Nederland doet mee aan een Europese pilot voor een digitaal reisdocument. In de pilot kunnen Nederlandse reizigers op een vlucht van Canada terug naar Nederland met zo’n digitaal reisdocument vooraf inchecken. Dat zou veiliger en efficiënter zijn. De vraag is natuurlijk: is dat ook zo?
Wat is zo’n digitaal reisdocument nou precies? Het blijkt te gaan om een door de International Civil Aviation Organization (ICAO) gestandaardiseerde Digital Travel Credential (DTC), een DTC type 1 om precies te zijn. Dit is in essentie een digitale kopie van de informatie die al in het digitale, draadloos uitleesbare, biometrische paspoort staat dat Nederland sinds 2006 uitgeeft. Het gaat dus om je naam, je geboortedatum bijvoorbeeld, maar ook om je portretfoto. Uitgezonderd zijn de vingerafdrukken (die wel in het paspoort staan, maar daar niet zomaar uit te lezen zijn). In de praktijk is het digitaal reisdocument een app op je smartphone, waarmee je één keer de informatie op je paspoort uitleest, om vervolgens die informatie ter voorbereiding van je reis, en tijdens de reis zelf, te gebruiken.
Volgens de kamerbrief is
[h]et doel van de DTC […] om organisaties [(luchtvaartmaatschappijen, luchthavens en de grensautoriteit)] te ondersteunen om de processen op en rond de grens effectiever en efficiënter uit te voeren.
[…]
Zo kunnen enkele controles voorafgaand aan de reis uitgevoerd worden, en hoeft voor geautomatiseerde gezichtsvergelijking geen foto uit de (soms trage) chip van het reisdocument uitgelezen te worden.
Ik kan me voorstellen dat een digitaal reisdocument luchtvaartmaatschappijen kan helpen om het proces van het vooraf verzamelen, controleren en het aan de overheid doorgeven van passagiersgegevens (waar ze wettelijk toe verplicht zijn) te optimaliseren: een digitaal reisdocument bevat de juiste persoonsgegevens, en de digitale handtekening over die gegevens (mee uitgelezen uit het paspoort) garanderen de authenticiteit.
Ook kan inderdaad net zo goed de portretfoto in het digitale reisdocument gebruikt worden voor de gezichtsvergelijking tijdens het inchecken of aan de grens. Het is echter essentieel dat dan ook gecontroleerd wordt dat de reiziger ook over het bijbehorende geldige, fysieke, paspoort beschikt. Anders wordt het risico van ‘look-alike’ fraude groter. (Het ICAO document waarschuwt expliciet voor dit risico, en stelt daarom ook expliciet dat een type 1 DTC alleen geldig is tezamen met het fysieke paspoort waarvan het is afgeleid.) Als deze controle noodzakelijk is, is de vraag in hoeverre de controle aan de grens of bij het inchecken echt veel sneller dan wel veiliger wordt.
Het lijkt er op dat de overheid en de Europese commissie dit probleem ook hebben geconstateerd. Vreemd genoeg namelijk is het proces van het aanmaken van een digitaal reisdocument complexer dan wat je van een DTC type 1 zou kunnen verwachten:
De reiziger wordt gevraagd een gezichtsportret (‘selfie’) te maken. Deze kan dan vergeleken worden met de foto die opgeslagen is in de paspoortchip. In deze fase wordt middels gezichtsherkenning gecontroleerd dat de persoon die de DTC aanmaakt ook de rechtmatig houder van het document is. Dit wordt gedaan om zeker te zijn dat de gegevens verstuurd worden door de rechtmatige documenthouder en om aan de grens de doorstroom te bevorderen.
Het gebruik van gezichtsherkenning bij het aanmaken van de DTC voor verificatie doeleinden is tevens door de EC beschreven als een specifiek proces dat zij met een pilot wenst te beproeven.
Dat proces zou je verwachten voor een complexere DTC (type 2 of 3), waar een paspoort als extra controlemiddel niet langer nodig is, maar niet bij een type 1 DTC. Het lijkt er hier op dat de overheid aan het voorsorteren is op een digitaal reisdocument die men zonder fysiek paspoort kan gebruiken, iets wat voernoot vier aan het einde van de brief ook lijkt te suggereren:
De Schengengrenscode schrijft voor dat bij het passeren van de grens een geldig reisdocument noodzakelijk is. Er is nog geen wettelijke grondslag om de DTC hiervoor te gebruiken. Deze grondslag wordt pas gecreëerd met een verordening inzake een digitaal reisdocument en het faciliteren van reizen.
Dat kan, maar dan moeten er nog wel harde noten gekraakt worden over de veiligheid van een app op een smartphone als digitaal reisdocument. En ook de precieze inrichting van het registratieproces (dat wil zeggen het vullen van de app met de gegevens uit het paspoort) speelt daarin een belangrijke rol: hoe wordt er precies een selfie gemaakt? Waar vindt precies de matching van de selfie met de portretfoto in het paspoort plaats? Hoe vaak kan ik verschillende apps op verschillende telefoons vullen met de gegevens van één paspoort? Wat moet ik doen als er een fout optreed tijdens registratie? En wat als ik mijn telefoon verlies? In hoeverre worden mijn biometrische gegevens vervolgens gecontroleerd bij het gebruik van de app als digitaal reisdocument? De kracht van een fysiek, elektronisch, paspoort is dat de overheid het uitgifteproces strak onder controle heeft. Dat is niet het geval bij een digitaal reisdocument dat draait als een app op een willekeurige smartphone.
Dit raakt overigens aan discussies over de veiligheid van de voorstellen voor een nieuwe Europese elektronische identiteitswallet, en de afhankelijkheid van de smartphone platformen van Google en Apple.
En roept overigens een andere voor de hand liggende vraag op: als Europa toch al bezig is met het opzetten van zo’n elektronische identiteitswallet, waarom zou je die dan niet ook gewoon kunnen gebruiken als digitaal reisdocument?
P.S.: Pas op voor begripsverwarring: een elektronisch reisdocument is het draadloos uitleesbare paspoort of identiteitskaart zelf!