Gegevens delen in het Nederlandse onderwijs met het ECK iD¶
Bijna elke leerling in het primair onderwijs (PO), voortgezet onderwijs (VO) en middelbaar beroepsonderwijs (MBO) heeft een identifier die scholen, uitgevers, distributeurs en leerplatformen gebruiken in plaats van een naam of burgerservicenummer (BSN). Dat is het ECK iD: een pseudoniem van het BSN, gemaakt door een centrale dienst die de Nummervoorziening heet. Het bestaat zodat scholen en hun leveranciers betrouwbaar gegevens over een leerling kunnen uitwisselen zonder het BSN rond te sturen. Deze post legt uit waarom we het ECK iD hebben, hoe het tot stand komt, wie erbij betrokken zijn, en wat het wel en niet beschermt.
Het probleem¶
In de onderwijsketen verwerken veel verschillende partijen gegevens over leerlingen. Scholen kopen leermiddelen bij uitgevers, meestal via een distributeur, en leerlingen werken daarmee op een of ander platform, waar ze inloggen via een inlogdienst. Al die partijen moeten weten dat de leerling voor wie de school een licentie bestelt, de leerling die inlogt en de leerling van wie de toetsresultaten terugkomen dezelfde persoon zijn. Vóór het ECK iD kon dat alleen door gegevens als naam, geboortedatum, klas, e-mailadres of een ander systeem-ID mee te sturen. Matchen op zulke gegevens kan onbetrouwbaar zijn of misgaan (een leerling kan bijvoorbeeld meerdere e-mailadressen hebben) en het breekt zodra een leerling van klas, school of systeem wisselt. Het BSN gebruiken is geen optie, want de wet staat scholen niet toe het daarvoor te gebruiken.
Eind 2014 kwam via nieuwsberichten breed onder de aandacht dat vrijwel alle basisscholen persoonsgegevens van leerlingen doorgaven aan Basispoort, een gedeelde inlogserver van een stichting van de grote educatieve uitgevers, die deze gegevens konden koppelen aan de resultaten van leerlingen in hun leeromgevingen. Rond diezelfde tijd bleek in die server een lek te zitten dat al weken bekend was voordat het werd gedicht, en in die periode konden inloggegevens van leerlingen onderschept worden, althans bij leerlingen met een verouderde browser. Eerder dat jaar had de nulmeting van PwC over privacy en beveiliging in het PO en VO, in opdracht van het ministerie, al geconcludeerd dat scholen veel meer leerlinggegevens verzamelden dan ze konden verantwoorden en weinig grip hadden op wat hun leveranciers ermee deden. Kamervragen leidden tot een debat begin 2015, en daaruit volgde dat de keten moest stoppen met het rondsturen van identificerende gegevens, en dat een gedeeld pseudoniem daarvoor in de plaats moest komen.
De eis werd dus: geef elke partij in de keten een stabiele identifier voor de leerling die niet het BSN is en niet verraadt wie de leerling is, terwijl die partijen het er wel over eens kunnen zijn dat ze het over dezelfde leerling hebben.
Het ECK iD is het antwoord waar de sector op is uitgekomen. Inmiddels is het breed ingevoerd in het PO en VO, minder in het MBO (en helemaal niet in het hoger onderwijs), volgens de wetsevaluatie uit 2024 van KBA Nijmegen in opdracht van het ministerie. De VO-leermiddelenketen sprak af vanaf schooljaar 2022/23 alleen nog het ECK iD te gebruiken, en het afsprakenstelsel van de sector, Edu-V, gebruikt het als de primaire identifier van de leerling.
Hoe het werkt¶
De wettelijke grondslag¶
Het ECK iD wordt afgeleid van het persoonsgebonden nummer (PGN) van de leerling, het nummer waaronder een onderwijsdeelnemer bekend is in de landelijke onderwijsadministratie, het Register Onderwijsdeelnemers (ROD). In de praktijk is het PGN het BSN. Heeft een leerling geen BSN, bijvoorbeeld een kind dat net als asielzoeker is aangekomen of een Belgisch kind op een Nederlandse school, dan geeft de Dienst Uitvoering Onderwijs (DUO) een tijdelijk onderwijsnummer uit en wordt dat het PGN.
Scholen mochten het PGN niet gebruiken om mee te communiceren met de rest van de onderwijsketen; de onderwijswetten beperken waarvoor het gebruikt mag worden. Dat veranderde op 1 februari 2018, toen de Wet pseudonimiseren van het persoonsgebonden nummer van een onderwijsdeelnemer (Kamerstukken 34741) in werking trad: een school mag het PGN sindsdien "eenmalig" gebruiken om er een pseudoniem mee te maken, en dat werd in de praktijk het ECK iD. Eenmalig betekent dat het PGN één keer wordt omgezet, en dat elke verdere identifier wordt afgeleid uit het resulterende pseudoniem, nooit meer uit het PGN. (Inschrijvingen doorgeven aan het ROD gebeurt op een eigen wettelijke grondslag.) De uitvoeringsregeling noemt de sectoren waarvoor pseudoniemen gemaakt mogen worden. Het ECK iD gebruiken is niet verplicht. De sector heeft de invoering zelf georganiseerd, met Edu-K, tegenwoordig Edu-V, een publiek-privaat programma mede mogelijk gemaakt door het Nationaal Groeifonds, als de plek waar scholen en leveranciers afspreken hoe de keten werkt.
Partijen in de keten¶
Bij het maken en gebruiken van een ECK iD zijn vier soorten partijen betrokken.
Het leerlingadministratiesysteem van de school, het LAS, houdt het PGN bij. Denk aan Magister, Somtoday, ParnasSys, ESIS, Eduarte. Alleen gekwalificeerde LAS-software mag met de Nummervoorziening praten.
DUO, de uitvoeringsorganisatie van de rijksoverheid voor onderwijs, beheert het officiële inschrijvingsregister en heeft toegang tot de basisregistratie personen (BRP). Scholen moeten elke inschrijving toch al bij DUO melden onder het PGN van de leerling, en in die bestaande uitwisseling wordt het BSN geverifieerd.
Kennisnet, de stichting die optreedt als ICT-organisatie van de onderwijssector, beheert de Nummervoorziening. Kennisnet houdt zelf geen register van leerlingen bij, maar levert de hashdienst die de pseudoniemen maakt, en geldt in die rol als trusted third party.
De ketenpartijen (distributeurs, uitgevers, leerplatformen en toetsaanbieders) krijgen alleen het ECK iD, en ze krijgen dat van de school. Ze communiceren zelf niet met de Nummervoorziening.
Het ECK iD berekenen¶
Neem een fictieve leerling, Sanne, die begint op een VO-school die met Magister werkt. De hashwaarden hieronder zijn fictief.
Ten eerste meldt Magister de inschrijving van Sanne namens de school aan bij DUO, zoals dat voor elke leerling moet. DUO bevestigt dat BSN 999998021 met haar geboortedatum, geslacht en achternaam overeenkomt met de BRP. Haar PGN is 999998021.
Ten tweede hasht Magister het PGN lokaal, zoals voorgeschreven in de technische voorschriften van Kennisnet:
Kennisnet levert de salt, en die is voor elk LAS in het land hetzelfde. De voorgeschreven scrypt-parameters zijn N = 2^17, r = 8 en p = 4. In hetzelfde document staat dat dit per hash ongeveer 130 MB geheugen en zo'n tien seconden op één core van een Core i5 kost, met opzet, om het bouwen van een lookuptabel onaantrekkelijk te maken. De uitvoer is 32 bytes, verstuurd als 64 hextekens. Deze waarde heet de first-level hash, of HPGN.
Ten derde stuurt Magister de HPGN naar de Nummervoorziening over mutual TLS met PKIoverheid-certificaten, volgens de Edukoppeling-transactiestandaard, het onderwijsprofiel van de Digikoppeling-standaard van de overheid. Kennisnet past SHA-512 toe met een eigen geheime salt en geeft het stampseudoniem terug, zoals beschreven in de aansluitvoorschriften:
Ten vierde vraagt Magister een ketenpseudoniem op, door de HPGN samen met een ketenId en een sectorId te versturen. Kennisnet leidt het ECK iD af uit het stampseudoniem en die twee parameters, opnieuw met SHA-512 en zijn geheim, en geeft terug:
Ten vijfde slaat Magister het ECK iD versleuteld op naast het BSN, en geeft het door aan de identityprovider van de school, aan de distributeur als de school de boeken van Sanne bestelt, en aan de uitgever als ze inlogt op de methodesite, volgens de principes en processen die in de keten zijn afgesproken. Ze hebben nu allemaal hetzelfde ECK iD voor Sanne. Alleen de school heeft haar BSN. Als de uitgever haar toetsresultaten terugstuurt met het ECK iD erbij, herleidt Magister dat weer naar Sanne.
De hele keten in één regel:
Kennisnet publiceert opensource-referentieclients in Java en C# voor de schoolkant van deze uitwisseling.
Die rare URL's¶
De pseudoniemen zien eruit als webadressen, maar je hoort ze niet te bezoeken. Op het domein ketenid.nl draait de publieke website van de Nummervoorziening, en het dient meteen als naamruimte voor de pseudoniemen. Het padsegment is een versieaanduiding: spv1 staat voor stampseudoniem versie 1, en 201703 is de ECK iD-definitie van maart 2017. Het is dezelfde truc als een XML-namespace of een DOI-prefix. De identifier is wereldwijd eenduidig, het zegt welk schema het heeft voortgebracht, en verandert Kennisnet ooit de hash of het geheim, dan krijgen de nieuwe pseudoniemen een nieuwe prefix zodat oud en nieuw niet door elkaar kunnen lopen.
De URL-vorm brengt wel een klein privacyrisico met zich mee. Pseudoniemen die eruitzien als webadressen worden vaak ook behandeld als webadressen: een ontwikkelaar die een ECK iD tegenkomt in een logbestand plakt het al snel in een browser, en dan belandt het pseudoniem in de browsergeschiedenis, in synchronisatiediensten en in de logs van de server achter ketenid.nl, samen met het IP-adres van de bezoeker. Het W3C erkent dit probleem: identifiers verkleed als URL's worden regelmatig opgevraagd, door software en mensen. Omdat ECK iD's binnen systeem-naar-systeemuitwisselingen horen te blijven, en een ECK iD op zichzelf een buitenstaander zonder de data van de keten niets vertelt, is het risico echter beperkt.
Sectoren en ketens¶
Om van het stampseudoniem een ECK iD te maken zijn twee extra parameters nodig: een sectorId en een ketenId. De sector is wat je verwacht: PO, VO en MBO, met HO op papier beschikbaar maar nooit gebruikt. Een leerling krijgt in elke sector een ander ECK iD. Stroomt Sanne door naar het MBO, dan krijgt ze een nieuw pseudoniem, en haar oude uitgevers kunnen die twee niet aan elkaar knopen. Dat levert echte privacywinst op: wat een leerling in de ene sector deed, gaat niet mee naar de volgende. Al merkt de wetsevaluatie op dat die grens schuurt voor leerlingen van wie de opleiding over sectoren heen loopt, zoals gecombineerde vmbo-mbo-routes.
Een keten is een groep partijen die voor één doel samenwerkt (in de huidige EU-terminologie: een domein), en het idee was dat zo'n groep eigen pseudoniemen voor dezelfde leerling zou kunnen krijgen. De memorie van toelichting voorziet expliciet een apart ketenID voor digitale toetsen en examens, en laat ruimte om bij besluit meer ketens toe te voegen. Dat is nooit gebeurd. Er is één keten (één domein), de educatieve contentketen, toetsen en examens gebruiken hetzelfde ECK iD, en Edu-V zegt het zonder omhaal: de ketenId is een vaste waarde.
Wat het oplevert¶
Stabiele pseudoniemen, geen koppeltabellen¶
Er zit nergens in de keten randomness. Hetzelfde BSN leidt altijd tot hetzelfde ECK iD, elke keer, op elk systeem. Stapt Sanne over naar een andere VO-school met een ander LAS, dan krijgt dat LAS precies hetzelfde ECK iD voor haar. Uitgevers zien binnen een sector continuïteit over scholen heen. Dat is misschien wel de belangrijkste eigenschap van de hele constructie. Een gedeelde identifier binnen de keten had ook een willekeurig nummer van de school kunnen zijn, maar juist doordat het pseudoniem uit het BSN wordt afgeleid overleeft het een wisseling van school, LAS of platform, en Kennisnet prijst precies dat aan: geen migratieproblemen, want het ECK iD blijft hetzelfde.
Een mooi operationeel voordeel is dat er niets opgeslagen hoeft te worden om het geheel te laten werken. Kennisnet heeft geen tabel met leerlingen nodig; het draait alleen een hashdienst.
Privacy¶
Er zit ook privacywinst in het schema. Die zit in de onlinkbaarheid tussen identifiers, al legt de documentatie geen formeel aanvallers- of beveiligingsmodel vast. Niemand behalve de scholen zou een ECK iD moeten kunnen terugleiden naar een BSN, of het ECK iD moeten kunnen uitrekenen dat bij een BSN hoort, en niemand zou de pseudoniemen van een leerling over sectoren heen aan elkaar moeten kunnen knopen. De twee hashlagen spelen daarin verschillende rollen.
De eerste laag, de scrypt-hash in het LAS van de school, zit er vooral om juridische redenen: de wet geeft de school het recht om het PGN te gebruiken, niet Kennisnet, dus moet de school degene zijn die het omzet, en ziet Kennisnet alleen een afgeleide waarde. Cryptografisch stelt die laag minder voor dan het lijkt. De salt is met elk LAS in het land gedeeld, dus echt geheim is die niet en een dictionary attack wordt er niet echt door voorkomen: de geldige BSN-ruimte is maar zo'n negentig miljoen nummers, en bij tien seconden per hash kost het allemaal doorrekenen ongeveer dertig jaar op één core, oftewel een paar weken op een paar honderd gehuurde cores, waarna elke HPGN terugvertalen naar een BSN neerkomt op een lookup. Dat maakt de tabel duur, maar niet duur in cryptografische zin, en de technische voorschriften van Kennisnet claimen dan ook niet meer dan dat de zware scrypt-parameters het bouwen ervan ontmoedigen. De HPGN moet dus behandeld worden als een gegeven dat gelijkstaat aan het BSN, en gaat inderdaad alleen over een geauthenticeerd kanaal naar Kennisnet.
Het geheim bij Kennisnet is waar de echte onlinkbaarheid zit. Zonder dat geheim kun je een ECK iD en een BSN niet aan elkaar koppelen, in geen van beide richtingen, en kun je het PO-ECK iD van een leerling niet aan haar VO-ECK iD koppelen. Dat geldt zelfs voor DUO: dat kent elk BSN, maar kan geen enkel ECK iD uitrekenen en ziet er ook nooit een. Let wel: het schema zelf houdt scholen of LAS'en er niet van af om ECK iD's op te vragen voor willekeurige leerlingen; elke partij die een gehasht BSN mag insturen, krijgt het pseudoniem terug. Kennisnet kan niet controleren of een school alleen ECK iD's opvraagt voor haar eigen ingeschreven leerlingen. Daarom bedient de Nummervoorziening alleen gekwalificeerde schoolsystemen, geauthenticeerd met certificaten.
De centrale keuze in het ontwerp is om het geheim waar alle onlinkbaarheid van afhangt bij één enkele partij te leggen. Zouden scholen lokaal een hash met een gedeelde sleutel berekenen, zoals de HPGN nu wordt berekend, dan zou een inbraak bij één van de handvol LAS-leveranciers elke leerling in het land ontmaskeren. Door die stap met de sleutel bij Kennisnet te leggen blijft er één punt over, en dat kun je fatsoenlijk bewaken.
Het stampseudoniem voegt zelf niets toe aan de veiligheid van de gegevensuitwisseling in de keten. Zijn rol is juridisch, niet cryptografisch. In een eerder ontwerp van de wet zou elk ketenpseudoniem rechtstreeks uit het PGN worden afgeleid, en daar maakte de privacytoezichthouder bezwaar tegen. Wettelijke persoonsnummers zoals het BSN en het PGN vallen onder een bijzonder regime in het gegevensbeschermingsrecht (destijds artikel 24 Wbp; toen de AVG de Wbp verving, verhuisde de regel naar artikel 46 UAVG): zo'n nummer mag alleen worden gebruikt waar de wet zelf, of een algemene maatregel van bestuur van het kabinet als geheel, dat toestaat, terwijl het ontwerp de gevallen voor nieuwe ketenID's bij ministeriële regeling zou vastleggen, een regeling van één minister. Het verschil tussen die twee instrumenten is juridische scherpslijperij, maar het heeft het ontwerp bepaald. De memorie van toelichting beschrijft de oplossing: het PGN wordt eenmalig gebruikt om een stampseudoniem te maken, dat alleen in het LAS van de school wordt bewaard, en alle ketenID's worden uit dat stampseudoniem afgeleid. Het pseudoniem is, anders dan het PGN, geen wettelijk persoonsnummer, dus nieuwe ketens kunnen bij besluit worden toegevoegd zonder het PGN aan te raken. Je zou kunnen zeggen dat de HPGN al zo'n pseudoniem is, maar een veel minder veilig pseudoniem: iedereen met de gedeelde salt kan het met een dictionary attack terugrekenen naar een BSN, wat bij de hash met geheime sleutel bij Kennisnet zonder dat geheim onmogelijk is.
Wat het niet oplevert¶
Het ECK iD is niet onlinkbaar tussen de verschillende partijen in de keten. Iedereen in de keten deelt hetzelfde pseudoniem. Dat is met opzet, want juist dat gedeelde pseudoniem maakt de uitwisseling tussen die partijen mogelijk. Maar het stelt elke twee partijen in de keten ook in staat om hun gegevens over een leerling ongecontroleerd te vergelijken en samen te voegen, ook als dat niet mag (bijvoorbeeld na een datalek), een risico dat de privacybeoordeling van het schema zelf benoemt. Beter voor de privacy zou zijn om elke partij in de keten een ander pseudoniem te geven, met daartussen een converter die het pseudoniem van de ene partij vertaalt naar dat van de andere, want dan moet elke uitwisseling langs die converter, die kan meekijken en ingrijpen.
Anonimiteit is het ook niet. In veel gegevensstromen wordt het ECK iD samen met identificerende gegevens meegestuurd, zoals een naam (zodat de software "Hoi Sanne!" kan zeggen), een klas, een niveau, omdat docenten en leerlingen nu eenmaal moeten zien wie wie is. Het pseudoniem haalt het BSN uit de uitwisseling, maar het haalt de naam van de leerling niet van het scherm. De wet en de documentatie van het schema benadrukken wel dat het ECK iD waar mogelijk gescheiden van andere identificerende gegevens moet worden opgeslagen, maar voor elke partij die moet weten wie wie is, is die scheiding een beetje een wassen neus: die krijgt het ECK iD juist om het aan een leerling te koppelen, dus naam en pseudoniem belanden toch in hetzelfde record. Hoeveel privacy je er werkelijk mee wint, hangt dus minder af van het pseudoniem dan van de gegevens die ernaast gedeeld worden, en de echte anonimiteit of onlinkbaarheid is in die gevallen waarschijnlijk erg beperkt. Het onderwijs staat daarin niet alleen: bij inloggen via eIDAS in Europa wordt het BSN een pseudoniem dat samen met de volledige naam en geboortedatum van de burger wordt meegestuurd.
Blind is het evenmin. Kennisnet voert de stap met het geheim uit op een waarde die het kan zien. Het ziet het BSN niet, maar wel een waarde waaruit het BSN met genoeg rekenwerk te herleiden is. Daarnaast heeft Kennisnet het geheim in handen waarmee elk pseudoniem gemaakt wordt, en ziet het elk ECK iD dat het uitgeeft, inclusief welke school erom vroeg. Kennisnet is kortom een trusted third party, en dat vertrouwen is een aanname waar het hele schema op rust.
Een blind alternatief¶
Bij NOLAI in Nijmegen ontwikkelen we PEP, polymorfe encryptie en pseudonimisering, een alternatieve cryptografische techniek die sterkere privacygaranties biedt met blinde pseudonimisering. Het idee is dat iedereen bij elke organisatie een andere identifier heeft, en dat identifiers alleen versleuteld gedeeld worden. Om een pseudoniem te berekenen zet een centrale transcryptor de versleutelde identifier om in een versleuteld pseudoniem dat alleen de bedoelde ontvanger kan ontsleutelen. Die omzetting gebeurt volledig op cijfertekst, dus de transcryptor komt de identifier niet te weten en ook geen van de pseudoniemen die hij maakt, en zelfs de verzender komt het pseudoniem van de ontvanger niet te weten. Met PEP is de centrale partij geen trusted third party meer zoals Kennisnet dat is, want ze ziet nooit iets in leesbare vorm.
Doordat elke partij een ander pseudoniem heeft voor dezelfde leerling, is voor het koppelen van gegevens tussen partijen medewerking van de transcryptor nodig, in plaats van een vergelijking van twee databases. En doordat de transcryptor bij elke omzetting betrokken is, kan elke gegevensdeling in de gaten gehouden en gecontroleerd worden. De uiterste vorm hiervan noemen wij micropseudoniemen: pseudoniemen met een bewust klein domein, die alleen gedeeld worden met de partijen die ze nodig hebben.
Deze techniek is geïmplementeerd in de PEP responsible data sharing repository, die gebruikt wordt in medisch onderzoek, onder meer door het Personalized Parkinson Project. Een vergelijkbare constructie draait ook op landelijke schaal in het Nederlandse eID-stelsel, als BSNk, het register dat polymorfe pseudoniemen afleidt uit het BSN voor DigiD Hoog en eHerkenning, zodat dienstverleners een pseudoniem kunnen krijgen in plaats van het BSN zelf. Breed gebruikt wordt het niet: op dit moment dienen de pseudoniemen vooral de eIDAS-keten. De Wet digitale overheid, die dienstverleners zonder BSN-bevoegdheid (zoals private bedrijven) DigiD-logins onder een pseudoniem zou laten accepteren, treedt alleen gefaseerd in werking.
PEP toepassen in het onderwijs is al in 2015 voorgesteld, voor precies het probleem van gegevensdeling uit deze post, als manier om de privacy van leerlingen te verbeteren: elke leverancier zou een eigen pseudoniem voor een leerling krijgen, in plaats van één gedeelde identifier waar de hele sector op kan koppelen. De onderwijssector koos voor het eenvoudiger schema met hashes, waarbij niet bij elke uitwisseling een converter betrokken hoeft te zijn.
Vergelijkbare systemen¶
De architectuur van het ECK iD, een voorhash bij de bron en een hash met een geheime sleutel bij een trusted third party, is geen uitvinding van het onderwijs. Voor de Nederlandse zorg draait sinds 2007 een vergelijkbaar systeem bij ZorgTTP, de stichting die patiëntgegevens pseudonimiseert voor onderzoeksregistraties. De parallel is treffend: de privacytoezichthouder eiste dat de eerste versleuteling bij de bron van de gegevens gebeurt, de stap bij de TTP blijft geheim voor zowel verzender als ontvanger, en elke informatieketen krijgt een eigen pseudoniemdomein, met een gecontroleerde domeinconversiedienst voor als twee domeinen toch gekoppeld mogen worden. De methode is in 2015 gepubliceerd op verzoek van het ministerie van VWS en de sleutels zitten in een HSM, maar het vertrouwensmodel is hetzelfde als dat van Kennisnet: één centrale partij die iedereen moet geloven.
De pseudoniemen van ZorgTTP zijn er voor onderzoek, niet voor de zorg zelf. In het zorgproces werkt de wet juist andersom: de Wet gebruik burgerservicenummer in de zorg (inmiddels hernoemd tot Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg) verplicht zorgaanbieders het BSN te gebruiken, zodat monsters, uitslagen en dossiers bij de juiste patiënt terechtkomen, terwijl het voor onderzoek juist niet mag.
Wat zo'n identificerende keten kan kosten, bleek in de zomer van 2025, toen hackers bij Clinical Diagnostics de gegevens buitmaakten van uiteindelijk bijna een miljoen vrouwen. Clinical Diagnostics is een laboratorium dat monsters beoordeelde voor het bevolkingsonderzoek baarmoederhalskanker, en het had namen, adressen, BSN's en uitslagen naast elkaar staan, dus één inbraak bij één onderaannemer legde dat allemaal in één keer bloot. De opeenvolging van een incident bij een leverancier, Kamervragen en een publiek debat over waarom identificeerbare leerling- of patiëntgegevens door een keten reizen, lijkt opvallend veel op die van 2014, die het onderwijs op het pad van het ECK iD zette. In een keten die is opgezet zoals die van het ECK iD, had het laboratorium het monster en een pseudoniem gekend, was de weg terug naar de vrouw bij het bevolkingsonderzoek gebleven, en had dezelfde inbraak uitslagen zonder identiteiten opgeleverd.
Conclusie¶
Het ECK iD is in de kern een constructie met een trusted third party, waarin het BSN twee keer (eigenlijk drie keer) gehasht wordt: één keer bij de school en twee keer bij Kennisnet. Dat geeft de onderwijssector een stabiel pseudoniem per leerling per sector, dat elk schoolsysteem zelf kan uitrekenen zonder koppeltabellen, en dat het BSN weghoudt bij leveranciers. Kennisnet is daarbij een trusted third party, die het geheim bewaart waar alle onlinkbaarheid op steunt. Maar omdat elke partij in de keten hetzelfde pseudoniem deelt, en er vaak namen of andere identificerende gegevens worden meegestuurd, is de werkelijke privacywinst klein. Blinde pseudonimisering, zoals wij die met PEP ontwikkelen, laat zien dat noch die trusted third party noch dat gedeelde pseudoniem nodig is: dezelfde gegevensdeling kan via een converter die niets ziet, met een ander pseudoniem per partij, en met elke uitwisseling onder controle.
Disclaimer: de auteur heeft geen banden met Kennisnet, DUO, Edu-K, Edu-V, OCW of een LAS-leverancier of educatieve uitgever. Deze post is gebaseerd op openbare documentatie en geeft de eigen lezing van de auteur daarvan weer.