MyCheck: Nederlandse bedrijven ontwikkelen gezamenlijke digitale identiteitswallet voor veilige verificatie van persoonsgegevens

Een samenwerkingsverband van Nederlandse bedrijven werkt aan de ontwikkeling van MyCheck, een digitale identiteitswallet waarmee mensen hun persoonsgegevens op een veilige en gecontroleerde manier digitaal kunnen laten verifiëren. Met de applicatie moeten gebruikers onder meer hun naam, adres en leeftijd kunnen aantonen bij bedrijven en overheidsinstanties, zonder dat zij daarvoor telkens al hun persoonlijke gegevens hoeven te verstrekken.

Het initiatief is afkomstig van KPN, ABN AMRO, ASN Bank, Deloitte, Rabobank en Achmea. De deelnemende organisaties willen met MyCheck een onafhankelijke digitale identiteitsoplossing ontwikkelen die aansluit bij de Europese regelgeving voor digitale identiteit en gegevensuitwisseling. De introductie van de dienst staat gepland voor het tweede kwartaal van 2027.

Het uitgangspunt is dat gebruikers zelf kunnen bepalen welke persoonsgegevens zij delen, met welke organisatie en voor welk doel. Daarmee moet MyCheck bijdragen aan een veiligere en privacyvriendelijkere manier om iemands identiteit of specifieke persoonlijke kenmerken online vast te stellen.

Hoewel de plannen inmiddels zijn aangekondigd, bevindt de ontwikkeling zich nog in een fase waarin belangrijke technische, juridische en organisatorische keuzes moeten worden gemaakt. Vooral de manier waarop de juistheid van persoonsgegevens wordt vastgesteld, welke overheidsbronnen daarvoor beschikbaar komen en aan welke certificeringseisen de wallet moet voldoen, is nog niet definitief uitgewerkt.

Wat is MyCheck en hoe moet de digitale identiteitswallet werken?

MyCheck is bedoeld als een digitale toepassing waarin gebruikers gegevens over hun identiteit kunnen beheren en vervolgens digitaal kunnen laten controleren. In plaats van bij iedere dienstverlener opnieuw documenten te moeten uploaden of persoonlijke gegevens handmatig in te voeren, moet de wallet het mogelijk maken om relevante informatie op een gestandaardiseerde manier te verstrekken.

Denk bijvoorbeeld aan een situatie waarin iemand online moet aantonen dat hij of zij een bepaalde leeftijd heeft bereikt. In zo'n geval zou het voldoende kunnen zijn om te bevestigen dat aan de leeftijdseis is voldaan, zonder de volledige geboortedatum of andere persoonsgegevens te delen. Bij een andere dienst kan juist verificatie van de naam of het woonadres nodig zijn.

Het beoogde voordeel is dat niet meer informatie wordt verstrekt dan noodzakelijk is voor de betreffende transactie. Dit principe staat bekend als gegevensminimalisatie en is een belangrijk onderdeel van privacyvriendelijke gegevensverwerking.

De gebruiker moet daarbij zelf controle houden over het delen van de gegevens. Een organisatie die MyCheck accepteert, kan vervolgens de gegevens laten verifiëren die voor haar dienstverlening noodzakelijk zijn.

De precieze werking van de applicatie staat echter nog niet vast. Het is nog niet duidelijk hoe gebruikers hun gegevens aanvankelijk in de wallet krijgen, hoe de identiteit van de gebruiker tijdens het registratieproces wordt vastgesteld en welke technische methoden worden ingezet om de authenticiteit van de gegevens te controleren.

Ook is nog niet bekend welke verificatiemogelijkheden bij de eerste introductie beschikbaar zullen zijn. De genoemde toepassingen zijn daarom uitgangspunten voor de ontwikkeling en geen bevestiging dat iedere functie bij de lancering direct beschikbaar zal zijn.

Zes Nederlandse organisaties bundelen hun krachten

De ontwikkeling van MyCheck is een gezamenlijk initiatief van zes organisaties uit verschillende sectoren:

• KPN: telecombedrijf dat betrokken is bij de ontwikkeling van de digitale identiteitsoplossing.
• ABN AMRO: bank die deelneemt aan het samenwerkingsverband.
• ASN Bank: bank die eveneens bij de ontwikkeling betrokken is.
• Deloitte: zakelijke dienstverlener die deelneemt aan het initiatief.
• Rabobank: bank die samen met de andere organisaties aan de wallet werkt.
• Achmea: verzekeringsgroep die deel uitmaakt van het samenwerkingsverband.

Door organisaties uit de telecomsector, de financiële dienstverlening, de zakelijke dienstverlening en de verzekeringssector samen te brengen, willen de initiatiefnemers een oplossing ontwikkelen die in uiteenlopende situaties kan worden gebruikt.

Een gemeenschappelijke digitale identiteitswallet kan voor verschillende soorten organisaties interessant zijn. Banken moeten bijvoorbeeld de identiteit van klanten kunnen vaststellen, verzekeraars kunnen bepaalde persoonsgegevens nodig hebben voor hun dienstverlening en overheidsinstanties kunnen burgers vragen om gegevens te bevestigen. Ook andere bedrijven kunnen behoefte hebben aan een betrouwbare manier om vast te stellen of bepaalde gegevens kloppen.

Een gedeelde oplossing kan voorkomen dat iedere organisatie afzonderlijk een vergelijkbare infrastructuur moet ontwikkelen. Dat kan de toepassing van digitale identiteitsverificatie vereenvoudigen, mits voldoende organisaties de wallet accepteren en de onderliggende controles betrouwbaar zijn.

De deelname van bekende bedrijven betekent op zichzelf overigens niet dat de dienst al onafhankelijk is gecertificeerd of dat alle aangesloten organisaties dezelfde technische verantwoordelijkheden krijgen. De precieze verdeling van taken, verantwoordelijkheden en zeggenschap moet blijken uit de uiteindelijke inrichting van het initiatief.

Europese regelgeving vormt een belangrijke aanleiding

De ontwikkeling van MyCheck hangt samen met Europese regelgeving voor digitale identiteit. De Europese Unie wil dat burgers en bedrijven in de lidstaten op een veilige en betrouwbare manier digitale identiteitsgegevens kunnen gebruiken en uitwisselen.

De herziene Europese verordening betreffende elektronische identificatie en vertrouwensdiensten, doorgaans aangeduid als eIDAS 2.0, vormt hiervoor een belangrijk juridisch kader. Deze regelgeving voorziet onder meer in Europese digitale-identiteitswallets waarmee gebruikers hun identiteit en bepaalde persoonsgegevens digitaal kunnen aantonen.

De lidstaten moeten ervoor zorgen dat zij uiterlijk eind 2026 ten minste één Europese digitale-identiteitswallet beschikbaar stellen die aan de toepasselijke Europese eisen voldoet. Daarmee ontstaat een Europese basis voor digitale identificatie die in verschillende landen en bij uiteenlopende diensten kan worden gebruikt.

Voor burgers kan dit betekenen dat zij minder afhankelijk worden van afzonderlijke identificatiemethoden die per organisatie verschillen. Voor bedrijven en overheidsinstanties moet het eenvoudiger worden om digitale identiteitsgegevens op een betrouwbare en gestandaardiseerde manier te controleren.

De Europese regelgeving schrijft echter niet voor dat iedere private wallet dezelfde technische architectuur moet gebruiken. Ook betekent de verplichting voor lidstaten niet automatisch dat iedere commerciële identiteitsapp aan alle Europese eisen voldoet. De uiteindelijke werking, erkenning en inzetbaarheid zijn afhankelijk van de toepasselijke regelgeving, technische standaarden en eventuele certificering.

MyCheck moet zich dus ontwikkelen binnen dit Europese kader. De initiatiefnemers zullen moeten vaststellen hoe hun oplossing zich verhoudt tot de Europese eisen en tot de Nederlandse voorzieningen die voor digitale identificatie beschikbaar komen.

Waarom een betrouwbare bron voor persoonsgegevens essentieel is

Een van de belangrijkste vragen bij digitale identiteitsverificatie is niet alleen of iemand toegang heeft tot een wallet, maar ook of de gegevens in die wallet daadwerkelijk juist zijn.

Een digitale toepassing kan persoonsgegevens veilig opslaan of doorgeven, maar daarmee is nog niet bewezen dat die gegevens overeenkomen met de werkelijkheid. Daarvoor moet duidelijk zijn waar de informatie vandaan komt, hoe de identiteit van de gebruiker is vastgesteld en of de gegevens zijn gecontroleerd aan de hand van een betrouwbare bron.

Dit speelt bijvoorbeeld bij de verificatie van een woonadres. Een gebruiker kan ergens een adres opgeven, maar dat betekent niet automatisch dat dit adres officieel is geregistreerd of dat de gebruiker er daadwerkelijk staat ingeschreven.

Voor bepaalde toepassingen kan een onjuist adres ernstige gevolgen hebben. Denk aan organisaties die op basis van een adres toegang verlenen tot gevoelige informatie, persoonlijke dossiers beschikbaar stellen of belangrijke correspondentie versturen. Wanneer een verificatiesysteem uitsluitend controleert of een gebruiker een adres heeft opgegeven, kan die controle onvoldoende zekerheid bieden.

De betrouwbaarheid van een digitale identiteitswallet hangt daarom in belangrijke mate af van de herkomst en controleerbaarheid van de gegevens. De technische beveiliging van de applicatie is slechts één onderdeel van het geheel.

De Basisregistratie Personen moet een belangrijke rol kunnen spelen

De initiatiefnemers van MyCheck willen onderzoeken of persoonsgegevens kunnen worden gecontroleerd aan de hand van de Basisregistratie Personen (BRP). Dit is de Nederlandse basisregistratie waarin persoonsgegevens van inwoners worden bijgehouden, waaronder gegevens over naam en woonadres.

Het voornemen is om gegevens die een gebruiker via MyCheck verstrekt, te kunnen toetsen aan deze authentieke overheidsregistratie. Daarmee moet worden voorkomen dat een zelf opgegeven adres zonder verdere controle als betrouwbaar wordt beschouwd.

Volgens KPN-strateeg Chris Lambregts willen de initiatiefnemers niet dat de wallet simpelweg persoonsgegevens opvraagt bij de bank van de gebruiker. In plaats daarvan willen zij toe naar een methode waarbij de gegevens kunnen worden gecontroleerd aan de hand van een officiële bron.

Voor de uitvoering daarvan is samenwerking met de overheid nodig. De initiatiefnemers geven aan dat zij hopen op regelgeving die een dergelijke controle aan de hand van de BRP mogelijk maakt.

De beoogde aanpak moet bovendien zo worden ingericht dat persoonsgegevens niet onnodig zichtbaar worden voor de partij die de verificatie uitvoert. In de beschreven opzet zouden gegevens versleuteld aan de betrokken partij worden doorgegeven, zodat deze partij de onderliggende persoonsgegevens niet rechtstreeks kan inzien.

Daarbij is een belangrijk onderscheid nodig: versleuteling beschermt gegevens tijdens opslag of overdracht, maar bewijst op zichzelf niet dat de gegevens juist zijn. De betrouwbaarheid van de verificatie hangt ook af van de manier waarop de controle wordt uitgevoerd, de bron die daarvoor wordt geraadpleegd en de technische inrichting van het systeem.

De precieze werkwijze is nog niet bekend. Er is nog geen definitieve technische uitwerking gepubliceerd waaruit blijkt hoe de controle met de BRP zal plaatsvinden, welke partij daarbij welke gegevens verwerkt en hoe wordt voorkomen dat gevoelige informatie alsnog onnodig beschikbaar komt.

Ook is nog niet definitief vastgesteld dat de BRP daadwerkelijk bij de introductie van MyCheck kan worden gebruikt. De initiatiefnemers noemen deze mogelijkheid nadrukkelijk als een voornemen waarvoor verdere juridische en technische uitwerking nodig is.

De problemen met adresverificatie via iDIN

Het belang van een betrouwbare gegevensbron blijkt uit eerdere problemen rond de toepassing van iDIN. Deze identificatiedienst maakt het mogelijk om bepaalde persoonsgegevens via een bankgerelateerde identificatiemethode te bevestigen.

Bij de toepassing van iDIN is het van belang onderscheid te maken tussen het vaststellen van de identiteit van een gebruiker en het controleren van de juistheid van een specifiek persoonsgegeven. Een identificatiemethode kan helpen vast te stellen welke gebruiker zich bij een dienst aanmeldt, zonder dat daarmee automatisch is aangetoond dat ieder afzonderlijk gegeven actueel en correct is.

Bij adresverificatie kan dit een probleem opleveren wanneer de controle uitsluitend is gebaseerd op een adres dat de gebruiker zelf bij een bank heeft opgegeven. Als dat adres niet onafhankelijk wordt gecontroleerd aan de hand van een authentieke bron, kan een onjuist adres in bepaalde situaties toch als geverifieerd worden behandeld.

Een gebruiker kan bijvoorbeeld een adres wijzigen zonder dat de wijziging aan de hand van de BRP wordt gecontroleerd. Wanneer een andere organisatie vervolgens uitsluitend op de uitkomst van die adrescontrole vertrouwt, kan zij ten onrechte aannemen dat het adres officieel is bevestigd.

Dat kan risico's opleveren wanneer een organisatie op basis van die informatie toegang geeft tot persoonsgegevens of andere gevoelige diensten. Het probleem zit dan niet noodzakelijk in de digitale identificatie als geheel, maar in de betekenis die aan een afzonderlijke verificatie wordt toegekend.

Een controle die bevestigt dat iemand via een bepaalde methode is geïdentificeerd, mag dus niet zonder meer worden beschouwd als bewijs dat het opgegeven woonadres overeenkomt met de officiële registratie.

MyCheck wil dit soort tekortkomingen voorkomen door de verificatie van een adres te koppelen aan een betrouwbare bron. De BRP zou daarvoor een belangrijke rol kunnen spelen, mits de benodigde toegang en controle juridisch zijn toegestaan en technisch op een betrouwbare manier kunnen worden gerealiseerd.

Privacy: alleen delen wat noodzakelijk is

Een belangrijk uitgangspunt van MyCheck is dat gebruikers zelf bepalen welke gegevens zij delen. Dat moet het mogelijk maken om voor iedere situatie alleen de noodzakelijke informatie te verstrekken.

Bij traditionele digitale identificatie worden soms meerdere persoonsgegevens tegelijk doorgegeven, terwijl de ontvangende organisatie slechts één gegeven nodig heeft. Een organisatie die bijvoorbeeld alleen wil weten of iemand oud genoeg is om een bepaalde dienst te gebruiken, heeft niet altijd de volledige geboortedatum, het woonadres of andere identificerende informatie nodig.

Een privacyvriendelijk verificatiesysteem kan in zo'n geval volstaan met een bevestiging dat aan de leeftijdseis is voldaan. Daardoor ontvangt de organisatie minder persoonsgegevens dan wanneer alle gegevens rechtstreeks worden gedeeld.

Een dergelijke aanpak kan de hoeveelheid informatie beperken die organisaties verzamelen en bewaren. Dat kan het risico verkleinen dat persoonsgegevens onnodig worden opgeslagen, later voor andere doeleinden worden gebruikt of bij een beveiligingsincident uitlekken.

Of MyCheck deze vorm van selectieve gegevensverstrekking daadwerkelijk in alle beoogde situaties zal ondersteunen, moet nog blijken uit de technische uitwerking. Het is op dit moment niet duidelijk welke gegevenscategorieën afzonderlijk kunnen worden gedeeld en welke privacytechnieken daarvoor worden toegepast.

Ook moet duidelijk worden hoe gebruikers toestemming geven, hoe zij kunnen controleren welke informatie zij delen en welke gegevens eventueel door de ontvangende organisatie worden bewaard. De mogelijkheid om zelf gegevens te delen, betekent namelijk niet automatisch dat een gebruiker volledige controle heeft over wat er daarna met die gegevens gebeurt.

Voor een betrouwbare en privacyvriendelijke toepassing zijn daarom niet alleen technische maatregelen nodig, maar ook duidelijke afspraken over gegevensverwerking, bewaartermijnen, toegangsrechten en verantwoordelijkheden.

De overheid en certificering zijn bepalend voor de verdere ontwikkeling

Hoewel de initiatiefnemers MyCheck willen ontwikkelen binnen de Europese regelgeving, zijn verschillende voorwaarden nog niet definitief vastgesteld.

De betrokken organisaties geven aan dat zij nog kijken naar de precieze technische uitwerking en architectuurkeuzes. Daarbij spelen de eisen van de overheid en de toepasselijke certificeringseisen een belangrijke rol.

Certificering en formele erkenning kunnen duidelijk maken of een digitale identiteitsoplossing voldoet aan de relevante eisen op het gebied van beveiliging, betrouwbaarheid, privacy en interoperabiliteit. Welke specifieke eisen voor MyCheck zullen gelden, hangt af van de uiteindelijke vorm en functie van de dienst en van het juridische kader waarbinnen zij wordt aangeboden.

Ook de toegang tot overheidsregistraties is een afzonderlijk aandachtspunt. Dat de BRP een authentieke bron is, betekent niet dat iedere private organisatie zonder meer toegang kan krijgen tot de daarin opgenomen gegevens. Daarvoor moet een passende wettelijke en organisatorische grondslag bestaan.

De initiatiefnemers willen de wallet volledig laten aansluiten op de Europese wetgeving en de Nederlandse certificeringseisen. Totdat de relevante voorwaarden definitief zijn bevestigd, blijft de controle aan de hand van de BRP een voornemen en geen vaststaand onderdeel van de werking.

Dat onderscheid is belangrijk. Het doel van de samenwerking is duidelijk, maar de daadwerkelijke betrouwbaarheid van MyCheck zal pas kunnen worden beoordeeld wanneer bekend is hoe de dienst gegevens verifieert, welke bronnen daarvoor worden gebruikt en aan welke eisen de uiteindelijke oplossing voldoet.

Wanneer verschijnt MyCheck?

De introductie van MyCheck staat gepland voor het tweede kwartaal van 2027. Dat betekent dat de initiatiefnemers mikken op een lancering tussen april en juni 2027.

Voorafgaand aan de introductie moeten de deelnemende organisaties de technische architectuur verder uitwerken, de noodzakelijke afspraken met de overheid vormgeven en vaststellen hoe de wallet aan de toepasselijke eisen zal voldoen.

Daarnaast moet duidelijk worden welke verificatiefuncties bij de eerste introductie beschikbaar zijn en welke organisaties de dienst daadwerkelijk zullen accepteren. Een digitale identiteitswallet is immers pas breed bruikbaar wanneer zowel gebruikers als organisaties erop kunnen vertrouwen en de toepassing in verschillende diensten wordt ondersteund.

De aangekondigde introductieperiode is een planning en geen garantie dat alle beoogde functionaliteiten dan beschikbaar zullen zijn. Eventuele wijzigingen in regelgeving, toegang tot overheidsgegevens, technische ontwikkeling of certificering kunnen invloed hebben op de uiteindelijke uitvoering.

Door: Drifter