische identificatie voor bedrijven, waarvoor overigens ook meerdere authenticatiediensten bestaan.

Over de mate waarin het eID anonimiteit waarborgt verschillen de meningen

Daarnaast hoeft de authenticatiedienst niet te weten wie zich aanmeldt bij welke serviceaanbieder. Zo hoort het ook, want wie zich vandaag de dag telecom met zijn paspoort identificeert bij bijvoorbeeld een psychiatrisch ziekenhuis, vertelt daarmee niet aan de overheid – laat staan aan zijn bank – dat hij in therapie is. Volgt hij zijn therapie online, dan identificeert hij zich via een server die niet van het ziekenhuis is. Dat zou niet als consequentie mogen hebben dat de authenticatiedienst ervan weet.

Over de mate waarin het eID in zijn huidige opzet erin slaagt deze anonimiteit te waarborgen, verschillen de meningen onder betrokkenen, met name na een beleidswijziging afgelopen december. In het eID-platform, waarin overheid en bedrijfsleven zijn vertegenwoordigd, werd toen geconstateerd dat het (ambitieuze) ontwerp weliswaar de privacytest had gehaald, maar dat er toch geen draagvlak voor bestond. Betrokken ministeries overzagen de consequenties voor het beleid niet en private partijen vreesden hoge kosten. Daarom werd besloten om de lat bij introductie van het eID lager te leggen. Te laag, menen sommige veiligheidsexperts. Hoog genoeg, meent het platform.

Verzekeraars

Wat de juiste hoogte van de lat is, zal een belangrijk gespreksonderwerp zijn in de discussies in de Tweede Kamer, die in het voortraject al aangaf privacy hoog in het vaandel te hebben staan. Het parlement zal nog voor het begin van de proeven opnieuw in debat gaan met de verantwoordelijk minister Ronald Plasterk en ook de evaluatie nauwlettend volgen. ‘We gaan de impact op de privacy nauwkeurig evalueren’, zegt projectleider Bob van Os van Logius, de rijksdienst voor de digitale overheid. ‘Daarnaast kijken we uiteraard naar technische en functionele prestaties, naar de beleving van de gebruiker en de samenwerking tussen de betrokkenen. Er zijn bij deze opzet van het eID immers veel verschillende partijen betrokken.’

Van Os benadrukt dat de overstap naar het eID beperkte investeringen verlangt van burgers en serviceaanbieders. ‘In principe is het voor aanbieders niet anders dan het inbouwen van een inlogknop op hun website, zoals voor iDeal. Het enige ICT-systeem van enige omvang dat eraan te pas komt, is het koppelregister dat het verband legt tussen het burgerservicenummer en het aangemelde authenticatiemiddel.’

Hoe onthand raken burgers bij verlies van hun token met alle identificatiegegevens, vergelijkbaar met mensen die hun bankpasje kwijtraken?

Concreet behelzen de proeven dat ongeveer dertigduizend mensen een eID kunnen gaan gebruiken. Enkele tientallen partijen hebben zich aangemeld als dienstaanbieder of authenticatiedienst. Van Os: ‘Daar zitten overheidspartijen tussen, zoals de Belastingdienst, het UWV en enkele gemeenten, maar ook private partijen als telecomproviders, verzekeraars en zorginstellingen. We zoeken momenteel gebruikers die met meerdere partijen te maken hebben, zodat we een zo compleet mogelijk beeld krijgen van hoe het stelsel in de praktijk werkt.’

Grenzen

De grote onbekende in de proeven is de manier waarop burgers zullen omgaan met de nieuwe manier van inloggen. Gaan ze bijvoorbeeld gebruikmaken van de mogelijkheid om er meerdere authenticatiemiddelen op na te houden, of houden ze het bij eentje (in dat geval vermoedelijk hun mobieltje)? Hoe onthand raken ze bij verlies van hun token met alle identificatiegegevens, vergelijkbaar met mensen die het enige pasje van hun enige bankrekening kwijtraken? Vinden ze de ten opzichte van DigiD nieuwe manier van inloggen makkelijk om te gebruiken?

Ook de monitoring van incidenten maakt deel uit van de proeffase

Uiteraard zijn er grenzen aan de privacy. In het geval van bijvoorbeeld fraude of digitaal kinderlokken valt de identiteit van de gebruiker als het goed is te achterhalen, ook als de dader zo min mogelijk informatie heeft afgegeven aan de dienstaanbieder.

Ook de monitoring van incidenten maakt deel uit van de proeffase. Een van de opties in het eID-ontwerp is dat burgers op hun telefoon een melding krijgen als iemand anders dan zijzelf heeft geprobeerd in te loggen. Het is nog niet duidelijk of deze mogelijkheid in de proeven al beschikbaar is, maar zo ja, dan luidt de vraag aan de gebruikers: is dat prettig?

Inzage in dossier

Hoewel fraudebestrijding essentieel is om het vertrouwen in het systeem hoog te houden, ligt de sleutel voor het succes toch bij gebruiksgemak. Van Os: ‘Als het eID een feit is, biedt dat ontzettend veel mogelijkheden voor de markt. Ziekenhuizen kunnen bijvoorbeeld op een betrouwbare manier patiënten online inzage geven in hun dossier. Webwinkels, die nu veel met fraude te kampen hebben, krijgen meer zekerheid. Voor consumenten kan dat het voordeel hebben dat ze vaker achteraf of gespreid kunnen betalen.’

De proeven die nu van start zijn gegaan, zijn nog niet onomkeerbaar, zo heeft de Tweede Kamer bedongen. Het definitieve besluit tot invoering volgt pas als het parlement ermee heeft ingestemd, naar verwachting in de tweede helft van 2016.

De technologie staat ondertussen niet stil. Mocht de Tweede Kamer bijvoorbeeld scherpere privacymaatregelen willen, dan is dat mogelijk. Het stelsel wordt in dat geval wel ingewikkelder en dus duurder. Sowieso zal het stelsel ook na invoering verder evolueren, al was het maar om hackers voor te blijven. Voor criminelen is een vals eID tenslotte nog aantrekkelijker dan een vals paspoort.(Christian Jongeneel)