Nederland gaat het nieuwe biometrische paspoort in fasen invoeren. Minister Pechtold voor Bestuurlijke Vernieuwing en Koninkrijksrelaties wil eerst een chip met een gelaatscan in het paspoort invoeren. Op een later tijdstip komen de vingerafdrukken er pas bij. Pechtold noemt in de brief aan de Tweede Kamer geen datum maar wil de chip "zo spoedig mogelijk" invoeren. Volgens de minister is het niet nodig om de Paspoortwet te wijzigen voor de introductie van de chip.

Over de centrale opslag van biometrische gegevens vertelt Pechtold weinig nieuws. Het kabinet ontwikkelt plannen om de vingerafdrukken en foto's uit het nieuwe biometrische paspoort centraal op te slaan. Dat is al aangekondigd in brief aan de Tweede Kamer over terrorismebestrijding op 24 januari 2005. Oorspronkelijk waren de biometrische gegevens in het paspoort uitsluitend bedoeld om te controleren of het paspoort en de drager ervan bij elkaar horen. Op die manier wilde het kabinet de zogenaamde look-alike fraude bestrijden. Daarbij gebruiken personen een paspoort van iemand waarop zij lijken. Bovendien maakt het gebruik van biometrie het moeilijker een paspoort te vervalsen. Centrale opslag maakt het mogelijk om personen te identificeren aan de hand van een foto of vingerafdruk zonder dat daar een paspoort aan te pas komt.

Pechtold noemt nu twee toepassingen van centrale opslag: verificatie van de biometrische gegevens in het paspoort en identificatie van personen die een nieuw paspoort aanvragen (bv na diefstal of verlies). Opmerkelijk genoeg gaat Pechtold niet in op een andere toepassing die wel in de brief van 24 januari werd genoemd, namelijk "een bijdrage aan de effectiviteit van de uitvoering van de identificatieplicht". Met andere woorden: wie geen paspoort bij zich draagt, kan aan de hand van een vingerafdruk of digitale foto op het politiebureau snel en efficiënt worden geïdentificeerd. Met dat voornemen verschoof de doelstelling van het biometrisch paspoort radicaal van de bestrijding van look-alike fraude en terrorisme naar het identificeren van personen die door rood licht fietsen.

De brief gaat ook in op de beveiliging van het biometrisch paspoort. De opgeslagen gegevens worden voorzien van een digitale handtekening zodat de authenticiteit kan worden vastgesteld. De gelaatscan wordt beveiligd met een vorm van toegangscontrole waarbij het noodzakelijk is fysiek toegang te hebben tot het paspoort (Basic Access Control). Hierbij wordt de chip bevraagd met een een reeks cijfers die afgeleid wordt van data zoals naam en paspoort nummer. Daartoe moet de machine leesbare strook van het paspoort gescand worden. Skimming, het ongemerkt en niet-geautoriseerd lezen van de chip, is daardoor moeilijk. De vingerafdrukken worden beveiligd met een uitwisseling van cryptografische sleutels (Extended Access Control).

De brief gaat verder niet diep in op de beveiliging, noch wordt verwezen naar een analyse van de verschillende privacy-bedreigingen en de technische oplossingen daarvoor. In een recente publicatie 'Security and Privacy Issues in E-passports' wordt wel een aantal gevaren geanalyseerd. Niet alle gevaren in het artikel hebben betrekking op Nederland (de VS willen hun paspoort vrijwel zonder beveiliging invoeren). Het artikel verwijst echter wel naar een algemene specificatie voor chips in paspoorten waarbij de chip een uniek serienummer uitzendt. Zo'n uniek nummer gebruikt kan worden om de houder van het paspoort ongemerkt te volgen.

De lidstaten van de Europese Unie moeten voor 28 augustus 2006 een chip met een gelaatscan invoeren. Dat is het gevolg van een Europees besluit waarvoor sinds februari 2005 de technische specificaties beschikbaar zijn. De lidstaten van de EU hebben 18 maanden om de specificaties voor de gelaatscan in te voeren. Voor de invoering van de vingerafdrukken is nog geen deadline vastgesteld omdat de specificaties van de beveiliging nog niet af zijn.

Bovendien stellen de VS de eis dat de Visa Waiver landen, waaronder de meeste EU landen en ook Nederland, voor 26 oktober 2005 een biometrisch paspoort hebben ingevoerd. Zo niet dan moeten reizigers uit die landen een visum aanvragen voor de VS. Sinds 30 september 2004 maken de VS al vingerafdrukken en een digitale foto's van reizigers uit Visa Waiver landen zoals Nederland. Pechtold gaat in zijn brief niet in op de Amerikaanse deadline. Dat is opmerkelijk want het is onwaarschijnlijk dat Nederland die datum zal halen.

Brief van minister Pechtold aan de Tweede Kamer (18.04.2005)

Verordening (EG) Nr. 2252/2004 van de Raad (13.12.2004)

Specificaties voor EU-paspoorten. Commissie besluit 28/II/2005 C(2005)409 (28.02.2005)

Ministerie van Binnenlandse Zaken: Factsheet veiligheidskenmerken biometrische gegevens paspoorten en reisdocumenten (19.04.2005)

Security and Privacy Issues in E-passports