Wie een hypotheekaanvraag wil doen, een huurcontract wil tekenen of een auto wil leasen, moet daarvoor tegenwoordig vaak een zogeheten datadeler-app gebruiken. Er zijn echter zorgen over de hoeveelheid data die een aantal van die apps over klanten verzamelen en delen. Dat blijkt uit een advies van de Autoriteit Persoonsgegevens op verzoek van het ministerie van Binnenlandse Zaken, dat deze week openbaar is gemaakt.
1 Wat is een datadeler-app?
Een datadeler-app, ook wel identificatiewallet genoemd, is een applicatie waarmee mensen gegevens over zichzelf kunnen (laten) verzamelen om die vervolgens te kunnen delen. Het kan gaan om gegevens om ergens in te loggen, maar ook om bijvoorbeeld gegevens die nodig zijn om je identiteit of kredietwaardigheid te bewijzen. Je zou de app kunnen omschrijven als een digitale kluis voor het bewaren en delen van geverifieerde persoonsgegevens. Daartoe moet die app communiceren met de verstrekkers van die gegevens. Overheden, banken, het UWV en bijvoorbeeld onderwijsinstellingen kunnen betrouwbare certificaten afgeven over je inkomen, diploma’s en adres, die je vervolgens via die app kunt delen.
2 Waar worden dit soort apps voor gebruikt?
Met name bij hypotheekverstrekkingen en het afsluiten van huurcontracten worden dit soort apps vaak gebruikt. Dat zijn processen waarbij veel gevoelige informatie moet worden opgevraagd en gecontroleerd. Dat kan via e-mail, op papier of via het uploaden van bestanden naar een server van bijvoorbeeld een hypotheekadviseur of bank, maar dat is arbeidsintensief en fraudegevoelig. Bovendien staan in die bestanden vaak veel meer gegevens dan strikt noodzakelijk. Datadelerapps stroomlijnen dat proces en maken het minder fraudegevoelig. Bedrijven zijn er daarom dol op en vragen klanten steeds vaker dit soort apps te gebruiken.
Er zijn verschillende ID-wallets in omloop. De Rabobank gebruikt sinds twee jaar de app Datakeeper op momenten waarbij veel uitwisseling van gegevens noodzakelijk is, zoals bij een hypotheekaanvraag of bij het invullen van een financieel plan. Mogelijk wordt die binnenkort ook geïntegreerd in de app voor het bankieren.
Woning- en autoverhuurders en verzekeraars maken ook geregeld gebruik van apps zoals Ockto en MyQii. Ockto is volgens eigen opgave door 1,5 miljoen Nederlanders gebruikt. MyQii heeft het op de website over meer dan 350.000 gebruikers. Een kleinere speler is Yivi.
3 Wat heeft dit te maken met de Europese digitale identiteit?
Volgens een Europese wet die in 2025 van kracht wordt heeft iedere EU-burger recht op een identificatiewallet. Nationale overheden moeten ervoor zorgen dat die voor iedereen beschikbaar zijn en overheden en tal van organisaties zijn dan verplicht ze te accepteren. Aan deze EU-ID-wallets worden strenge privacy-eisen gesteld. De informatie moet bijvoorbeeld bij de gebruiker zelf (op zijn telefoon) staan en niet in een cloud. Zodat de persoon over wie het gaat zijn data zelf kan beheren en bijvoorbeeld de toestemming om zijn data te gebruiken ook weer kan intrekken.
De meeste ID-wallets halen onnodig veel gegevens over hun klanten binnen
4 Wat is nu het probleem?
De meeste ID-wallets die nu worden gebruikt voldoen niet aan die EU-voorwaarden en ook niet aan de Algemene verordening gegevensbescherming (AVG). Ze halen onnodig veel gegevens over hun klanten binnen en zijn niet transparant genoeg over wat daarmee gebeurt.
Verschillende wallets, zoals Datakeeper en Ockto, vragen de gebruiker met DigiD in the loggen op hun app. Vervolgens wordt hun DigiD-inlog door de app gebruikt om namens de gebruiker in te loggen bij bijvoorbeeld Mijnoverheid en de RDW. De app krijgt dan in één keer toegang tot alle gegevens van de gebruiker die op die overheidswebsite staan. De apps halen al die informatie binnen. Ze filteren die voor ze die delen met bijvoorbeeld een woningverhuurder of hypotheekverstrekker, maar hoe ze dat doen is weinig transparant. Door deze werkwijze worden volgens de Autoriteit Persoonsgegevens veel meer gegevens over gebruikers binnengehaald dan strikt noodzakelijk. Bovendien heeft de consument er geen grip op.
Daar komt nog bij dat de datadelerapps niet samen kunnen werken met de populaire DigiD-app, die gebruik maakt van tweestapsverificatie. In plaats daarvan gaat het met de wat minder veilige oudere inlogmethode met een wachtwoord. Dat ondermijnt dus de DigiD-beveiliging.
5 Is het dan niet verstandiger helemaal te stoppen met die datadeler-apps?
Nou, nee. Dat is gezien de digitalisering van de samenleving en de ontwikkeling van de Europese digitale identiteit niet realistisch. Daarvoor bieden de apps te veel praktische voordelen. Ze zouden de privacy van burgers bovendien juist kunnen helpen beschermen, maar dan moeten ze wel aan de regels voldoen.
Het ministerie van BZK wilde daarom een convenant met de sector afsluiten. Een soort gedoogconstructie voor de overgangsperiode tot de EU-wet en -wallet er is. Maar dat wordt door de AP ontraden. Die vindt dat de bestaande privacyregels gewoon moeten worden gehandhaafd en de datadeler-apps op deze manier dus niet mogen.
6 Wat vinden de bedrijven?
Volgens de grootste aanbieders ligt de oplossing bij de overheid zelf. Die zou betere digitale koppelingen moeten aanbieden, waardoor de huidige DigiD-route niet nodig is. Dan kunnen ze veel gerichter informatie opvragen. Dat die koppelingen er nog niet zijn dwingt ze in hun ogen tot privacyschendingen. „Een onwenselijke situatie”, beamen vertegenwoordigers van de sector in een recente brief aan het ministerie, „maar nog altijd veiliger dan het delen van bijvoorbeeld paspoortkopieën, salarisstroken en UWV-verzekeringsberichten via e-mail of bijvoorbeeld een aanbieder van online opslagruimte zoals Dropbox. Daar zou de kans op hacks veel groter zijn.
Vincent Kolijn van Rabobank-onderdeel Datakeeper „herkent de problemen ook niet echt”. „Onze klanten vinden dat het een hoop gehannes scheelt. En als bank zijn wij blij met minder fraude en meer efficiëntie. Dat is een kostenvoordeel.” Hij benadrukt dat de bank heeft geïnvesteerd in een privacyvriendelijke app, waarbij de gebruiker zijn eigen data beheert. „Beste overheid, maak wat voort. We hebben ervaring en denken graag mee. We hobbelen nu achter landen als België en Zweden aan.”
