Was dit echt een incident?

De fiscalisten waarschuwden al in 2025 voor de bescherming van vertrouwelijke gegevens

 Na negen maanden onbevoegde toegang bij de CGA moet Curaçao ook de veiligheid van het UBO register onafhankelijk laten onderzoeken

Op 2 juni 2025 verscheen op de voorpagina van Extra het artikel “Fiskalistanan ta pidi atenshon urgente pa protekshon informashon den registro UBO”. Daaronder stond de kernvraag: “Registrashon UBO a tene kuenta ku GDPR?”

De fiscalisten vroegen onder meer naar de technische beveiliging, bewaartermijnen, toegangsrechten, controle van logbestanden, sancties bij misbruik en de bescherming van buitenlandse UBO’s. Zij wilden weten of vooraf een onafhankelijk onderzoek naar de privacyrisico’s was uitgevoerd en hoe misbruik door bevoegde functionarissen zou worden opgespoord en bestraft.

Die vragen werden destijds door de minister van Financiën niet met waardering ontvangen. Volgens zijn reactie probeerde een anonieme afzender “onrust en twijfel te zaaien” over het UBO register. De minister verzekerde dat de gegevens versleuteld werden opgeslagen in een streng beveiligde Europese cloudomgeving. De precieze beveiligingsmaatregelen zouden bewust niet openbaar worden gemaakt, omdat bekendmaking daarvan de veiligheid zou kunnen ondermijnen.

Ruim een jaar later moeten wij vaststellen dat de fiscalisten geen onrust zaaiden. Zij stelden vragen die iedere verantwoordelijke overheid vóór de ingebruikneming van een databank met zulke gevoelige informatie behoort te beantwoorden.

 Wie gelooft nog dat dit slechts een incident was?

De Curaçao Gaming Authority heeft bevestigd dat een onbevoegde gebruiker zich in december 2025 onder een valse identiteit registreerde. Daarbij werd een variant gebruikt van de naam van een bestaande persoon, gekoppeld aan een onderneming die werkelijk in het Handelsregister van Curaçao staat ingeschreven. De toegang bleef bestaan tot september 2026. Volgens de CGA zijn gegevens over Curaçaose gokbedrijven en interne documenten verkregen. De volledige omvang is nog altijd niet vastgesteld.

Wie deze feiten serieus beoordeelt, kan dit moeilijk als een gewoon beveiligingsincident beschouwen. Het ging niet om iemand die toevallig enkele minuten toegang kreeg, een kwetsbaarheid meldde en zich vervolgens terugtrok.

Er was sprake van een valse identiteit, voorbereiding, technische binnendringing, maandenlange heimelijke toegang, systematische informatievergaring en het delen van gegevens met een internationaal netwerk van journalisten. De betrokkene verklaart bovendien dat aan het onderzoek ongeveer een jaar voorbereiding voorafging.

De juiste omschrijving is daarom:

 een langdurige, doelgerichte en grensoverschrijdende digitale infiltratie waarbij vertrouwelijke informatie systematisch werd verzameld en met derden werd gedeeld.

Of dit juridisch als spionage moet worden gekwalificeerd, hangt af van het bewijs over het doel, een eventuele opdrachtgever, de financiering en de uiteindelijke begunstigden. Maar het ontbreken van die informatie verandert de aard van de vastgestelde handelingen niet. Een onbekende opdrachtgever maakt een doelgerichte operatie niet tot een toevallig incident.

 Publiek belang is geen vrijbrief

De betrokkene stelt in het publieke belang te hebben gehandeld. Dat kan haar opgegeven motief zijn, maar het vormt nog geen onafhankelijk vastgesteld feit. Het begrip publiek belang mag ook geen vrijbrief worden voor het gedurende negen maanden verzamelen van paspoorten, belastingdocumenten, financiële gegevens, eigendomsstructuren en interne beoordelingen.

Bij werkelijk ethisch beveiligingsonderzoek wordt een kwetsbaarheid doorgaans gemeld, wordt de toegang beperkt tot wat noodzakelijk is om het probleem aan te tonen en worden persoonsgegevens zo veel mogelijk beschermd. Hier werd de toegang juist maandenlang behouden en werden omvangrijke dossiers meegenomen en met derden gedeeld.

Daarom moet niet alleen worden gevraagd wat uiteindelijk is gepubliceerd. Ook moet worden vastgesteld welke informatie is gekopieerd, wie volledige toegang kreeg, hoeveel kopieën bestaan, waar deze worden bewaard en welke gegevens nooit zijn gepubliceerd maar nog wel in handen van derden zijn.

 Hoe veilig is het UBO register?

De Kamer van Koophandel beheert het UBO register. Daarin worden onder meer namen, woonadressen, geboortedata, nationaliteiten, CRIB nummers, buitenlandse identificatienummers, kopieën van identiteitsdocumenten, aandeelhoudersregisters en gegevens over economische belangen opgeslagen.

Volgens de officiële informatie behoren het Openbaar Ministerie, de Centrale Bank, de FIU, de Inspecteur der Belastingen en de Gaming Control Board tot de bevoegde instanties die toegang tot het register kunnen krijgen.

Er is momenteel geen bewijs dat ook het UBO register is binnengedrongen. Dat onderscheid moet zorgvuldig worden gemaakt. Maar de CGA is een van de instanties die wettelijk toegang kan krijgen tot UBO gegevens. Daardoor ontstaat een onvermijdelijke vraag: kon de langdurige toegang tot systemen of gebruikersaccounts van de CGA ook rechtstreeks of indirect worden gebruikt om informatie uit het UBO register te benaderen?

Alleen een onafhankelijk forensisch onderzoek naar de accounts, toegangspaden, koppelingen en logbestanden kan daarop antwoord geven. De mededeling dat het UBO portaal aan de vereiste technische normen voldoet, is onvoldoende. Veiligheid moet controleerbaar zijn.

 Hadden de fiscalisten gelijk?

Ja. Zij hadden gelijk dat de overheid vooraf duidelijkheid moest geven over beveiliging, toezicht, logging, bewaartermijnen en sancties. Daarmee staat nog niet vast dat het UBO register zelf onveilig is. Wel staat vast dat het vertrouwen waarmee de registratie werd opgelegd onvoldoende werd ondersteund door publiek controleerbare waarborgen.

Of bewust is gekozen voor een kwetsbaar systeem, kan zonder bewijs niet worden vastgesteld. Er lijkt wel bewust te zijn gekozen voor snelle invoering en beperkte openheid. Het achterhouden van operationele beveiligingsdetails kan verdedigbaar zijn, maar ontslaat de overheid niet van de verplichting een geanonimiseerde risicoanalyse, een onafhankelijke beveiligingsaudit en een duidelijk toezichtskader te publiceren.

 Wie had werkelijk belang?

Journalisten kunnen een legitiem publiek belang hebben bij het blootleggen van misstanden. De verkregen gegevens kunnen echter ook bijzonder waardevol zijn voor buitenlandse toezichthouders, belastingdiensten, procespartijen, concurrenten, commerciële onderzoeksbureaus en criminele organisaties.

Daarom mogen vragen naar een eventuele opdrachtgever, financiering en ontvangers niet als complotdenken worden afgedaan. Achterliggende belangen bij heimelijke operaties worden vrijwel nooit vrijwillig bekendgemaakt. Zij moeten worden onderzocht aan de hand van geldstromen, communicatie, toegangsgeschiedenis en de kring van personen en organisaties die de gegevens hebben ontvangen.

Curaçao heeft daarom een onafhankelijk onderzoek nodig naar zowel de infiltratie bij de CGA als de beveiliging rond het UBO register. Daarbij moeten minstens de gebruikersrechten, logbestanden, externe dienstverleners, cloudopslag, encryptie, toegangskoppelingen, meldprocedures en eventuele gegevensuitwisseling worden onderzocht.

De fiscalisten stelden in 2025 de juiste vragen.

Na negen maanden onbevoegde toegang tot de digitale keuken van een Curaçaose toezichthouder zijn die vragen alleen maar urgenter geworden: 

Wie beschermt onze vertrouwelijke gegevens, wie controleert de beschermers, wie profiteerde van deze operatie en wie legt verantwoording af wanneer het misgaat?