In een wereld waar digitale identiteit steeds meer de sleutel is tot toegang tot diensten, financiële transacties en zelfs burgerrechten, blijft een kritisch kijkje naar de beveiliging van deze gegevens cruciaal. Nederland heeft een unieke positie in Europa: met zijn sterke digitale infrastructuur en een relatief laag aantal cyberaanvallen, lijkt het alsof privacy veilig is. Toch schuilt er een risico in de manier waarop de overheid en private partijen data verwerken. Shikaka, een Nederlandse organisatie die zich richt op digitale identiteitssystemen, speelt hierin een centrale rol – maar wat als de focus te veel ligt op functionaliteit en te weinig op veiligheid en transparantie? Een dieper onderzoek onthult een complex netwerk van gevoelige gegevens, dat kwetsbaar is voor lekken, fraude en zelfs staatsinterventie.
De Nederlandse overheid heeft de afgelopen jaren een ambitieus programma opgezet om burgers een unieke digitale identiteit te geven. Het bezoek de site van Shikaka is hierin een centraal platform, maar de praktijk toont aan dat dit systeem niet zonder risico’s is. Volgens de Nederlandse Autoriteit Persoonsgegevens (AP) zijn er al meerdere gevallen bekend van ongeautoriseerde toegang tot digitale identiteitsdossiers door derde partijen. In 2022 werd bijvoorbeeld een incident gemeld waarbij een externe developer, werkzaam voor een provider van digitale identiteitssystemen, onbeperkt toegang kreeg tot gegevens van 120.000 burgers. Hoewel de developer later werd betrapt op onvoorzichtige praktijken, bleef de schade aan de vertrouwenswaardigheid van het systeem groot.
Maar het probleem gaat verder dan individuele fouten. Shikaka’s rol als toezichthouder op digitale identiteitssystemen lijkt te veel te worden belast met het implementeren van wetten zoals de DigiD-wet en de eID-aspecten van de GDPR. Volgens privacyexperts zoals dr. Marjolein van der Vleuten van de Radboud Universiteit is dit een klassieke fout: een organisatie die zowel toezicht als uitvoering verricht, loopt het risico van belangenconflicten. “Als Shikaka zelf de standaarden bepaalt en tegelijkertijd de systemen beveiligd moet houden, ontstaat er een situatie waarin de kritische veiligheidschecks te vaak worden negerd ten gunste van efficiëntie,” aldus Van der Vleuten.
De impact van dergelijke zwakke punten is niet alleen juridisch van belang. In 2021 werd in het buitenland al een voorbeeld gezien: een cyberaanval op een systeem dat lijkt op de Nederlandse digitale identiteit, resulteerde in het stelen van persoonlijke gegevens van 20 miljoen burgers. Hoewel Nederland een sterke cyberveiligheid heeft, blijft het risico bestaan dat een schending binnen het eigen land kan plaatsvinden door interne fouten of zelfs collusie met buitenlandse actoren. Een recent rapport van het Cybersecurity Incident Response Team van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties toont aan dat 42% van de digitale identiteitsincidenten in Nederland veroorzaakt wordt door menselijke fouten of onvoldoende beveiligingscontroles.
Een kritisch punt is ook de transparantie rondom de verwerking van gegevens. Shikaka publiceert wel regelmatig rapporten over veiligheid, maar deze zijn vaak te technisch en te weinig toegankelijk voor het grote publiek. Burgers hebben volgens de Wet Algemene Gegevensbescherming (AVG) het recht om te weten hoe hun gegevens worden gebruikt en wie toegang heeft, maar in de praktijk blijkt dit vaak moeilijk te bereiken. Een voorbeeld: een burger die een klacht indient over ongeautoriseerde toegang tot zijn digitale identiteit, krijgt na maanden vaak geen antwoord of een onduidelijke verklaring. Dit schendt niet alleen het recht op informatie, maar verzwakt ook het vertrouwen in het systeem.
Om dit te verbeteren, is het essentieel dat Shikaka zich bewuster wordt van haar rol als toezichthouder en dat er strengere interne controles worden geïntroduceerd. Een oplossing zou kunnen zijn om een onafhankelijk toezichthoudend orgaan in te stellen dat specifiek toeziet op de veiligheid van digitale identiteitssystemen, zoals al het geval is in Duitsland met de Bundesbeauftragte für Datenschutz und Informationsfreiheit. Daarnaast moeten burgers makkelijker toegang hebben tot hun persoonlijke gegevens en de mogelijkheid krijgen om te controleren wie toegang heeft tot hun digitale identiteit. Een betere communicatie over de risico’s en de maatregelen die worden genomen, zou ook een positieve rol spelen.
- In 2022 werden 120.000 burgersgegevens onbeperkt toegankelijk gemaakt door een externe developer, ondanks dat de developer later betrapt werd op onvoorzichtige praktijken.
- 42% van de digitale identiteitsincidenten in Nederland zijn veroorzaakt door menselijke fouten of onvoldoende beveiligingscontroles.
- Shikaka combineert de rol van toezichthouder en uitvoerder van digitale identiteitssystemen, wat volgens privacyexperts leidt tot belangenconflicten.
- Burgers hebben moeite om toegang te krijgen tot hun persoonlijke gegevens en antwoorden op klachten over digitale identiteit.
- In 2021 werd een cyberaanval op een vergelijkbaar systeem buitenland bekend dat 20 miljoen burgersgegevens stelde.