• Vraag 1

  Bent u bekend met het artikel van Mick Beer van 2 juni 2026, getiteld «Een Amerikaans reclamebedrijf krijgt een verslag van elke klik terwijl jij je belasting betaalt»1?
  
  

  Ja.
  

• Vraag 2

  Klopt het dat binnen Mijn Belastingdienst, na inloggen met DigiD, bij het openen van een aanslag en het starten of annuleren van een betaling via iDEAL of Wero, gegevens worden verzonden naar adobe-analytics-dc.belastingdienst.nl en dat dit domein technisch doorverwijst naar Adobe-infrastructuur, waaronder data.adobedc.net?
  
  

  Dit klopt. Zoals gemeld in de Kamerbrief over Digitale Autonomie die uw Kamer 11 juni 2026 heeft ontvangen, is de Belastingdienst recent door een ethisch hacker gewezen op het gebruik van Adobe Analytics op de websites van de Belastingdienst, waarbij gegevens zonder toestemming werden doorgezonden naar Adobe. De Belastingdienst heeft deze functionaliteit direct uitgezet toen bleek dat dit inderdaad het geval was.
  De Belastingdienst heeft de Autoriteit Persoonsgegevens (AP) geïnformeerd en een datalek gemeld. Ik betreur dat dit is gebeurd en ik ben dankbaar dat deze ethisch hacker de Belastingdienst hierop heeft gewezen. Er is contact geweest om te bedanken voor het melden van de kwetsbaarheid. Ook heeft een aanvullend inhoudelijk gesprek plaatsgevonden. De Belastingdienst, Douane en Dienst Toeslagen ontvangen graag signalen over beveiliging en privacy via het beschikbare responsible disclosure proces (ook wel Coordinated Vulnerability Disclosure genoemd), zodat deze continu op een hoger plan kunnen worden gebracht. Daarnaast geven we prioriteit aan de verkenning of er op andere plekken binnen de Belastingdienst, Toeslagen of Douane sprake is van vergelijkbare onzorgvuldigheden bij het gebruik van de analyticstooling. De uitkomsten hiervan deel ik met uw Kamer in de eerstvolgende stand-van-zakenbrief.
  

• Vraag 3

  Kunt u exact aangeven welke gegevens, parameters, events, headers en identifiers in deze betaalflow aan Adobe Analytics worden verzonden, waaronder in ieder geval gegevens over belastingmiddel, aanslagjaar, betaalstatus, betaalmethode, funnelstap, actieve tab, gebruikersinterfacevoorkeur, betaalstart, annulering of mislukte betaling?
  
  

  De Belastingdienst gebruikte Adobe Analytics voor het meten van gebruik, navigatie en prestaties van de digitale dienstverlening, om die voor burgers en bedrijven te verbeteren.
  Zoals aangegeven in het antwoord op vraag 2, is de functie om analyticsgegevens naar Adobe te sturen per 5 juni 2026 uitgezet. Dat betekent dat er op dit moment niets verzonden wordt aan Adobe. In de tabel in bijlage 1 staat aangegeven welke gegevens gedeeld werden met Adobe op het moment van uitzetten van de functie.2
  

• Vraag 4

  Kunt u bevestigen of uitsluiten dat bij deze verwerking een Adobe Experience Cloud ID, ECID, MID of vergelijkbare persistente identifier wordt gebruikt en zo ja, wat de bewaartermijn is van de bijbehorende cookies of identifiers?
  
  

  Zoals hierboven aangegeven, staat de functie om analyticsgegevens met Adobe te delen uit. Voordat deze functie was uitgezet werd een identifier gebruikt en werden tracking-cookies geplaatst bij de eindgebruikers voor twee jaar.
  

• Vraag 5

  Kunt u bevestigen of uitsluiten dat bedragen, BSN, IBAN, betalingskenmerk, aanslagnummer, vorderingsidentificatie, claim-identifier, IP-adres, sessiegegevens, referrers of andere direct of indirect herleidbare gegevens aan Adobe of aan Adobe-gelieerde systemen worden verstrekt?
  
  

  De functie om analyticsgegevens met Adobe te delen staat uit. Op dit moment kunnen we daarom uitsluiten dat gegevens verstrekt worden. In het antwoord op vraag 3 staat aangegeven welke gegevens werden gedeeld met Adobe. We kunnen niet uitsluiten dat meer gegevens zijn gedeeld, omdat niet duidelijk is wat een gebruiker gedeeld heeft in een vrij tekstveld of zoekmachine. Wel weten we dat het IP-adres in ieder geval meegezonden werd, zoals toegelicht op pagina 12 van bijlage 1.
  

• Vraag 6

  Wie is voor deze verwerking verwerkingsverantwoordelijke, wie is verwerker, en welke rol heeft Adobe juridisch en feitelijk bij deze verwerking: uitsluitend verwerker, zelfstandig verwerkingsverantwoordelijke of gezamenlijk verwerkingsverantwoordelijke?
  
  

  De Minister van Financiën is de verwerkingsverantwoordelijke. De standaarddienst voor websiteanalytics wordt afgenomen bij leverancier IBM, waarbij Adobe de onderleverancier is. Bij het inrichten van de websiteanalytics was het niet de bedoeling om persoonsgegevens te verwerken. Er is destijds met IBM daarom een standaardcontract afgesloten, maar geen verwerkersovereenkomst. Naar nu blijkt zijn er wel persoonsgegevens verwerkt, waardoor een verwerkersovereenkomst nodig was geweest. Destijds is hier onvoldoende aandacht voor geweest.
  

• Vraag 7

  Welke juridische grondslag bestaat er onder de AVG voor het meten van betaalgedrag binnen een verplichte overheidsdienst na DigiD-inlog, en hoe beoordeelt u daarbij noodzakelijkheid, proportionaliteit en subsidiariteit?
  
  

  Het gebruik van Adobe Analytics was niet in lijn met de geldende ePrivacy-regels en de Algemene Verordening Gegevensbescherming (AVG). Deze functionaliteit is dan ook uitgezet.
  Bij het inrichten van de websiteanalytics was het niet de bedoeling om persoonsgegevens te verwerken (zie vraag 6). Daarom zijn de grondslag en de noodzakelijkheid niet beoordeeld. Als wij nu beoordelen welke gegevens zijn gedeeld, zijn wij van mening dat het niet noodzakelijk is om al deze gegevens te verwerken. De verwerking is dan ook gestopt. Bij het opnieuw inrichten van websiteanalytics zal de Belastingdienst de grondslag beoordelen en de noodzakelijkheidstoets uitvoeren.
  

• Vraag 8

  Acht u voor het plaatsen of uitlezen van deze cookies of vergelijkbare trackingtechnologie toestemming vereist op grond van de Telecommunicatiewet/ePrivacy-regels, en zo nee, waarom kwalificeert deze verwerking volgens u als niet-privacygevoelige analytische meting?
  
  

  De inrichting voldeed niet aan de geldende ePrivacy-regels. Gelet op het gebruik van tracking-cookies met een bewaartermijn van twee jaar en de aard en omvang van de verzamelde gegevens had toestemming gevraagd moeten worden.
  

• Vraag 9

  Hoe verhoudt deze verwerking zich tot de cookieverklaring van de Belastingdienst, waarin staat dat de cookies geen persoonsgegevens vastleggen en niet tot personen herleidbaar zijn, en tot de privacyverklaring waarin staat dat persoonsgegevens alleen worden gebruikt voor wettelijke taken en doelen die daar direct uit voortvloeien?
  
  

  De feitelijke verwerking sloot niet aan bij de cookieverklaring en de privacyverklaring. De betreffende functionaliteit is dan ook uitgezet.
  

• Vraag 10

  Is voorafgaand aan deze inzet van Adobe Analytics in Mijn Belastingdienst en de betaalflow een DPIA, risicoanalyse, verwerkersovereenkomst, doorgiftebeoordeling en inkoopafweging opgesteld, en zijn de Functionaris Gegevensbescherming, CPO, CISO, CIO Rijk, Auditdienst Rijk of Autoriteit Persoonsgegevens hierbij betrokken geweest?
  
  

  Nee. Zie ook de antwoorden op vraag 6 en 7. Bij het inrichten van de websiteanalytics was het niet de bedoeling om persoonsgegevens te verwerken. Hierdoor is er ook geen DPIA uitgevoerd. De Belastingdienst gaat evalueren of er op basis van de nieuwe inrichting van webanalytics nog een DPIA nodig is en zal, indien blijkt dat er een DPIA uitgevoerd moet worden, de CPO en Functionaris Gegevensbescherming betrekken conform standaardprocedure.
  

• Vraag 11

  Kunt u bij de risico-inschatting onderscheid maken tussen wat theoretisch mogelijk, aannemelijk, waarschijnlijk en urgent is ten aanzien van koppeling van fiscaal betaalgedrag aan een persistent profiel, doorgifte buiten de EU/EER, toegang door derde partijen, ketenafhankelijkheid en gevolgen voor burgers die wettelijk verplicht zijn belasting te betalen?
  
  

  Bij het opnieuw inrichten van de websiteanalytics zal conform standaardprocedure, indien nodig (zie vraag 10), een DPIA en/of een risico-inschatting, gemaakt worden. Dit is randvoorwaardelijk voor het in gebruik nemen van websiteanalytics. Alle risico’s die hier een rol spelen, inclusief bovenstaande punten, worden meegenomen. Hierbij zal in het bijzonder aandacht zijn voor de inzet van analytics en de daarvoor benodigde persoonsgegevens.
  

• Vraag 12

  Bent u bereid de verzending van betaalflowgegevens aan Adobe Analytics per direct te laten onderzoeken en, zolang rechtmatigheid en proportionaliteit niet overtuigend zijn vastgesteld, tijdelijk stop te zetten, de Kamer binnen twee weken een tijdlijn, technische analyse, DPIA, verwerkersovereenkomst en relevante beslisnota’s te sturen voor zover juridisch mogelijk, en deze vragen afzonderlijk te beantwoorden?
  
  

  De verwerking is stopgezet en wordt pas opnieuw opgestart nadat de rechtmatigheid en proportionaliteit zijn beoordeeld en passend zijn geborgd. Daarbij zal eerst een DPIA worden opgesteld en zullen verwerkersafspraken, waaronder een verwerkersovereenkomst, worden vastgesteld.
  

Kamervraag document nummer: kv-tk-2026Z11812

Volledige titel: Het gebruik van Adobe Analytics in de betaalomgeving van de Belastingdienst

Kamerantwoord document nummer: ah-tk-20252026-2370

Volledige titel: Antwoord op vragen van het lid Van den Berg over het gebruik van Adobe Analytics in de betaalomgeving van de Belastingdienst