Itsme? Bij ons is het “it's not me”, en dit is waarom.

1. Inleiding: de strategische noodzaak van weigering

In het huidige digitale landschap wordt de keuze voor een identiteitsprovider (IdP) vaak herleid tot gebruikerservaring en conversieratio's. Die beperkte benadering verhult echter de strategische, juridische en operationele risico's van het uitbesteden van de ‘sleutels tot het koninkrijk’, de authenticatielaag, aan een externe partij. Dit rapport onderbouwt ons bedrijfsbeleid om het itsme-ecosysteem van Belgian Mobile ID niet te gebruiken voor medewerkers en interne processen.

Het gangbare verhaal op de Belgische markt stelt itsme voor als een quasi-openbare voorziening, een onschuldig digitaal equivalent van de fysieke identiteitskaart. Onze analyse schetst een ander beeld. Het gaat niet om een soevereine openbare dienst, maar om een privaat commercieel consortium dat wordt gedomineerd door grote banken en telecomoperatoren. Door ook de authenticatielaag aan dat consortium toe te vertrouwen, ontstaat de mogelijkheid om digitale interacties over sectoren heen te koppelen, van financiële diensten tot gezondheidszorg en overheidsdiensten.

Onze weigering is gebaseerd op drie ononderhandelbare pijlers van onze risicobereidheid:

Datasoevereiniteit en infrastructuurintegriteit: Wij willen geen gevoelige identiteitsmetadata opslaan op Amerikaanse cloudinfrastructuur (AWS), die ongeacht haar fysieke locatie in België onder extraterritoriale wetgeving kan vallen.
Privacy tegenover commerciële data-aggregators: Wij willen de data-ecosystemen van banken en telecomoperatoren niet verder voeden. Zij hebben al bijzonder veel inzicht in het privéleven van medewerkers, metaforisch zelfs “de kleur van hun ondergoed”.
Dataminimalisatie: Wij vinden een centrale bewaartermijn van tien jaar voor transactielogs, met gegevens over waar, wanneer en hoe vaak iemand inlogt, disproportioneel en moeilijk te verzoenen met privacy by design.

Dit rapport analyseert die risico's op basis van technische documentatie, bedrijfsinformatie en wetgeving. Gemak mag volgens ons niet ten koste gaan van digitale autonomie.

2. De mythe van de ‘Belgische’ voorziening: bedrijfsstructuur en buitenlands kapitaal

Om het risicoprofiel van itsme te begrijpen, moet eerst de misvatting worden weggenomen dat het een staatsbedrijf is. Hoewel het overheidsaccreditatie geniet, is Belgian Mobile ID NV een private vennootschap. De eigendomsstructuur omvat grote spelers uit de data-economie, sectoren waarin persoonsgegevens ook een aanzienlijke commerciële waarde vertegenwoordigen.

2.1. De aandeelhouders: een consortium van data-aggregators

De entiteit “Belgian Mobile ID” werd in 2017 opgericht als een joint venture tussen de “Grote Vier” banken van België en de drie grote mobiele netwerkoperators (MNO’s).

Tabel 1: samenstelling van de aandeelhouders en strategische conflicten

Aandeelhouderssector	Entiteiten	Primair bedrijfsmodel	Reeds beschikbare data	Belangenconflict met identiteit
Bankwezen	Belfius, BNP Paribas Fortis, ING België, KBC Bank	Financiële diensten, krediet, verzekeringen	Transactiegeschiedenis, uitgavenpatronen, schuldniveaus, vermogenswaarde.	Aggregatierisico: Door authenticatiedata toe te voegen, kunnen banken intentie zien, bijvoorbeeld een login bij een concurrent, nog vóór er een transactie plaatsvindt.
Telecommunicatie	Proximus, Orange Belgium, Telenet	Connectiviteit, media, reclame	Realtime locatie via gsm-masten, communicatiemetadata, surfgedrag.	Surveillancerisico: Telecomoperatoren beheren de fysieke laag. De koppeling van simkaart en app creëert een vrijwel naadloze trackingketen.
Overheidsinvestering	FPIM (Federale Participatie- en Investeringsmaatschappij)	Staatsinvesteringen	Publiek beleid	Minderheidsbelang: Met het belang van 20% dat in 2021 werd verworven ^1, heeft de staat geen operationele controle tegenover de commerciële meerderheid.

De betrokkenheid van de Federale Participatie- en Investeringsmaatschappij (FPIM) wordt vaak aangehaald om bezorgdheid over privatisering weg te nemen.3 Een belang van 20% geeft echter geen doorslaggevende zeggenschap. De strategische koers, technologie-inkoop en het beleid rond data-inkomsten worden bepaald door de commerciële meerderheid van banken en telecomoperatoren.4

Die structuur is relevant omdat deze entiteiten als data-aggregators functioneren. Door de Know Your Customer-regelgeving (KYC) hebben banken al diepgaand inzicht in het financiële leven van burgers. Als dezelfde commerciële partijen ook de identiteitsprovider controleren die toegang geeft tot niet-bancaire diensten, zoals gezondheidszorg, belastingen of juridische diensten, kan een veel vollediger beeld van iemands digitale leven ontstaan. Men ziet dan niet alleen een betaling bij een apotheek, maar mogelijk ook een login op een gespecialiseerd oncologieportaal. De combinatie van zulke datasets kan een bijzonder gedetailleerd profiel opleveren.

2.2. Buitenlandse invloed: Telenet en Liberty Global

Een analyse van het ‘Belgische’ karakter van het consortium toont aanzienlijke invloed van buitenlands kapitaal. Dat brengt geopolitieke risico's mee die moeilijk te verzoenen zijn met volledige datasoevereiniteit.

Telenet, een oprichtende aandeelhouder en belangrijke mobiele netwerkoperator binnen het schema, is voor 100% eigendom van Liberty Global, een multinationaal telecommunicatieconglomeraat met banden met het VK, de VS en Bermuda.5 Telenet is dus geen volledig onafhankelijke Belgische speler, maar een dochteronderneming die ook onder de strategische en juridische invloed van haar moederbedrijf valt.

2.2.1. Het transparantierapport: een datapijplijn naar overheidsdiensten

Ons onderzoek naar het ondernemingsbestuur van Liberty Global toont een uitgebreid mechanisme voor gegevensverstrekking aan overheidsinstanties. Volgens het eigen transparantierapport over 2024 ontving Liberty Global 46.325 overheidsverzoeken met betrekking tot Telenet-klanten in België.

Cruciaal is dat 90% van deze verzoeken resulteerde in de openbaarmaking van klantgegevens.8 Hoewel deze onthullingen worden gekaderd binnen de Belgische nationale regelgeving, geeft het enorme volume, gemiddeld meer dan 126 verzoeken per dag, aan dat Telenet functioneert als een uiterst efficiënte datapijplijn naar staatsveiligheidsdiensten.

Voor ons ligt het risico in de mogelijke doorbreking van de vennootschappelijke scheiding, de corporate veil. Liberty Global heeft sterke banden met de Amerikaanse en Britse markten.5 Als het moederbedrijf een buitenlands dataverzoek ontvangt dat betrekking heeft op activa van een dochteronderneming, kunnen interne bedrijfsgrenzen in de praktijk poreus blijken. Het Amerikaanse recht kan, onder meer via de CLOUD Act die in deel 3 aan bod komt, ook gegevens onder de operationele controle van Amerikaanse ondernemingen viseren.

Bovendien stelt Liberty Global dat het voor bepaalde activiteiten buiten België door nationale regels niet is toegestaan het aantal overheidsverzoeken bekend te maken.8 Wij vinden die ondoorzichtigheid onaanvaardbaar voor een partij die deel uitmaakt van onze identiteitsinfrastructuur.

2.3. Internationale verwevenheid van andere partners

Het label “Belgisch” wordt verder uitgehold door de andere partners:

BNP Paribas Fortis: Een volledige dochteronderneming van de Franse bankgroep BNP Paribas. Frankrijk heeft zijn eigen inlichtingenwetgeving, waaronder de Loi Renseignement.
ING België: Een dochteronderneming van de Nederlandse ING Groep.
Orange Belgium: Gecontroleerd door het Franse Orange S.A. (meer dan 76% van de stemrechten).

Het itsme-ecosysteem is dus in de praktijk een joint venture met Amerikaans-Brits (Liberty Global), Frans (Orange en BNP) en Nederlands (ING) kapitaal. Bij een geopolitieke crisis of handelsconflict over digitale diensten kunnen moederbedrijven vooral rekening houden met hun eigen rechtsgebieden en aandeelhouders, niet noodzakelijk met de privacybelangen van Belgische burgers of onze medewerkers.

3. Kwetsbaarheid van de infrastructuur: AWS-afhankelijkheid en het einde van soevereiniteit

De meest directe reden om itsme voor onze organisatie uit te sluiten, is de beslissing van Belgian Mobile ID om de infrastructuur van on-premises datacenters naar de publieke cloud te migreren, specifiek naar Amazon Web Services (AWS).9 Hoewel die stap vaak wordt verantwoord met schaalbaarheid en modernisering,11 ondermijnt hij volgens ons het principe van dataresidentie.

3.1. De juridische realiteit: de Amerikaanse CLOUD Act

De Clarifying Lawful Overseas Use of Data (CLOUD) Act van 2018 is een Amerikaanse federale wet die de bescherming op basis van datalocatie aantast. Ze geeft Amerikaanse wetshandhavingsinstanties de bevoegdheid om in de VS gevestigde technologieproviders, zoals Amazon, onder bepaalde voorwaarden te verplichten gegevens onder hun controle vrij te geven, ook wanneer die gegevens buiten de Verenigde Staten zijn opgeslagen.

Dit is geen theoretisch risico. Het is wetgeving.

Jurisdictie over de provider, niet over de datalocatie: De CLOUD Act richt zich op het bedrijf, Amazon.com Inc. en zijn dochterondernemingen. Als Amazon bezit, bewaring of controle over de gegevens heeft, kan een verplichting tot overdracht gelden, ook wanneer de server fysiek in Brussel, Parijs of Dublin staat.
Conflict met de AVG: Dit kan botsen met artikel 48 van de AVG, dat doorgifte op basis van buitenlandse rechterlijke bevelen beperkt tenzij er bijvoorbeeld een internationaal rechtshulpverdrag geldt. De CLOUD Act kan buiten het klassieke MLAT-proces worden toegepast.12
Encryptie is niet automatisch een afdoende verdediging: Als encryptiesleutels via AWS Key Management Service (KMS) worden beheerd, of tijdelijk in het geheugen van compute-instances aanwezig zijn om een authenticatieverzoek te verwerken, bestaat er technisch mogelijk toegang tot ontsleuteling. Een juridisch bevel zou die capaciteit kunnen viseren.13

Voor ons bedrijf is dit een rode lijn. Wij kunnen niet beweren de gegevens van onze werknemers te beschermen als die gegevens op een server staan die een buitenlandse rechter in Virginia in beslag kan nemen zonder medeweten of toestemming van de Belgische autoriteiten.

3.2. De beperking van een Local Zone: Brussel is geen autonome cloudregio

Belgian Mobile ID en AWS hebben de lancering van de AWS Local Zone in Brussel (eu-west-3-bru-1a) sterk gepromoot als oplossing voor dataresidentie.9 De suggestie dat data daardoor simpelweg ‘in België blijft’, is technisch te kort door de bocht.

3.2.1. Technische afhankelijkheid van de parent region

Een AWS Local Zone is geen onafhankelijke cloudregio, maar een uitbreiding van een parent region. Voor de Brusselse Local Zone is dat Europa (Parijs) (eu-west-3).

Control plane: De Identity and Access Management-systemen (IAM), API-endpoints en configuratiedatabases bevinden zich in de parent region in Parijs. Een storing of beveiligingsincident daar kan gevolgen hebben voor Brussel.
Dataduurzaamheid en replicatie: Diensten zoals Amazon S3 zijn ontworpen voor hoge duurzaamheid, doorgaans via replicatie over meerdere Availability Zones (AZ's). Omdat de Brusselse Local Zone één logische locatie vormt, kan hoge duurzaamheid replicatie naar de parent region vereisen.14
Opslag van snapshots: Volgens AWS-documentatie worden snapshots van diensten zoals Amazon EBS die in een Local Zone zijn gemaakt, in de parent region opgeslagen.

Zelfs wanneer de compute in Brussel plaatsvindt, kunnen data, back-ups, snapshots en bepaalde opslagobjecten dus naar Frankrijk vloeien. Daardoor kunnen naast de Amerikaanse CLOUD Act ook Franse rechtsregels relevant worden. De claim dat Belgische data in België blijft, is technisch en juridisch onvoldoende precies.

3.3. Het risico op vendor lock-in

Door een nationaal identiteitsschema naar één bedrijfseigen Amerikaanse cloud te migreren, ontstaat een single point of failure (SPOF). Een grote AWS-storing of een commerciële of geopolitieke beslissing van Amazon kan de beschikbaarheid van de Belgische digitale identiteitsinfrastructuur raken. Wij pleiten voor multicloud- of hybride-cloudweerbaarheid. Voor de identiteit van miljoenen burgers op één leverancier vertrouwen, botst met basisprincipes van operationele continuïteit.11

4. Het metadatapanopticum: het probleem van ‘de kleur van het ondergoed’

Ons interne beleid stelt de vraag waarom we banken en telecomoperatoren nog meer data zouden geven, terwijl ze al ‘de kleur van ons ondergoed’ kennen. Dat is een metafoor voor de gedetailleerde financiële en gedragsgegevens die ze al bezitten. Het itsme-ecosysteem versterkt dit risico met een gecentraliseerde metadatarepository die de context van digitale interacties vastlegt.

4.1. Metadata zijn ook data

Belgian Mobile ID stelt dat het de inhoud van ondertekende documenten of de details van banktransacties niet ziet, wat technisch klopt bij hash signing. Het registreert echter wel expliciet de metadata van de interactie.16

Tabel 2: de anatomie van de itsme-audittrail

Dataveld	Beschrijving	Bewaartermijn	Privacyrisico
Tijdstempel	Exacte datum en tijd van de transactie.	10 jaar	Kan dagelijkse routines, late logins en werktijden onthullen.
Serviceprovider (SP)	De entiteit die de identiteit opvraagt, bijvoorbeeld KBC Bank, UZ Leuven of FOD Financiën.	10 jaar	Onthult de aard van de activiteit, zoals bankieren, medische zorg, overheid of juridische dienstverlening.
Actietype	Inloggen, een transactie bevestigen of een document ondertekenen.	10 jaar	Maakt onderscheid tussen passief raadplegen en een actieve verbintenis.
Toesteltelemetrie	IMEI, besturingssysteem en toestelmodel.	10 jaar	Vormt een vingerafdruk van het apparaat en maakt het volgen van toestelwissels mogelijk.
Locatie-indicator	‘Security Data’ omvat een landcode (MCC).	10 jaar ^18	Kan internationale reis- en locatiegeschiedenis onthullen.

4.2. Gedragsprofilering via Metadata-aggregatie

Het gevaar schuilt niet in één logregel, maar in de aggregatie van tien jaar aan deze data. Een bewaartermijn van 10 jaar is grotesk disproportioneel voor een simpele authenticatiedienst.

Bekijk welk verhaal kan worden opgebouwd met uitsluitend de metadata die itsme naar eigen zeggen opslaat:

Scenario A (medisch): Een gebruiker logt jaarlijks in op een algemeen ziekenhuisportaal. Plots stijgt de frequentie naar wekelijks, gevolgd door logins bij een gespecialiseerde oncologiedienst. Mogelijke inferentie: ernstige ziekte.
Scenario B (financieel): Een gebruiker logt dagelijks in bij de eigen bank en vervolgens binnen één week bij drie verschillende consumentenkredietverstrekkers en een schuldbemiddelingsdienst. Mogelijke inferentie: financiële problemen.
Scenario C (juridisch/persoonlijk): Een gebruiker logt in bij een notaris of op het portaal van een echtscheidingsadvocaat. Mogelijke inferentie: grote levensverandering of rechtszaak.

Deze metadata vormen een gedetailleerde kaart van iemands leven. Ze onthullen wat iemand doet, met wie die persoon communiceert en hoe vaak. Voor een consortium van banken en verzekeraars, die risico's prijzen, en telecomoperatoren, die advertenties verkopen, heeft zo'n dataset grote waarde. Hoewel de partijen verklaren strikte scheidingen te hanteren, bestaat binnen gecentraliseerde systemen technisch de mogelijkheid om deze data te analyseren.

4.3. ‘Security Data’ en locatietracking

Het privacybeleid vermeldt expliciet het verzamelen van “Security Data”, waaronder de Mobile Country Code (MCC) en de Mobile Network Code (MNC).18 Dit wordt afgeleid van de SIM-kaart.

Omdat de MNO’s (Proximus, Orange, Telenet) aandeelhouders en “SIM Controllers” zijn 17, is er een directe brug tussen de fysieke netwerklaag en de applicatielaag.

Het beeld van de telecomoperator: De gebruiker is om 10:00 verbonden met gsm-mast 12345.
Het beeld van itsme: De gebruiker logt om 10:00 in bij Tax-on-web.
Het gecombineerde beeld: “Gebruiker X bevond zich op locatie Y toen die de belastingaangifte indiende.”

Deze mogelijkheid tot triangulatie maakt van de identiteitsapp een potentiële locatietracker. Voor een bedrijf dat de fysieke veiligheid en privacy van medewerkers belangrijk vindt, is een tienjarig logboek van locatiegerelateerde authenticatie-events bij een extern consortium onaanvaardbaar.

5. Schijnveiligheid: de tekortkoming van hash signing

Een belangrijk verkoopargument van itsme is de gekwalificeerde elektronische handtekening (QES) en het principe ‘What You See Is What You Sign’ (WYSIWYS). De belofte is dat de gebruiker altijd ziet wat die ondertekent. Volgens onze technische analyse is die claim onvolledig en blijft er een risico op blind signing bestaan.

5.1. Hoe hash signing werkt

In de huidige itsme-implementatie, de hash-signingvariant,19 gebeurt het volgende:

De Gebruiker bezoekt een website op zijn computer.
De Service Provider toont de documentinhoud aan de gebruiker.
De Service Provider berekent een cryptografische hash (een wiskundige vingerafdruk) van het document.
De Service Provider stuurt alleen de hash naar de itsme-server.19
De itsme-app opent op de telefoon van de gebruiker en toont een generiek bericht: “Teken document voor X”.
De Gebruiker voert zijn pincode in en autoriseert de handtekening van die hash.

5.2. De zwakke schakel in de keten

De kern van het probleem is dat de itsme-app het document nooit ziet.19 De app ontvangt alleen de hash. Daardoor kan ze niet onafhankelijk aan de gebruiker bevestigen dat de ondertekende hash overeenkomt met het document dat op het computerscherm werd getoond.

Het dreigingsmodel: Als de serviceprovider kwaadwillig is of de browser via een man-in-the-browseraanval is gecompromitteerd, kan het scherm het onschuldige ‘Contract A’ tonen terwijl op de achtergrond de hash van het kwaadwillige ‘Contract B’ naar itsme wordt gestuurd.
De gebruikerservaring: De gebruiker ziet “Teken document voor Bank” op de telefoon, vertrouwt de melding en tekent.
Het resultaat: De gebruiker heeft juridisch ‘Contract B’ ondertekend, terwijl die dacht ‘Contract A’ te ondertekenen.

Dit is volgens ons geen volwaardige ‘What You See Is What You Sign’. Echte WYSIWYS vereist dat het ondertekenende apparaat de documentinhoud onafhankelijk weergeeft of de hash strikt tegen een vertrouwde weergave controleert. Zonder die context steunt de handtekening op vertrouwen in de integriteit van de serviceprovider. Vertrouwen alleen is geen veiligheidscontrole.

6. Institutionele verwevenheid: het ‘Frank Robben-effect’

De snelle opkomst van itsme kan niet los worden gezien van het bijzondere institutionele landschap van het Belgische digitale bestuur. Critici en privacyvoorvechters wijzen al langer op de concentratie van macht bij een kleine groep technocraten die zich op het grensvlak van een publiek mandaat en private implementatie bewegen.

Frank Robben, administrateur-generaal van de Kruispuntbank van de Sociale Zekerheid, initiatiefnemer van het eHealth-platform en gedelegeerd bestuurder van Smals, staat symbool voor die verwevenheid. Hoewel de overheid formeel toezicht houdt, heeft ze een private oplossing, itsme, sterk gepromoot als standaard en vaak als enige praktisch haalbare mobiele alternatief voor de fysieke eID-kaart.

Dat creëert vendor lock-in op nationaal niveau. Door itsme diep in de Federale Authenticatiedienst (FAS) te integreren en het voor essentiële diensten zoals belastingen, gezondheid en CovidSafeBE te promoten, heeft de overheid in feite een soevereine kernfunctie geprivatiseerd: de identiteitsverificatie van burgers.

Privatiseringsrisico: Als Belgian Mobile ID NV zijn prijsmodel voor bedrijven of zijn gebruiksvoorwaarden wijzigt, kan het Belgische ecosysteem moeilijk uitwijken. Een eenvoudige overstap naar een publiek alternatief ontbreekt, omdat relatief weinig in een eigen mobiele eID-oplossing is geïnvesteerd.

De recente lancering van MyGov.be door de overheid wordt gezien als een late poging om deze soevereiniteit terug te winnen, waarbij staatssecretaris Mathieu Michel expliciet verwees naar de noodzaak van “controle” en “soevereiniteit” die bij itsme ontbrak.21

7. Conclusie: een beleid van niet-adoptie

Samenvattend is de beslissing om itsme af te wijzen een proactieve maatregel om onze bedrijfsdataperimeter en de persoonlijke privacy van ons personeel te beschermen. Wij zijn geen technofoben; wij zijn realisten.

Wij gebruiken itsme niet omdat:

Wij de aandeelhoudersstructuur niet vertrouwen: Het consortium van banken en telecomoperatoren heeft een inherent belangenconflict rond datamonetisatie.
Wij de eigendomsstructuur niet vertrouwen: Liberty Globals volledige eigendom van Telenet en het hoge aandeel ingewilligde overheidsverzoeken creëren volgens ons een onaanvaardbaar risico op buitenlandse toegang.
Wij de infrastructuur niet vertrouwen: De afhankelijkheid van AWS en de Amerikaanse CLOUD Act maken volledige datasoevereiniteit onmogelijk.
Wij het metadatapanopticum niet accepteren: Een bewaartermijn van tien jaar voor granulaire transactiemetadata creëert een surveillancedatabase die wij niet willen voeden.
Wij bewijs eisen, geen blind vertrouwen: Het hash-signingprotocol biedt de gebruiker volgens onze analyse geen onafhankelijke cryptografische garantie over de weergegeven inhoud.

Als bedrijf blijven wij client-side certificaatauthenticatie, fysieke hardwaretokens en standaarden voor gedecentraliseerde identiteit (SSI) gebruiken en ondersteunen. Daarbij blijven sleutels en data bij de gebruiker, niet bij een consortium.

Appendix: forensische datatabellen

Tabel 3: audit van de infrastructuursoevereiniteit

Component	Leverancier	Locatie	Jurisdictierisico
Hosting	AWS (Amazon)	Local Zone Brussel / parent region Parijs	Kritiek: Onderworpen aan de Amerikaanse CLOUD Act. De control plane van de Local Zone bevindt zich in Parijs, Frankrijk.
Notificaties	Apple / Google	Wereldwijd	Hoog: Metadata zichtbaar voor Amerikaanse OS-leveranciers.
Simkaartcontrole	Proximus / Orange / Telenet	België	Gemiddeld: Telenet is volledig eigendom van de Amerikaans-Britse holding Liberty Global.
Root of Trust	Belgische overheid (Rijksregister)	België	Laag: De toegang tot deze root wordt wel door het private consortium beheerd.

Tabel 4: risicoanalyse van tien jaar metadata

Metadataveld	Potentiële inferentie	Commerciële waarde
Serviceprovider-ID	“Gebruiker logt in bij een echtscheidingsadvocaat”	Hoog (marketing van juridische diensten)
Frequentie	“Gebruiker logt dagelijks in op een goksite”	Hoog (risicobepaling voor verzekeringen en leningen)
Tijdstip	“Gebruiker actief tussen 02:00 en 04:00”	Gemiddeld (gezondheids- en levensstijlprofilering)
Locatie (land)	“Gebruiker is in Thailand”	Gemiddeld (fraudedetectie en verkoop van reisverzekeringen)

De analyse toont dat ook wanneer transactie-inhoud versleuteld is, tien jaar aan metadata een bijzonder gedetailleerd beeld van gebruikersgedrag kan vormen en daardoor een ernstig privacyrisico inhoudt.