Wat is personenidentificatie?
Personenidentificatie verwijst naar het proces waarbij een uniek individu wordt herkend en onderscheiden van anderen. Dit kan gebeuren op basis van directe kenmerken zoals een naam, een identificatienummer, een biometrische scan of indirecte gegevens die samen leiden tot een specifiek persoon. In de context van gegevensbescherming en digitale diensten is het begrip persoonlijke identificatie van groot belang, omdat het bepaalt of iemand als herleidbaar wordt beschouwd en daarmee onder de privacywetgeving valt. Het doel van identificatie is om een persoon eenduidig vast te stellen, bijvoorbeeld bij het openen van een bankrekening, bij grenscontroles of bij het verlenen van toegang tot online systemen.
In het dagelijks leven komen we vaak vormen van identificatie tegen, zoals het tonen van een identiteitsbewijs of het invullen van een gebruikersnaam en wachtwoord. De wetgever maakt onderscheid tussen een geidentificeerde persoon en een identificeerbare persoon. Een geidentificeerde persoon is iemand van wie de identiteit direct en ondubbelzinnig vaststaat, bijvoorbeeld via een paspoortnummer. Een identificeerbare persoon is iemand van wie de identiteit kan worden afgeleid door combinatie van beschikbare gegevens, zoals locatiegegevens en surfgedrag, ook al is de naam niet direct bekend. Dit onderscheid is cruciaal voor de toepassing van de Algemene Verordening Gegevensbescherming (AVG), die in Nederland en de rest van Europa geldt.
Wettelijke definitie volgens de GDPR
De GDPR, ofwel de Algemene Verordening Gegevensbescherming, bevat een heldere omschrijving van wat een natuurlijke persoon is die als geidentificeerd of identificeerbaar wordt beschouwd. Volgens artikel 4, lid 1, van de GDPR is een geidentificeerde persoon een mens van wie de persoonsgegevens direct en ondubbelzinnig naar hem of haar verwijzen, zonder dat aanvullende gegevens nodig zijn. Voorbeelden zijn een volledige naam, een foto of een burgerservicenummer. Een identificeerbare persoon daarentegen is iemand van wie de identiteit kan worden vastgesteld door middel van redelijke inspanningen, zoals het combineren van een IP-adres met browsergeschiedenis. De GDPR stelt dat alle middelen die redelijkerwijs kunnen worden ingezet om een persoon te identificeren in aanmerking moeten worden genomen, zoals tijd, kosten en beschikbare technologie.
Deze wettelijke definities zijn van groot belang voor organisaties die persoonsgegevens verwerken. Wanneer gegevens betrekking hebben op een geidentificeerde of identificeerbare persoon, vallen ze onder de strenge regels van de GDPR. Dat betekent dat er een rechtsgrond moet zijn voor verwerking, dat er transparantie moet zijn en dat betrokkenen rechten hebben zoals inzage en verwijdering. De volledige tekst van de GDPR is te vinden in de officiële publicatie op Eur-Lex.
Persoonlijk identificeerbare informatie (PII)
In de internationale context wordt vaak de term PII gebruikt, wat staat voor Personally Identifiable Information. PII omvat alle gegevens die kunnen worden gebruikt om een specifiek individu te onderscheiden, te volgen of te identificeren. Dit gaat verder dan alleen namen en nummers; ook biometrische gegevens zoals vingerafdrukken, genetische informatie, locatiegegevens en online identifiers zoals cookies vallen onder PII. De definitie van PII kan per rechtsgebied verschillen, maar de kern is dat het gaat om informatie die uniek aan een persoon is gekoppeld.
Om een overzicht te geven van de verschillende categorieën PII volgt hier een lijst:
- Directe identificatoren: volledige naam, paspoortnummer, rijbewijsnummer, burgerservicenummer (BSN).
- Contactgegevens: adres, telefoonnummer, e-mailadres.
- Biometrische gegevens: vingerafdruk, gezichtsscan, irisscan, stemopname.
- Online identificatoren: IP-adres, cookie-ID, apparaat-ID, gebruikersnaam.
- Financiële gegevens: bankrekeningnummer, creditcardgegevens.
- Gezondheidsgegevens: medische dossiers, verzekeringsinformatie, genetische tests.
- Sociaaleconomische gegevens: opleiding, beroep, inkomensniveau.
Het beheer van PII is een kerntaak van privacyfunctionarissen en securityteams. Organisaties moeten maatregelen nemen om PII te beschermen tegen datalekken en ongeoorloofde toegang. IBM geeft aan dat PII niet alleen gaat over identificatie, maar ook over het risico op heridentificatie. Zelfs als gegevens geanonimiseerd lijken, kunnen ze in combinatie met andere bronnen weer tot een specifiek persoon leiden.
Toepassingen van personenidentificatie
Personenidentificatie wordt in tal van domeinen toegepast, van overheidsdiensten tot commerciële platforms. Een bekend voorbeeld is de eHerkenning in Nederland, waarmee bedrijven en burgers zich kunnen identificeren bij overheidsloketten. Ook banken maken gebruik van identificatie bij het openen van rekeningen of het uitvoeren van transacties, vaak met behulp van iDIN of DigiD. In de zorg is identificatie essentieel om patiëntendossiers correct te koppelen en medische fouten te voorkomen.
Een andere belangrijke toepassing is identiteitsverificatie bij online diensten. Dit proces controleert of de persoon die een claim doet, ook daadwerkelijk de rechtmatige eigenaar is van de identiteit. Bedrijven zoals Veridas bieden geavanceerde verificatietechnologieën aan, zoals gezichtsherkenning en documentverificatie. De verificatie van identiteit is strenger dan alleen identificatie; het omvat het bewijs dat iemand is wie hij of zij zegt te zijn, bijvoorbeeld via een geldig identiteitsbewijs en een live selfie.
Daarnaast wordt personenidentificatie gebruikt bij grensbewaking, in de luchtvaart en bij justitiële onderzoeken. In noodsituaties, zoals bij rampen of vermissingen, is snelle en accurate identificatie van groot belang voor hulpverlening en rechtshandhaving.
Identiteitsverificatie versus identificatie
Hoewel de termen identificatie en verificatie vaak door elkaar worden gebruikt, is er een essentieel verschil. Identificatie is het proces van het vaststellen wie iemand is, terwijl verificatie controleert of de opgegeven identiteit overeenkomt met de werkelijkheid. In de praktijk worden beide stappen vaak gecombineerd. De volgende tabel maakt het onderscheid duidelijk:
| Aspect | Identificatie | Verificatie |
|---|---|---|
| Doel | Vaststellen wie iemand is (wie ben je?) | Controleren of iemand is wie hij of zij beweert te zijn (ben je wie je zegt?) |
| Methode | Opvragen van een naam, ID-nummer, biometrie | Vergelijken van een opgegeven identiteit met een betrouwbare bron (bv. paspoort) |
| Voorbeeld | Een gebruiker vult zijn e-mailadres in op een website | De gebruiker ontvangt een eenmalige code op dat e-mailadres om het te bevestigen |
| Risico | Mogelijke verwarring bij gelijknamigen | Mogelijke fraude door identiteitsdiefstal |
In de praktijk wordt verificatie vaak ingezet als extra beveiligingslaag, vooral bij gevoelige transacties of toegang tot persoonsgegevens. Zonder verificatie kan een kwaadwillende met alleen iemands naam en adres al veel schade aanrichten.
Identificatie van vermiste personen
Een bijzondere en ernstige toepassing van personenidentificatie is het opsporen en identificeren van vermiste personen. In veel landen, waaronder Brazilië, coördineert het Ministerie van Justitie en Openbare Veiligheid dit proces. Daarbij worden technieken gebruikt zoals DNA-analyse, vingerafdrukken en tandheelkundige gegevens om onbekende overledenen of vermisten te koppelen aan hun identiteit. In Nederland heeft de politie een speciale afdeling vermiste personen die gebruikmaakt van databanken met DNA-profielen van familieleden.
De identificatie van vermiste personen is vaak complex omdat er geen directe identificerende documenten aanwezig zijn. Forensische experts combineren dan verschillende bronnen: kleding, sieraden, littekens en tatoeages. Ook wordt soms gebruikgemaakt van gezichtsreconstructie en publicatie in media. Het uiteindelijke doel is om de identiteit vast te stellen, zodat nabestaanden zekerheid krijgen en de overledene een waardige begrafenis kan krijgen. De juridische en ethische aspecten zijn hierbij groot; privacy van nabestaanden moet worden gerespecteerd en fouten in identificatie kunnen traumatische gevolgen hebben.
Uitdagingen en privacy
Personenidentificatie brengt aanzienlijke privacyrisico's met zich mee. Hoe meer gegevens worden verzameld om iemand te identificeren, hoe groter de kans op misbruik of datalekken. Grote databases met biometrische informatie zijn aantrekkelijk voor cybercriminelen. Daarnaast is er discussie over de proportionaliteit van identificatie: mag een winkel bijvoorbeeld verlangen dat een klant een kopie van zijn identiteitsbewijs toont bij een retouren? Onder de GDPR mag identificatie alleen plaatsvinden voor een gerechtvaardigd doel en moeten de minst ingrijpende middelen worden gebruikt.
Een andere uitdaging is de balans tussen veiligheid en privacy. Overheden willen graag sterke identificatie om terrorisme en fraude te bestrijden, maar burgerrechtenorganisaties waarschuwen voor een surveillancestaat. Technologieën zoals gezichtsherkenning in de openbare ruimte roepen vragen op over toestemming en discriminatie. Het is daarom belangrijk dat regels en toezicht op personenidentificatie up-to-date blijven en dat burgers controle houden over hun eigen gegevens.
Toekomstige ontwikkelingen
De toekomst van personenidentificatie ligt onder andere in gedecentraliseerde identiteiten en zelf-soevereine identiteit. Hierbij beheert de gebruiker zijn eigen identiteitsgegevens zonder afhankelijk te zijn van een centrale instantie. Blockchaintechnologie kan worden gebruikt om identiteitsclaims cryptografisch te verifiëren zonder alle gegevens prijs te geven. Ook zien we de opkomst van continue authenticatie, waarbij een systeem tijdens een sessie blijft controleren of de juiste persoon nog steeds aanwezig is, bijvoorbeeld via toetsaanslagpatronen of gezichtsherkenning op de webcam.
Deze ontwikkelingen beloven meer gemak en betere privacy, maar ze vragen ook om nieuwe wetgeving en ethische normen. Organisaties moeten zich voorbereiden op strengere eisen rondom gegevensminimalisatie en transparantie. De komende jaren zal personenidentificatie een nog centralere rol gaan spelen in de digitale samenleving, waarbij de uitdaging blijft om veiligheid en privacy hand in hand te laten gaan.
Referenties
De informatie in dit artikel is mede gebaseerd op de volgende bronnen:
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (Algemene Verordening Gegevensbescherming). Geraadpleegd via Eur-Lex.
IBM. (2024). Persoonlijk identificeerbare informatie (PII). Geraadpleegd via de website van IBM.
Veridas. (2024). Identiteitsverificatie. Geraadpleegd via de website van Veridas.
Ministerie van Justitie en Openbare Veiligheid (Brazilië). (2024). Identificatie van vermiste personen. Geraadpleegd via Gov.br.
