Itsme? Bij ons is het “it’s not me”, en dit is waarom.

1. Inleiding: De Strategische Noodzaak van Weigering

In het hedendaagse digitale landschap wordt de keuze voor een identiteit leverancier (IdP) vaak gereduceerd tot een discussie over User Experience (UX) en conversieratio’s. Deze reductionistische benadering verhult echter de diepgaande strategische, juridische en operationele risico’s die gepaard gaan met het uitbesteden van de “Sleutels tot het Koninkrijk”, de authenticatie laag, aan externe partijen. Dit rapport dient als de definitieve interne rechtvaardiging voor ons bedrijfsbeleid om de adoptie van het “itsme” (Belgian Mobile ID) ecosysteem voor onze werknemers en interne operaties af te wijzen.

AI Generated English Summary: ▼

Het heersende narratief in de Belgische markt positioneert itsme als een quasi-overheid nutsvoorziening, een onschuldig, digitaal equivalent van de fysieke identiteitskaart. Onze forensische analyse onthult echter een heel andere realiteit. We hebben niet te maken met een soevereine openbare dienst, maar met een privaat commercieel consortium dat gedomineerd wordt door bank- en telecomgiganten, entiteiten die de meest intieme details van consumentengedrag al te gelde maken. Door hen de authenticatie laag te overhandigen, zouden we hen het laatste stukje van de surveillance-puzzel geven: de mogelijkheid om elke digitale interactie te volgen, dwars door sectoren als financiën, gezondheidszorg en overheidsdiensten heen.

Onze weigering is gebaseerd op drie ononderhandelbare pijlers van onze risicobereidheid:

Data Soevereiniteit & Infrastructuur Integriteit: Wij verwerpen de opslag van gevoelige identiteit metadata op door de VS gecontroleerde cloud infrastructuur (AWS), die onderworpen blijft aan extraterritoriale surveillance wetten, ongeacht de fysieke locatie in België.
Privacy tegenover Commerciële Aggregators: Wij weigeren de data-ecosystemen van banken en telco’s te voeden, die al overmatig veel inzicht hebben in het privéleven van ons personeel (metaforisch: “de kleur van hun ondergoed”).
Metadata-minimalisatie: Wij beschouwen de gecentraliseerde bewaartermijn van 10 jaar voor transactielogs, waarin wordt vastgelegd waar, wanneer en hoe vaak een gebruiker inlogt, als een disproportionele surveillance capaciteit die indruist tegen de principes van ‘privacy-by-design’.

Dit rapport ontleedt deze risico’s met rigoureuze details, vertrouwend op technische documentatie, bedrijfsdeponeringen en wetteksten om ons standpunt te onderbouwen dat gemak niet mag worden gekocht ten koste van digitale autonomie.

2. De Mythe van het “Belgische” Nutsbedrijf: Bedrijfsstructuur en Buitenlands Kapitaal

Om het risicoprofiel van itsme te begrijpen, moet men eerst de misvatting ontkrachten dat het een staatsbedrijf is. Hoewel het overheids accreditatie geniet, is Belgian Mobile ID NV een besloten vennootschap met beperkte aansprakelijkheid. De eigendomsstructuur is een “Who’s Who” van de data-economie, sectoren die persoonsgegevens historisch gezien beschouwen als een grondstof voor extractie in plaats van een goed te beschermen goed.

2.1. De Aandeelhouders: Een Consortium van Data-aggregators

De entiteit “Belgian Mobile ID” werd in 2017 opgericht als een joint venture tussen de “Grote Vier” banken van België en de drie grote mobiele netwerkoperators (MNO’s).

Tabel 1: Samenstelling Aandeelhouders en Strategische Conflicten

Sector Aandeelhouder	Entiteiten	Primair Bedrijfsmodel	Reeds Beschikbare Data	Belangenconflict met Identiteit
Bankwezen	Belfius, BNP Paribas Fortis, ING België, KBC Bank	Financiële Diensten, Krediet, Verzekering	Transactiegeschiedenis, uitgavenpatronen, schuldniveaus, vermogenswaarde.	Aggregatie Risico: Door authenticatie data toe te voegen, kunnen banken intentie zien (bijv. inloggen bij een concurrent) voordat er een transactie plaatsvindt.
Telecommunicatie	Proximus, Orange Belgium, Telenet	Connectiviteit, Media, Reclame	Real-time locatie (gsm-mast), communicatie metadata, surfgedrag.	Surveillance Risico: Telco’s controleren de fysieke laag. Het koppelen van de SIM (identiteit) aan de App (authenticatie) creëert een naadloze trackingloop.
Overheidsinvestering	FPIM (Federale Participatie- en Investeringsmaatschappij)	Staatsinvesteringen	Publiek Beleid	Minderheidsbelang: Met slechts 20% aandelen verworven in 2021 ¹, mist de staat operationele controle tegenover de commerciële meerderheid.

De betrokkenheid van de Federale Participatie- en Investeringsmaatschappij (FPIM) wordt vaak aangehaald om de angst voor privatisering weg te nemen.³ Een belang van 20% geeft echter geen doorslaggevende zeggenschap. De strategische koers, technologie-inkoop en het data-inkomensbeleid worden gedreven door de commerciële meerderheid, de banken en telco’s.⁴

Deze structuur is kritiek omdat deze entiteiten functioneren als Data-aggregators. Banken opereren onder Know Your Customer (KYC) regelgeving die hen diep inzicht geeft in het financiële leven van een burger. Door de identiteit leverancier te controleren die wordt gebruikt voor toegang tot niet-bancaire diensten (zoals gezondheidszorg, belastingen of juridische diensten), krijgen deze commerciële entiteiten zicht op de totaliteit van het digitale bestaan van een gebruiker. Ze weten niet alleen dat je geld hebt uitgegeven bij een apotheek (bankdata), maar ook dat je hebt ingelogd op een gespecialiseerd oncologie portaal (itsme-metadata). De aggregatie van deze datasets creëert een “super-profiel” van ongekende granulariteit.

2.2. De Buitenlandse Invloed: Telenet en Liberty Global

Een grondige analyse van het “Belgische” karakter van het consortium onthult aanzienlijke invloed van buitenlands kapitaal, wat geopolitieke risico’s introduceert die onverenigbaar zijn met ware data soevereiniteit.

Telenet, een oprichtende aandeelhouder en belangrijke mobiele netwerkoperator in het schema, is voor 100% eigendom van Liberty Global, een multinationaal telecommunicatie conglomeraat met hoofdkantoor in het VK, de VS en Bermuda.⁵ Telenet is geen onafhankelijke Belgische agent; het is een dochteronderneming die onderworpen is aan de strategische en juridische imperatieven van haar moederbedrijf.

2.2.1. Het Transparantierapport: Een Pijplijn naar Overheid Surveillance

Ons onderzoek naar het ondernemingsbestuur van Liberty Global onthult een robuust mechanisme voor gegevensverstrekking aan overheidsinstanties. Liberty Global’s eigen transparantie rapportage voor 2024 stelt dat het 46.325 overheidsonderzoeken ontving voor Telenet-klanten in België.

Cruciaal is dat 90% van deze verzoeken resulteerde in de openbaarmaking van klantgegevens.⁸ Hoewel deze onthullingen worden gekaderd binnen de Belgische nationale regelgeving, geeft het enorme volume, gemiddeld meer dan 126 verzoeken per dag, aan dat Telenet functioneert als een uiterst efficiënte datapijplijn naar staatsveiligheidsdiensten.

Het risico voor ons, als bedrijf dat Itsme weigert, ligt in de bedrijfs sluier (corporate veil). Liberty Global is een bedrijf met diepe banden met de Amerikaanse en Britse markten.⁵ Als het moederbedrijf (Liberty Global) onderworpen wordt aan een dataverzoek uit een buitenlandse jurisdictie (bijv. de Verenigde Staten) met betrekking tot de activa van zijn dochteronderneming, kunnen de interne bedrijfs barrières poreus blijken. Het Amerikaanse rechtssysteem, met name via mechanismen zoals de CLOUD Act (besproken in Sectie 3), negeert vaak de afzonderlijke rechtspersoonlijkheid van buitenlandse dochterondernemingen als operationele controle kan worden vastgesteld.

Bovendien geeft Liberty Global toe dat het voor zijn andere activiteiten (buiten België) “niet is toegestaan het aantal overheids verzoeken openbaar te maken” vanwege nationale regelgevende kaders.⁸ Deze ondoorzichtigheid is onaanvaardbaar. Wij kunnen onze bedrijfs identiteitsinfrastructuur niet toevertrouwen aan een consortium partner wiens moederbedrijf in een “black box” opereert wat betreft “overheidssurveillance” in andere jurisdicties.

2.3. Internationale Verstrengeling van Andere Partners

Het label “Belgisch” wordt verder uitgehold door de andere partners:

BNP Paribas Fortis: Een dochteronderneming van de Franse bankgigant BNP Paribas (voor 100% eigendom). Frankrijk heeft zijn eigen agressieve inlichtingen wetten (Loi Renseignement).
ING België: Een dochteronderneming van de Nederlandse ING Groep.
Orange Belgium: Gecontroleerd door het Franse Orange S.A. (meer dan 76% van de stemrechten).

Het itsme-ecosysteem is dus feitelijk een joint venture van Amerikaans/Brits (Liberty Global), Frans (Orange, BNP) en Nederlands (ING) kapitaal. In een geopolitieke crisis of een handelsgeschil over digitale diensten (bijv. VS vs. EU-tech regulering), zal de loyaliteit van deze moederbedrijven bij hun thuis jurisdicties en aandeelhouders liggen, niet noodzakelijkerwijs bij de privacy van Belgische burgers of onze werknemers.

3. Infrastructuur Kwetsbaarheid: De AWS-afhankelijkheid en het Einde van Soevereiniteit

De meest directe reden voor diskwalificatie voor onze organisatie is de beslissing van Belgian Mobile ID om haar infrastructuur te migreren van on-premise datacenters naar de publieke cloud, specifiek Amazon Web Services (AWS).⁹ Hoewel deze stap vaak wordt gerechtvaardigd door “schaalbaarheid” en “modernisering” ¹¹, compromitteert het fundamenteel het concept van data-residentie.

3.1. De Juridische Realiteit: De Amerikaanse CLOUD Act

De Clarifying Lawful Overseas Use of Data (CLOUD) Act van 2018 is een Amerikaanse federale wet die de bescherming van data locatie uitholt. Het geeft Amerikaanse wetshandhavingsinstanties expliciet de bevoegdheid om in de VS gevestigde technologie providers (zoals Amazon) te dwingen gegevens op hun servers vrij te geven, ongeacht of die gegevens in de Verenigde Staten of op buitenlandse bodem zijn opgeslagen.

Dit is geen theoretisch risico. Het is wetgeving.

Jurisdictie over de Provider, niet de Data: De CLOUD Act claimt jurisdictie over het bedrijf (Amazon.com Inc. en zijn dochterondernemingen). Als Amazon “bezit, voogdij of controle” heeft over de data, moeten ze deze overhandigen, zelfs als de server fysiek in Brussel, Parijs of Dublin staat.
Conflict met GDPR: Dit creëert een direct conflict met de AVG (GDPR), specifiek Artikel 48, dat overdrachten op basis van buitenlandse rechterlijke bevelen beperkt tenzij er een rechtshulpverdrag (MLAT) is. De CLOUD Act omzeilt echter vaak het MLAT-proces.¹²
De “Encryptie”-verdediging is Gebrekkig: AWS betoogt vaak dat ze geen data kunnen produceren die ze niet kunnen lezen (d.w.z. als het versleuteld is). Echter, als de encryptiesleutels worden beheerd via AWS Key Management Service (KMS), of als de sleutels ooit in het geheugen van de compute-instances aanwezig zijn om het authenticatie verzoek te verwerken, bezit AWS technisch de mogelijkheid om te ontsleutelen. Onder een dagvaarding zouden ze gedwongen kunnen worden die capaciteit te gebruiken.¹³

Voor ons bedrijf is dit een rode lijn. Wij kunnen niet beweren de gegevens van onze werknemers te beschermen als die gegevens op een server staan die een buitenlandse rechter in Virginia in beslag kan nemen zonder medeweten of toestemming van de Belgische autoriteiten.

3.2. De “Local Zone” Misleiding: Brussel is een Buitenpost, Geen Vesting

Belgian Mobile ID en AWS hebben de lancering van de AWS Local Zone in Brussel (eu-west-3-bru-1a) zwaar gepromoot als oplossing voor data-residentie.⁹ Ze suggereren dat data “in België blijft”. Onze technische analyse onthult dat dit een gevaarlijke versimpeling is.

3.2.1. Technische Afhankelijkheid van de Moeder Regio

Een AWS Local Zone is geen onafhankelijke cloudregio. Het is een verlengstuk van een Parent Region. Voor de Brusselse Local Zone is de Parent Region Europa (Parijs) (eu-west-3).

Control Plane: De “hersenen” van de operatie, de Identity and Access Management (IAM) systemen, de API-endpoints die de infrastructuur aansturen en de configuratiedatabases, bevinden zich in de Parent Region (Parijs). Een storing of compromittering in Parijs heeft impact op Brussel.
Data Duurzaamheid en Replicatie: Kritieke diensten zoals Amazon S3 (Simple Storage Service) zijn ontworpen voor extreme duurzaamheid, wat typisch wordt bereikt door data te repliceren over meerdere Availability Zones (AZ’s). Aangezien de Brusselse Local Zone vaak een enkele logische locatie is, vereist het bereiken van hoge duurzaamheid vaak replicatie terug naar de Parent Region (Parijs).¹⁴
Snapshot Opslag: AWS-documentatie stelt expliciet dat voor diensten zoals Amazon EBS (Elastic Block Store), snapshots (back-ups) die in een Local Zone worden gemaakt, worden opgeslagen in de Parent Region.

Daarom, zelfs als de “rekenkracht” (compute) in Brussel plaatsvindt, vloeit de data, inclusief back-ups, snapshots en potentieel opslag objecten, naar Frankrijk. Dit onderwerpt de data aan Franse jurisdictie naast de Amerikaanse jurisdictie (via de CLOUD Act). De claim “Belgische data blijft in België” is technisch poreus en juridisch ontoereikend.

3.3. Het Vendor Lock-In Risico

Door een nationaal identiteitsschema te migreren naar een propriëtaire Amerikaanse cloud, heeft Belgian Mobile ID een Single Point of Failure (SPOF) gecreëerd. Als AWS een wereldwijde storing heeft, of als Amazon besluit de dienst van het platform te halen om commerciële of geopolitieke redenen, stort de Belgische digitale identiteitsinfrastructuur in. Ons bedrijf pleit voor multi cloud of hybride-cloud weerbaarheid. Vertrouwen op één enkele leverancier voor de identiteit van miljoenen burgers schendt basisprincipes van operationele continuïteit.¹¹

4. Het Panopticum van Metadata: Het “Kleur van het Ondergoed” Probleem

Ons interne mandaat vraagt zich af waarom we banken en telco’s meer data zouden moeten geven, terwijl ze al “de kleur van ons ondergoed” kennen, een metafoor voor de intieme financiële en gedragsgegevens die ze al bezitten. Het itsme-ecosysteem verergert dit door een gecentraliseerd metadata-repository te creëren dat de context van elke digitale interactie volgt.

4.1. “Metadata is Data”

Belgian Mobile ID stelt dat ze de inhoud van de documenten die je ondertekent of de details van je banktransactie niet zien (wat technisch waar is via Hash Signing, later besproken). Ze loggen echter expliciet de metadata van de interactie.¹⁶

Tabel 2: De Anatomie van het itsme Audit Trail

Dataveld	Beschrijving	Bewaartermijn	Privacyrisico
Tijdstempel	Exacte datum en tijd van de transactie.	10 Jaar	Onthult dagelijkse routines, slapeloosheid (late logins), werktijden.
Service Provider (SP)	De entiteit die de identiteit opvraagt (bv. “KBC Bank”, “UZ Leuven”, “FOD Financiën”).	10 Jaar	Onthult de aard van de activiteit van de gebruiker (Bankieren, Medisch, Overheid, Juridisch).
Actietype	Inloggen, Transactie Bevestigen, Document Ondertekenen.	10 Jaar	Differentieert tussen passief checken en actieve verbintenis.
Toesteltelemetrie	IMEI, besturingssysteem, toestel model.	10 Jaar	Vingerafdruk van het specifieke apparaat; maakt tracking van toestelwissels mogelijk.
Locatie-indicator	“Security Data” omvat land locatie (MCC).	10 Jaar ¹⁸	Volgt internationale reis- en locatiegeschiedenis.

4.2. Gedragsprofilering via Metadata-aggregatie

Het gevaar schuilt niet in één logregel, maar in de aggregatie van tien jaar aan deze data. Een bewaartermijn van 10 jaar is grotesk disproportioneel voor een simpele authenticatiedienst.

Overweeg het verhaal dat kan worden geconstrueerd puur uit de metadata die itsme toegeeft op te slaan:

Scenario A (Medisch): Een gebruiker logt eens per jaar in op een algemeen ziekenhuisportaal (Service Provider: “UZ Leuven”). Plotseling neemt de frequentie toe tot wekelijks. Vervolgens loggen ze in op een gespecialiseerde oncologie dienst. Inferentie: Ernstige ziekte.
Scenario B (Financieel): Een gebruiker logt dagelijks in bij zijn primaire bank. Plotseling logt hij in één week tijd in bij drie verschillende consumenten kredietverstrekkers en een schuldbemiddelingsdienst. Inferentie: Financiële nood.
Scenario C (Juridisch/Persoonlijk): Een gebruiker logt in bij een notaris of het portaal van een echtscheidingsadvocaat. Inferentie: Grote levensverandering/rechtszaak.

Deze metadata vormt een high-fidelity kaart van een mensenleven. Het onthult wat je doet, met wie je interageert en hoe vaak. Voor een consortium van banken en verzekeraars (die risico’s prijzen) en telco’s (die advertenties verkopen), is deze dataset van onschatbare waarde. Hoewel ze beweren strikte scheidingen te hanteren, bestaat de technische mogelijkheid om deze data te ontginnen binnen de gecentraliseerde servers.

4.3. De “Security Data” en Locatie Tracking

Het privacybeleid vermeldt expliciet het verzamelen van “Security Data”, waaronder de Mobile Country Code (MCC) en de Mobile Network Code (MNC).18 Dit wordt afgeleid van de SIM-kaart.

Omdat de MNO’s (Proximus, Orange, Telenet) aandeelhouders en “SIM Controllers” zijn 17, is er een directe brug tussen de fysieke netwerklaag en de applicatielaag.

Het Telco-beeld: Weet dat de gebruiker verbonden is met Celmast ID 12345 om 10:00.
Het itsme-beeld: Weet dat de gebruiker om 10:00 inlogde bij Tax-on-Web.
Het Gecombineerde Beeld: “Gebruiker X was op Locatie Y toen hij zijn belastingen indiende.”

Deze triangulatie capaciteit verandert de identiteits-app in een potentiële locatie tracker. Voor een bedrijf dat de fysieke veiligheid en privacy van zijn werknemers waardeert, is het toestaan dat een derde partij-consortium een logboek van 10 jaar bijhoudt van hun locatie-gecorreleerde authenticatie-events een absolute ‘no-go’.

5. Veiligheidstheater: Het “Hash Signing” Gebrek

Een van de belangrijkste verkoopargumenten van itsme is de “Gekwalificeerde Elektronische Handtekening” (QES) en het principe van “What You See Is What You Sign” (WYSIWYS). Ze beweren dat je altijd ziet wat je ondertekent. Technisch gezien is deze claim misleidend en introduceert het een kritiek veiligheidsgat bekend als de Blind Signing Kwetsbaarheid.

5.1. Hoe Hash Signing Werkt

In de huidige itsme-implementatie (Hash Signing variant) ¹⁹:

De Gebruiker bezoekt een website op zijn computer.
De Service Provider toont de documentinhoud aan de gebruiker.
De Service Provider berekent een cryptografische hash (een wiskundige vingerafdruk) van het document.
De Service Provider stuurt alleen de hash naar de itsme-server.¹⁹
De itsme App opent op de telefoon van de gebruiker. Het toont een generiek bericht: “Teken document voor X”.
De Gebruiker voert zijn pincode in en autoriseert de handtekening van die hash.

5.2. De Breuk in de Keten

De fatale fout hier is dat de itsme-app het document nooit ziet.¹⁹ Het ziet alleen de hash. Daarom kan de itsme-app niet verifiëren aan de gebruiker dat de hash die ze ondertekenen daadwerkelijk overeenkomt met het document dat ze op hun computerscherm zagen.

Het Dreiging Model: Als de Service Provider kwaadwillend is, of als de browser van de gebruiker gecompromitteerd is (Man-in-the-Browser aanval), kan het scherm “Contract A” (onschuldig) tonen, terwijl het achtergrondproces de hash van “Contract B” (kwaadwillend, bijv. activa overdragen) naar itsme stuurt.
De Ervaring van de Gebruiker: De gebruiker ziet “Teken document voor Bank” op zijn telefoon. Hij vertrouwt het. Hij tekent.
Het Resultaat: De gebruiker heeft juridisch “Contract B” ondertekend terwijl hij geloofde dat hij “Contract A” tekende.

Dit is niet “What You See Is What You Sign”. Echte WYSIWYS vereist dat het ondertekenende apparaat (de telefoon) onafhankelijk de inhoud van het document rendert of de hash strikt verifieert tegen een vertrouwde weergave. Door deze context weg te strippen, reduceert itsme de handtekening tot een blinde daad van geloof in de integriteit van de Service Provider. Wij accepteren “geloof” niet als veiligheidscontrole.

6. Institutionele Verstrengeling: Het “Frank Robben” Effect

De snelle opkomst van itsme kan niet los worden gezien van het bijzondere institutionele landschap van Belgisch digitaal bestuur. Critici en privacyvoorvechters wijzen al lang op de consolidatie van macht binnen een kleine kring van technocraten die de grens tussen publiek mandaat en private implementatie bewandelen.

De figuur van Frank Robben, CEO van de Kruispuntbank van de Sociale Zekerheid, oprichter van het eHealth-platform en beheerder bij Smals, symboliseert deze verstrengeling. Hoewel de staat formeel toezicht houdt, blijft de structurele realiteit: de Belgische staat heeft agressief een private oplossing (itsme) gepusht als het standaard, en vaak enige, haalbare mobiele alternatief voor de fysieke eID-kaart.

Dit creëert een Vendor Lock-In op nationaal niveau. Door itsme diep te integreren in de Federale Authenticatiedienst (FAS) en het te promoten voor essentiële diensten (Belastingen, Gezondheid, CovidSafeBE), heeft de staat in feite een soevereine kernfunctie geprivatiseerd: de verificatie van zijn burgers.

Risico van Privatisering: Als Belgian Mobile ID NV besluit zijn prijsmodel voor bedrijven te wijzigen (wat het heeft gedaan), of als het zijn gebruiksvoorwaarden wijzigt om agressievere datadeling toe te staan, wordt het Belgische ecosysteem gegijzeld. Er is geen gemakkelijke “switch” naar een publiek alternatief omdat de staat te weinig heeft geïnvesteerd in mobiele eID ten gunste van het vertrouwen op het consortium.

De recente lancering van MyGov.be door de overheid wordt gezien als een late poging om deze soevereiniteit terug te winnen, waarbij staatssecretaris Mathieu Michel expliciet verwees naar de noodzaak van “controle” en “soevereiniteit” die bij itsme ontbrak.²¹

7. Conclusie: Een Beleid van Niet-Adoptie

Samenvattend is de beslissing om itsme af te wijzen een proactieve maatregel om onze bedrijfsdataperimeter en de persoonlijke privacy van ons personeel te beschermen. Wij zijn geen technofoben; wij zijn realisten.

Wij gebruiken itsme niet omdat:

Wij de aandeelhouders niet vertrouwen: Het consortium van banken en telco’s heeft een inherent belangenconflict met betrekking tot data monetarisatie.
Wij het Eigendom niet vertrouwen: Liberty Global’s 100% eigendom van Telenet en zijn geschiedenis van hoge data-openbaarmaking percentages creëert een onaanvaardbare pijplijn naar buitenlandse surveillance.
Wij de Infrastructuur niet vertrouwen: De afhankelijkheid van AWS en de Amerikaanse CLOUD Act maakt “data soevereiniteit” tot een wassen neus.
Wij het “Ondergoedkleur”-Panopticum niet accepteren: De bewaartermijn van 10 jaar van granulaire transactie metadata creëert een surveillance database die wij weigeren te voeden.
Wij Bewijs eisen, geen Geloof: Het “Hash Signing”-protocol faalt in het bieden van cryptografische garanties van inhouds-integriteit aan de gebruiker.

Als bedrijf blijven wij gebruik maken van en ondersteuning bieden aan Client-Side Certificaat authenticatie, Fysieke Hardware Tokens, en Gedecentraliseerde Identiteit (SSI) standaarden die de sleutels, en de data, recht in de handen van de gebruiker houden, niet bij een consortium.

Appendix: Forensische Data tabellen

Tabel 3: Infrastructuur Soevereiniteit Audit

Component	Leverancier	Locatie	Jurisdictierisico
Hosting	AWS (Amazon)	Local Zone Brussel / Parent Regio Parijs	Kritiek: Onderworpen aan US CLOUD Act. Local Zone control plane resideert in Parijs/Frankrijk.
Notificaties	Apple / Google	Wereldwijd	Hoog: Metadata zichtbaar voor Amerikaanse OS-leveranciers.
SIM Controle	Proximus / Orange / Telenet	België	Medium: Telenet is 100% eigendom van US/UK holding (Liberty Global).
Root of Trust	Belgische Overheid (Rijksregister)	België	Laag: Maar de toegang tot deze root wordt bewaakt door het private consortium.

Tabel 4: Het 10-Jaren Metadata Risico Assessment

Metadata Veld	Potentiële Inferentie	Commerciële Waarde
Service Provider ID	“Gebruiker logt in bij Echtscheidingsadvocaat”	Hoog (Marketing Juridische Diensten)
Frequentie	“Gebruiker logt dagelijks in op Goksite”	Hoog (Risicobepaling Verzekeringen/Leningen)
Tijdstip	“Gebruiker actief tussen 02:00 – 04:00”	Medium (Gezondheids-/Levensstijlprofilering)
Locatie (Land)	“Gebruiker is in Thailand”	Medium (Fraudedetectie, Verkoop Reisverzekering)

Bovenstaande analyse bevestigt dat hoewel de inhoud van transacties versleuteld kan zijn, de metadata, die itsme toegeeft een decennium lang te bewaren, een voldoende hoge resolutie biedt van gebruikersgedrag om een ernstige privacyschending te vormen.