Onlangs heeft het Spaanse Agentschap voor Gegevensbescherming (AEPD) een sanctiebesluit uitgevaardigd tegen de regionale overheid van Castilla-La Mancha (exp. EXP202406805), waarmee een terugkerend probleem opnieuw onder de aandacht wordt gebracht: Is het correct dat de identiteitskaart van ambtenaren wordt weergegeven in elektronische handtekeningen en ondertekende documenten?
Hieronder leggen we de juridische kern en de praktische gevolgen van deze resolutie uit, evenals de huidige situatie van digitale certificaten zoals T-CAT.
Wat heeft de AEPD opgelost?
De resolutie analyseert of het in overeenstemming is met de AVG dat in elektronisch ondertekende documenten van ambtenaren gegevens zoals de naam, achternaam en ID van de ondertekenaar, toegankelijk voor derden.
Volgens de AEPD:
- De DNI is een stukje data. grote gevoeligheidomdat het een persoon direct en ondubbelzinnig identificeerbaar maakt en hoge risico's met zich meebrengt, zoals identiteitsdiefstal.
- De opname ervan in handtekeningen of zichtbare tekens kan een overmatige gegevensverwerking.
Ze worden mogelijk geschonden:
- el principe van gegevensminimalisatie (art. 5.1.c AVG)
- en het begin van Gegevensbescherming door ontwerp en standaardinstellingen (artikel 25 AVG)
Om deze reden concludeert de AEPD dat het noodzakelijk zou zijn Vermijd het opnemen van het DNI-nummer in de zichtbare informatie van ondertekende documenten.waarbij gekozen wordt voor minder ingrijpende identificatiemechanismen.
Het is geen nieuw debat.
De AEPD had zich in rapport 0088/2020 al in dezelfde bewoordingen uitgesproken, waarin het volgende werd gesteld:
- De DNI Het is geen gegeven dat in bestuursbesluiten hoeft te worden opgenomen..
- Het mag niet voorkomen in de elektronische handtekening of in de certificaten.
Het zou nodig zijn de regelgeving aan te passen en alternatieven te bevorderen, zoals:
- professionele identificatoren
- functie- of eenheidsinformatie
- of zelfs pseudoniemen in sommige gevallen
Met andere woorden, de AEPD zelf wijst erop dat de oplossing ligt in een wettelijke wijziging van het digitale certificeringssysteem.
Wat is er in dit specifieke geval gebeurd?
In het geval van Castilla-La Mancha constateert de AEPD een overtreding, maar legt geen sanctie op (aangezien het een overheidsinstantie is).
In plaats daarvan is het volgende vereist:
- verwijder de identiteitskaart uit de Eigenschappen die zichtbaar zijn bij het verifiëren van documenten
- Systemen aanpassen om te voldoen aan het minimalisatieprincipe
- Accrediteer de genomen maatregelen binnen een periode van 6 maanden.
Wat is het onderliggende probleem?
Het belangrijkste punt is dit: Er bestaat een conflict tussen de regelgeving inzake gegevensbescherming en de regelgeving inzake digitale certificering..
- Wet 6/2020 van 11 november 2020, die bepaalde aspecten van elektronische vertrouwensdiensten regelt, verplicht aanbieders van vertrouwensdiensten om het DNI (Directoraat-Generaal Identiteitsnummer) in digitale certificaten op te nemen.
- Daarnaast vereisen de certificaatprofielen van de Algemene Staatsadministratie dat het DNI (identiteitsnummer) in verschillende velden van het certificaat wordt vermeld (zoals: Algemene naam)
- Deze gegevens vormen een structureel onderdeel van het certificaat en zijn noodzakelijk voor de werking ervan. validatie en interoperabiliteit
Om deze reden geven kredietverstrekkers de voorkeur aan de AOC. Kan niet eenzijdig worden gewijzigd. de inhoud van de certificaten zonder de geldende regelgeving te schenden. De AEPD erkent zelf dat de oplossing een wetswijziging, en niet een technische beslissing van de kredietverstrekkers.
En hoe zit het met de certificaten met een pseudoniem?
Hoewel de regelgeving voorziet in certificaten met professionele identificatiegegevens of pseudoniemen, zijn deze:
- kan alleen worden uitgegeven in zeer specifieke gevallen (openbare veiligheid, vertrouwelijke informatie, enz.)
- zijn niet algemeen van toepassing op alle ambtenaren.
Welke praktische oplossingen staan overheidsinstanties ter beschikking?
Totdat de regelgeving wordt aangepast, kunnen overheden maatregelen nemen om de zichtbaarheid van de identiteitskaart verminderen:
1. Toon het identiteitsbewijs niet in de handtekeningafbeelding.
Met handtekeningprogramma's kunt u configureren welke gegevens worden weergegeven. Dit verwijdert de ID niet van het certificaat.maar voorkomt dat het zichtbaar in het document verschijnt. Zie hoe vermijd de ID van de handtekeningafbeelding
2. Genereer authentieke elektronische kopieën
Ze staan het volgende toe:
- Verberg de ID in zowel de afbeeldings- als de zichtbare eigenschappen.
- vervang het door minimale ondertekeningsgegevens
Deze kopieën zijn rechtsgeldig indien ze vergezeld gaan van het zegel van de organisatie. Zie hoe een genereren còpia authentiek en verberg de ID in de afbeelding en zichtbare eigenschappen:
3. Gebruik andere mechanismen
Denk bijvoorbeeld aan elektronische zegels en beveiligde verificatiecodes (CSV).
Conclusies
- De AEPD is van mening dat het vermelden van de DNI in ondertekende documenten mogelijk in strijd is met de AVG.
- Huidige certificeringsvoorschriften vereist dat het wordt opgenomenwaardoor een conflict in de regelgeving ontstaat.
- Betrouwbare dienstverleners zoals AOC Ze kunnen de DNI niet van certificaten verwijderen..
- De definitieve oplossing is via een hervorming van de regelgeving op staats- en Europees niveau.
- Ondertussen moeten overheden maatregelen nemen om minimalisering in datavisualisatie en toegang.
