Eergisteren nam ik deel aan een debat over het nieuwe Nederlandse eID stelsel (oftewel Idensys zoals het nu heet. Eerder schreef ik over de rampzalige gevolgen van de destijds nieuwe koers van het stelsel. Is er in de tussentijd iets veranderd?
In de één na laatste versie (1.9a) van de specificaties (de laatste, 1.9b, is vorige week goedgekeurd maar die kon ik nog niet online vinden) is er wel iets veranderd. Er is een beperkte mogelijkheid tot het verstrekken van attributen voorzien. En berichtenverkeer tussen de authenticatiedienst (AD) en de dienstverlener (DV) is versleuteld zodat de herkenningsmakelaar (HM) niet ziet welke gebruiker welke diensten afneemt.
Dat is een kleine verbetering. Maar verschuift het probleem naar de AD. Voor het creëren van het dienst/domein specifieke pseudoniem heeft de AD al het domein van de dienst nodig. (Merk op dat Idensys geen onderscheid lijkt te maken tussen domeinen en specifieke diensten.) Voor het versleutelen van dat pseudoniem zodat alleen de DV die kan lezen moet de AD weten bij welke DV je je dienst afneemt. Dus in plaats van dat de HMs alles van iedereen ziet, zijn dat nu de ADs. Dat is in zoverre vooruitgang dat de gebruiker zelf zijn AD kiest (dat is niet het geval voor HMs). Aan de andere kant kun je je afvragen of het wenselijk is dat de Rijksdienst voor het Wegverkeer RDW (die als authenticatiedienst zou kunnen optreden als je gebruikt maakt van je elektronische rijbewijs) ziet dat je online een afspraak maakt met de oogarts...
Daarnaast is het zo dat bij gebruik van een machtigingen register of het BSN koppelregister de authenticatiedienst een pseudoniem aanmaakt voor deze registers. En dat deze registers dus wel gewoon zien van welke diensten je gebruik maakt. Het machtigingen register is (vooralsnog) niet voor particulier (consumenten of burger) gebruik bedoeld. Het BSN koppelregister natuurlijk wel. En het is goed om je je te realiseren dat dit register voor al die gevallen gebruikt gaat worden waar nu Digid gebruikt wordt. Dat is dus niet alleen voor het inloggen bij overheidsdiensten, maar bijvoorbeeld ook bij zorgverzekeraars. De privacy bezwaren tegen Digid blijven dus bestaan als we overgaan op Idensys.
Dit alles is, naast een aantal andere securiteit, privacy en gebruikersvriendelijkheid problemen inherent aan zogenaamde federatieve systemen.
Het debat leverde ook nog wel een aantal interessante inzichten op.
Ingrid de Caluwe (2e kamerlid, VVD) presenteerde kort het standpunt van de VVD over het eID stelsel. De VVD vind privacy erg belangrijk, en wil dat de overheid zelf ook eID (een zogenaamd 'publiek' middel) uitgeeft.
Dat laatste is in feite een brisant standpunt, omdat een aantal commerciële partijen hebben aangegeven geen eigen (privaat) eID middel uit te geven als de overheid de markt met een eigen middel verstoord. Dit brengt één van de peilers onder het eID stelsel, namelijk de zogenaamde multi middelen strategie, in gevaar. En juist het belang dat aan een multi middelen strategie werd gehecht heeft er toe geleid dat de overheid voor het eID stelsel voor een federatieve architectuur heeft gekozen (met alle bezwaren die daar aan kleven zoals hierboven geschetst).
Arnold Roosendaal merkte terecht op dat we duidelijk onderscheid moeten maken tussen identificatie (en authenticatie, zoals het eID stelsel dat regelt) en identiteit (dat wel zeggen de grote hoeveelheid aan persoonlijke gegevens die her en der verspreid in allerlei persoonlijke profielen zijn opgeslagen). Het eID stelsel voorkomt, zeker in de huidige opzet, dit verzamelen van persoonlijke profielen door bedrijven niet. Dat zou pas anders worden als het stelsel op een volwaardige manier persoonlijke attributen zou ondersteunen. In dat geval hebben bedrijven minder redenen om die gegevens zelf nog eens apart op te slaan: ze kunnen er immers iedere keer weer (automatisch) om vragen en zo ook nog eens er zeker van zijn dat de gegevens up to date zijn. Natuurlijk is het wel zo dat bedrijven waarvoor het verzamelen van persoonlijke gegevens een primaire bron van inkomsten is, dit altijd zullen blijven doen, onafhankelijk van hoe het eID stelsel is ingericht.
Zelf verbaasde ik mij tijdens het debat over het (onder de aanwezigen breed gedragen) geloof dat een eID stelsel zou lijden tot een significant kleinere overheid. Het stelsel is hooguit een noodzakelijke voorwaarde voor het verbeteren en versnellen van de mogelijkheid van digitale dienstverlening aan de burgerger. Maar het is hooguit de digitalisering van die dienstverlening zelf die zou kunnen leiden tot een kleinere overheid. En zelfs dan, zoals terecht werd opgemerkt door de zeer kleine minderheid van niet-blanke-mannen-van-middelbare-leeftijd aanwezigen, blijft voor veel burgers direct menselijk contact met de overheid belangrijk. (De burger zat, zoals wel vaker bij discussies en plannenmakerij rond het eID stelsel, weer eens niet aan tafel.)
Uiteindelijk ben ik het geloof ik deze keer wel eens met de VVD.
We doen al zo belachelijk lang over het invoeren van een elektronische identiteit, vooral omdat de overheid en het bedrijfsleven met elkaar aan het bakkeleien zijn over wie wat mag doen en wie daarvoor gaat betalen. Ondertussen staat de burger buitenspel: hem wordt niets gevraagd. Eigenlijk ontbreekt het de overheid aan daadkracht en moed om simpelweg een knoop door te hakken en oplossing te forceren. Dat had de overheid al jaren geleden kunnen en moeten doen. Dan hadden we nu een werkend en veiliger en privacy vriendelijker opvolger voor Digid gehad. In plaats van te wachten totdat het bedrijfsleven meebetaald. De overheid had er voor kunnen kiezen gewoon een publiek middel in te voeren en het bedrijfsleven daar gratis gebruik van te laten maken. Dat had dan zo'n 200 miljoen euro (20 euro voor maken en uitgeven van een eID voor 20 miljoen burgers) verspreid over 10 jaar gekost. Dat was een goede investering in de economie geweest.
Het aanleggen van een klein stukje snelweg kost al gauw meer...