De Belastingdienst en Adobe Analytics — geen incident, maar een bestuurlijk vraagstuk

Op 25 juni 2026 bevestigde staatssecretaris Eerenberg in antwoord op Kamervragen wat ethisch hacker en privacyactivist Mick Beer eerder had blootgelegd: de Belastingdienst deelde via Adobe Analytics gegevens van belastingbetalers met het Amerikaanse softwarebedrijf. Geen namen of BSN-nummers, maar wel paginabezoek, klikgedrag, bekeken aanslagen en ingevoerde zoektermen. IP-adressen werden meegestuurd. Er is sprake van een datalek, gemeld bij de Autoriteit Persoonsgegevens. De functionaliteit is per 5 juni uitgeschakeld.

De reactie was voorspelbaar: Kamervragen, een Kamerbrief, excuses in de marge. En dan verder.

Maar wie dit afdoet als een technisch incident of een compliance-fout, mist waar het werkelijk om gaat. Want de Belastingdienst deed precies wat ze van plan was. Het systeem werkte. Adobe Analytics leverde inzichten op over gebruikersgedrag. Het probleem was niet dat het misging — het probleem was dat niemand vooraf had besloten welke waarden hier op het spel stonden.

Over digitale systemen bij de overheid wordt inmiddels volop gediscussieerd. Aan aandacht ontbreekt het dus niet. Wat ontbreekt is de vraag die eraan vooraf hoort te gaan: welke waarden willen we borgen bij de inzet van zo’n systeem, en wie draagt daar de verantwoordelijkheid voor?

De reden waarom overheden dit soort systemen inzetten is een andere dan de reden waarop ze worden beoordeeld. Inzet wordt gerechtvaardigd vanuit efficiëntie en serviceverbetering. Beoordeling vindt achteraf plaats, via juridische toetsing en politieke verantwoording. Maar de bestuurlijke vraag — welke waarden worden hiermee gediend, welke verdrongen, en wie heeft dat besloten — die vraag stelt vrijwel niemand vooraf.

In de bestuurskundige literatuur is dit patroon herkenbaar. Digitale systemen in de publieke sector zijn geen breuk met het verleden maar een versnelling van een eeuwenoud proces: rationalisering. Overheden vervangen menselijk oordeel al eeuwen door regels en procedures. Digitale systemen doen hetzelfde, maar sneller en diepgaander. En de spanning die daarbij ontstaat is niet dat systemen falen — maar dat ze te goed werken. Een systeem dat precies doet waarvoor het is ontworpen, verdringt automatisch andere waarden die niet in de doelstelling staan.

Dat zagen we bij de Belastingdienst. Het systeem optimaliseerde voor gebruiksanalyse. Digitale soevereiniteit, privacy en het vertrouwen van burgers in de overheid stonden niet in de doelstelling. Niet omdat niemand dat belangrijk vond, maar omdat niemand dat vooraf expliciet had gemaakt.

De werkelijke vraag gaat verder dan soevereiniteit alleen. Want een goede keuze voor én implementatie van AI in de publieke sector vraagt om veel meer dan een juridische toets of een technische beoordeling. Het vraagt om een bestuurlijk proces waarbij vooraf wordt bepaald welke publieke waarden leidend zijn, welke risico’s acceptabel zijn, welke partijen betrokken moeten worden en wie eindverantwoordelijk is als het misgaat. Dat zijn geen vragen voor juristen of ICT-afdelingen alleen — het zijn politiek-bestuurlijke keuzes die op het juiste niveau moeten worden gemaakt, door de juiste mensen, op het juiste moment.

Bij de Belastingdienst ontbrak precies dat. Niet de techniek faalde, niet de wet werd bewust overtreden. Wat ontbrak was een bestuurlijk moment waarop iemand de vraag stelde: wat doen we hier eigenlijk, voor wie, en wat zijn we bereid op te geven?

Zolang die afweging niet bestuurlijk wordt gemaakt, blijft een geval als dit zich herhalen. De juridische toets komt dan steeds te laat: het systeem draait al, de gegevens zijn al gedeeld en het vertrouwen is al beschadigd.

Meer regels en strengere audits helpen, maar zijn niet waar dit begint. Het begint bij een expliciete bestuurlijke keuze, gemaakt vóórdat een systeem in gebruik wordt genomen: wat willen we ermee bereiken, welke waarden zijn niet onderhandelbaar, en wie legt daarover straks verantwoording af? Wie dat moment overslaat, kiest ook — alleen zonder het te weten.