Beveiliging en privacy

Voor toelating beoordelen we de organisatie, haar rol als uitgever of verifiërende partij en de attributen die zij wil verwerken. Daarbij kijken we naar interne beheersing, privacyverantwoordelijkheid en de aansluiting tussen de gegevensvraag en het doel van de dienst.

Bij gevoelige gegevens, zoals het BSN, beoordelen we de bevoegdheid om die te verwerken. Klanten worden jaarlijks opnieuw beoordeeld. Die beoordeling neemt hun eigen wettelijke verantwoordelijkheid niet over.

Een wallet doorloopt een beoordeling voordat deze wordt geïntegreerd in onze productieomgeving. We onderzoeken cryptografie, interoperabiliteit, het ecosysteem, de beschikbare attributen en het bedrijfsmodel.

Ook zeggenschap over gegevens en dataminimalisatie maken deel uit van de beoordeling. Wallets worden jaarlijks opnieuw beoordeeld. Een vermelding in een walletdirectory is op zichzelf geen bewijs van toelating.

Onze interne Data Protection Impact Assessment is in 2024 afgerond en wordt jaarlijks herzien. Ook wezenlijke veranderingen in verwerking, systemen of privacyrisico’s zijn aanleiding voor herbeoordeling.

De DPIA ondersteunt onze beoordeling van privacyrisico’s. Klanten bepalen voor hun eigen verwerking of een DPIA nodig is. Het interne rapport is geen openbaar certificaat.