Leven zonder digitale sporen achter te laten kan niet. Maar met de EUDI-wallets worden het er veel minder

Google bouwt zo’n profiel van ons. Meta doet het. Microsoft doet het ook. En zo zijn er nog tientallen, waarschijnlijk honderden andere partijen die (delen van) onze digitale sporen toevoegen aan het profiel dat zij van ons hebben. Dankzij WikiLeaks en Snowden weten we bovendien dat ook overheden en inlichtingendiensten op grote schaal dit soort door ons op het internet achtergelaten gegevens verzamelen en analyseren.

Zo’n profiel gaat veel verder dan een naam: apparaten, IP-adressen, cookies, advertentie-ID’s, interesses, zoekgedrag, klikgedrag, locatie, aankopen en contacten. Met die data kunnen AI’s en algoritmen ons gedrag beïnvloeden: ons koopgedrag, maar ook onze voorkeuren en keuzes. We hebben dat meestal zelf niet in de gaten.

Hier zit het punt dat in de nu warmgelopen discussie vaak wordt gemist. Een profiel is pas iets waard als het aan een persoon vastzit, en dat is wat digitale identificeerbaarheid doet: het is de manier waarop een partij ons herkent en het profiel weer aan ons koppelt. Een Google-account, een advertentie-ID, een cookie, een telefoonnummer – ze doen allemaal hetzelfde. De wallet introduceert dus geen digitale identiteit; we hebben al lang tientallen digitale profielen, en niet één ervan hebben we zelf gekozen. Grote platforms houden profielen van miljarden mensen bij. Diezelfde infrastructuur kan ook voor diverse vormen van controle worden misbruikt. En dat gebeurt ook al.

Wanneer dezelfde partij ons profiel bezit en tegelijkertijd de digitale toegangspoort beheert, ontstaat functioneel een social-credit-systeem. Google, Meta en Microsoft kunnen hun social-logins blokkeren, diensten beperken, content verwijderen of de zichtbaarheid ervan aanpassen op basis van regels, classificaties en algoritmen. Dit zijn letterlijk social-credit-systemen die overheden per direct zouden kunnen misbruiken met een enkele noodwet.

De Wob/Woo-documenten over de Covid-periode lieten zien hoe intensief overheden en platforms samenwerkten rond informatie, content en gedragsbeïnvloeding. Tegelijk bepaalde een digitale gezondheidsstatus wie mocht reizen of ergens aan deelnemen. Digitale identiteit werd zo niet alleen gebruikt om te weten wie iemand is en wat iemand doet, maar ook om te bepalen wat iemand wel of niet mocht doen. Dat is precies de ontwikkeling waar we ons zorgen over moeten maken: wanneer identiteit, profiel en toegangsrechten steeds meer in dezelfde handen terechtkomen.

Juist daarom zijn wallets die op de EUDI-standaard zijn gebouwd interessant. Ze halen de herkenbaarheid van ons weg bij de partij die ook het profiel en de toegangspoort beheert, en leggen haar bij de gebruiker van de wallet. Wie zich met een wallet-pseudoniem aanmeldt, is niet meer aan zijn profiel te koppelen – en zonder die koppeling is er niets meer om gericht te beïnvloeden of dicht te zetten.

Hoe dat werkt: EUDI is geen app maar een standaard, een protocol dat de digitale identiteit decentraliseert naar de gebruiker, met dataminimalisatie en user control als kern. Decentraal is belangrijk want daarmee loopt onze herkenbaarheid niet via centrale databases of servers. Gebruiker control zegt het al: wij bepalen zelf wie echte gegevens ziet, wie alleen een niet-herleidbaar cryptografisch bewijs ziet, en wie alleen een pseudoniem. Dat maakt tracking en profilering door het aan elkaar koppelen van herkenningsmiddelen aanzienlijk moeilijker.

Vergelijk het met SMTP, het protocol achter e-mail: geen centrale dienst, maar een gemeenschappelijk raamwerk waarmee systemen samenwerken. Er is dus geen centrale EU-database en geen centrale EU-wallet. Zoals er tientallen mailprogramma’s zijn die SMTP spreken, komen er tientallen wallets die EUDI spreken: apps waarin de gebruiker zelf zijn gegevens beheert en per dienst bepaalt wat hij deelt. Een medisch dossier of aankoopgedrag komt niet vanzelf, of per ongeluk, in de wallet en er zit ook geen geld in, ondanks dat het een wallet heet.

De Europese Commissie kondigde de wallet aan op 16 september 2020, in de State of the Union, en deed het formele voorstel op 3 juni 2021. EUDI verhult geen nieuwe ambitie om burgers te registreren, maar is in de eerste plaats een reparatie van het eerdere eIDAS-raamwerk. Onder eIDAS, uit 2014, hadden destijds slechts veertien van de zevenentwintig lidstaten een eID-stelsel aangemeld, en dat werkte alleen bij overheidsdiensten, niet bij de bank of een webwinkel.

Het uitgesproken doel van de EUDI-wallet is drieledig. Een enkel identiteitsmiddel per lidstaat dat in alle lidstaten wordt geaccepteerd, zodat de interne markt ook digitaal een aaneengesloten markt wordt, en digitale frictie afneemt. Verder burgers met digitale soevereiniteit die per transactie zelf kunnen bepalen wat ze delen. En tenslotte wat de Commissie ‘technologische autonomie’ noemt: Europese bedrijven moeten wereldwijd kunnen concurreren, en digitale herkenbaarheid mag niet onnodig afhankelijk worden van commerciële inlogdiensten.