We gaan onvoldoende zorgvuldig om met privacygevoelige informatie

Voorafgaand aan het e-Identity congres geeft Haydar Cimen, Director Strategic Development KPN, zijn visie op het gebied van de toekomst van de e-Identity. Verder bespreekt hij welke ontwikkelingen er gaande zijn en wat er nodig is om die volgende stap in de digitale identiteit te maken is.

Welke ontwikkelingen zijn er op het gebied van identificatie & authenticatie van klanten?

Veel van onze klanten staan aan de vooravond van verdere verdigitalisering van haar dienstverlening. Deze dienstverleners dienen op korte termijn sterkere authenticatie voorzieningen te realiseren dan voorheen. Waar nu nog gebruikersnamen/wachtwoorden worden gebruikt (Stork niveau 1 en 2) moeten er alternatieven worden ingezet waarbij er hogere mate van zekerheden  (Stork 3+) noodzakelijk zijn voor nieuwe generatie toepassingen zoals bijvoorbeeld privacy gevoelige patientendossiers en rechtsgeldige transacties.

“De technologie is gereed om de volgende stappen te zetten in verdere verdigitalisering van de bedrijfsprocessen van onze klanten en de samenleving.”

Welke initiatieven zijn er om identificatie en authenticatie van personen (burgers, consumenten) en bedrijven op de digitale toekomst in te kunnen richten?

KPN biedt al vele jaren identity- en crypto infrastructuren voor stelsels zoals eHerkenning/Idensys. Daarnaast ontwikkelen wij momenteel veel mobiele applicaties die als identiteitsmiddel functioneren en geschikt zijn voor verschillende doelgroepen. Het valideren van gebruikers en het koppelen van de natuurlijke / rechtspersoon aan  hoogwaardige identiteitsmiddelen vindt momenteel veelal plaats door middel van face-2-face validatie aan de deur. Wij ontwikkelen daarnaast in samenwerking met verschillende partners (privaat/wetenschap) nieuwe generatie identificatie-op-afstand processen om op grote schaal gebruikers/burgers/consumenten uit te rusten met een nieuwe generatie digitale identiteit.

Wat is er nodig om de volgende stap in digitale identiteit te maken?

De technologie is gereed om de volgende stappen te zetten in verdere verdigitalisering van de bedrijfsprocessen van onze klanten en de samenleving. Hiervoor is het noodzakelijk dat er afsprakenstelsels ontstaan zoals Idensys die eenduidigheid creëren in de te gebruiken identiteitsmiddelen. Zonder dergelijke afspraken en standaarden kunnen dienstverleners via haar digitale portalen niet eenduidig een gebruiker identificeren. De publieke- en private- identiteitsmiddelen dienen op grote schaal beschikbaar te zijn voor de consument en burgers in Nederland.  Dienstverleners kunnen hierdoor hoogwaardige en privacy-gevoelige processen die eerder op papier dienden plaats te vinden verdigitaliseren.

Hoe zit het met de opvolger van DigID/eHerkenning?

Het nieuwe Idensys stelsel biedt een multimiddelen strategie waarbij consumenten/burgers zelf kunnen kiezen met welke id’s men inlogt bij een dienstverlener of webshop. Dit Idensys stelsel zal per dec 2015 in productie gaan en er zullen in 2016 ca. 20 pilots starten met overheidsdienstverleners en portalen in de private-sector. De verwachting is dat huidige “stelsels” zoals PKIOverheid, BAPI, SBR, Digid, eHerkenning zullen opgaan in dit nieuwe Idensys stelsel. Ook zal het Idensys stelsel de interoperabiliteit met Europe mogelijk maken waardoor ingezetenen vanuit andere lidstaten in de nabije toekomst kunnen interacteren met andere overheden en private ondernemingen.

Hoe is het gesteld met de privacy en bescherming van de klant, nu en in de toekomst?

Privacy is essentieel in deze identiteitsvraagstukken en staat voorop in de KPN-strategie op dit punt. Momenteel is het slecht gesteld met de privacy van de burger en zeker van de consument. Er wordt door veel partijen onvoldoende zorgvuldig omgegaan met privacygevoelige informatie. Ook wordt er veel afgeleide informatie gecollecteerd en verwerkt door advertentie/profiling bedrijven. Deze informatie zwerft wereldwijd rond en gebruikers zijn niet meer in staat om te achterhalen wie/welke data van de gebruikers heeft ontvangen en verwerkt. KPN biedt oplossingen waarbij de gebruikers-anonimiteit wordt gewaarborgd door middel van privacy protectie- en privacy-enhancing technologieën.

In dit kader werkt KPN samen met de wetenschap en andere kennispartners om zoveel mogelijk zekerheden te creëren voor de consument en de keuze om informatie te verstrekken aan portalen over te laten aan de gebruiker (user consent). Voorbeeld: het is niet noodzakelijk om een geboortedatum op te geven wanneer een ja/nee voldoende is om te bepalen of een gebruiker volwassen is. Nieuwe ontwikkelingen zoals Attribute Based Credentials bieden momenteel de mogelijkheid om gedoseerd en per attribuut (bv kledingmaat, BSN nummer, woonplaats,..) authenticatie mogelijk te maken. De gebruiker bepaalt welke informatie hij wil/mag aanbieden aan de partij die hier om vragen bij authenticatie of autorisatie.