6G Matrix

Netwerk-API's

Operators maken wat het netwerk over je toestel weet per vraag opvraagbaar voor bedrijven, in Nederland voorlopig voor controles van nummer, simkaart en klantgegevens.

6GIoTIoBNanoAI TwinStaatMilitairIndustrieKapitaalBurger
Wat komt er?5 DOSSIERS · TECHNIEKWie trekt eraan?5 DOSSIERS · ACTORENWaartoe?5 DOSSIERS · CONTROL
Wat is het

Een netwerk-API (application programming interface) is een programmeerbare deur: een app of bedrijf stelt het net een vraag over een toestel en krijgt per vraag een antwoord. Die deuren worden beschreven in CAMARA, een open project van telecombedrijven bij de Linux Foundation, een stichting voor open software. Operators brengen dezelfde deuren via hun brancheclub, de GSM Association (GSMA), op de markt onder de naam Open Gateway. De specificaties gaan over gebied, roaming, bereikbaarheid, nummer, simwissel en klantgegevens[1][2].

Hoe het werkt

De 5G-kern zet zulke gegevens open via de Network Exposure Function (NEF), de functie die het net openzet voor derden[3]. CAMARA maakt er bij elke operator dezelfde vraag van. De locatie-API geeft een gebied, in het voorbeeld van hoogstens 1 vierkante kilometer. Reclame is een van de genoemde toepassingen[1]. Device Status zegt of het toestel roamt en in welk land, of het bereikbaar is en op welk soort netwerk het zit[4]. Number Verification, SIM Swap en KYC Match (know your customer) bevestigen je nummer, je laatste simwissel en of je klantgegevens kloppen[2]. Volgens COIN, de vereniging van Nederlandse telecomaanbieders, komt bij KYC Match in de regel alleen ja of nee of een score terug[5].

Wat 6G en AI toevoegen

In de 5G-kern kan de Network Data Analytics Function (NWDAF), de rekenfunctie die patronen in netwerkgegevens zoekt, analyseren waar abonnees heen gaan en hoe ze communiceren. Die analyse kan via de NEF naar een partij buiten de operator, afhankelijk van lokale regels en toestemming[6]. Gebruik daarvan in Nederland is niet gevonden. Voor de stap daarna wil Vodafone wat het netwerk zelf waarneemt, ook objecten zonder simkaart, via een API aan derden aanbieden. Dat is een voornemen, geen dienst in Nederland[7].

Bewijs · 6
01 · FEIT

Via een open API vraagt een derde in welk gebied een toestel is

CAMARA is het open-sourceproject van de Linux Foundation en de GSMA dat netwerkfuncties als API (Application Programming Interface, een programmeerbare aansluiting) beschrijft. Met Device Location Retrieval (release r3.2) kan een afnemer opvragen 'the area where a certain user device is localized'. De afnemer kan een maximale oppervlakte vragen, in het voorbeeld 'not larger than 1000000 square meters' (1 km²); een aanbieder kan een ondergrens zetten, als voorbeeld 'a minimum of 10000 square meters'. Hoe precies het antwoord is, hangt volgens de specificatie af van wat het netwerk kan. Location Verification controleert of een toestel in een opgegeven gebied is; het antwoord kan ook 'PARTIAL' zijn, en de operator kan om privacyredenen 'setting a minimum value to the accepted radius'. Geofencing laat een afnemer 'receive notifications when a device enters or exits a specified area', met als voorbeeld 'Tracking of logistics'. Bij de toepassingen van Retrieval staat 'Contextual-based advertising'. De specificatie noemt locatie in de meeste landen 'sensitive data' waarvoor 'consent by device owner/user must be verified'. Tegelijk beschrijft dezelfde tekst een oproep met een 'two-legged access token', zonder ingelogde gebruiker; de toestemmingsregels van CAMARA zeggen dat zulke tokens alleen mogen 'for CAMARA APIs that do not process Personal Data'. Dat is een spanning binnen de specificaties zelf.

«With this API, API consumers can retrieve the area where a certain user device is localized.»
02 · FEIT

De operator zegt of een toestel roamt, bereikbaar is en op welk net

Naast locatie biedt CAMARA API's over de toestand van een toestel. Device Roaming Status (release r2.2) geeft aan of een toestel roamt, en 'visited country information could be returned in the response'. Een genoemd gebruik: 'to establish that a customer is located where they claim to be'. Device Reachability Status laat een afnemer nagaan of een toestel 'reachable from the network via data- or sms-usage' is. Connected Network Type (release r1.2) geeft het type netwerk, bijvoorbeeld 4G of 5G; dat kan worden afgeleid uit 'the specific radio cell to which the device is connected'. Elk antwoord is klein, maar het komt uit het netwerk en niet uit het toestel, en het gaat over één abonnee per oproep.

«when the device is in roaming situation, visited country information could be returned in the response.»
03 · FEIT

Het net bevestigt je nummer op de achtergrond, zonder dat je iets doet

Drie CAMARA-API's maken van de operator een identiteitsbron. Number Verification (release r4.2) gebruikt 'silent authentication', aanmelding via het netwerk of de simkaart, om bezit van een nummer te controleren 'without requiring user interaction'; de aanbieder garandeert 'that there is no user interaction'. De grondslag staat erbij: 'A network operator knows to which subscriber a connected mobile phone belongs'. SIM Swap (release r3.3) geeft 'the last date of a SIM swap' op een lijn, of of er in een periode een simwissel was, een signaal tegen fraude met overgenomen nummers. KYC Match (Know Your Customer, release r2.2) vergelijkt wat een dienstverlener over een klant heeft met de gegevens 'on file (and verified)' in 'their own KYC records' van de operator, zoals naam, adres en geboortedatum. Per veld kan een score terugkomen; die gebruikt standaard het 'Jaro-Winkler distance algorithm', een maat voor gelijkenis van tekst, op een schaal van '0' tot '100'.

«It uses silent authentication (Network-based authentication or SIM-Based authentication) to verify possession of a phone number in the background without requiring user interaction.»
04 · FEIT

Onder gerechtvaardigd belang meldt het net je stil aan

De regels van CAMARA voor toegang en toestemming (ICM, Identity and Consent Management, release r4.2) zeggen dat API's met persoonsgegevens een 'legal basis' nodig hebben, met als voorbeelden 'legitimate interest', contract en toestemming (de grondslagen uit de AVG, de Algemene verordening gegevensbescherming). Voor het geval 'Consent is not required, such as legitimate interest' beschrijft ICM een stroom waarin een Operator Token wordt gebruikt voor 'silent' authenticatie, 'with no User interaction'. Tussen operator en afnemer kan een aggregator zitten, 'a hyperscaler (e.g. Vonage, AWS, Azure, Google Cloud)'. ICM erkent dat abonnee en gebruiker kunnen verschillen: 'a parent may be the Subscriber' voor een kind. Tokens zonder gebruiker mogen alleen 'for CAMARA APIs that do not process Personal Data'. Het technisch handboek van de GSMA voor Open Gateway (OPG.10, versie 5.0, juli 2026) noemt de Device Location-API als voorbeeld dat 'requires Consent in most scenarios', maar zegt ook dat 'it is not necessary to capture the Consent' als de verwerking op een andere grondslag steunt, voor een doel als 'fraud prevention and detection'. Welke grondslag geldt, bepalen operator en afnemer bij het aansluiten, niet de abonnee.

«The above flow example assumes a use case where Consent is not required, such as legitimate interest. In this case, the Operator Token is used for 'silent' authentication of the User (i.e. with no User interaction)»
05 · FEIT

KPN, Odido en Vodafone verkopen sinds 2025 nummercontroles

Op 30 oktober 2025 meldde KPN dat 'KPN, Odido and Vodafone' samen 'CAMARA-based security services' lanceerden, 'in collaboration with the COIN association and GSMA Open Gateway' (P*, eigen opgave). COIN is de vereniging van Nederlandse telecomaanbieders. Op haar site staat: 'drie CAMARA-oplossingen beschikbaar op de Nederlandse markt: Number Verification, SIM Swap en KYC Match'. Bij KYC Match deelt de aanbieder 'uitsluitend een ja/nee of een percentage score'; persoonsgegevens worden gedeeld 'wanneer dit strikt noodzakelijk is', en 'waar nodig wordt vooraf toestemming uitgevraagd'. Een Telco Finder 'leidt dienstverleners naar de mobiele operator die is gekoppeld aan een specifiek telefoonnummer'. Verkocht wordt via partners, onder wie Aduna. KPN noemt Open Gateway een initiatief van 'more than 80 mobile operator groups'. De bronnen noemen 'Vodafone'; dat dit VodafoneZiggo is, ligt voor de hand maar staat er niet.

«Together, KPN, Odido and Vodafone have taken an important step in strengthening digital security and combating online fraud by launching innovative, CAMARA-based security services. An initiative in collaboration with the COIN association and GSMA Open Gateway.»
06 · FEIT

Aduna verkoopt netwerk-API's wereldwijd, ook in Nederland

Aduna is 'created to combine and sell aggregated network Application Programming Interfaces (APIs) globally', schreef Ericsson op 29 juli 2025 bij de afronding van de transactie (P*). Eigenaren zijn onder meer 'AT&T, Bharti Airtel, Deutsche Telekom, Ericsson' en verder Orange, Telefonica, Verizon en Vodafone. Aduna werkt sinds 'September 11, 2024'. In maart 2026 meldde Aduna dat het API-diensten levert in onder meer 'Netherlands' (P*, eigen opgave). Op de eigen productpagina beschrijft Aduna KYC Match als controle 'without sharing personally identifiable information (PII) with you'. Welke Nederlandse operator aan Aduna levert, staat in deze bronnen niet; COIN noemt Aduna als partner.

«Aduna was created to combine and sell aggregated network Application Programming Interfaces (APIs) globally.»
Grens en tegengeluid

In Nederland zijn alleen de drie identiteitsdiensten gevonden. KPN, Odido en Vodafone verkopen die sinds oktober 2025 samen via COIN. Dat is hun eigen opgave[5]. Aduna, een bedrijf van grote operators en Ericsson, zegt netwerk-API's wereldwijd te verkopen, ook in Nederland. Ook dat is een bedrijfsclaim[8]. De locatie-API bestaat als specificatie, niet als gevonden Nederlandse dienst. Toestemming is niet altijd nodig: onder gerechtvaardigd belang kan het net je stil aanmelden bij de afnemer[9]. Population Density, drukte per vak, heet anoniem en vraagt daarom geen toestemming. Dat is de claim van de specificatie zelf[10].

07 · FEIT

Drukte per vak heet anoniem en vraagt daarom geen toestemming

Population Density Data (release r3.2) schat hoeveel toestellen er in een gebied zijn, per rastervak en per tijdvak, op basis van historische 'anonymized information of the network connected devices'. De specificatie stelt dat de API 'do not treat personal data neither as input nor output' en dat toegang daarom loopt via 'Client Credentials - 2-legged', dus zonder abonnee in de keten. Als een vak te weinig gegevens heeft voor k-anonimiteit (elke persoon gaat op in een groep van minstens k), komt er geen getal maar 'LOW_DENSITY'. Een genoemde toepassing is toezicht bij 'concerts or festivals'. Of zulke geaggregeerde locatiegegevens werkelijk anoniem zijn, beoordeelt de specificatie niet; dat is een vraag voor de privacytoezichthouder.

«Population Density Data API ensures the usage of anonymized information and do not treat personal data neither as input nor output. Therefore, the access to Population Density Data API is defined as Client Credentials - 2-legged.»
08 · FEIT

Een rekenfunctie in de 5G-kern kan bijhouden waar abonnees heen gaan

De NWDAF (Network Data Analytics Function) is de analysefunctie van de 5G-kern. TS 23.288 (V20.2.0) somt 'the UE related analytics' op die zij kan leveren (UE, User Equipment, is het toestel). De NWDAF 'shall be able to collect UE mobility related information' en levert 'UE mobility statistics or predictions'. Een afnemer 'may be a NF (e.g. AMF, SMF or AF)'; een AF (Application Function) kan ook buiten de operator staan. Met een filter kan worden gevraagd naar toestellen die nu in een gebied zijn en eerder 'been in at least one of the Visited AOI(s)' (AOI, Area of Interest). Toestemming: 'Depending on local regulations' haalt de NWDAF die eerst op. 'The analytics exposure to AFs may be performed via NEF'; de NEF (Network Exposure Function) is de poort naar derden en beheert per AF de toegestane analyses en 'associated inbound restrictions'. TS 23.502 (V20.3.0) beschrijft daarnaast Monitoring Events die 'reported via the NEF' worden, zoals Location Reporting: 'the Current Location or the Last Known Location of a UE', ook doorlopend, 'every time it becomes aware of a location change'. De CAMARA-API's zijn de verkoopbare buitenkant; dit is de norm eronder.

«NWDAF supporting UE mobility statistics or predictions shall be able to collect UE mobility related information from NF, OAM and to perform data analytics to provide UE mobility statistics or predictions.»
Wie zit erachter · 3
Bronnen bij de tekst
  1. 01Via een open API vraagt een derde partij de operator per oproep in welk gebied een toestel is, ook voor reclameCAMARA, CAMARA: locatie-API's (2025)
  2. 02Het netwerk bevestigt op de achtergrond je telefoonnummer, je laatste simwissel en je klantgegevens aan een bank of webwinkelCAMARA, CAMARA: nummerverificatie (2026)
  3. 03De 5G-kern geeft de locatie van een toestel door aan derden3GPP, 3GPP TS 23.501: systeemarchitectuur 5G (2026)
  4. 04De operator vertelt een derde partij of een toestel roamt en in welk land, of het bereikbaar is en op welk netwerk het zitCAMARA, CAMARA: roaming en bereikbaarheid (2025)
  5. 05KPN, Odido en Vodafone verkopen sinds 2025 samen nummer- en identiteitscontroles uit het netwerkKPN, KPN: CAMARA-diensten met Odido en Vodafone (2025)
  6. 06In de 5G-kern analyseert een netfunctie waar abonnees gaan en hoe ze communiceren, en die analyse kan via de NEF naar een externe partij3GPP, TS 23.288: netwerkanalyse (NWDAF) (2026)
  7. 07Vodafone wil netwerkwaarneming via een API aan derden aanbiedenVodafone, Vodafone's mobile network senses something in the air (2025)
  8. 08Grote operators en Ericsson hebben een gezamenlijk bedrijf dat hun netwerk-API's wereldwijd verkoopt, ook in NederlandEricsson, Ericsson: Aduna afgerond (2025)
  9. 09Toestemming is niet altijd nodig: onder gerechtvaardigd belang meldt het netwerk je stil aan bij de afnemerCAMARA, CAMARA: toegang en toestemming (2026)
  10. 10Drukte per vak uit telefoongegevens: de API heet anoniem en vraagt daarom geen toestemmingCAMARA, CAMARA: bevolkingsdichtheid (2025)
Volgend dossier
Het 6G-netwerk

6G is de volgende generatie mobiel netwerk. Het verbindt niet alleen, maar neemt ook waar, op hogere frequenties en met meer antennes dichter bij huis. Het dossier gaat over standaard, frequenties, dekking, blootstelling en cybercrime.

Lees verder →

Lees ook

↑ Terug naar 5G