De geheime gegevensverzamelaar: wie zit er nu echt achter de verificaties van LinkedIn, OpenAI en dergelijke?

Broncodelek onthult: Wat gebeurt er nu echt met je ID-gegevens op Reddit, Roblox en LinkedIn?

Iedereen die tegenwoordig op internet surft, moet steeds vaker zijn of haar identiteit bewijzen. Of het nu gaat om het felbegeerde LinkedIn-vinkje, toegang tot de krachtige AI-modellen van OpenAI, leeftijdsverificatie op Reddit of chatten op Roblox – een paspoort tevoorschijn halen en de verplichte videoselfie maken worden steeds meer de norm. Maar terwijl gebruikers denken dat ze hun gevoelige biometrische gegevens rechtstreeks aan de betreffende platforms toevertrouwen, werkt er op de achtergrond een onzichtbare macht: de Amerikaanse startup "Persona". Met meer dan 300 miljoen geverifieerde identiteiten is het bedrijf, gesteund door invloedrijke investeerders, uitgegroeid tot de verborgen infrastructuur van het digitale leven. Maar dit ogenschijnlijk handige systeem heeft een groot gebrek: een lek van gevoelige broncode, twijfelachtige bewaartermijnen voor gegevens en nauwe banden met de Amerikaanse autoriteiten roepen ernstige zorgen op over gegevensbescherming. Wat gebeurt er nu echt met onze gezichten en identiteitsbewijzen? En waarom was Discord het enige grote platform dat de stekker eruit trok na massale protesten van gebruikers? Een onderzoek naar de verborgen serverstructuren van een datagigant.

De onzichtbare ruggengraat van het internet: hoe LinkedIn, Reddit, OpenAI, Roblox en andere platforms persona's gebruiken – en wat dat betekent voor uw gegevens

Eén bedrijf, 148.000 klanten, 300 miljoen datarecords — en bijna niemand weet ervan

Wanneer een LinkedIn-gebruiker zijn profiel verifieert, denkt hij dat hij met LinkedIn communiceert. Wanneer een Reddit-gebruiker zijn leeftijd bevestigt, vertrouwt hij Reddit. Wanneer een Roblox-speler zijn gezicht voor de camera houdt, doet hij dat in de overtuiging dat Roblox de persoon is met wie hij communiceert. In werkelijkheid gaat het in al deze gevallen om hetzelfde bedrijf: Persona Identities, Inc., een in San Francisco gevestigde startup, opgericht in 2018, die de facto de identiteitsinfrastructuur is geworden voor grote delen van het internet. Tegen 2024 had Persona meer dan 300 miljoen identiteitsverificaties voltooid, waarmee zowel de omzet als het klantenbestand verdubbeld waren. De platforms die gebruikmaken van de diensten van Persona vormen een dwarsdoorsnede van het moderne digitale leven – en toch blijft de naam Persona voor de meeste gebruikers volkomen onbekend.

Dit is geen toeval. Het bedrijfsmodel van Persona is bewust gebaseerd op onzichtbaarheid: terwijl de platforms gebruikersrelaties opbouwen en vertrouwen creëren, verzorgt Persona de daadwerkelijke verificatie op de achtergrond. Met een waardering van 2 miljard dollar na de Series D-financieringsronde in april 2025 en investeerders zoals Founders Fund, Ribbit Capital en Index Ventures, behoort het bedrijf tot de belangrijkste particuliere bedrijven in identiteitstechnologie wereldwijd. Wat voor gebruikers een handig verificatieproces lijkt, is in werkelijkheid een geconcentreerde infrastructuur voor gegevensverzameling die veel verder gaat dan wat nodig zou zijn voor een eenvoudige identiteitscontrole.

Dit is hiermee gerelateerd:

• Identiteitsverificatie | Je gezicht en je gegevens zijn niet van jou – Anthropic (Claude), LinkedIn en de nieuwe economie van biometrische controle

LinkedIn: 100 miljoen geverifieerde profielen – en wat daarachter schuilgaat

LinkedIn was een van de eerste grote platforms die Persona introduceerde als verificatiepartner. In december 2025 overtrof het platform de grens van 100 miljoen geverifieerde profielen wereldwijd – een mijlpaal die aantoont hoe diep Persona al verankerd is in de identiteitsinfrastructuur van het professionele web. LinkedIn doet duidelijke beloftes: geverifieerde leden ontvangen gemiddeld 60 procent meer profielweergaven en 50 procent meer interactie. Geverifieerde bedrijfspagina's rapporteren 10,9 keer meer weergaven en 7,7 keer meer volgers. Dit zijn krachtige stimulansen – en ze werken.

Het eigenlijke verificatieproces vindt plaats via de LinkedIn-app. Gebruikers worden gevraagd hun apparaat te verbinden met een paspoort met NFC-functionaliteit, de chip te scannen en vervolgens een live selfie te maken. Wat LinkedIn ontvangt is beperkt: de naam zoals die op het paspoort staat, het paspoorttype, het land van uitgifte, een gehashte identificatiecode en een bevestiging dat de verificatie succesvol was. Wat Persona echter verzamelt en verwerkt buiten dit proces is aanzienlijk uitgebreider en wordt in de eigen documentatie van LinkedIn slechts kort aangestipt met een verwijzing naar het privacybeleid van Persona. De subverwerkers die geautoriseerd zijn voor LinkedIn-verificatie via Persona zijn onder andere AWS, Confluent, DBT, Elasticsearch, Google Cloud Platform, MongoDB, Sigma Computing en Snowflake. Gegevensopslag op Europese servers met gegarandeerde naleving van de EU-wetgeving wordt niet aangeboden.

De kwestie van gegevensverwijdering is bijzonder opmerkelijk. Persona bevestigt in zijn LinkedIn-documentatie dat gegevens na verificatie worden verwijderd, maar noemt geen concrete termijn. In het kader van andere samenwerkingen, bijvoorbeeld met Discord, werd een bewaartermijn van maximaal zeven dagen erkend, wat publiekelijk in tegenspraak was met de verklaringen van het platform. En de gelekte broncode van Persona's overheidsinfrastructuur onthult dat biometrische gezichtslijsten tot drie jaar bewaard kunnen worden – meer precies, 1095 dagen. Wat voor commerciële klanten en wat voor overheidsklanten geldt, wordt in de publieke communicatie van Persona opzettelijk vaag gehouden.

Reddit: Leeftijdsverificatie als toegangspoort tot biometrische controle

Reddit introduceerde Persona als onderdeel van de implementatie van de Britse Online Safety Act (OSA), die leeftijdsverificatie voor online platforms verplicht stelde. De Britse markt diende als testcase: gebruikers die probeerden toegang te krijgen tot content met een leeftijdsbeperking werden doorgestuurd naar Persona voor leeftijdsverificatie. Op de speciale FAQ-pagina van Reddit legt Persona uit dat het als gegevensverwerker optreedt in opdracht van Reddit, alleen geboortedatum en afbeeldingsgegevens verzamelt en alle andere informatie binnen drie dagen verwijdert. Dit klinkt in eerste instantie redelijk.

De situatie is in werkelijkheid complexer. Reddit-gebruikers die hun identiteit hebben geverifieerd, melden een proces dat veel verder gaat dan een simpele leeftijdschatting: er werden NFC-chipscans van paspoorten, live selfies en gedetailleerde gedragsbiometrische gegevens verzameld, waaronder typsnelheid, aarzeling en of informatie gekopieerd wordt. Privacyactivisten ontdekten dat de door Celeste geïdentificeerde Persona-broncode draaide op een door FedRAMP geautoriseerde overheidsserver en controles uitvoerde op FinCEN-watchlistlijsten, lijsten met politiek prominente personen (PEP's) en wereldwijde sanctielijsten. Dit alles loopt parallel aan de commerciële verificatieprocessen voor Reddit, LinkedIn en andere platforms – op dezelfde onderliggende infrastructuur. Na aanzienlijke protesten van gebruikers in het Verenigd Koninkrijk heeft Reddit de verplichte Persona-verificatie voor nieuwe gebruikers tijdelijk opgeschort, hoewel reeds geverifieerde gebruikers in het systeem bleven.

OpenAI: De oudste en meest ondoorzichtige verbinding

De relatie tussen OpenAI en Persona is bijzonder onthullend – en chronologisch gezien de vroegste van alle grote platformpartnerschappen. Beveiligingsonderzoekers ontdekten via certificaattransparantielogboeken dat een speciaal watchlist-systeem onder het domein openai-watchlistdb.withpersona.com al sinds november 2023 actief was – ongeveer 18 maanden voordat OpenAI in de zomer van 2025 publiekelijk aankondigde dat identiteitsverificatie vereist was voor toegang tot GPT-5. OpenAI had in november 2024 stilletjes een zin aan zijn privacybeleid toegevoegd waarin werd verwezen naar identiteits- en leeftijdsverificatie door externe providers – zonder Persona expliciet te noemen.

In september 2024 publiceerde Persona zelf een pagina waarin werd uitgelegd dat OpenAI Persona gebruikt om maandelijks miljoenen gebruikers te verifiëren, waarbij meer dan 99 procent van de gebruikers binnen enkele seconden automatisch op de achtergrond wordt geverifieerd. Dit betekent dat niet alleen gebruikers die actief worden geverifieerd hierdoor worden getroffen; de screening op de achtergrond is continu. Om toegang te krijgen tot de OpenAI API en modellen zoals GPT-5, moeten ontwikkelaars hun identiteitsbewijs indienen en drie selfies vanuit verschillende hoeken maken – links, rechts en van voren – om een ​​driedimensionaal gezichtsprofiel te creëren. Forrester Research beoordeelde deze beslissing als een reactie op regelgevingsdruk, geopolitieke risico's van misbruik van modellen en de noodzaak om onderscheid te maken tussen legitieme zakelijke klanten en door de staat gesponsorde actoren. Het gevolg: iedereen die de meest geavanceerde AI-tools wil gebruiken, moet zijn of haar gezicht toevertrouwen aan een in de VS gevestigde verificatie-infrastructuur.

Roblox: 151 miljoen dagelijkse gebruikers — en een verplichte gezichtsscan

Roblox is, qua gebruikersaantallen, de meest opmerkelijke Persona-client. In januari 2026 introduceerde Roblox verplichte leeftijdsverificatie voor alle gebruikers die de chatfunctie van het platform willen gebruiken. Met 151 miljoen dagelijks actieve gebruikers vertegenwoordigt dit een verplicht biometrisch proces op ongekende schaal, vooral omdat een aanzienlijk deel van de gebruikers bestaat uit kinderen en tieners. Het mechanisme is eenvoudig: iedereen die wil chatten, moet ofwel een videoselfie opnemen, die Persona algoritmematig analyseert om de leeftijd te schatten, ofwel een officieel identiteitsbewijs overleggen.

Roblox en Persona benadrukken dat biometrische gegevens en afbeeldingen direct na de leeftijdschatting worden verwijderd. Er is echter geen onafhankelijke verificatie van deze bewering. Het echte probleem ligt elders: de leeftijdschattingstechnologie van Persona is technisch gezien geen leeftijdsverificatie – de leeftijd wordt geschat op basis van gezichtskenmerken zonder verificatie met een document. Dit betekent dat Roblox-gebruikers worden onderworpen aan een biometrische scan die noch de nauwkeurigheid van een echte identiteitscontrole, noch de veiligheid van documentgebaseerde verificatie biedt. Tegelijkertijd worden de biometrische gegevens overgedragen naar een Amerikaanse infrastructuur, wat aanzienlijke GDPR-bezwaren oplevert voor EU-gebruikers, met name minderjarigen. Biometrische gegevens van minderjarigen zijn onderworpen aan bijzonder strenge eisen op grond van artikel 9 in samenhang met artikel 8 van de GDPR, waaraan Roblox in de huidige implementatie niet publiekelijk heeft voldaan.

Focusgebieden binnen de industrie: B2B, digitalisering (van AI tot XR), werktuigbouwkunde, logistiek, hernieuwbare energie en industrie

Meer informatie vindt u hier:

• Expert Business Hub

Een thematisch kenniscentrum met inzichten en expertise:

• Kennisplatform over mondiale en regionale economieën, innovatie en trends in specifieke sectoren
• Een verzameling analyses, inzichten en achtergrondinformatie over onze belangrijkste aandachtsgebieden
• Een plek voor expertise en informatie over actuele ontwikkelingen in het bedrijfsleven en de technologie
• Een informatiecentrum voor bedrijven die op zoek zijn naar informatie over markten, digitalisering en innovaties in de sector

Discord: De meest openbare retraite en wat die onthult

Discord is het enige grote bedrijf dat publiekelijk een einde heeft gemaakt aan de samenwerking met Persona en daarvoor een expliciete verklaring heeft gegeven – een zeldzaam moment van transparantie in de sector. In januari 2026 introduceerde Discord Persona voor leeftijdsverificatie in het Verenigd Koninkrijk als onderdeel van een niet nader genoemd pilotprogramma. Toen de samenwerking openbaar werd, leidde dit tot een massale golf van protesten van gebruikers. De CTO van Discord, Stanislav Vishnevskiy, gaf toe dat het bedrijf tekort was geschoten in de communicatie. De situatie escaleerde pas echt toen beveiligingsonderzoekers niet alleen de connectie met Peter Thiels Founders Fund ontdekten, maar ook een gearchiveerde ondersteuningspagina vonden waarop stond dat Persona gegevens zeven dagen bewaart – wat rechtstreeks in tegenspraak was met eerdere verklaringen van het bedrijf over vrijwel onmiddellijke verwijdering.

Discord formuleerde vervolgens een nieuwe, duidelijke reeks eisen voor alle toekomstige verificatiepartners: biometrische gegevens moeten volledig op het apparaat van de gebruiker worden verwerkt en mogen het apparaat niet verlaten. Persona voldeed expliciet niet aan deze norm en werd daarom uitgesloten van het contract. Deze eis is baanbrekend, zowel vanuit technisch als vanuit privacyoogpunt: het definieert verwerking op het apparaat als de minimale standaard voor biometrische leeftijdsverificatie. Het feit dat geen van Persona's andere grote klanten deze standaard publiekelijk heeft geëist, toont aan hoe ver de industrie nog verwijderd is van deze norm. Bovendien werd Discord tegelijkertijd met de zaak-Persa geconfronteerd met een apart datalek: bij een andere aanbieder van leeftijdsverificatie werden de officiële identiteitsdocumenten van ongeveer 70.000 gebruikers gecompromitteerd – een situatie die het structurele risico van het uitbesteden van biometrische controles aan externe partijen duidelijk illustreerde.

VRChat: Identiteitsverificatie in virtuele realiteit

VRChat, het sociale virtual reality-platform met een toegewijde internationale gebruikersbasis, heeft Persona ook als partner voor leeftijdsverificatie ingeschakeld. Vanwege de toenemende regelgeving voor online platforms – met name in het VK en de EU – was VRChat genoodzaakt een leeftijdsverificatiesysteem te implementeren. Het gekozen systeem: Persona. De reactie van de community was fel. Gebruikersforums werden overspoeld met gedetailleerde analyses van de Persona-infrastructuur, verwijzingen naar de connectie met het Thiel Founders Fund en een collectieve oproep om de implementatie te heroverwegen.

VRChat benadrukt in zijn officiële communicatie dat het geen afbeeldingen van identiteitsdocumenten of gezichtsscans ontvangt, maar alleen een hashwaarde die de verificatie bevestigt. Persona beweert ook geen informatie over de identiteit van de gebruiker binnen VRChat te ontvangen. Dit sluit aan bij Persona's eigen gegevensbeschermingsarchitectuur, maar vanuit een privacyoogpunt is het slechts een gedeeltelijke oplossing: Persona zelf beschikt over alle ruwe biometrische gegevens, ongeacht wat er met het platform wordt gedeeld. Europese gebruikers van de VRChat-community wijzen er terecht op dat eID-technologie – waarmee leeftijdsverificatie mogelijk is zonder biometrische gegevens te verzenden – een veilig alternatief is, maar expliciet niet wordt ondersteund door Persona. Vanuit een Europees gegevensbeschermingsperspectief is deze afwijzing moeilijk te rechtvaardigen.

Upwork: Wanneer identiteitsverificatie een vereiste wordt voor een baan

Bij Upwork, 's werelds grootste platform voor freelancers, heeft identiteitsverificatie een bijzonder directe economische impact. Freelancers zijn verplicht hun identiteit te verifiëren – ofwel proactief door 35 Connects (de interne valuta van het platform) te betalen, ofwel gedwongen bij het aanvragen van leningen, opdrachten specifiek voor de VS, of na een accountopschorting. Wie de verificatie niet binnen zeven dagen voltooit, riskeert accountopschorting.

Dit is in meerdere opzichten opmerkelijk. Ten eerste koppelt Upwork biometrische verificatie direct aan economische participatie: iedereen die wil werken en betaald wil worden, moet geverifieerd worden – en dit gebeurt via een Amerikaanse infrastructuur van een derde partij. Voor freelancers in de EU betekent dit dat hun biometrische gegevens worden overgedragen aan een Amerikaans rechtssysteem, waarvoor geen realistisch alternatief bestaat. Ten tweede staat Upwork routinematige herverificaties toe: gebruikers melden dat hen meerdere keren gevraagd wordt hun identiteit te verifiëren, zelfs als daar geen duidelijke reden voor is. Ten derde is de eigen communicatie van Upwork over de omvang van de gegevensverwerking vaag: het platform beschrijft verificatie als een identiteitscontrole zonder de exacte gegevensstromen naar Persona of het gegevensopslagbeleid te specificeren.

De verborgen overheidsinfrastructuur: wat het lekken van de broncode onthult

Het meest verontrustende aspect van Persona's infrastructuur is niet wat het bedrijf publiekelijk communiceert, maar wat een willekeurige configuratiefout aan het licht bracht. In februari 2026 ontdekten beveiligingsonderzoekers dat 53 megabytes aan broncode van Persona's overheidsplatform publiekelijk toegankelijk waren zonder dat er sprake was van een aanval of ongeautoriseerde toegang. Het Vite-buildsysteem had broncode-maps publiekelijk beschikbaar gesteld – een ontwerpfout die de volledige interne architectuur blootlegde.

Wat de onderzoekers ontdekten, overtrof alle verwachtingen: 2.456 bronbestanden die 269 verschillende verificatiecontroles documenteerden. Het platform, dat draait op FedRAMP-geautoriseerde overheidsinfrastructuur onder de naam ONYX, bevat complete modules voor het rechtstreeks indienen van meldingen van verdachte transacties (Suspicious Activity Reports, SARs) bij FinCEN, het financiële onderzoeksnetwerk van het Amerikaanse ministerie van Financiën, en de Canadese tegenhanger, FINTRAC. Het beschikt over biometrische gezichtsdatabases die worden vergeleken met watchlists, PEP-gezichtsherkenningsmodules (Politically Exposed Persons) en 13 verschillende soorten trackinglijsten, waaronder gezichten, browserfingerprints en geolocaties. De code laat expliciet zien dat biometrische gezichtslijsten tot 1.095 dagen – oftewel drie jaar – bewaard kunnen worden. Tegelijkertijd verschijnt er een nieuw subdomein met de naam onyx.withpersona-gov.com in de certificaattransparantielogboeken. Dit subdomein is tijdelijk gekoppeld aan de Fivecast ONYX-tool, een AI-gestuurde surveillancetool die ICE voor 4,2 miljoen dollar heeft laten ontwikkelen en die risicobeoordelingen genereert van sociale media en het dark web. Of deze naamovereenkomst toeval is of een structureel verband, is nog niet definitief bewezen. Wat wel bewezen is, is dat de overheidsinfrastructuur van Persona draait op dezelfde technische basis als de commerciële infrastructuur van LinkedIn, Reddit en OpenAI.

FedRAMP en de dubbele rol van Persona

Een aspect dat in het publieke debat weinig aandacht krijgt, is de FedRAMP-certificering van Persona. FedRAMP – het Federal Risk and Authorization Management Program – is het Amerikaanse systeem voor het certificeren van de beveiliging van clouddiensten voor federale instanties. In oktober 2025 behaalde Persona de FedRAMP Low Impact Authorized-certificering en is het op weg naar de FedRAMP Moderate Ready-certificering. Dit betekent dat Persona nu een geaccrediteerde infrastructuurprovider is voor Amerikaanse federale instanties. Het commerciële platform dat LinkedIn-gebruikers verifieert en het overheidsplatform dat identiteitscontroles uitvoert voor federale instanties vallen dus onder dezelfde paraplu – technisch gescheiden door de implementaties, maar juridisch en organisatorisch onder dezelfde bedrijfsstructuur.

Voor Europese gebruikers is dit cruciaal, omdat het de kwestie van de CLOUD Act naar een nieuw niveau tilt. De CLOUD Act verplicht Amerikaanse bedrijven om op verzoek toegang te verlenen tot gegevens aan Amerikaanse autoriteiten – ongeacht de locatie van de server. Een bedrijf dat tegelijkertijd commerciële biometrische gegevens van miljoenen gebruikers wereldwijd verwerkt en een geaccrediteerde infrastructuurprovider is voor Amerikaanse federale instanties, vertegenwoordigt een combinatie waarbij de grenzen tussen commerciële dienstverlening en overheidsinfrastructuur structureel vervagen. Dit is geen vermoeden, maar een beschrijving van het bedrijfsmodel.

Wat gebruikers moeten weten en doen

Inzicht in de persona-infrastructuur verandert onze kijk op een ogenschijnlijk simpele beslissing: Moet ik mijn LinkedIn-profiel verifiëren? De toename van 60 procent in profielweergaven klinkt verleidelijk. Maar de echte vraag is: Wat levert het mij op? Het antwoord is complex.

Iedereen die zijn of haar identiteit verifieert via Persona op LinkedIn, Reddit, OpenAI of Roblox, geeft biometrische gegevens door aan een Amerikaans bedrijf dat een FedRAMP-gecertificeerde aanbieder van overheidsinfrastructuur is. Het bedrijf wordt geleid door Founders Fund van Peter Thiel, dat dezelfde oprichter en voorzitter heeft als Palantir, en waarvan de gelekte broncode een surveillance-infrastructuur onthult die veel verder gaat dan simpele identiteitsverificatie. Inwoners van de EU hebben recht op inzage, verwijdering en bezwaar op grond van de AVG. Verzoeken tot gegevensverwijdering bij Persona kunnen rechtstreeks worden ingediend via een DSAR (Data Subject Access Request). Verschillende gebruikers melden echter dat Persona op dergelijke verzoeken reageert met geautomatiseerde en vage antwoorden.

Voor de platforms zelf valt er veel te leren van de beslissing van Discord: verwerking op het apparaat zelf als standaard, niet als uitzondering. Leeftijdsverificatie hoeft niet te betekenen dat ruwe biometrische gegevens via een Amerikaanse serverinfrastructuur worden verwerkt. Europese eID-systemen, nationale identiteitsportefeuilles en gedecentraliseerde verificatiearchitecturen bestaan ​​als technische alternatieven. Dat deze niet worden gebruikt, is een politieke en economische beslissing, geen technische noodzaak.

De structurele vraag: Wie bouwt het internet der identiteiten?

Deze inventarisatie biedt geen antwoorden, maar werpt juist een steeds dringender vraag op: wie moet de identiteitsinfrastructuur van het internet beheren? Tegen 2026 is het feitelijke antwoord een particulier bedrijf in San Francisco, gefinancierd door Peter Thiel, met een dubbele rol als commerciële KYC-aanbieder en geaccrediteerde infrastructuur van de Amerikaanse overheid. LinkedIn heeft binnen dit systeem 100 miljoen profielen geverifieerd. Reddit verifieert leeftijdsgroepen onder druk van Groot-Brittannië en binnenkort ook de EU. Roblox onderwerpt 151 miljoen dagelijkse gebruikers aan verplichte gezichtsscans. OpenAI vereist biometrische verificatie voor toegang tot 's werelds krachtigste AI-modellen.

Deze concentratie is niet onvermijdelijk. Het is het resultaat van marktbeslissingen die zijn genomen onder zwakke regelgeving en met een gebrek aan transparantie voor het publiek. De EU AI-wet, de AVG en het EU-digitale pakket bieden de juridische instrumenten om deze concentratie te reguleren en Europese alternatieven te bevorderen. Wat ontbreekt, is de politieke wil om ze te handhaven – en het publieke besef dat de vraag wie hun publieke imago beheert geen technisch detail is, maar een kernkwestie van democratische zelfbeschikking in het digitale tijdperk.