Digitale identiteit groeit, zelfs na een Spaanse privacyboete

Digitale identiteit wordt steeds vaker gepresenteerd als een praktische oplossing: één app om te bewijzen wie je bent, hoe oud je bent of dat je aan een bepaalde voorwaarde voldoet. De markt groeit mee. Op 16 oktober berichtte de Financial Times over de snelle groei van Yoti, een bedrijf dat digitale identiteitsdiensten en gezichtsgebaseerde leeftijdsschatting aanbiedt aan onder meer overheden, bedrijven en online platforms.

Dat nieuws komt op een ongemakkelijk moment. In dezelfde berichtgeving staat dat de Spaanse privacytoezichthouder Yoti een boete van bijna een miljoen euro heeft opgelegd in verband met de verwerking van biometrische gegevens en dat het bedrijf zich uit Spaanse appwinkels heeft teruggetrokken. De details van die zaak verdienen zorgvuldige beoordeling, maar de bredere les is helder: zodra identiteit en biometrie onderdeel worden van digitale dienstverlening, kunnen de gevolgen voor privacy groot zijn.

Een digitale identiteit is niet zomaar een handige app. Het maakt identificatie tot een infrastructuur die steeds meer toegang tot diensten kan gaan bepalen. Menselijke vrijheid vraagt niet om een slimmere identiteitscontrole, maar om grenzen aan de behoefte om mensen digitaal te identificeren.

Van leeftijdscontrole naar een vaste identiteitslaag

De Europese Commissie dringt er inmiddels op aan dat lidstaten de Europese app voor leeftijdsverificatie snel invoeren, met als doel die eind 2026 beschikbaar te hebben. De app is bedoeld om te laten bewijzen dat iemand boven een bepaalde leeftijdsgrens zit zonder diens volledige identiteit of exacte leeftijd met een platform te delen. Lidstaten kunnen de oplossing zelfstandig aanbieden of koppelen aan Europese digitale-identiteitswallets.

Kinderen beschermen tegen schadelijke online-inhoud is een legitiem doel. Maar een goed doel maakt iedere technische route nog niet wenselijk. Wanneer toegang tot websites en diensten steeds vaker afhankelijk wordt van een digitaal bewijs, ontstaat druk om een identiteitslaag op te bouwen die niet beperkt hoeft te blijven tot één toepassing. Een voorziening die vandaag wordt ingevoerd voor leeftijdscontrole, kan morgen de vanzelfsprekende route worden voor andere vormen van toegang.

Dat risico verdwijnt niet doordat de techniek belooft alleen het noodzakelijke gegeven te delen. Privacyvriendelijke technieken kunnen dataverzameling beperken, en dat is beter dan het onnodig delen van paspoortgegevens. Maar ze beantwoorden niet de voorafgaande vraag: waarom moet digitale identificatie überhaupt de norm worden? Ook een zorgvuldig ontworpen systeem normaliseert het idee dat mensen online eerst een digitaal kenmerk moeten overleggen voordat ze ergens aan mogen deelnemen.

Biometrie is geen onschuldige snelkoppeling

Een wachtwoord kun je veranderen. Een gezicht niet. Biometrische gegevens zijn daarom bijzonder gevoelig. Gezichtsschatting kan bovendien fouten maken, terwijl gebruikers vaak weinig zicht hebben op de precieze verwerking, de betrokken partijen en de mogelijkheden om een beslissing aan te vechten. Wanneer een commerciële aanbieder, een platform en een overheid verschillende onderdelen van de controle leveren, wordt het voor burgers niet eenvoudiger om te begrijpen wie waarvoor verantwoordelijk is.

Een boete of een privacyonderzoek bewijst op zichzelf niet dat elke digitale identiteitsdienst onrechtmatig is. Het laat wel zien waarom vertrouwen niet mag worden gebaseerd op marketingbeloften alleen. De inzet van biometrie vraagt om een sterke juridische grondslag, aantoonbare noodzaak, minimale gegevensverwerking en onafhankelijk toezicht. En zelfs wanneer aan zulke voorwaarden wordt voldaan, blijft de politieke keuze bestaan of een samenleving digitale identiteit als toegangsbewijs wil normaliseren.

Bescherm kinderen zonder iedereen te identificeren

De verantwoordelijkheid voor de veiligheid van kinderen ligt in de eerste plaats ook bij platforms die verslavend ontwerp, aanbevelingssystemen en gebrekkige moderatie inzetten. Leeftijdscontrole mag geen afleidingsmanoeuvre worden waarmee de verantwoordelijkheid verschuift naar iedere gebruiker die zijn leeftijd moet bewijzen. Platforms kunnen risico’s beperken door veilige standaardinstellingen, effectieve meldprocedures, passende ontwerpkeuzes en handhaving van bestaande regels.

Waar leeftijdscontrole echt noodzakelijk is, moet de minst ingrijpende aanpak worden gekozen en moet er een reëel alternatief bestaan voor mensen die geen digitale identiteit willen of kunnen gebruiken. Toegang tot het internet mag niet ongemerkt veranderen in een permanente controlepost. Een samenleving die vrijheid serieus neemt, beschermt kinderen zonder de identificatie van iedereen tot uitgangspunt te maken.

De groei van de digitale-identiteitsmarkt is dus niet alleen een verhaal over gemak en innovatie. Het is ook een politieke keuze over wie zich tegenover wie moet identificeren, welke gegevens daarbij worden verwerkt en hoe gemakkelijk een tijdelijke controle kan uitgroeien tot een blijvende infrastructuur. Die keuze verdient veel meer publieke tegenspraak dan een verkooppraatje over een handige app.