Onderzoek naar datalek in Costa Rica breidt uit

De Costa Ricaanse toezichthouder voor gegevensbescherming, Prodhab (het Agentschap voor de Bescherming van Persoonsgegevens van Inwoners), is een eigen onderzoek gestart naar een vermeend massaal lek van persoonlijke informatie van mensen in Costa Rica. De stap, bevestigd op 19 september 2026, komt slechts enkele dagen nadat de Costa Ricaanse telecomtoezichthouder MICITT een darkwebbericht begon te onderzoeken dat naar verluidt tientallen miljoenen Costa Ricaanse gegevens zou bevatten. Ambtenaren hebben inmiddels bevestigd dat ten minste een deel van de gelekt gegevens echt is, een ontwikkeling die van wat begon als een niet-geverifieerde darkwebclaim een bevestigde kwestie van gegevensbescherming maakt.

Het feit dat nu twee afzonderlijke overheidsinstanties betrokken zijn, geeft aan hoe serieus de Costa Ricaanse autoriteiten het incident nemen. Het oorspronkelijke onderzoek van MICITT richtte zich op de herkomst en authenticiteit van het darkwebbericht zelf. De parallelle zaak van Prodhab verschuift de focus naar de kernopdracht van het agentschap: vaststellen of persoonsgegevens van inwoners van Costa Rica verkeerd zijn behandeld, blootgesteld of onrechtmatig verwerkt, en welke verplichtingen een verantwoordelijke organisatie mogelijk heeft onder het gegevensbeschermingskader van het land.

Waarom de betrokkenheid van Prodhab de inzet verandert

Prodhab bestaat specifiek om de Costa Ricaanse regels voor de bescherming van persoonsgegevens te handhaven, en haar betrokkenheid is belangrijk omdat zij het agentschap is dat bevoegd is om te onderzoeken hoe gegevens werden verzameld, opgeslagen en mogelijk blootgesteld. Onder Costa Ricaans recht wordt van organisaties die persoonsgegevens verwerken doorgaans verwacht dat zij Prodhab en de getroffen personen op de hoogte stellen wanneer zich een datalek voordoet. Dat Prodhab een eigen zaak opent, suggereert dat het agentschap meent dat het lek duidelijk binnen zijn regelgevende bevoegdheid valt, en niet uitsluitend een kwestie van cybercriminaliteit of darkwebmonitoring is die MICITT moet behandelen.

Dit onderscheid is van belang voor zowel inwoners als bedrijven. Een MICITT-onderzoek naar een darkwebbericht gaat in de eerste plaats over het verifiëren en traceren van een claim. Een Prodhab-onderzoek gaat over verantwoording: of passende waarborgen aanwezig waren, of openbaarmakingsverplichtingen zijn nagekomen, en of personen wier gegevens zijn blootgesteld recht hebben op kennisgeving. Nu ambtenaren hebben bevestigd dat een deel van de gelekt gegevens echt is, is de druk op beide agentschappen om de bron en omvang van de blootstelling vast te stellen aanzienlijk toegenomen.

Wat in dit stadium nog onduidelijk blijft, is precies welke organisatie, welk systeem of welke dataset de bron van het lek was, hoeveel personen getroffen zijn, of welke categorieën persoonsgegevens waren opgenomen. Naarmate het onderzoek zich uitbreidt, zullen er waarschijnlijk meer details naar voren komen uit officiële verklaringen dan uit speculatie, en lezers moeten niet-geverifieerde darkwebclaims over de omvang van het lek met voorzichtigheid behandelen totdat Prodhab of MICITT formele bevindingen publiceren.

Wat dit voor u betekent

Als u in Costa Rica woont of persoonsgegevens hebt staan bij Costa Ricaanse instellingen, is dit onderzoek een herinnering dat datalekken niet altijd onmiddellijk worden aangekondigd, en dat bevestiging tijd kan kosten zelfs nadat een lek voor het eerst is gemeld. Het feit dat de autoriteiten ten minste een deel van de gelekt gegevens als authentiek hebben geverifieerd, betekent dat inwoners de situatie als een reëel, voortdurend risico moeten beschouwen en niet als een gerucht.

Terwijl het onderzoek doorgaat, zijn er praktische stappen die nu de moeite waard zijn in plaats van te wachten op een eindrapport. Nagaan welke organisaties uw persoonlijke informatie bezitten, letten op ongebruikelijke accountactiviteit en voorzichtig zijn met ongevraagde berichten die naar persoonlijke gegevens verwijzen, zijn allemaal redelijke voorzorgsmaatregelen wanneer een datalek op nationaal niveau actief wordt onderzocht. Voor iedereen die zich zorgen maakt over bredere onlineprivacy tijdens het reizen naar, wonen in of zaken doen met Costa Rica, kan het gebruik van tools zoals een beste VPN voor Costa Rica een extra beschermingslaag voor internetverkeer toevoegen, hoewel een VPN alleen de gevolgen van gegevens die al in een lek zijn blootgesteld niet ongedaan maakt.

Concrete aandachtspunten

Terwijl het Prodhab-onderzoek zich ontwikkelt naast het bestaande onderzoek van MICITT, is dit wat inwoners en bedrijven ondertussen kunnen doen:

  • Volg officiële verklaringen van Prodhab en MICITT in plaats van te vertrouwen op darkwebclaims voor details over de omvang of getroffen personen.
  • Controleer accounts die aan Costa Ricaanse instellingen zijn gekoppeld op ongebruikelijke inlogpogingen of ongeautoriseerde wijzigingen.
  • Wees sceptisch over phishingpogingen die kunnen verwijzen naar persoonlijke gegevens uit het lek.
  • Overweeg algemene privacygewoonten te versterken, waaronder het gebruik van een betrouwbare VPN bij het browsen of online transacties, terwijl de autoriteiten werken aan het bevestigen van de bron en schaal van het datalek.

Naarmate dit onderzoek naar het datalek zich blijft uitbreiden, kunt u verdere updates verwachten van zowel Prodhab als MICITT terwijl zij verantwoordelijkheid en de werkelijke omvang van de blootstelling vaststellen.