Waarom ik verliefd geworden ben op IRMA

Privacy is veel in het nieuws de laatste tijd. Er lijkt minstens één keer per week wel weer een nieuw bericht te komen waaruit blijkt dat we aan alle kanten gevolgd kunnen worden. Denk bijvoorbeeld aan het nieuws van 1 maart waaruit blijkt dat websites ongevraagd cookies op je computer plaatsen zodat ze je online kunnen volgen.

Gelukkig hebben we in Nederland wetgeving (de AVG) die hier paal en perk aan stelt. Bedrijven mogen je bijvoorbeeld niet zomaar, zonder jouw toestemming, volgen. Ook moeten bedrijfssystemen goed beveiligd worden en mogen bedrijven alleen maar gegevens over je opslaan indien daar een goede reden voor is, of als je hiervoor expliciet toestemming hebt gegeven.

Is dit geruststellend? De kans is groot dat je een kritische burger bent die niet zomaar toestemming geeft voor het delen van gegevens. Je leest misschien niet altijd alle privacy-voorwaarden van alle websites die je bezoekt volledig door, maar je zult ook niet zomaar overal je gegevens achterlaten. Je beschikt over een goede anti-virus-scanner, bezoekt geen pornosites (of in ieder geval niet vanaf je eigen computer) en je hebt waarschijnlijk ook al lang een aantal anti-tracker tools in je browser geïnstalleerd.  En daarbij, je hebt toch niets te verbergen? Wat maakt het nu uit dat bedrijven profielen over je op kunnen stellen? Mocht je je dit laatste afvragen, lees dan vooral dit blog van Jack Delaney.

Helaas ontkom je er niet aan om gegevens te delen die je wellicht liever niet deelt. Als je een nieuwe woning wilt gaan huren dan kan de makelaar bijvoorbeeld om een kopie van je paspoort vragen. Nu vertrouw je de makelaar natuurlijk, maar wat als het makelaarskantoor te maken krijgt met een hackersaanval en je paspoortgegevens op straat komen te liggen? Zijn er geen mogelijkheden om de makelaar er van te overtuigen dat je echt bent wie je zegt dat je bent zonder allerlei persoonlijke informatie te hoeven delen?  Je geslacht en geboorteplaats zijn toch helemaal niet relevant als je een huis wilt huren?  

Dat klopt! En als het goed is hoeft het binnenkort ook niet meer. Ik durf namelijk te voorspellen dat we over een aantal jaar allemaal gebruik zullen maken van IRMA.

IRMA, een afkorting voor I Reveal My Attributes, is een initiatief van de Privacy by Design Foundation. De Privacy by Design Foundation is een organisatie zonder winstoogmerk die zich bezighoudt met het ontwikkelen van software die het mogelijk maakt om je identiteit te beschermen.

Het principe van IRMA is als volgt:

Als mens beschik je over bepaalde attributen. Denk bijvoorbeeld aan de volgende zaken:

  • Je bent Nederlands staatsburger
  • Je bent ouder dan 18
  • Je hebt een vast inkomen

Stel nu dat je wilt aantonen dat je boven de 18 bent, zonder daarbij je rijbewijs of paspoort, dat veel meer informatie bevat, te overhandigen. Wellicht wil je niet eens je geboortedatum delen. Je exacte geboortedatum gaat namelijk niemand iets aan (je bent al jaren 39 jaar oud, en wil dat graag zo houden).  Daarnaast worden geboortedata vaak door organisaties gebruikt om klantenbestanden te ontdubbelen of aan elkaar te koppelen waardoor een completer beeld over je ontstaat. Daar zit je waarschijnlijk helemaal niet op te wachten.

Aan de andere kant is het voor organisaties uiteraard soms wél nodig om zeker te weten dat iemand ouder is dan 18. Een slijter riskeert bijvoorbeeld een boete als hij alcoholische dranken verkoopt aan minderjarigen.

Hier komt IRMA om de hoek kijken. De IRMA app fungeert als een soort kluis die alleen lokaal op je eigen smartphone staat. In deze kluis kun je al je attributen (zoals bijvoorbeeld het feit dat je ouder bent dan 18) beheren. De IRMA app is vergrendeld met een pincode, dus zolang je je telefoon en pincode met niemand anders deelt ben je de enige die toegang heeft. Er is dus géén centrale instantie die je gegevens beheert: alleen jij kent al je attributen.

Hoe komen die attributen dan op je telefoon?

Attributen moeten uitgegeven worden door betrouwbare bronnen. Mijn vriend zou natuurlijk een certificaat kunnen uitgeven waarin staat dat ik boven de 18 ben, maar dat certificaat zal door de slijter waarschijnlijk niet geaccepteerd worden. Het wordt een ander verhaal als de overheid dit certificaat uitgeeft. IRMA biedt technologie die het voor bijvoorbeeld overheidsinstanties mogelijk maakt om attributen uit te geven. Zodra de rijksoverheid met IRMA gaat werken zou ik bijvoorbeeld kunnen inloggen op mijnoverheid.nl en een verzoek kunnen doen om het attribuut ‘is ouder dan 18’ naar mijn telefoon te sturen. Dit gegeven wordt vervolgens volstrekt veilig verzonden en wordt alleen op mijn telefoon opgeslagen. Vervolgens kan ik aan iedereen aantonen dat ik ouder ben dan 18 zonder dat de overheid hier nog aan te pas komt en zonder dat ik mijn geboortedatum hoef te delen.

Hoe deel je gegevens?

Stel je voor dat je nu naar de website van de slijter gaat om een fles wijn te kopen. De slijter is privacy-bewust, maar wil wel zeker weten dat hij geen alcohol verkoopt aan minderjarigen. De slijter heeft daarom op zijn website een IRMA check ingebouwd. In plaats van je geboortedatum in te geven, scan je op de site met behulp van je IRMA app een QR-code. Hiermee maakt je IRMA app verbinding met de IRMA server van de slijter. De app krijgt nu van de slijter het verzoek binnen om (met behulp van een door de overheid uitgegeven attribuut) te bevestigen dat je ouder bent dan 18. Je geeft in de app aan dat je dit attribuut wilt delen. Vervolgens verstuurt je app slechts dit ene gegeven aan de slijter. De slijter weet nog steeds niet wie je bent of wat je geboortedatum is, maar heeft wel een garantie dat je boven de 18 bent.

Toegegeven, je moet natuurlijk nog steeds een verzendadres ingeven en in de betaling zal ook je IBAN zichtbaar worden. Helemaal anoniem zul je dus niet zijn. Dit zijn echter noodzakelijke gegevens om een transactie te kunnen afronden. Als je partner een transactie doet zal deze daarnaast wellicht dezelfde IBAN en hetzelfde adres gebruiken. Het zal daarom voor de slijter iets lastiger zijn om alle aankopen aan één specifiek persoon te koppelen. Daarnaast kun je natuurlijk ook met een cadeaubon betalen en de aankoop op een ander adres laten bezorgen.

De aanschaf van een fles wijn lijkt wellicht een triviaal voorbeeld. De toepassingen van IRMA zijn echter veel breder. Waarom zou je bijvoorbeeld een kopie van je salarisstrook aan een makelaar moeten overhandigen? Je kunt ook met behulp van de IRMA app aantonen dat je over een vast inkomen beschikt dat hoger is dan bijvoorbeeld € 1.500,00 per maand. Hoe hoog? Dat gaat niemand iets aan. Net zo min als de naam van het bedrijf waarvoor je werkt en het aantal dagen dat je in de afgelopen maand ziek bent geweest.

Waar kun je IRMA gebruiken?

Op dit moment helaas nog vrijwel nergens, maar dit gaat binnenkort veranderen. Diverse gemeenten zijn momenteel met IRMA bezig en ook verzekeraar VGZ is er mee aan het experimenteren.  

Voor nu raad ik je aan om alvast de app te downloaden. Hiervoor kun je terecht op https://privacybydesign.foundation/irma-begin/.  De site beschikt ook over enkele demo’s zodat je een beter beeld van de werking kunt krijgen. Wil je meer weten over de beveiliging van IRMA en de technische implementatie? Neem kan vooral ook een kijkje op  https://irma.app/docs/

Binnen nu en twee maanden zal op initiatief van een aantal gemeenten een site beschikbaar komen waarop je diverse attributen uit de Gemeentelijke basisregistratie op je telefoon kunt laden. Het gaat dan echt beginnen!  Ik kan niet wachten!