De beer, en wat hij eigenlijk wil
Er is een angst die steeds terugkomt wanneer je praat over een systeem dat anoniem inloggen mogelijk maakt. Die angst voelt groot, als een beer met tanden. De beer heet: misbruik door overheden.
Want wanneer iets groot, machtig en ondoorzichtig voelt, kijken we automatisch naar de tanden. Naar wat het ons zou kunnen aandoen.
Maar tanden vertellen niet altijd het hele verhaal. Een beer valt niet zomaar aan. Een beer bewaakt zijn territorium. Niet uit kwaadwillendheid, maar omdat hij wil begrijpen wat daar gebeurt.
Dat geldt ook voor systemen. En voor mensen. Boosheid lijkt vaak op aanval, terwijl eronder iets anders zit: grensoverschrijding, onbegrip, verlies van controle, verstoring van rust.
Dus de vraag is niet:
hoe beschermen we ons tegen de beer?
De echte vraag is:
wat probeert de beer te beschermen?
Wat de beer eigenlijk wil
Overheden willen uiteindelijk niet alles zien. Wat ze willen, is zekerheid dat de spelregels blijven werken. Dat systemen niet buiten elke vorm van toezicht opereren. Dat er, als het echt misgaat, een laatste veiligheidsklep bestaat.
Niet omdat de beer wil aanvallen, maar omdat hij verantwoordelijk is voor wat er op zijn territorium gebeurt.
Is PrismPass een systeem dat zich aan staatstoezicht onttrekt? Of is het een systeem dat staatstoezicht architectureel inbouwt, precies op het moment dat het echt telt?
Het antwoord is het tweede. PrismPass heeft een vierde hoek, een versleuteld anker bij een onafhankelijke instantie, alleen te openen bij rechterlijk bevel. De rechtsstaat is geen bedreiging voor PrismPass. Hij zit er al in.
De vierde hoek, de overheid als veiligheidsklep
De buitenste driehoek van PrismPass bestaat uit drie punten: biometrie, apparaat, wearable. Samen genereren ze een eenmalige sleutel die direct na gebruik verdwijnt. De server ziet niets. De server weet niets.
Maar dan is er de vierde hoek. Een versleuteld anker, een cryptografisch spoor dat alleen bestaat als het nodig is, en alleen leesbaar wordt bij een rechterlijk bevel aan een onafhankelijke bewaarder.
De server ziet alleen: geldig of ongeldig. De vierde hoek ziet alleen: wat de rechter toestaat.
Dit is niet privacy tegen de overheid. Dit is privacy binnen de overheid. De rechtsstaat bepaalt wanneer anonimiteit ophoudt. Niet het systeem, niet de gebruiker, niet het bedrijf maar de rechter.
Dat is precies hoe het hoort te werken in een democratie.
Wie er écht inbreuk maakt op het territorium
Nu de omkering die pijn doet, maar waar is.
Het huidige systeem, centrale databases, wachtwoorden, gekoppelde logingeschiedenissen, is niet veiliger voor de overheid. Het is gevaarlijker. Voor iedereen.
Persoonsdata van miljoenen burgers ligt opgeslagen bij duizenden bedrijven. Elk bedrijf is een aanvalspunt. Elk datalek is een inbreuk op het territorium van de burger en indirect op dat van de staat die hem moet beschermen.
Odido: 6,2 miljoen klanten. ChipSoft: patiëntdossiers. Gemeente Epe: betalingsgegevens. De staat kon ze niet beschermen. Niet omdat hij niet wilde maar omdat het systeem lekken mogelijk maakt.
Er is niets te stelen. Geen centrale database. Geen wachtwoorden. Geen logingeschiedenis. De aanvaller vindt verlopen tokens, mathematisch waardeloos.
De overheid hoeft zijn inwoners niet te beschermen na een lek. Er is niets dat gelekt kan worden. Dat is geen belofte, het is een architectuurbeslissing.
PrismPass is niet het hek dat de overheid buitensluit. Het is het hek dat het territorium veiliger maakt. Voor de burger. En daarmee voor de staat die hem vertegenwoordigt.
De sterke staat durft los te laten
Er is een misverstand over wat staatsmacht betekent. Een zwakke staat controleert alles, omdat hij bang is de controle te verliezen. Hij houdt vast, registreert, koppelt, bewaart. Niet uit kwade wil, maar uit angst.
Een sterke staat durft los te laten. Omdat hij vertrouwen heeft in zijn inwoners. En omdat hij weet dat zijn gezag niet afhangt van wat hij weet over mensen, maar van de spelregels die hij stelt en handhaaft.
Nederland heeft die traditie. Het poldermodel is gebouwd op vertrouwen, niet op controle. De Autoriteit Persoonsgegevens handhaaft, maar geeft ook ruimte. DigiD bestaat omdat de overheid besloot digitale identiteit aan burgers te geven, niet af te nemen.
PrismPass past in die traditie. Het vraagt de overheid niet minder te zijn. Het vraagt hem meer te vertrouwen.
De overheid heeft dit al besloten
Dit is geen theorie. De Europese Unie heeft in mei 2024 eIDAS 2.0 van kracht laten worden. Dat is een wet die zegt:
"Data hoort bij de burger. Minimale data. Opgeslagen bij de gebruiker. Selectieve onthulling. Geen centrale opslag. Alle 27 lidstaten bieden voor eind 2026 een gecertificeerde digitale identiteitsoplossing aan."
Dat is de EU die zegt: het huidige systeem deugt niet. Burgers verdienen controle over hun eigen data. En de overheid is de garantie dat dat ook zo blijft.
PrismPass is niet een systeem dat vraagt om toestemming van de overheid. Het is de technische uitvoering van wat de overheid al als politieke wil heeft uitgesproken.
De beer staat niet tegenover PrismPass. De beer heeft al ja gezegd, in de vorm van een Europese verordening met een juridisch afdwingbare deadline. PrismPass staat op zijn territorium omdat hij er thuis hoort.
Wat we de beer eigenlijk vragen
We vragen de overheid niet om controle op te geven. We vragen hem om te erkennen dat zijn inwoners die controle al hebben en dat dat goed is.
We vragen hem niet om PrismPass te bouwen. We vragen hem om te verklaren dat een systeem dat structureel niets opslaat, voldoet aan de wet die hij zelf heeft opgesteld.
En we vragen hem om te zien wat hij eigenlijk verdedigt: niet zijn eigen macht, maar het vertrouwen van de mensen die hem dat vertrouwen gegeven hebben.
Dat is geen kleine vraag. Maar het is wel de juiste.
PrismPass — I. Smid-Woelders, Zwolle, april 2026