Een ambtenaar van een sociale dienst vertelde ons onlangs dat ze steeds vaker mensen aan de balie krijgt die eigenlijk allang digitaal hadden moeten aanvragen, maar dat gewoon niet lukt. Geen DigiD-app die werkt op een oude telefoon, geen zin om via een formulier met de overheid te communiceren, of simpelweg geen idee hoe dat inloggen met een authenticatie-app nu weer moet. Dat soort verhalen zit onder de oppervlakte van een discussie die deze zomer serieuzer wordt: hoeveel van onze relatie met de overheid mag straks alleen nog digitaal zijn.
De Europese digitale burgerrechtenbeweging EDRi stelt in een uitgebreide analyse kritische vragen bij de wijze waarop die agenda wordt uitgevoerd. Want achter de retoriek van efficiëntie en burgerkracht schuilen keuzes die de verhouding tussen burger en staat ingrijpend kunnen herdefinieren, en die vragen om meer democratische controle dan ze nu krijgen.
De Europese Unie bouwt in hoog tempo aan een digitale overheid, met een Europese ID-wallet, gedeelde zorggegevens en grensoverschrijdende sociale zekerheid als speerpunten. Dat levert gemak op, maar de burgerrechtenorganisatie EDRi waarschuwt dat de verhouding tussen burger en staat daarmee stilletjes verandert. Nederland loopt bovendien achter op de eigen wallet-planning. Dit artikel legt uit wat er precies gebeurt, welke risico’s daarbij horen en waarom een kritische blik geen rem op vooruitgang hoeft te zijn.
Waarom overheden wereldwijd naar digitale sociale voorzieningen overstappen
De beweging is niet uniek Europees. Overheden over de hele wereld zetten software in om uitkeringen, zorg en andere sociale voorzieningen te automatiseren en te versnellen. Philip Alston, destijds VN-rapporteur voor extreme armoede en mensenrechten, waarschuwde daar al in 2019 voor. Zijn punt was simpel: wanneer digitalisering vooral wordt ingezet om kosten te drukken en menselijke controle wegvalt, verandert een vangnet in een sleepnet. Burgers worden dan eerder benaderd als risico dat gecontroleerd moet worden dan als iemand met recht op ondersteuning.
Nederland kent daar een pijnlijk eigen voorbeeld van. De Toeslagenaffaire liet zien wat er gebeurt wanneer een geautomatiseerd systeem draait zonder dat er genoeg mensen meekijken die kunnen ingrijpen. Dat is geen argument tegen digitalisering op zich. Het is wel een argument voor zorgvuldigheid, en voor het soort transparantie die je nu nog te vaak moet afdwingen in plaats van dat die er vanzelf is.
De Europese ID-wallet komt eraan, alleen niet op het beloofde moment
Onder de herziene eIDAS-verordening moet elke EU-lidstaat voor eind 2026 minstens één gecertificeerde digitale identiteitswallet aanbieden. Die EUDI-wallet moet paspoort, rijbewijs, diploma’s en straks ook zorgpas samenbrengen in één app, met de mogelijkheid om selectief te delen. U bewijst dat u ouder bent dan achttien zonder uw hele geboortedatum prijs te geven, dat soort dingen. Op papier een verstandig ontwerp.
In de praktijk loopt Nederland achter. Het Adviescollege ICT-toetsing waarschuwde het ministerie van Binnenlandse Zaken al in 2025 dat de tot dan toe uitgevoerde proeven onvoldoende basis boden voor een stelsel dat eind 2026 volledig zou moeten draaien. Inmiddels is de introductie van de NL Wallet met een jaar uitgesteld, naar eind 2027. Pilots in Amsterdam en Nijmegen lieten daarnaast zien dat deelnemers nog weinig meerwaarde zagen ten opzichte van hun bestaande DigiD. Ik zie dat liever zo dan dat er onder tijdsdruk een systeem wordt uitgerold waarvan de achterliggende gouvernance nog niet op orde is. Een jaar vertraging is vervelend voor de planning in Brussel, maar minder vervelend dan een identiteitssysteem waar honderdduizenden mensen op moeten vertrouwen en dat achteraf gaten blijkt te hebben.
Zorggegevens en sociale zekerheid delen over de grens
Naast de wallet lopen er twee andere grote trajecten. De European Health Data Space moet het straks makkelijker maken om medische gegevens te delen tussen lidstaten, wat vooral zin heeft voor mensen die in een ander EU-land wonen of werken en voor medisch onderzoek dat baat heeft bij grotere datasets. Wij schreven eerder al uitgebreider over hoe die Europese verordening voor het delen van zorggegevens precies in elkaar zit en wat het voor de opt-out van patiënten betekent. Het lastige punt zit in het zogeheten secundair gebruik: het delen van gepseudonimiseerde gezondheidsdata met onderzoekers en de industrie, via een opt-outsysteem in plaats van een opt-in. Wie niet actief bezwaar maakt, doet mee.
De European Social Security Pass moet iets vergelijkbaars doen voor sociale zekerheid, zodat een grensarbeider zijn rechten makkelijker kan aantonen zonder telkens hetzelfde papierwerk aan te leveren. Ook hier geldt dat het gemak reëel is. Tegelijk creëert een centraal register van sociale rechten een plek waar ook arbeidsinspecties en grensdiensten in kunnen kijken, op manieren die niet per se in het belang zijn van de werknemer zelf. Dat is geen complottheorie, dat is gewoon hoe een centraal register werkt zodra er meerdere partijen belang hebben bij toegang.
Wat er gebeurt wanneer al die datapunten bij elkaar komen
Zodra essentiële diensten standaard digitaal zijn, laat elke handeling een spoor na. Inloggen bij de gemeente, een medicijn ophalen, een uitkering aanvragen: het zijn stuk voor stuk datapunten die op zichzelf weinig zeggen, maar die samen een vrij compleet beeld van iemands leven kunnen opleveren. EDRi noemt privacy-by-design terecht een woord dat vaker als geruststelling wordt gebruikt dan als harde eis. Zelfs een goed versleuteld systeem kan nog altijd een knooppunt zijn waar de toegang tot een dienst in principe centraal uitgezet kan worden.
Mijn advies aan organisaties die met dit soort systemen werken, publiek of privaat, is simpel: neem architectuurkeuzes net zo serieus als de juridische compliance-vinkjes. Een AVG-toets die op papier klopt, zegt niets over wat er gebeurt als een systeem gekoppeld wordt aan drie andere systemen die u niet zelf beheert. Dat vraagt om mensen die verder kijken dan het formulier.
Honderd procent digitaal is geen doel op zich
Het Digital Decade-programma van de Europese Commissie streeft naar volledig digitale publieke dienstverlening in 2030. Een ambitie die trage bureaucratie kan verhelpen, maar die ook een keerzijde heeft voor mensen zonder stabiele internettoegang, ouderen, daklozen en migranten. Wanneer een fysiek loket verdwijnt zonder een gelijkwaardig alternatief, is een dienst niet gemoderniseerd. Die is dan gewoon onbereikbaar geworden voor een deel van de mensen die er recht op hebben.
Er wordt in Europa gepleit voor een juridisch afdwingbaar recht op analoge toegang tot essentiële diensten. Dat klinkt misschien ouderwets in een tijd waarin iedereen het over digitalisering heeft, maar het is precies andersom: een overheidsdienst die voor een deel van de bevolking onbereikbaar is, is per definitie geen goede dienst, hoe efficiënt de achterliggende infrastrukture ook is. De beste digitaliseringsprojecten die ik in de praktijk ben tegengekomen, zijn projecten waar het digitale kanaal een verbetering was naast het bestaande kanaal, niet een vervanging ervan.
Digitale soevereiniteit als achtergrond van dit hele verhaal
Er speelt nog iets mee, en dat is de vraag wie deze infrastructuur straks eigenlijk beheert. Europa wil geen speelbal worden van Amerikaanse platforms of Chinese hardware, en initiatieven als de wallet, de Chips Act en de Digital Services Act zijn daar allemaal een antwoord op. Terechte ambitie. Maar EDRi stelt een vraag die het waard is om vast te houden: reproduceert de gecentraliseerde infrastructuur die voor Europese onafhankelijkheid wordt gebouwd niet dezelfde controlemechanismen die men van buitenaf juist wil weren? Wij schreven eerder uitgebreid over waarom Europese cloud- en data-onafhankelijkheid meer is dan alleen kiezen voor een Europese leverancier, en dezelfde nuance geldt hier. Een Europees systeem is niet automatisch een veiliger systeem voor de burger. Dat hangt af van wie er precies over beslist en welke waarborgen er in de techniek zijn ingebouwd, niet van de vlag die erop staat.
Voor organisaties in zorg, onderwijs, lokale overheid of andere publieke sectoren is dit geen abstracte beleidsdiscussie voor over een paar jaar. De keuzes die nu gemaakt worden in Brussel en Den Haag bepalen welke data er over medewerkers en cliënten verzameld wordt, en hoe die data straks tussen systemen stroomt. Wie daar nu al bij stilstaat, hoeft over een paar jaar niet in paniek een compliancetraject te starten omdat de deadline ineens dichtbij is.
Een gerechtvaardigde vraag voor wie meebouwt aan dit systeem
De conclusie van EDRi is niet dat digitalisering van publieke diensten verkeerd is. Het is dat Europa te weinig expliciete, democratische keuzes maakt over de grenzen van die digitalisering, en dat is een probleem dat op te lossen is zolang het serieus wordt genomen. De vraag die overblijft, is eenvoudig te stellen en lastiger te beantwoorden: bouwen we een overheid die burgers dient met techniek, of bouwen we een systeem waar burgers zich naar moeten voegen omdat het nu eenmaal zo is ingericht.
Vragen?
U kunt altijd contact met SolidBE opnemen als u vragen heeft over een van de besproken onderwerpen, of wanneer u ondersteuning zoekt bij het beoordelen van de privacy- en beveiligingsimpact van nieuwe Europese regelgeving op uw eigen organisatie. Wij denken graag mee over hoe u dit soort verplichtingen praktisch en veilig inricht.
