Privacyregels op Curaçao: wat je moet weten over de LBP en AVG

Privacywetgeving Curaçao is relevanter dan ooit. Of je nu klant bent bij een bank, meedoet aan een loting of online iets bestelt: jouw persoonsgegevens mogen niet zomaar worden verzameld, gedeeld of gepubliceerd. Maar wat mag eigenlijk wel – en wat niet?

In deze blog leggen we uit:

• Welke privacywet geldt op Curaçao
• Wanneer de AVG ook van toepassing is
• Wat je rechten zijn
• En wat bedrijven wél en niet mogen doen met jouw gegevens

Wat regelt de privacywetgeving op Curaçao (LBP)?

Op Curaçao geldt sinds 2013 de Landsverordening bescherming persoonsgegevens (LBP). Deze wet vormt de kern van de privacywetgeving Curaçao en lijkt in veel opzichten op de Europese AVG. De LBP bepaalt dat:

• Persoonsgegevens alleen voor een gerechtvaardigd doel mogen worden verzameld
• Er niet méér gegevens mogen worden gevraagd dan nodig
• Je moet weten waarom je gegevens worden gevraagd, door wie, en hoe lang ze bewaard blijven
• Je het recht hebt op inzage, correctie of verwijdering

Gevoelige gegevens – zoals je ID-nummer, adres, medische info of geboortedatum – vallen onder extra bescherming volgens de privacywetgeving Curaçao.

Meer informatie: Officiële tekst LBP bij overheid Curaçao

Wanneer geldt de AVG op Curaçao – en waarom is dat belangrijk?

Hoewel Curaçao geen EU-lidstaat is, geldt de Europese AVG (Algemene Verordening Gegevensbescherming) ook buiten Europa in bepaalde situaties. Dit is van belang voor organisaties die te maken hebben met Europese klanten of gebruikers.

De AVG geldt óók op Curaçao als:

• Een organisatie zich richt op mensen in de EU (bijv. via een webshop, nieuwsbrief, of hotelboekingssite)
• Er persoonsgegevens worden verwerkt van EU-ingezetenen

Voorbeelden:

Meer weten over hoe overheidsinformatie openbaar wordt gemaakt? Lees onze blog over openbaarheid van bestuur en de LOB op Curaçao.

Wat moet je als organisatie doen als de AVG op jou van toepassing is?

• Stel een privacyverklaring op volgens de AVG
• Vraag expliciete toestemming (bijvoorbeeld voor nieuwsbrieven)
• Leg verwerkingen en verwerkersverantwoordelijkheid vast
• Zorg voor procedures voor datalekken
• Overweeg een EU-vertegenwoordiger aan te stellen (artikel 27 AVG)

Privacywetgeving in de praktijk: voorbeelden van overtredingen

1. De bank vraagt telkens om een kopie van je ID

Veel klanten merken dat banken herhaaldelijk een ID-kopie vragen, zelfs voor kleine handelingen. Maar:

• Mag dat zomaar? Niet altijd.
• De bank moet kunnen uitleggen waarom de kopie nodig is
• Er moet een duidelijk bewaarbeleid zijn: hoe lang wordt het bewaard, wie heeft toegang?
• Onbeperkt verzamelen of delen met derden is niet toegestaan zonder toestemming of wettelijke grondslag

Tip: Vraag de bank om hun privacyverklaring of bewaartermijnen. Je hebt daar recht op.

2. Loting bij supermarkt: bon invullen met ID-nummer

Je koopt iets bij de supermarkt. Bij de kassa krijg je de kans om je naam, telefoonnummer én ID-nummer op de bon te schrijven voor een prijs. De bon gaat in een ton. Een maand later wordt op tv de winnaar getoond:

“De winnaar is… Jan Willemse, ID-nummer 1992041825, woonachtig op Koraal Specht, telefoonnummer 9xxxxxx.”

Wat gaat hier mis?

• Een ID-nummer op Curaçao bevat standaard je geboortedatum (formaat: YYYYMMDDXX)
• De laatste twee cijfers (XX) geven aan hoeveel mensen zich op die dag inschreven, dus het ID-nummer is vaak bijna uniek
• In combinatie met naam, adres of telefoonnummer is iemand volledig identificeerbaar

Dit is in strijd met de privacywetgeving Curaçao:

• Onnodige gegevensverwerking
• Geen geldige toestemming
• Geen waarborgen voor opslag of beveiliging
• En vooral: onrechtmatige openbaarmaking op televisie

Wat mag wél?

• Deelnemers mogen een naam en telefoonnummer opgeven voor een loting, zolang:
  • Duidelijk is waarvoor ze meedoen
  • De gegevens niet verder verspreid of gepubliceerd worden
  • Het ID-nummer achterwege blijft

Tip voor bedrijven: gebruik een lotnummer in plaats van persoonsgegevens en bewaar de rest apart en beveiligd.

Deze situaties lijken onschuldig, maar zijn in juridische zin ronduit problematisch. Bedrijven riskeren klachten, reputatieschade of sancties.

Wat moeten organisaties doen volgens de privacywetgeving Curaçao?

Organisaties op Curaçao moeten volgens de LBP:

• Een duidelijke en toegankelijke privacyverklaring opstellen
• Alleen gegevens verwerken die noodzakelijk en gerechtvaardigd zijn
• Medewerkers bewust maken van privacyregels
• Eventuele datalekken melden bij het College bescherming persoonsgegevens (CBP)

Als ook de AVG geldt (bijvoorbeeld bij verwerking van EU-gegevens), zijn extra verplichtingen van kracht:

• Verwerkersovereenkomsten
• Een register van verwerkingen
• Mogelijk aanstelling van een functionaris voor gegevensbescherming (FG)

Toezicht en sancties op Curaçao

Het College bescherming persoonsgegevens (CBP) houdt toezicht op naleving van de LBP. Hoewel het toezicht jaren in ontwikkeling was, is het CBP inmiddels actief en bevoegd.

Bij overtredingen kunnen sancties volgen, waaronder:

• Boetes tot maximaal 10.000 NAƒ (ongeveer 5.700 USD) per overtreding
• Bevelen of beperkingen bij onrechtmatige verwerking
• Onderzoek of interventie bij klachten van burgers
• Reputatieschade bij openbaarmaking van nalatigheid

Bedrijven doen er verstandig aan om hun privacybeleid niet alleen formeel, maar ook praktisch op orde te hebben.

Wat kun jij doen als burger?

• Vraag altijd waarvoor je gegevens worden verzameld
• Weiger onnodige gegevensverstrekking (zoals ID-kopie bij een loting)
• Dien een klacht in bij het CBP als je denkt dat je rechten zijn geschonden
• Lees ook: Wat mag wel en niet bij ID-controles op Curaçao? Over de identificatieplicht in de praktijk
• Neem contact op met een jurist voor advies of hulp bij bezwaar

Conclusie

Privacywetgeving Curaçao is niet vrijblijvend. Zowel de landsverordening (LBP) als de AVG bieden duidelijke bescherming. Toch zien we dat in de praktijk nog veel misgaat. Van ID-kopieën bij de bank tot bonnetjesacties waarbij persoonsgegevens worden geopenbaard.

Weet wat je rechten zijn – en wees kritisch als je persoonlijke gegevens moet afstaan.

Vragen over privacy, LBP of AVG?
Neem vrijblijvend contact op met AVR-Law. Wij adviseren particulieren én organisaties over hun rechten en plichten.