Digitale identiteit voor Curaçao – Hebben wij minder recht op privacy?

Houden onze politici voldoende rekening met ons recht op privacy?

 De onbeantwoorde vragen rond het UBO-register keren terug. Een veilige cloud is belangrijk, maar zonder zichtbaar toezicht, duidelijke sancties en lokale zeggenschap blijft de burger kwetsbaar.

 Wie krijgt straks toegang tot onze digitale identiteit? Welke persoonsgegevens worden aan elkaar gekoppeld? Waar worden die gegevens opgeslagen en wie controleert of daar geen misbruik van wordt gemaakt?

Het zijn vragen die Jicel Bernadette Meulens terecht aan de orde stelt. De regering werkt aan een Curaçaose digitale identiteit waarmee burgers in de toekomst online toegang moeten krijgen tot overheidsdiensten en persoonlijke overheidsinformatie.

Maar voordat Curaçao enthousiast een digitale toekomst binnenstapt, moet eerst een fundamentelere vraag worden beantwoord: hebben Curaçaose burgers in de praktijk dezelfde bescherming van hun persoonsgegevens als inwoners van Europees Nederland?

Het eerlijke antwoord is: Curaçaoënaars hebben wel degelijk recht op bescherming van hun persoonlijke levenssfeer, maar het wettelijke toezicht, de meldplicht bij datalekken en de sanctiemogelijkheden zijn niet gelijk aan die onder de Europese Algemene verordening gegevensbescherming, de AVG.

Curaçao werkt aan een eigen digitale identiteit

Minister Shalten Hato van Bestuur, Planning en Dienstverlening bracht op 9 juli 2026 met een delegatie een bezoek aan Logius, de Nederlandse overheidsorganisatie achter onder meer DigiD, MijnOverheid en de Berichtenbox.

Volgens de Curaçaose regering en Logius werd gesproken over digitale identiteit, veilige authenticatie, gegevensuitwisseling, cybersecurity en digitale communicatie tussen overheid en burgers. Curaçao werkt aan een eigen variant van voorzieningen zoals DigiD en MijnOverheid, die onderdeel moet worden van het toekomstige Samenlevingsloket.

Dat kan veel voordelen opleveren: minder wachtrijen, minder papierwerk en snellere toegang tot overheidsdiensten. Maar een digitale identiteit is meer dan een gebruiksvriendelijke website. Zij kan de toegangspoort worden tot belastinggegevens, de burgerlijke stand, sociale voorzieningen, vergunningen en mogelijk zelfs zorggerelateerde informatie.

Wie de digitale sleutel beheert, krijgt daarom een grote verantwoordelijkheid.

De waarschuwing rond het UBO-register

De vragen van Meulens zijn niet nieuw. Op de voorpagina van dagblad Extra van 2 juni 2025 verscheen een ingezonden stuk vanuit de kring van Curaçaose belastingadviseurs onder de titel:

“Fiskalistanan ta pidi atenshon urgente pa protekshon informashon den registro UBO.”

Daaronder stond de kernvraag:

“Registrashon UBO a tene kuenta ku GDPR?”

Met andere woorden: is bij de inrichting van het UBO-register voldoende rekening gehouden met de Europese regels voor gegevensbescherming?

Het UBO-register bevat zeer gevoelige gegevens over natuurlijke personen die eigenaar zijn van of zeggenschap hebben over ondernemingen, stichtingen en andere juridische entiteiten. Het gaat onder meer om namen, geboortedata, nationaliteiten, woonadressen, identificatienummers, kopieën van identiteitsdocumenten en informatie over economische belangen.

De toenmalige minister van Financiën reageerde op 6 juni 2025. Hij verklaarde dat de UBO-gegevens versleuteld worden opgeslagen in een streng beveiligde Europese cloudomgeving. Volgens de minister vallen de gegevens door die locatie en inrichting tevens onder de AVG, terwijl daarnaast de Curaçaose Landsverordening bescherming persoonsgegevens van toepassing blijft. Ook wees hij op de geheimhoudingsplicht van ambtenaren en het inzagerecht van betrokkenen. De ministeriële reactie is hier terug te lezen.

Dat waren relevante antwoorden, maar zij namen niet alle zorgen weg. Niet bekend werd gemaakt bij welke cloudleverancier de gegevens worden opgeslagen, in welk Europees land de servers staan, wie de encryptiesleutels beheert, welke onafhankelijke beveiligingsaudits zijn uitgevoerd en welke procedure geldt wanneer gegevens worden gestolen, gelekt of onbevoegd geraadpleegd.

Diezelfde vragen keren nu terug bij de digitale identiteit, maar op een veel grotere schaal.

Hebben Curaçaoënaars dezelfde bescherming?

Artikel 12 van de Staatsregeling van Curaçao erkent het recht op eerbiediging van de persoonlijke levenssfeer. Daarnaast geldt sinds 1 oktober 2013 de Landsverordening bescherming persoonsgegevens. Deze wet verplicht organisaties om persoonsgegevens voor duidelijke en gerechtvaardigde doeleinden te verwerken, niet meer gegevens te verzamelen dan noodzakelijk en passende beveiligingsmaatregelen te treffen.

Curaçaoënaars hebben dus recht op privacybescherming.

Maar die bescherming is niet identiek aan die van inwoners van Europees Nederland. De Curaçaose landsverordening sluit inhoudelijk aan bij de voormalige Nederlandse Wet bescherming persoonsgegevens, die in Nederland in 2018 door de veel uitgebreidere AVG is vervangen. Binnen het Koninkrijk wordt juist gewerkt aan modernisering en harmonisatie van de privacyregels, zodat het beschermingsniveau in het Caribische deel van het Koninkrijk meer in overeenstemming wordt gebracht met dat van Europees Nederland. Dat blijkt ook uit de parlementaire stukken over de modernisering van gegevensbescherming binnen het Koninkrijk.

Onder de AVG gelden onder meer een duidelijke meldplicht voor ernstige datalekken, uitgebreide verantwoordingsverplichtingen, onafhankelijke toezichthouders met sterke onderzoeksbevoegdheden en aanzienlijk hogere sancties.

De principiële vraag is daarom gerechtvaardigd: waarom zou een Curaçaose burger binnen hetzelfde Koninkrijk genoegen moeten nemen met een lager of minder effectief beschermingsniveau?

Is de toezichthouder daadwerkelijk operationeel?

De wettelijke toezichthouder op Curaçao heet het College bescherming persoonsgegevens, het CBP. De landsverordening bepaalt dat dit College onafhankelijk toezicht moet houden, klachten kan onderzoeken, informatie kan opvragen en maatregelen kan treffen.

De vraag is echter of het College momenteel volledig bemenst en operationeel is.

De openbare informatie geeft geen eenduidig antwoord. In de begrotingsstukken voor 2026 verklaarde de regering dat het traject om het College “opnieuw op te richten” was gestart en dat het College in de loop van 2026 weer operationeel zou worden. Een officiële Curaçaose inbreng van juni 2026 vermeldde vervolgens dat de invulling van de onafhankelijke toezichthouder nog “in voorbereiding” was.

Sinds 1 juni 2026 is wel een vernieuwde website van het CBP online. Op de pagina waarop de samenstelling van het College behoort te staan, worden echter nog geen namen van een voorzitter en leden vermeld; er staan slechts lege plaatsen die later kunnen worden aangevuld. Ook de gepubliceerde contactgegevens lijken nog niet volledig ingevuld.

Daarmee is niet controleerbaar vastgesteld dat Curaçao op dit moment beschikt over een volledig bemenste en daadwerkelijk handhavende privacytoezichthouder.

Dat is geen technisch detail. Wanneer de overheid een centrale digitale identiteit wil invoeren, moet vooraf duidelijk zijn welke onafhankelijke instantie toezicht houdt, wie daar zitting in heeft, over welk budget en welke deskundigheid zij beschikt en waar een burger terechtkan met een klacht.

Wat gebeurt er bij een datalek?

Ook op dit punt bestaat een belangrijk verschil met Europees Nederland.

Onder de AVG moet een organisatie een datalek dat risico’s oplevert in beginsel binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Bij ernstige overtredingen kunnen boetes worden opgelegd tot €20 miljoen of vier procent van de wereldwijde jaaromzet. De Nederlandse Autoriteit Persoonsgegevens licht deze meldplicht uitdrukkelijk toe.

De Curaçaose Landsverordening bescherming persoonsgegevens verplicht organisaties wel om passende technische en organisatorische beveiligingsmaatregelen te nemen. Het College kan bestuursdwang toepassen en de wet voorziet voor enkele specifiek genoemde overtredingen in een bestuurlijke boete van maximaal XCG 10.000. Een burger die schade lijdt door een onrechtmatige verwerking kan daarnaast schadevergoeding eisen en de rechter om herstelmaatregelen vragen.

De huidige Curaçaose landsverordening bevat echter geen duidelijke, met de AVG vergelijkbare algemene verplichting om een datalek binnen 72 uur te melden. Evenmin bestaat een afzonderlijke, zware AVG-achtige sanctie voor ieder ernstig datalek.

De website van het CBP vermeldt inmiddels dat organisaties ernstige datalekken moeten melden. Maar zonder een helder gepubliceerde wettelijke grondslag, een concrete meldtermijn, een operationele toezichthouder en transparant sanctiebeleid blijft onduidelijk hoe dit in de praktijk wordt afgedwongen.

Wie controleert namens Curaçao?

Wanneer persoonsgegevens in een buitenlandse cloudomgeving worden opgeslagen, kan ook de Europese privacywetgeving van toepassing zijn op de Europese dienstverlener. Maar Europees toezicht op een cloudbedrijf vervangt het Curaçaose toezicht op onze eigen overheid niet.

De verantwoordelijkheid kan niet worden uitbesteed.

De regering moet daarom duidelijk maken:

• welke Curaçaose instantie juridisch verantwoordelijk wordt voor de digitale identiteit;
• waar de gegevens worden opgeslagen en welke onderneming de cloudomgeving beheert;
• wie eigenaar is van de infrastructuur, software en encryptiesleutels;
• welke overheidsdiensten toegang krijgen en hoe iedere raadpleging wordt vastgelegd;
• welke onafhankelijke instantie periodiek beveiligingsaudits uitvoert;
• binnen welke termijn een datalek wordt gemeld;
• wie burgers informeert wanneer hun gegevens zijn getroffen;
• welke sancties gelden bij nalatigheid of misbruik;
• en aan welke instantie burgers effectief een klacht kunnen voorleggen.

 Vertrouwen vraagt meer dan geruststellende woorden

Digitalisering is geen bedreiging op zichzelf. Zij kan de overheid toegankelijker, sneller en efficiënter maken. Maar vertrouwen ontstaat niet doordat de regering zegt dat een systeem veilig is. Vertrouwen ontstaat wanneer burgers die veiligheid onafhankelijk kunnen laten controleren.

De vragen die belastingadviseurs in 2025 over het UBO-register stelden, hadden daarom als waarschuwing moeten dienen. De discussie ging niet over weerstand tegen vooruitgang, maar over het ontbreken van controleerbare informatie.

Een digitale identiteit raakt uiteindelijk iedere Curaçaoënaar. Daarom moet vóór de invoering duidelijk zijn welke wet de gegevensverwerking toestaat, welke persoonsgegevens worden gekoppeld, waar die worden opgeslagen, wie toegang krijgt, welke sancties gelden en welke onafhankelijke Curaçaose toezichthouder daadwerkelijk kan optreden.

Curaçaoënaars hebben niet minder recht op privacy omdat zij buiten Europees Nederland wonen. Maar een recht dat niet effectief wordt gecontroleerd en gehandhaafd, blijft in de praktijk kwetsbaar.

De digitale toekomst van Curaçao moet daarom niet alleen modern en efficiënt zijn. Zij moet ook juridisch gelijkwaardig, transparant en controleerbaar zijn.

Die verantwoording ligt bij de regering.