Digitale identiteitscontrole is het online vaststellen dat iemand echt is wie hij of zij zegt te zijn, zonder dat die persoon fysiek langs hoeft te komen. Steeds meer banken, geldverstrekkers, verzekeraars en accountants gebruiken digitale identiteitsverificatie bij het onboarden van nieuwe klanten. Dat is sneller voor de klant, maar het moet wel voldoen aan de Wwft en de AVG. In dit artikel lees je hoe een digitale identiteitscontrole werkt, welke methoden er zijn en waar je op let bij het kiezen van een oplossing.
- Wat is digitale identiteitsverificatie?
- Hoe werkt een digitale identiteitscontrole?
- Welke methoden voor digitale identiteitscontrole zijn er?
- Mag je een digitale identiteitscontrole gebruiken voor de Wwft?
- Hoe ga je om met privacy bij digitale identiteitscontrole?
- Wat zijn de voordelen van digitale identiteitscontrole in de financiële sector?
- In het kort
- Veelgestelde vragen over digitale identiteitscontrole
Wat is digitale identiteitsverificatie?
Digitale identiteitsverificatie is het proces waarbij je met digitale middelen controleert of de identiteit die iemand opgeeft overeenkomt met zijn of haar werkelijke identiteit. Simpel gezegd: je checkt online of de juiste persoon tegenover je zit.
Drie begrippen worden vaak door elkaar gebruikt, maar betekenen iets anders:
- Identificatie: iemand geeft aan wie hij is, bijvoorbeeld door naam, geboortedatum en adres in te vullen.
- Verificatie: je controleert of die opgegeven identiteit klopt, bijvoorbeeld door een identiteitsbewijs te controleren.
- Authenticatie: je stelt bij een volgend contactmoment vast dat het om dezelfde persoon gaat, bijvoorbeeld via een wachtwoord, een code of biometrie.
Een digitale identiteit is daarbij de verzameling gegevens waarmee iemand zich online kan identificeren. Dat kan een eenvoudige gebruikersnaam zijn, maar ook een betrouwbaar identificatiemiddel dat door de overheid is uitgegeven, zoals DigiD of een identiteitsbewijs met een chip.
Hoe werkt een digitale identiteitscontrole?
Een digitale identiteitscontrole met een identiteitsbewijs verloopt meestal in vier stappen, via een app op de smartphone van de klant. Het hele verificatieproces duurt vaak maar een paar minuten.
- Document scannen: de klant fotografeert zijn paspoort, identiteitskaart (id-kaart) of rijbewijs. De software leest de machine readable zone (MRZ) uit: de regels met tekens onderaan het document, met onder meer het documentnummer, de geboortedatum en de vervaldatum.
- NFC-chip uitlezen: de klant houdt het document tegen de achterkant van zijn smartphone. Via NFC leest de app de chip in het document uit. Die chip bevat de persoonlijke gegevens en de pasfoto, digitaal ondertekend door de overheid die het document heeft afgegeven. Zo kun je vaststellen dat het document echt is en niet is gewijzigd.
- Selfie en liveness-check: de klant maakt een selfie of korte video. De software vergelijkt het gezicht met de pasfoto op de chip en controleert of er een levend persoon voor de camera zit, en geen foto of masker.
- Controle en vastlegging: de app controleert of het document geldig is en of de gegevens overeenkomen met wat de klant heeft opgegeven. Het resultaat wordt vastgelegd in het klantdossier.
De NFC-stap maakt het grootste verschil. Een foto van een document kan worden vervalst, de digitale handtekening op de chip vrijwel niet. Daarom geldt het uitlezen van de chip als een van de betrouwbaarste methoden om een identiteitsdocument op afstand te controleren.
Welke methoden voor digitale identiteitscontrole zijn er?
Er zijn verschillende methoden om een identiteit digitaal te verifiëren. Ze verschillen in betrouwbaarheid, gebruiksgemak en in wie ze mag gebruiken.
Methode | Hoe werkt het? | Betrouwbaarheid | Wie kan het gebruiken? |
|---|---|---|---|
NFC-chip uitlezen + selfie | App leest de chip in paspoort, id-kaart of rijbewijs uit en vergelijkt de pasfoto met een selfie | Hoog | Bedrijven en instellingen, via een eigen app of een leverancier |
Documentscan zonder chip | Foto van het document, controle van de MRZ en de echtheidskenmerken | Lager: vervalsingen zijn moeilijker te herkennen | Bedrijven en instellingen |
DigiD | Inloggen met de DigiD-app, met niveaus van basis tot DigiD hoog | Afhankelijk van het niveau | Overheden en organisaties met een publieke taak; de meeste commerciële partijen niet |
Bankidentificatie (zoals iDIN) | De klant logt in bij zijn eigen bank, die de identiteitsgegevens doorgeeft | Gemiddeld tot hoog | Bedrijven die bij een aanbieder zijn aangesloten |
Europese digitale identiteitswallet | De klant deelt gecertificeerde identiteitsgegevens vanuit een wallet-app | Hoog | Publieke en private partijen, zodra de wallets beschikbaar zijn |
De Europese digitale identiteitswallet
De herziene Europese eIDAS-verordening verplicht iedere lidstaat om eind 2026 een gratis, gecertificeerde digitale identiteitswallet aan te bieden. In Nederland ontwikkelt het ministerie van Binnenlandse Zaken daarvoor de NL Wallet. Volgens de staatssecretaris blijft DigiD daarnaast gewoon bestaan, en is het gebruik van de wallet vrijwillig. Voor financiële instellingen kan de wallet op termijn een betrouwbare en eenvoudige manier worden om klanten op afstand te identificeren.
Mag je een digitale identiteitscontrole gebruiken voor de Wwft?
Ja. De Wwft verplicht je om de identiteit van een klant te verifiëren voordat je een zakelijke relatie aangaat, maar schrijft niet voor dat de klant daarvoor fysiek aanwezig moet zijn. Digitale identiteitscontrole is dus toegestaan, mits de methode betrouwbaar genoeg is.
De AFM licht in haar Leidraad Wwft en Sanctiewet toe welke documenten je mag gebruiken voor de verificatie: een geldig paspoort, een geldige identiteitskaart, een rijbewijs en bepaalde vreemdelingen- en reisdocumenten. Elektronische identificatiemiddelen zijn ook toegestaan, als ze voldoen aan het betrouwbaarheidsniveau "substantieel" of "hoog" uit de Europese eIDAS-verordening.
Let daarbij op drie punten:
- Klant op afstand is een risicofactor: de Europese anti-witwasrichtlijn noemt zakelijke relaties op afstand een factor die het risico kan verhogen. Neem dat mee in je risicobeoordeling, maar het betekent niet dat zo'n klant automatisch een hoog risico heeft.
- Beoordeel je oplossing: gebruik je een innovatieve oplossing, zoals een app van een derde partij, dan moet je kunnen aantonen dat je de werking begrijpt, dat compliance en management er voldoende kennis van hebben en dat je een noodplan hebt als het systeem uitvalt.
- Leg vast wat je hebt gecontroleerd: de Wwft verplicht je om de gegevens en documenten die je voor de verificatie hebt gebruikt vast te leggen en vijf jaar te bewaren na het einde van de klantrelatie.
Hoe ga je om met privacy bij digitale identiteitscontrole?
Bij een digitale identiteitscontrole verwerk je gevoelige persoonlijke gegevens, zoals een kopie van een identiteitsbewijs, een pasfoto en soms biometrische informatie. Daarom gelden naast de Wwft ook de regels van de AVG.
- Kopie van een identiteitsbewijs: je mag alleen een kopie bewaren als een wet dat toestaat of vereist. Onder de Wwft mag je een kopie vastleggen als bewijs van je verificatie, maar dat hoeft niet: je kunt ook alleen de relevante gegevens uit het document overnemen.
- Burgerservicenummer: de Wwft verplicht je niet om het burgerservicenummer vast te leggen. Bewaar je een kopie, maak het BSN dan onleesbaar. Burgers kunnen daarvoor ook zelf de KopieID-app van de overheid gebruiken.
- Biometrische informatie: een selfie die je gebruikt om iemand uniek te identificeren, geldt onder de AVG als een bijzonder persoonsgegeven. Gebruik zo'n gegeven alleen voor de verificatie zelf en bewaar het niet langer dan noodzakelijk.
- Derde partij: werk je met een leverancier die de controle uitvoert, dan sluit je een verwerkersovereenkomst en beoordeel je hoe die partij de gegevens beveiligt en hoe lang ze die bewaart.
De AFM wijst in haar rapport over de Europese digitale identiteit ook op deze balans: een digitale identiteit biedt zowel kansen als risico's voor burgers en bedrijven.
Wat zijn de voordelen van digitale identiteitscontrole in de financiële sector?
Digitale identiteitscontrole maakt onboarding sneller, betrouwbaarder en beter controleerbaar dan een handmatige controle van een kopie. Dat levert zowel bedrijven als consumenten voordelen op:
- Snellere onboarding: een klant kan zich op elk moment met zijn smartphone identificeren, in plaats van langs te komen of documenten op te sturen.
- Betere fraudebestrijding: het uitlezen van de chip en een liveness-check maken het veel moeilijker om met een vervalst of gestolen document een account te openen.
- Minder handmatig werk: medewerkers hoeven geen kopieën meer te beoordelen of gegevens over te typen.
- Consistente vastlegging: elke controle verloopt volgens dezelfde workflows, zodat je dossiers er voor de toezichthouder hetzelfde uitzien.
In het kort
- Digitale identiteitscontrole is het online vaststellen dat iemand is wie hij of zij zegt te zijn.
- De betrouwbaarste methode is het uitlezen van de NFC-chip in een paspoort, id-kaart of rijbewijs, gecombineerd met een selfie en liveness-check.
- DigiD is vooral bedoeld voor overheden en organisaties met een publieke taak; eind 2026 moet iedere EU-lidstaat een digitale identiteitswallet aanbieden.
- De Wwft staat digitale identiteitsverificatie toe, mits de methode betrouwbaar is en je de uitkomst vastlegt.
- Volgens de AVG maak je het burgerservicenummer op een kopie onleesbaar en bewaar je biometrische gegevens niet langer dan nodig.
- Digitale identiteitscontrole is één stap in het cliëntenonderzoek; daarna volgen onder meer UBO-bepaling en sanctiescreening.
Veelgestelde vragen over digitale identiteitscontrole
Bij identificatie geeft iemand aan wie hij is, bijvoorbeeld door zijn naam en geboortedatum in te vullen. Bij verificatie controleer je of die opgegeven identiteit klopt, bijvoorbeeld door een identiteitsbewijs te controleren. De Wwft verplicht je tot beide.
Moderne paspoorten, Nederlandse identiteitskaarten en rijbewijzen bevatten een chip met de gegevens en de pasfoto van de houder, digitaal ondertekend door de uitgevende overheid. Een smartphone met NFC kan die chip uitlezen als je het document tegen het toestel houdt. Zo stel je vast dat het document echt is.
Een controle waarbij de chip wordt uitgelezen en een liveness-check wordt gedaan, is betrouwbaarder dan een controle van een kopie op papier. De veiligheid hangt wel af van de leverancier: let op certificeringen, versleuteling en hoe lang de gegevens worden bewaard.
Meestal niet. DigiD is bedoeld voor overheidsorganisaties en organisaties met een publieke taak die het burgerservicenummer mogen verwerken, zoals zorgverzekeraars en pensioenfondsen. Commerciële partijen gebruiken daarom vaak andere methoden, zoals het uitlezen van een identiteitsbewijs met een app.
De NL Wallet is de Nederlandse digitale identiteitsapp die het ministerie van Binnenlandse Zaken ontwikkelt in het kader van de Europese digitale identiteit. Burgers kunnen er straks hun identiteitsgegevens en andere digitale documenten veilig mee delen. Het gebruik is vrijwillig, en DigiD blijft daarnaast bestaan.
Disclaimer
De informatie in dit artikel is uitsluitend bedoeld ter algemene voorlichting. Het mag niet worden beschouwd als bindend fiscaal, juridisch of financieel advies. Hoewel we ernaar streven dat de inhoud actueel en correct is, kunnen er geen rechten aan worden ontleend. Voor advies op maat, afgestemd op de specifieke situatie van uw organisatie, raden wij aan contact op te nemen met een bevoegde adviseur of specialist.
