De Europese digitale-identiteitsportemonnee: wie moet ze aanvaarden, en wat betekent ze voor KYC?

Het juridisch kader

De Europese portemonnee voor digitale identiteit, in de praktijk vaak de EUDI-wallet genoemd, komt uit Verordening (EU) 2024/1183 van 11 april 2024. Die verordening wijzigt de eIDAS-verordening, Verordening (EU) nr. 910/2014, en zet het Europees kader voor digitale identiteit op. Ze verscheen op 30 april 2024 in het Publicatieblad en trad in werking op 20 mei 2024. De nieuwe regels staan in eIDAS zelf, dus lees je ze het makkelijkst in de geconsolideerde eIDAS-tekst. De artikelnummers hieronder zijn die van eIDAS zoals gewijzigd.

Wat de portemonnee is

Elke lidstaat moet minstens één portemonnee aanbieden (artikel 5 bis, lid 1). Dat kan rechtstreeks, via een mandaat, of door een portemonnee te erkennen die los van de overheid is ontwikkeld (lid 2). De broncode van de applicatieonderdelen moet onder een opensourcelicentie staan (lid 3).

Volgens lid 4 kan de gebruiker met de portemonnee onder meer:

• persoonsidentificatiegegevens en elektronische attesteringen van attributen opvragen, bewaren, selecteren, combineren en delen, online en waar passend offline, met selectieve openbaarmaking;
• pseudoniemen aanmaken, versleuteld en lokaal bewaard;
• in een gemeenschappelijk dashboard een logboek van alle transacties raadplegen, een vertrouwende partij vragen om persoonsgegevens te wissen op grond van artikel 17 AVG, en een vertrouwende partij melden bij de gegevensbeschermingsautoriteit;
• ondertekenen met gekwalificeerde elektronische handtekeningen of zegelen met gekwalificeerde elektronische zegels;
• de eigen gegevens downloaden en het recht op gegevensoverdraagbaarheid uitoefenen.

De portemonnee werkt onder een stelsel voor elektronische identificatie met betrouwbaarheidsniveau hoog (lid 11). Uitgifte, gebruik en intrekking zijn gratis voor natuurlijke personen (lid 13). Natuurlijke personen kunnen standaard en gratis gekwalificeerd elektronisch ondertekenen, al mogen lidstaten dat gratis gebruik beperken tot niet-professionele doeleinden (lid 5, punt g). Het gebruik is vrijwillig. Niemand mag de toegang tot diensten geweigerd worden of benadeeld worden omdat hij of zij geen portemonnee gebruikt, en andere identificatiemiddelen moeten beschikbaar blijven (lid 15). De aanbieder mag geen gebruiksinformatie verzamelen die hij niet nodig heeft en moet de gegevens van de portemonnee logisch gescheiden houden van zijn andere gegevens (lid 14). Conformiteitsbeoordelingsinstanties certificeren de portemonnees, voor ten hoogste vijf jaar en met een kwetsbaarheidsbeoordeling om de twee jaar (artikel 5 quater). De portemonnee moet ook toegankelijk zijn voor personen met een handicap, volgens de Europese toegankelijkheidsrichtlijn (lid 21).

Wanneer de portemonnees er moeten zijn

De tekst noemt geen kalenderdatum. Lidstaten moeten een portemonnee aanbieden binnen 24 maanden na de inwerkingtreding van de uitvoeringshandelingen bedoeld in artikel 5 bis, lid 23, en artikel 5 quater, lid 6. De Commissie nam op 28 november 2024 een eerste reeks uitvoeringsverordeningen aan, bekendgemaakt op 4 december 2024 en elk in werking op de twintigste dag na de bekendmaking: 2024/2977 over persoonsidentificatiegegevens en attesteringen, 2024/2979 over integriteit en kernfuncties, 2024/2980 over kennisgevingen, 2024/2981 over certificering (op grond van artikel 5 quater, lid 6) en 2024/2982 over protocollen en interfaces. Omdat de termijnen lopen vanaf "de uitvoeringshandelingen" en niet vanaf een vaste dag, kijk je best naar de aankondigingen van de Commissie voor je op een precieze datum plant.

Wie de portemonnee moet aanvaarden

Dit is voor de meeste ondernemingen het belangrijkste stuk. Artikel 5 septies onderscheidt drie groepen.

• Overheidsinstanties (lid 1). Waar een lidstaat elektronische identificatie en authenticatie vereist voor een online overheidsdienst, moet ze ook de portemonnee aanvaarden.
• Private vertrouwende partijen die sterke authenticatie nodig hebben (lid 2). Een private partij moet de portemonnee aanvaarden als ze door Unie- of nationaal recht, of door een contractuele verplichting, sterke gebruikersauthenticatie moet gebruiken voor online identificatie. De tekst noemt als voorbeelden vervoer, energie, bankwezen, financiële diensten, sociale zekerheid, gezondheid, drinkwater, postdiensten, digitale infrastructuur, onderwijs en telecommunicatie. Die plicht geldt uiterlijk 36 maanden na de inwerkingtreding van dezelfde uitvoeringshandelingen, en alleen op vrijwillig verzoek van de gebruiker. Micro-ondernemingen en kleine ondernemingen in de zin van Aanbeveling 2003/361/EG van de Commissie vallen erbuiten.
• Zeer grote onlineplatforms (lid 3). Vraagt een zeer groot onlineplatform in de zin van artikel 33 van de digitaledienstenverordening om gebruikersauthenticatie, dan moet het ook de portemonnee aanvaarden en het gebruik ervan vergemakkelijken, op vrijwillig verzoek van de gebruiker en alleen voor de minimaal noodzakelijke gegevens voor die dienst.

Elke andere onderneming mag zelf kiezen of ze de portemonnee aanvaardt. Doet ze dat, dan gelden de regels voor vertrouwende partijen hieronder.

Plichten van vertrouwende partijen

Een vertrouwende partij is de onderneming of instantie die op de portemonnee steunt om een dienst te verlenen. Volgens artikel 5 ter:

• registreert ze zich in de lidstaat waar ze gevestigd is (lid 1);
• vermeldt die registratie minstens haar naam, lidstaat, eventueel registratienummer, contactgegevens en het beoogde gebruik van de portemonnee, met de gegevens die ze zal opvragen (lid 2);
• mag ze gebruikers niet om andere gegevens vragen dan die ze registreerde (lid 3);
• meldt ze wijzigingen in haar registratie onverwijld (lid 6);
• maakt ze zich bekend aan de gebruiker (lid 8);
• is ze zelf verantwoordelijk voor de authenticatie en validatie van de gegevens die ze opvraagt, en mag ze pseudoniemen niet weigeren als Unie- of nationaal recht geen identificatie vereist (lid 9);
• geldt een tussenpersoon die voor haar optreedt zelf als vertrouwende partij, die geen gegevens over de inhoud van de transactie mag bewaren (lid 10).

Lidstaten zetten de registratiegegevens online (lid 5), en gebruikers kunnen de identiteit van een vertrouwende partij controleren via de gratis validatiemechanismen van artikel 5 bis, lid 8.

Attesteringen van attributen

De portemonnee bevat niet alleen identiteitsgegevens. Ze kan ook elektronische attesteringen van attributen bevatten: een diploma, een vergunning, een volmacht, een leeftijdsbewijs. Volgens artikel 45 ter mag je zo'n attestering geen rechtsgevolg ontzeggen alleen omdat ze elektronisch is. Een gekwalificeerde attestering, of een attestering uitgegeven door of namens een overheidsinstantie die verantwoordelijk is voor een authentieke bron, heeft hetzelfde rechtsgevolg als een rechtmatig uitgegeven papieren attest, en een overheidsattestering uit de ene lidstaat wordt in alle andere erkend. Aanbieders van attesteringen moeten gebruikers toelaten ze op te vragen en te beheren, ongeacht in welke lidstaat de portemonnee werd uitgegeven (artikel 45 octies), en mogen de bijbehorende persoonsgegevens niet combineren met gegevens uit hun andere diensten (artikel 45 nonies).

KYC onder de antiwitwasverordening

Verordening (EU) 2024/1624, de AMLR, is van toepassing vanaf 10 juli 2027 (artikel 90), met een latere datum van 10 juli 2029 voor twee categorieën meldingsplichtige entiteiten. Meldingsplichtige entiteiten passen cliëntenonderzoek toe in de gevallen van artikel 19, zoals bij het aangaan van een zakelijke relatie, en de maatregelen van artikel 20 beginnen met het identificeren van de cliënt en het verifiëren van diens identiteit.

Artikel 22, lid 6 geeft twee manieren om de identiteit te verifiëren: een identiteitsdocument, paspoort of gelijkwaardig document, waar nodig aangevuld met informatie uit betrouwbare en onafhankelijke bronnen, of "het gebruik van elektronische identificatiemiddelen die voldoen aan de vereisten van Verordening (EU) nr. 910/2014 met betrekking tot de betrouwbaarheidsniveaus 'substantieel' of 'hoog' en relevante gekwalificeerde vertrouwensdiensten". De portemonnee werkt op betrouwbaarheidsniveau hoog (artikel 5 bis, lid 11, eIDAS) en past dus in die tweede weg. De AMLR noemt de portemonnee niet bij naam en verplicht een bank of andere meldingsplichtige entiteit niet om ze te gebruiken. Banken en financiële instellingen die sterke gebruikersauthenticatie moeten gebruiken, vallen wel onder de aanvaardingsplicht van artikel 5 septies, lid 2, eIDAS, op verzoek van de gebruiker. De overwegingen van de AMLR voegen eraan toe dat met elektronische identificatie onder eIDAS rekening moet worden gehouden en dat ze moet worden aanvaard voor de identificatie van cliënten.

Steunt een meldingsplichtige entiteit voor het cliëntenonderzoek op een andere meldingsplichtige entiteit, dan kan ze onder meer de gegevens opvragen die verkregen zijn via elektronische identificatiemiddelen en relevante vertrouwensdiensten onder eIDAS (artikel 49, lid 2, b)).

Leeftijdsverificatie

Aanbeveling (EU) 2026/1035 van de Commissie van 29 april 2026 beveelt de lidstaten aan om tegen 31 december 2026 een EU-oplossing voor leeftijdsverificatie beschikbaar te stellen, geïntegreerd in de portemonnee, als afzonderlijke toepassing, of allebei (punt 5). Een aanbeveling bindt ondernemingen niet, maar ze toont wel dat leeftijdsbewijs op hetzelfde model van attesteringen zal steunen.

In de praktijk

Een Belgische energieleverancier laat klanten inloggen met tweestapsverificatie omdat zijn contracten dat vereisen. Dat is sterke gebruikersauthenticatie die contractueel vereist is. Zodra de termijn van artikel 5 septies, lid 2, verstreken is, moet hij dus ook de portemonnee aanvaarden als een klant die wil gebruiken. Zijn bestaande login blijft voor iedereen anders bestaan, want het gebruik van de portemonnee is vrijwillig.

Een softwarestart-up met tien medewerkers wil klanten hun leeftijd laten bewijzen met de portemonnee. Als kleine onderneming valt ze niet onder de aanvaardingsplicht. Maar zodra ze kiest om op portemonnees te steunen, moet ze zich registreren, aangeven welke gegevens ze zal vragen en zich aan die lijst houden.

Een betalingsinstelling onthaalt klanten op afstand. Vanaf 10 juli 2027 laat de AMLR haar toe de identiteit te verifiëren via eIDAS-identificatiemiddelen op betrouwbaarheidsniveau substantieel of hoog. Een presentatie uit de portemonnee kan een van die middelen zijn, als alternatief voor een identiteitsdocument voor klanten die daarvoor kiezen. De instelling moet nog altijd de uiteindelijk begunstigden identificeren, sancties nagaan en registers bijhouden volgens de artikelen 20 en 22.

Checklist voor contracten en compliance

• Ga na of artikel 5 septies, lid 2, op jou van toepassing is: vereisen de wet of je contracten sterke gebruikersauthenticatie voor online identificatie? Toets je omvang aan Aanbeveling 2003/361/EG.
• Ga je de portemonnee aanvaarden, bereid dan de registratie voor: het beoogde gebruik en de precieze lijst van gegevens per toepassing. Je aanvraagflows mogen niet meer vragen.
• Werk je privacyverklaring en je verwerkingsregister bij. Gebruikers zien elk verzoek in hun dashboard en kunnen je rechtstreeks bij de autoriteit melden.
• Voer een gegevensbeschermingseffectbeoordeling uit als je gegevens uit de portemonnee combineert met profilering of grootschalige verwerking.
• Lees je contracten met aanbieders van identiteitsverificatie en onboarding na. Een tussenpersoon geldt als vertrouwende partij en mag geen inhoud van transacties bewaren (artikel 5 ter, lid 10). Dat hoort in het contract, naast de verwerkersafspraken van artikel 28 AVG.
• Neem voor antiwitwasonboarding de weg via de portemonnee op in je beleid en risicobeoordeling vóór 10 juli 2027.

Veelgestelde vragen

Moet elke onderneming de portemonnee aanvaarden?

Nee. Overheidsinstanties, private partijen die door de wet of een contract sterke gebruikersauthenticatie moeten gebruiken (behalve micro- en kleine ondernemingen) en zeer grote onlineplatforms die authenticatie vragen, moeten ze aanvaarden. Alle anderen mogen kiezen. In elk geval beslist de gebruiker of hij of zij de portemonnee gebruikt.

Mogen we klanten zonder portemonnee weigeren?

Nee. Artikel 5 bis, lid 15, bepaalt dat de toegang tot publieke en private diensten niet beperkt of benadeeld mag worden voor wie geen portemonnee gebruikt, en dat andere identificatiemiddelen mogelijk moeten blijven.

Volstaat een presentatie uit de portemonnee voor KYC?

Ze dekt de verificatie van de identiteit onder artikel 22, lid 6, b), AMLR als ze voldoet aan betrouwbaarheidsniveau substantieel of hoog, en de portemonnee doet dat per definitie. De rest van het cliëntenonderzoek vervangt ze niet: uiteindelijk begunstigden, doel van de relatie, controle op sancties en politiek prominente personen en doorlopende monitoring blijven nodig.

Hoe dit samenhangt

De portemonnee verandert hoe je klanten identificeert, en dat raakt aan sanctiescreening en antiwitwas. Voor vennootschappen komen dezelfde bouwstenen terug in de voorgestelde Europese Business Wallets. Wij helpen je bepalen of je de portemonnee moet aanvaarden en bereiden de registratie, privacyverklaring en registers voor binnen onze externe functionaris voor gegevensbescherming. Contracten met aanbieders van onboarding en identiteitsverificatie horen bij verwerkersovereenkomsten en commerciële contracten en transacties. Onze tool voor effectbeoordeling gegevensbescherming structureert de risicoanalyse, en het verwerkingsregister en de compliance-registers documenteren wat je via de portemonnee verzamelt.

Geciteerde bepalingen. eIDAS-verordening (EU) nr. 910/2014 zoals gewijzigd door Verordening (EU) 2024/1183: artikelen 5 bis, 5 ter, 5 quater, 5 septies, 45 ter, 45 octies en 45 nonies. Uitvoeringsverordeningen (EU) 2024/2977, 2024/2979, 2024/2980, 2024/2981 en 2024/2982. AMLR (EU) 2024/1624: artikelen 19, 20, 22, lid 6, 49, lid 2, en 90. Aanbeveling (EU) 2026/1035 van de Commissie, punt 5.

Belangrijke data. 20 mei 2024: Verordening (EU) 2024/1183 in werking. 4 december 2024: eerste uitvoeringsverordeningen over de portemonnee bekendgemaakt. Portemonnees: binnen 24 maanden na de inwerkingtreding van de uitvoeringshandelingen van artikel 5 bis, lid 23, en artikel 5 quater, lid 6. Aanvaarding door private partijen: binnen 36 maanden na die datum. 31 december 2026: aanbevolen datum voor een EU-oplossing voor leeftijdsverificatie. 10 juli 2027: de AMLR is van toepassing.

Verder lezen. Europese Business Wallets · Sanctiescreening en antiwitwas