Antwoord schriftelijke vragen : Antwoord op vragen van het lid Van den Berg over het gebruik van Adobe Analytics in de betaalomgeving van de Belastingdienst

Antwoord van Staatssecretaris Eerenberg (Financiën) (ontvangen 25 juni 2026).

Vraag 1

Bent u bekend met het artikel van Mick Beer van 2 juni 2026, getiteld «Een Amerikaans
reclamebedrijf krijgt een verslag van elke klik terwijl jij je belasting betaalt»1?

Antwoord 1

Ja.

Vraag 2

Klopt het dat binnen Mijn Belastingdienst, na inloggen met DigiD, bij het openen van een aanslag en het starten of annuleren van een betaling via iDEAL of Wero, gegevens worden verzonden naar adobe-analytics-dc.belastingdienst.nl en dat dit domein technisch doorverwijst naar
Adobe-infrastructuur, waaronder data.adobedc.net?

Antwoord 2

Dit klopt. Zoals gemeld in de Kamerbrief over Digitale Autonomie die uw Kamer 11 juni
2026 heeft ontvangen, is de Belastingdienst recent door een ethisch hacker gewezen
op het gebruik van Adobe Analytics op de websites van de Belastingdienst, waarbij
gegevens zonder toestemming werden doorgezonden naar Adobe. De Belastingdienst heeft
deze functionaliteit direct uitgezet toen bleek dat dit inderdaad het geval was.

De Belastingdienst heeft de Autoriteit Persoonsgegevens (AP) geïnformeerd en een datalek
gemeld. Ik betreur dat dit is gebeurd en ik ben dankbaar dat deze ethisch hacker de
Belastingdienst hierop heeft gewezen. Er is contact geweest om te bedanken voor het
melden van de kwetsbaarheid. Ook heeft een aanvullend inhoudelijk gesprek plaatsgevonden.
De Belastingdienst, Douane en Dienst Toeslagen ontvangen graag signalen over beveiliging
en privacy via het beschikbare responsible disclosure proces (ook wel Coordinated
Vulnerability Disclosure genoemd), zodat deze continu op een hoger plan kunnen worden
gebracht. Daarnaast geven we prioriteit aan de verkenning of er op andere plekken
binnen de Belastingdienst, Toeslagen of Douane sprake is van vergelijkbare onzorgvuldigheden
bij het gebruik van de analyticstooling. De uitkomsten hiervan deel ik met uw Kamer
in de eerstvolgende stand-van-zakenbrief.

Vraag 3

Kunt u exact aangeven welke gegevens, parameters, events, headers en identifiers in
deze betaalflow aan Adobe Analytics worden verzonden, waaronder in ieder geval gegevens
over belastingmiddel, aanslagjaar, betaalstatus, betaalmethode, funnelstap, actieve
tab, gebruikersinterfacevoorkeur, betaalstart, annulering of mislukte betaling?

Antwoord 3

De Belastingdienst gebruikte Adobe Analytics voor het meten van gebruik, navigatie
en prestaties van de digitale dienstverlening, om die voor burgers en bedrijven te
verbeteren.

Zoals aangegeven in het antwoord op vraag 2, is de functie om analyticsgegevens naar
Adobe te sturen per 5 juni 2026 uitgezet. Dat betekent dat er op dit moment niets
verzonden wordt aan Adobe. In de tabel in bijlage 1 staat aangegeven welke gegevens
gedeeld werden met Adobe op het moment van uitzetten van de functie.2

Vraag 4

Kunt u bevestigen of uitsluiten dat bij deze verwerking een Adobe Experience Cloud
ID, ECID, MID of vergelijkbare persistente identifier wordt gebruikt en zo ja, wat
de bewaartermijn is van de bijbehorende cookies of identifiers?

Antwoord 4

Zoals hierboven aangegeven, staat de functie om analyticsgegevens met Adobe te delen
uit. Voordat deze functie was uitgezet werd een identifier gebruikt en werden tracking-cookies
geplaatst bij de eindgebruikers voor twee jaar.

Vraag 5

Kunt u bevestigen of uitsluiten dat bedragen, BSN, IBAN, betalingskenmerk, aanslagnummer,
vorderingsidentificatie, claim-identifier, IP-adres, sessiegegevens, referrers of
andere direct of indirect herleidbare gegevens aan Adobe of aan Adobe-gelieerde systemen
worden verstrekt?

Antwoord 5

De functie om analyticsgegevens met Adobe te delen staat uit. Op dit moment kunnen
we daarom uitsluiten dat gegevens verstrekt worden. In het antwoord op vraag 3 staat
aangegeven welke gegevens werden gedeeld met Adobe. We kunnen niet uitsluiten dat
meer gegevens zijn gedeeld, omdat niet duidelijk is wat een gebruiker gedeeld heeft
in een vrij tekstveld of zoekmachine. Wel weten we dat het IP-adres in ieder geval
meegezonden werd, zoals toegelicht op pagina 12 van bijlage 1.

Vraag 6

Wie is voor deze verwerking verwerkingsverantwoordelijke, wie is verwerker, en welke
rol heeft Adobe juridisch en feitelijk bij deze verwerking: uitsluitend verwerker,
zelfstandig verwerkingsverantwoordelijke of gezamenlijk verwerkingsverantwoordelijke?

Antwoord 6

De Minister van Financiën is de verwerkingsverantwoordelijke. De standaarddienst voor
websiteanalytics wordt afgenomen bij leverancier IBM, waarbij Adobe de onderleverancier
is. Bij het inrichten van de websiteanalytics was het niet de bedoeling om persoonsgegevens
te verwerken. Er is destijds met IBM daarom een standaardcontract afgesloten, maar
geen verwerkersovereenkomst. Naar nu blijkt zijn er wel persoonsgegevens verwerkt,
waardoor een verwerkersovereenkomst nodig was geweest. Destijds is hier onvoldoende
aandacht voor geweest.

Vraag 7

Welke juridische grondslag bestaat er onder de AVG voor het meten van betaalgedrag
binnen een verplichte overheidsdienst na DigiD-inlog, en hoe beoordeelt u daarbij
noodzakelijkheid, proportionaliteit en subsidiariteit?

Antwoord 7

Het gebruik van Adobe Analytics was niet in lijn met de geldende ePrivacy-regels en
de Algemene Verordening Gegevensbescherming (AVG). Deze functionaliteit is dan ook
uitgezet.

Bij het inrichten van de websiteanalytics was het niet de bedoeling om persoonsgegevens
te verwerken (zie vraag 6). Daarom zijn de grondslag en de noodzakelijkheid niet beoordeeld.
Als wij nu beoordelen welke gegevens zijn gedeeld, zijn wij van mening dat het niet
noodzakelijk is om al deze gegevens te verwerken. De verwerking is dan ook gestopt.
Bij het opnieuw inrichten van websiteanalytics zal de Belastingdienst de grondslag
beoordelen en de noodzakelijkheidstoets uitvoeren.

Vraag 8

Acht u voor het plaatsen of uitlezen van deze cookies of vergelijkbare trackingtechnologie
toestemming vereist op grond van de Telecommunicatiewet/ePrivacy-regels, en zo nee,
waarom kwalificeert deze verwerking volgens u als niet-privacygevoelige analytische
meting?

Antwoord 8

De inrichting voldeed niet aan de geldende ePrivacy-regels. Gelet op het gebruik van
tracking-cookies met een bewaartermijn van twee jaar en de aard en omvang van de verzamelde
gegevens had toestemming gevraagd moeten worden.

Vraag 9

Hoe verhoudt deze verwerking zich tot de cookieverklaring van de Belastingdienst,
waarin staat dat de cookies geen persoonsgegevens vastleggen en niet tot personen
herleidbaar zijn, en tot de privacyverklaring waarin staat dat persoonsgegevens alleen
worden gebruikt voor wettelijke taken en doelen die daar direct uit voortvloeien?

Antwoord 9

De feitelijke verwerking sloot niet aan bij de cookieverklaring en de privacyverklaring.
De betreffende functionaliteit is dan ook uitgezet.

Vraag 10

Is voorafgaand aan deze inzet van Adobe Analytics in Mijn Belastingdienst en de betaalflow
een DPIA, risicoanalyse, verwerkersovereenkomst, doorgiftebeoordeling en inkoopafweging
opgesteld, en zijn de Functionaris Gegevensbescherming, CPO, CISO, CIO Rijk, Auditdienst
Rijk of Autoriteit Persoonsgegevens hierbij betrokken geweest?

Antwoord 10

Nee. Zie ook de antwoorden op vraag 6 en 7. Bij het inrichten van de websiteanalytics
was het niet de bedoeling om persoonsgegevens te verwerken. Hierdoor is er ook geen
DPIA uitgevoerd. De Belastingdienst gaat evalueren of er op basis van de nieuwe inrichting
van webanalytics nog een DPIA nodig is en zal, indien blijkt dat er een DPIA uitgevoerd
moet worden, de CPO en Functionaris Gegevensbescherming betrekken conform standaardprocedure.

Vraag 11

Kunt u bij de risico-inschatting onderscheid maken tussen wat theoretisch mogelijk,
aannemelijk, waarschijnlijk en urgent is ten aanzien van koppeling van fiscaal betaalgedrag
aan een persistent profiel, doorgifte buiten de EU/EER, toegang door derde partijen,
ketenafhankelijkheid en gevolgen voor burgers die wettelijk verplicht zijn belasting
te betalen?

Antwoord 11

Bij het opnieuw inrichten van de websiteanalytics zal conform standaardprocedure,
indien nodig (zie vraag 10), een DPIA en/of een risico-inschatting, gemaakt worden.
Dit is randvoorwaardelijk voor het in gebruik nemen van websiteanalytics. Alle risico’s
die hier een rol spelen, inclusief bovenstaande punten, worden meegenomen. Hierbij
zal in het bijzonder aandacht zijn voor de inzet van analytics en de daarvoor benodigde
persoonsgegevens.

Vraag 12

Bent u bereid de verzending van betaalflowgegevens aan Adobe Analytics per direct
te laten onderzoeken en, zolang rechtmatigheid en proportionaliteit niet overtuigend
zijn vastgesteld, tijdelijk stop te zetten, de Kamer binnen twee weken een tijdlijn,
technische analyse, DPIA, verwerkersovereenkomst en relevante beslisnota’s te sturen
voor zover juridisch mogelijk, en deze vragen afzonderlijk te beantwoorden?

Antwoord 12

De verwerking is stopgezet en wordt pas opnieuw opgestart nadat de rechtmatigheid
en proportionaliteit zijn beoordeeld en passend zijn geborgd. Daarbij zal eerst een
DPIA worden opgesteld en zullen verwerkersafspraken, waaronder een verwerkersovereenkomst,
worden vastgesteld.