Position Paper e-identity. Digitale Identiteit Service Providers: zes aanbevelingen

Transcriptie

1 Position Paper e-identity Digitale Identiteit Service Providers: zes aanbevelingen Nederlandse Thuiswinkel Organisatie Thuiswinkel.org, Ede Maart 2013 Versie van 11

2 INHOUDSOPGAVE 1. Inleiding Visie Gewenst: Digitale Identiteit Service Providers Diversiteit blijft het marktbeeld Wat verwachten Webwinkeliers van Digitale Identiteit Service Providers Zes aanbevelingen aan markt en overheid Tot slot INLEIDING Nu het internetkanaal volwassen is voor detailhandel en dienstverlening, neemt de roep bij klanten en webwinkeliers toe om de identiteit van handelende partijen beter te kunnen vaststellen. Want: gemak leidt tot minder drempels voor gebruikers en zo tot meer transacties; webwinkels zijn bij bepaalde artikelen wettelijk verplicht de leeftijd van de koper te verifiëren voordat ze de koop mogen sluiten; en meer zekerheid over identiteit leidt tot meer vertrouwen en hoe meer vertrouwen, hoe meer transacties er gedaan zullen worden. Gemakkelijke toegang tot betrouwbare informatie over degene met wie je zaken doet is cruciaal voor de verdere groei van online winkelen. Daarnaast kan het voor winkeliers en klanten interessant zijn om meer over elkaar te weten voor meer dienstverlening op maat. Ook dit valt en staat met het beter kennen van elkaars identiteit. Omdat niet iedere internetdienstverlener een eigen systeem voor werkelijke identificatie van (rechts-)personen kan of wil ontwikkelen en omdat klanten niet bij iedere internetdienstverlener een identiteit willen aanmaken, zijn identiteit providers gewenst. Identiteit providers zijn partijen die van een (rechts-)persoon een digitale geverifieerde identiteit beheren. De eigenaar van de digitale identiteit heeft deze identiteit zelf aangemaakt en de identiteit provider heeft deze gecontroleerd. Per attribuut kan aangegeven worden hoe zeker het is dat dit gegeven werkelijk bij de (rechts-)persoon hoort en daarmee juridisch mag handelen. De identiteit providers geven aanbieders informatie over de gebruiker en vervolgens kan per attribuut de betrouwbaarheid vastgesteld worden. Dit maakt het voor consumenten mogelijk zich in één keer bekend te maken en niet langer voor iedere aanbieder een apart proces van bekendmaking te doorlopen. Ook de overheid is al jaren met online identiteit bezig. Dit is voorwaardelijk voor de groei van e-overheidsdiensten die moeten leiden tot een meer efficiënte overheid, betere dienstverlening aan burgers en bedrijven en minder administratieve lasten. Bekende in de publieke sector te gebruiken online identiteiten zijn DigID (burgers) en eherkenning (bedrijven). Daarnaast is er PKIoverheid, niet zozeer een dienst, als wel een technische 2 van 11

3 standaard binnen een wettelijk Europees kader, die een zeer hoge betrouwbaarheid van een digitale identiteit kan garanderen en wordt aangeboden en gebruikt door diverse commerciële dienstverleners. Webwinkeliers pleiten voor hergebruik van e-id-oplossingen over verschillende sectoren heen (inclusief het B2B- en het publieke domein). Dit position paper beoogt meer duidelijkheid te verschaffen over het onderwerp digitale identiteit en beschouwd het onderwerp vanuit de positie van webwinkeliers. In de eerste hoofdstukken worden de voornaamste thema s voor webwinkeliers benoemd. Vervolgens worden Digitale Identiteit Service Providers geïntroduceerd en wordt verkent op welke manier deze kunnen bijdragen aan een betere online identificatie. Het paper eindigt met aanbevelingen voor stakeholders voor de verdere ontwikkeling van identiteitsdiensten. De zes aanbevelingen zijn: 1. Digitale identiteiten moeten ook elders bruikbaar zijn 2. Webwinkeliers willen één tussenpartij kunnen kiezen die alle gewenste identiteitsdiensten kan aanbieden 3. Webwinkeliers willen per identiteitverificatie een keuze uit attributen en betrouwbaarheden 4. Een faciliterende rol van de overheid voor vertrouwen in identiteitdiensten 5. Digitale identiteiten moeten toepasbaar zijn voor het mobiele betalingsverkeer 6. Heldere communicatie over identiteitsdiensten naar alle betrokken partijen 2. VISIE In dit position paper draait het om het woord digitale identiteit. Identiteit is een abstract begrip en het is niet moeilijk in een spraakverwarring terecht te komen. In het paper wordt onder digitale identiteit de verzameling van stukjes digitaal beschikbare informatie waar een fysiek bestaand (rechts-)persoon mee te identificeren is verstaan. Deze stukjes worden attributen genoemd. Het totaal van de attributen maakt een unieke identiteit. Het vaststellen van de identiteit (of in ieder geval van de relevante attributen) van kopers en verkopers wordt belangrijker op internet. Rond online identificatie zien wij een aantal thema s dat aan belang zal winnen: Gemak Gebruikers hebben er moeite mee dat ze voor iedere website waar ze een transactie willen doen, een account moeten aanmaken en zich moeten aanmelden. Zeker wanneer fysieke goederen worden besteld zullen ook adresgegevens moeten worden ingevoerd, waarbij fouten kunnen worden gemaakt. Dit kan eenvoudiger en dat is ook nodig. De toename in aantal smart phones versterkt deze behoefte omdat meer transacties vanaf een mobiel apparaat gedaan worden. Deze apparaten hebben doorgaans een minder handig toetsenbord. Het efficiënt kunnen invoeren van alle benodigde gegevens wordt een succesfactor. 3 van 11

4 Wettelijke bepalingen Er gelden wettelijke beperkingen als het gaat om de verkoop van bepaalde producten en diensten aan minderjarigen. Afhankelijk van het product of de dienst gelden andere leeftijdsgrenzen. Denk aan alcohol, tabak, gewelddadige films en games, seks artikelen, kansspelen, enz. Tot op heden wordt geaccepteerd dat webwinkels de leeftijd van hun klanten niet goed kunnen controleren, maar de politieke druk neemt toe om in de online wereld dezelfde regels te laten gelden als in de fysieke wereld (en terecht). Wettelijk is er maar één organisatie die personen een identiteitsbewijs mag verstrekken: de gemeente waar de persoon is ingeschreven. In Nederland is dit beperkt tot fysieke documenten zoals een paspoort en rijbewijs en het digitale DigiD. Deze laatste is puur voor C2G transacties. Er is behoefte aan een digitale tegenhanger van het identiteitsbewijs die buiten de publieke sector gebruikt mag worden. Betaling en levering Verschillende betaalvormen kennen een verschillend risico. Voor diensten waarbij vooruitbetaling niet mogelijk is (b.v. wanneer de klant op krediet besteld), is het noodzakelijk dat de webwinkelier de werkelijke identiteit van de koper weet zodat een eventueel uitblijvende betaling trefzeker opgevolgd kan worden. Voor adequate levering is zekerheid over een foutloos en correct adres vereist. Privacy en veiligheid Internetgebruikers moeten zelf kunnen kiezen waar en hoeveel van hun identiteit ze prijsgeven. Webwinkeliers hoeven niet altijd alles te weten over hun klanten en meestal hoeven identiteitsattributen niet 100% betrouwbaar te zijn. De webwinkelier vraagt welke gegevens hij nodig heeft en hoeveel zekerheid hij verlangt (al zijn er wettelijke voorschriften die mede een rol spelen) en aanvaardt het restrisico van de transactie. De klant geeft akkoord op de gegevens die gevraagd worden. Meer zekerheid gaat vaak ten koste van gebruiksvriendelijkheid en/of hogere kosten. Dit is een afweging voor de webwinkelier waarbij zijn Digitale Identiteit Service Provider de juiste informatie verzameld, controleert, bewaard en doorgeeft. Voor de klant kan het natuurlijk ook voordelen hebben wanneer hij of zij gekend wordt door de online onderneming. De online winkelstraat kijkt uit naar mogelijkheden waarbij klanten gemakkelijk en herkenbaar van winkel naar winkel kunnen struinen en het aanbod wordt aangepast aan persoonlijke voorkeuren. Cookies zijn een mogelijkheid, maar de klant geeft zelf aan of deze herkend wil worden. Webwinkeliers willen dit mogelijk beschikbaar maken. Doordat mensen op vele plaatsen een inlognaam en wachtwoord combinatie moeten kiezen, gebruiken behoorlijk wat mensen een beperkt aantal combinaties op vele plaatsen. Dit komt de veiligheid niet ten goede omdat een lek een kettingreactie in gang kan zetten. Hier moet iets aan gedaan worden zodat de gegevens van internetgebruikers veilig zijn. Globalisering Internet houdt niet op bij de landsgrens. Ook in grensoverschrijdende online transacties willen webwinkeliers weten met wie ze zaken doen. Het uitgeven van identiteiten is echter een nationale aangelegenheid. Dit zal ons inziens niet binnen tien jaar veranderen. In verschillende landen wordt al door de overheid 4 van 11

5 gewerkt met een online identiteit die (ook) geschikt is voor B2C transacties. De EU wil geen Europese ID uitgeven maar elk land verplichten elkaars publieke ID te accepteren. Per 2012 heeft de EU in concept richtlijnen vastgelegd dat alle lidstaten verplicht worden alle nationale digitale identiteiten van lidstaten te accepteren als deze in Brussel zijn aangemeld. In sommige landen zijn deze ID s al bruikbaar in private transacties. Voor internationaal verkopende webwinkels ontstaat de behoefte om gebruik te kunnen maken van de verschillende systemen in de verschillende landen zonder dit voor elk land zelf te moeten uitzoeken. Het aantal systemen is erg groot en zal naar verwachting de komende jaren in aantal toenemen omdat er naast de nationale publieke digitale identiteiten vele private initiatieven zullen zijn. 3. GEWENST: DIGITALE IDENTITEIT SERVICE PROVIDERS Digitale Identiteit Service Providers (DISP) zijn bedrijven die in opdracht van webwinkeliers als tussenpersoon fungeren. Zij faciliteren de uitwisseling van de voor de internettransactie relevante identiteitsattributen van de beide partijen. Identiteitsdiensten ontwikkelen allerlei functies om te kunnen omgaan met de genoemde ontwikkelingen en daarmee waarde toevoegen voor de koper of de webwinkelier. Hieronder worden enkele voorbeelden beschreven van de gewenste diensten. Sommige hiervan worden al aangeboden, andere nog niet, maar zouden nadrukkelijk toevoegde waarde kunnen leveren. 3.1 Inloggen met bestaande profielen Kopers kunnen eigen online profielen (zoals NAW) hergebruiken door bij webwinkels in te loggen met hun inloggegevens van andere sites. Denk hierbij aan het hergebruik van inloggegevens van bijvoorbeeld social networks (Facebook, Hyves, LinkedIn, Twitter, enz.), OpenID, Google, enz. Voor de koper betekent dit gebruiksgemak, want hij kan zijn persoonsgegevens (en meer) gemakkelijk doorzenden naar de webwinkel. De inloggegevens blijven in beheer bij de identiteitsbeheerder. Voor de webwinkelier betekent dit een drempelverlaging en minder invoerfouten. Ook is de kans dat b.v. een adres klopt groter wanneer dit uit een meer gebruikte identiteit voortkomt dan wanneer de koper dit eenmalig op de site van de webwinkelier invult. Van de gegevens die de webwinkel ontvangt van de identiteit provider is het adres geverifieerd, maar de rest vaak niet. Het zijn gegevens die door de gebruiker zelf zijn ingevoerd. Daarom werd er tot voor kort gewerkt aan OpenID+ ( plus ), een Nederlandse toevoeging aan OpenID om over en weer meer vertrouwen te geven over het beheer en gebruik van de gegevens. Deze ontwikkelingen passen bij de internationale industrietrend van customer centricity: de klant aan de knoppen. De klant beheert zijn eigen profiel en bepaalt zelf welk bedrijf zijn gegevens te zien krijgt, bijvoorbeeld voor marketingdoeleinden. De grote vlucht van sociale netwerken, die bijvoorbeeld voorkeuren vastleggen, maakt het voor veel internetgebruikers aantrekkelijk hun gegevens te hergebruiken. Hiervoor geldt echter het idee de klant aan de knoppen minder, omdat het business model veelal is gebaseerd op advertentie-inkomsten. Kennis van de profielen en wie waar winkelt heeft 5 van 11

6 waarde voor de eigenaar van het sociale netwerk (bijvoorbeeld Hyves en Facebook). En dat vormt een afbreukrisico voor een breder gebruik. Om de incomplete gegevens aan te vullen en waar gevraagd is een aanvullende dienstverlener nodig. Dit is de Digitale Identiteit Service Provider die de webwinkels zoeken. 3.2 Makkelijker ontsluiten van het mobiele kanaal Deze toepassing ligt in het verlengde van het inloggen met bestaande profielen ( 3.1). Via identiteitsdiensten en het gebruik van de daarbij geregistreerde gegevens kan de gebruikservaring voor mobile commerce sterk verbeteren omdat de koper minder gegevens hoeft in te vullen op een klein scherm. Gezien het grote belang van het mobiele kanaal wordt dit hier apart benoemd. De bekende app stores van o.a. Google, Apple en Blackberry doen dit al voor de smart phones, alleen is dit meestal beperkt tot downloads en de eigen site. Voor fysieke goederen zien we PayPal dat naast betaalgegevens ook persoonsgegevens met de webwinkel kan uitwisselen (easy check out). Het bereik is beperkt doordat PayPal bij de meer professionele webwinkels zelden wordt gebruikt. Diverse PSP s, banken en creditcardmaatschappijen zijn bezig met oplossingen voor betalen van online opdrachten met mobiele internet devices. Wat over blijft is de behoefte om gemakkelijk te kunnen inloggen en de gevraagde gegevens voor de afhandeling van de order te kunnen invoeren. 3.3 Voorkomen en opsporen van fraude Dit speelt in situaties waarbij er niet vooraf wordt betaald, er gedeeltelijk wordt betaald of de betaling teruggedraaid kan worden. Denk hierbij aan het aangaan van een levering die in meerdere keren plaats vindt, een doorlopend contract of wanneer de koper via een factuur na levering wil betalen. Ook het gebruik van machtigingen, creditcards en PayPal bij betaling vooraf kan leiden tot betaalfraude omdat kopers transacties kunnen terugdraaien ( charge back ). Voor diensten waarbij vooruitbetaling niet mogelijk is (b.v. wanneer de klant op krediet besteld), is het noodzakelijk dat de webwinkelier de werkelijke identiteit van de koper weet zodat een eventueel uitblijvende betaling trefzeker opgevolgd kan worden. Digitale handtekeningen vormen een categorie van diensten die technisch en juridisch al ver is ontwikkeld, maar commercieel nog niet veel worden ingezet om de veiligheid voor kopers en webwinkeliers te vergroten. Met een digitale handtekening kan een koper een wettelijk geldige machtiging digitaal afgeven. Dit onderwerp is relevant voor de zogenaamde e-mandate, een product dat een rechtsgeldig alternatief kan vormen voor de huidige eenmalige online machtiging. Tot op heden is er geen oplossing voor de hoge drempel voor consumenten om een rechtsgeldige digitale handtekening te verkrijgen. Webwinkelier zouden geholpen zijn wanneer identiteit providers hier oplossingen voor zouden ontwikkelen. 3.4 Voldoen aan (wettelijke) eisen Voor sommige producten en diensten is er een wettelijk bepaalde leeftijdsgrens. Bij het bestellen van bijvoorbeeld alcoholische drank wordt de koper gevraagd of deze 16 jaar of ouder is. DISP kunnen helpen door deze eisen voor webwinkeliers te controleren. En het verzamelde bewijs dat de klant de gewenste minimale leeftijd heeft bewaren, want de 6 van 11

7 wet kent een bewaartermijn. De webwinkeliers dragen de verantwoordelijkheid voor deze controle juridisch over aan de DISP en de DISP houdt het bewijs in beheer zolang dit verplicht is voor de webwinkel. In het kader van privacy wetgeving ziet Thuiswinkel.org een model met een beperkt aantal gecertificeerde DISP die een ingevoerde digitale identiteit bij het GBA kunnen toetsen. Deze DISP staan onder streng toezicht en moeten bijhouden wat ze delen. Het moet aantoonbaar veilig zijn, want vertrouwen van de markt in oplossingen is cruciaal voor deze sector. De noodzaak om de leeftijd te weten hoeft zich niet tot de wettelijke eisen te beperken. Ook kunnen verkopers op afstand uit eigen keuze leeftijdseisen stellen (bijvoorbeeld autoverhuurders of luchtvaartmaatschappijen). 3.5 Loyalty en marketing Het gebruik van loyalty op internet is nog altijd zeer beperkt. Doordat een consument kan inloggen met een loyalty identiteit is het mogelijk om extra korting te bieden of punten te sparen. Wanneer het voor een klant laagdrempeliger wordt om zich bekend te maken via een identiteit provider (naar voorkeur van de klant) wordt het ook voor meer webwinkels mogelijk hun dienstverlening op de kenmerken van de klant toe te spitsen. 3.6 Integratie met de betalingsdienstverlening Enkele identiteit providers verbreden de service door betalen toe te voegen en zo ook betaalpartijen te zijn. Deze combinatie is in opkomst met partijen als PayPal, Google Wallet en Hyves Afrekenen. Door in te loggen is het mogelijk om de betaalervaring nog beter te stroomlijnen, door bijvoorbeeld door de gebruiker vastgelegde adresgegevens aan de webwinkel door te geven. Zeker het mobiele kanaal profiteert van deze gestroomlijnde gebruikservaring. Ondanks dat dit soort diensten al jaren bestaan, lijkt een snelle doorbraak niet waarschijnlijk. Want hoewel het dicht komt bij wat webwinkeliers wensen, is het vooralsnog onvoldoende omdat niet alle partijen deze dienstverlening accepteren. Van de genoemde partijen is PayPal wereldwijd het meest geaccepteerd. 4. DIVERSITEIT BLIJFT HET MARKTBEELD Uit de vorige paragraaf blijkt dat er voor webwinkeliers en consumenten veel is te winnen bij goede identiteitsdiensten. De belangrijkste argumenten hiervoor zijn gebruiksvriendelijkheid (juist voor het mobiele kanaal), fraudepreventie en opsporing en het voldoen aan wettelijke vereisten. Voor de genoemde toepassingen bestaan er talloze (gedeeltelijke) oplossingen van diverse (markt-)partijen en nationale overheden. Dit is een goede zaak, omdat klanten een keuze kunnen maken voor welke dienstverlener ze kiezen voor het beheren van hun (online) identiteit en het niveau van dienstverlening verschillend is. Een probleem is dat het bereik van elke identiteit provider te gering is. Gebruikers van identiteit providers zoals OpenID en social networks kunnen nog lang niet overal terecht met hun identiteit, waardoor de waarde van het hergebruiken van een identiteit nog gering is. Andersom is het voor webwinkeliers onmogelijk om een aansluiting te realiseren op de nu al honderden identiteit providers in de wereld. 7 van 11

8 Voor een jonge markt leidt dit tot stagnatie. Wil de markt voor identiteitsdiensten verder op gang komen dan zal het voor webwinkeliers eenvoudiger gemaakt moeten worden om met verschillende identiteit providers zaken te doen. Dit kan alleen wanneer DISP de webwinkeliers helpen door als tussenpersoon te fungeren en voor hen alle koppelingen te realiseren. De klant heeft dan de beste keuze en de webwinkel het gemak en de gewenste kwaliteit. Op internationaal niveau is het geschetste beeld voor klanten en aanbieders vergelijkbaar. Wel zijn er verschillen in de ontwikkeling van de markt. Globaal kan worden gezegd dat in Noord Europa (Zweden, Finland, Noorwegen, Denemarken, Estland) de ontwikkelingen verder zijn. Daar is hergebruik van middelen (o.a. bankpassen) bij diverse webdiensten en overheidsdiensten ingevoerd. In Denemarken en Estland geeft de overheid één pas uit, die voor zowel overheid als bedrijfsleven (o.a. banken) kan worden ingezet. Dit is ook het geval in België, hoewel de pas daar minder geschikt is voor online gebruik omdat een aparte kaartlezer nodig is, gekoppeld aan de PC. Zeker bij het groeiende mobiel gebruik, een traject dat nu al achterhaald is door ontwikkelingen. 5. WAT VERWACHTEN WEBWINKELIERS VAN DIGITALE IDENTITEIT SERVICE PROVIDERS Webwinkeliers identificeren concrete behoeften die door Digitale Identiteit Service Providers kunnen worden ingevuld, te weten: Hergebruik van online identiteit om de wildgroei aan gebruikersnaamwachtwoordcombinatie te stuiten; Geverifieerde aflevergegevens om het afleverproces van fysieke goederen te vergemakkelijken; Gemakkelijke herkenning van terugkerende klanten, wanneer de klant hier toestemming voor geeft; De DISP is verplicht klanten inzage te geven in welke gegevens ze heeft ontvangen en heeft doorgegeven; Geverifieerde gegevens waarmee juridisch opgetreden kan worden in geval van misbruik; Een separate mogelijkheid voor leeftijdsverificatie voor de verkoop van goederen waaraan een leeftijdsgrens verbonden is; en Veilig voor de gebruiker: geen harvesting van sociale profielen als een klant via een social network inlogd. 6. ZES AANBEVELINGEN AAN MARKT EN OVERHEID Op basis van het bovenstaande komt Thuiswinkel.org tot een zestal aanbevelingen aan zowel overheid als marktpartijen. 6.1 Digitale Identiteiten moeten ook elders bruikbaar zijn 8 van 11

9 Webwinkeliers streven naar hergebruik van online identiteiten. Dit verlaagt de drempel en vergroot de kans van acceptatie bij zowel kopers als verkopers. Investeringen door marktpartijen kunnen zo worden gedeeld, waardoor de maatschappelijke voordelen worden gemaximaliseerd. Ook wordt het gebruiksgemak voor de gebruiker vergroot als hij zich op meer plaatsen op dezelfde wijze kan identificeren. In onderstaande figuur is een hybride inlogscherm te zien: de gebruiker kan inloggen met een speciaal aangemaakte username/wachtwoordcombinatie of via een bestaand account van één van de social networks. 6.2 Webwinkels willen één tussenpartij kunnen kiezen die alle gewenste identiteitsdiensten kan aanbieden Om identiteitsdiensten te kunnen afnemen willen webwinkeliers kunnen kiezen uit enkele aanbieders die toegang bieden. Webwinkeliers willen en kunnen niet met alle bestaande identiteit providers contracten afsluiten. Daarnaast willen webwinkeliers een technologie neutrale propositie, dus niet zelf een oordeel hoeven te vormen welke techniek het beste is (of welke voldoet aan de wettelijke eisen), gezien de snelle ontwikkelingen in dit veld. Ofwel, een inclusieve benadering, waarbij geen identiteitsdiensten à priori worden uitgesloten, ook niet over de grens. Oplossingen van DISP moeten positief bijdragen door het vergroten van het gebruiksgemak en vertrouwen door aantoonbare veiligheid. Het werken met oplossingen die de klant herkent verdient dan ook de voorkeur. In essentie is dit vergelijkbaar met hoe nu het betalingsverkeer is geregeld. Via één contract met een dienstverlener kan een webwinkelier ideal, credit cards, incasso s en andere betaalmethoden afnemen en daarmee betalingen ontvangen van klanten ongeacht de bank van die klant. 6.3 Webwinkeliers willen per identiteitverificatie een keuze uit attributen en betrouwbaarheden 9 van 11

10 Webwinkeliers willen doorgaans maar een deel van een digitale identiteit verifiëren. Er moet onderscheid zijn naar betrouwbaarheidsniveau van de dienst, waarbij hogere betrouwbaarheden meer waarde vertegenwoordigen en dus hogere prijzen rechtvaardigen. Wil een webwinkelier enkel de leeftijd verifiëren, dan moet enkel dat attribuut in rekening worden gebracht. Een identiteit met attributen die zijn gecontroleerd bij het GBA is meer waard dan een identiteit waarbij alleen de gebruiker zijn gegevens invult en er geen verdere controle plaats vindt (zoals bij een Google account). Ook voor de veiligheid is het belangrijk dat een keuze gemaakt kan worden in attributen. Wanneer bijvoorbeeld enkel leeftijdverificatie nodig is moet het niet gebeuren dat bestanden worden gecreëerd met gevoelige informatie die bij die transactie niet noodzakelijk zijn. Ten aanzien van het betrouwbaarheidsniveau van attributen is een officieel akkoord gewenst van de overheid naar de DISP voor de verificatie van attributen. Hier ligt een rol voor de overheid omdat die als enige mensen een identiteit mag verstekken (zie 6.4) en toezicht kan houden op de DISP. Andersom geldt ook voor gebruikers dat ze zelf willen kiezen welke attributen worden vrijgegeven aan welke online diensten. Dit geeft hen controle over hun eigen privacy. 6.4 Een faciliterende rol van de overheid voor vertrouwen in identiteitdiensten Webwinkeliers verwachten een aanjagende en faciliterende rol van de overheid. Vertrouwen is een cruciale grondstof voor identiteitsdiensten. Een actieve rol van de overheid versterkt dit vertrouwen. In real life is de overheid verantwoordelijk voor het verstrekken van persoonsdocumenten. Online ligt hier ook een rol. In ieder geval is de wens zonder fysieke token. Want, elke fysieke token is een systeem met een lange aan- en uitlooptijd en daardoor inflexibel om (toekomstige) ontwikkelingen te volgen. Een fout in de hardware zal betekenen dat de token vervangen moet worden wat erg kostbaar is. Daarentegen is aanpassen van software op de eigen server zeer spoedig te realiseren. Er zijn weinig systemen die tien jaar geleden 100% veilig waren en dat nu nog steeds zijn. Dus, gewenst zijn oplossingen die flexibeler zijn met een mogelijkheid tot snelle aanpassing. 6.5 Digitale identiteiten moeten toepasbaar zijn voor het mobiele betalingsverkeer De toename van aantal smart phones versterkt de behoefte aan identiteitsdiensten omdat meer transacties vanaf een mobiel apparaat gedaan worden. Deze apparaten hebben doorgaans een minder handig toetsenbord. De behoefte is om gemakkelijk te kunnen inloggen en de gevraagde gegevens voor de afhandeling van de order te kunnen invoeren en de mobiele transactie te bespoedigen. De identiteitdienst beheert eerder ingevoerde inloggegevens, waardoor kopers minder gegevens hoeven in te vullen op een klein scherm. De gebruikservaring voor mobile commerce wordt sterk verbeterd en zijn efficiënte identiteitdiensten een voorwaarde voor een snelle start van het mobiele betalingsverkeer. 6.6 Heldere communicatie over identiteitdiensten naar alle betrokken partijen Bij de introductie van identiteitsdiensten dient bijzondere aandacht te zijn voor de communicatie naar alle betrokken partijen. Omdat het gaat om abstracte diensten, is het voor vertrouwen en een snelle adoptie belangrijk dat de voordelen voor de gebruiker op 10 van 11

11 een begrijpelijke manier gepresenteerd worden aan de burger zelf en aan de andere partijen die in contact staan met de gebruikers van identiteitdiensten. Hier ligt een taak voor de overheid en alle stakeholders gezamenlijk. 7. TOT SLOT Op basis van deze analyse en aanbevelingen wil Thuiswinkel in actieve dialoog zijn met overheid en bedrijven om identiteitsdiensten in Nederland naar een leidend niveau te brengen. Het vraagstuk van leeftijdsverificatie leent zich om verschillende redenen goed voor een pilot met een DISP. Deze DISP biedt in de pilot leeftijdverificatie aan doordat bij de identiteitdiensten met een social network ingelogd kan worden waarmee de geboortedatum voor de leeftijd check bekend wordt. Thuiswinkel.org roept partijen op tot voorstellen om identiteitsdiensten voor webwinkeliers verder te brengen, langs de in dit position paper geschetste lijnen van 11