Het begint vaak met een onschuldig scherm. Een oprichter bekijkt hoeveel bezoekers er gisteren waren, waar winkelmandjes zijn achtergelaten en welke pagina’s wel of niet werkten. Het dashboard helpt bij voorraad, prijsstelling, campagnes en klantenservice. Wetgeving, contracten en meldingen van datalekken lijken dan ver weg.
Then the comfort breaks. On 11 June 2026, Rijksoverheid reported that an ethical hacker had warned the Belastingdienst about Adobe Analytics on Belastingdienst websites. Behavioural data had been sent to Adobe without consent. The functionality was switched off, the Autoriteit Persoonsgegevens was informed, and a datalek notification was filed. An inventory of similar tooling was also underway.
The reading for business is simple. This is not only a government story. It is a signal to every company with a website. Analytics is not just a dashboard. It is part of the control chain.
Het script hoort bij de beheersing
The Belastingdienst sits in a special position. It handles tax, identity-linked services and public trust. That makes the public weight heavier. Yet the mechanics are familiar to small firms. A script is added, a vendor receives data, a cookie statement says one thing, and the live site starts to do another.
Dutch cookie law is not complicated at its core. Telecommunicatiewet article 11.7a generally requires clear information and prior consent before storing or reading information on a user’s device, unless an exception applies. Rijksoverheid guidance says functional cookies and some low-impact analytical cookies may fall outside consent. Tracking cookies require consent. If personal data is processed, the AVG also applies.
Daar ligt de praktische grens. Analyse mag. Blind analyseren is het zwakke punt. Een onderneming moet weten wat zij meet, welk hulpmiddel dat doet, welke gegevens de website verlaten en of de administratie aansluit op de werkelijke inrichting.
De Rijksoverheid plaatste het incident bovendien in een breder programma voor digitale autonomie bij de Belastingdienst. Dat programma wijst op meer ontwikkeling in eigen huis, eigen IT-beheer, open source en veranderende relaties met leveranciers. De zakelijke les is niet ideologisch. Als een organisatie haar technologieketen niet kan uitleggen en beheersen, wordt het moeilijker om vertrouwen vast te houden.
De kleineondernemersversie
Denk aan een kleine webwinkel in Utrecht. De eigenaar wil vóór de zomeraanbieding betere conversiecijfers. Een webbureau voegt een tagmanager, een analysetool, een marketingpixel en een heatmap toe. Later plaatst een betaaldienstverlener nog een eigen script. Er verstrijken maanden. In de privacyverklaring staat nog altijd alleen iets over eenvoudige website-statistieken.
Niemand was van plan een complianceprobleem te creëren. Precies daarom is dit onderwerp van belang. De meeste tekortkomingen in het beheer van websites beginnen niet in de bestuurskamer. Ze ontstaan door kleine wijzigingen, oude toegangsrechten van bureaus, snelle campagneaanpassingen en hulpmiddelen die na afloop van een campagne blijven staan.
Hetzelfde patroon ziet u bij boekingssites, recruitmentpagina’s, klantenportalen, uploadomgevingen van accountants en SaaS-producten. Klanten ervaren dit niet als afzonderlijke technische zones. Zij zien één bedrijf. Als de inlogpagina, de betaalomgeving en de analyselaag niet dezelfde taal van compliance spreken, lekt het vertrouwen door de naden heen.
Een toestemmingsbanner helpt alleen als die overeenkomt met de werkelijke website. Hij kan geen gereedschapskist herstellen die niemand in kaart heeft gebracht. Ook een privacyverklaring kan het niet alleen dragen als scripts zonder beoordeling worden toegevoegd. De serieuze vraag voor de oprichter is eenvoudig: wie is eigenaar van de website nadat die live is gegaan?
Waar compliance de kas raakt
Het onderwerp klinkt als compliance, maar het effect op de kas is reëel. Als een onderneming ontdekt dat haar analysetools verkeerd zijn ingericht, blijft de rekening niet beperkt tot een juridische controle. Iemand moet de website scannen, de hulpmiddelen identificeren, de tagmanager opschonen, met leveranciers overleggen, informatie aanpassen, verwerkersvoorwaarden controleren en beoordelen of sprake is van verwerking met een hoger risico.
Het AVG-handboek van de Rijksoverheid zegt dat vóór een verwerking een DPIA verplicht is als de voorgenomen verwerking van persoonsgegevens waarschijnlijk een hoog risico voor mensen oplevert. Het handboek beschrijft ook het kader van 72 uur voor het melden van een datalek bij de Autoriteit Persoonsgegevens wanneer melding verplicht is, en de plicht om datalekken intern te documenteren. Als een verwerker persoonsgegevens verwerkt, hoort een schriftelijke of elektronische verwerkersovereenkomst, of een andere bindende rechtshandeling, bij een deugdelijke werkwijze.
Voor een microbedrijf is die druk heel concreet. Een stilgelegde boekingsstroom vertraagt de omzet. Een opnieuw gebouwde betaalomgeving kost geld. Schonere analyse kan betekenen dat er minder gedragsgegevens beschikbaar zijn, waardoor marketingbeslissingen tijdelijk minder comfortabel worden. Tegelijk kan een kleinere gereedschapsset de onderneming ook eenvoudiger bestuurbaar maken. Minder hulpmiddelen betekent minder contracten, minder instellingen en minder verrassingen.
Hier raakt het grootboek de website. De factuur voor analytics is zichtbaar. De verborgen kosten van gebrekkige beheersing komen later, wanneer de onderneming moet reconstrueren wat er precies is gebeurd.
Een betere gewoonte rond eigenaarschap
Een verstandige eerste stap is eigenaarschap. Eén persoon moet weten welke scripts draaien op de openbare website, in de betaalomgeving, het klantenportaal, de recruitmentpagina en het boekingsproces. Die persoon hoeft geen jurist te zijn. Wel moet hij of zij voldoende gezag hebben om het webbureau, het marketingteam en de softwareleverancier eenvoudige vragen te stellen en duidelijke antwoorden af te dwingen.
Nuttige vragen zijn concreet. Welke cookies en trackers draaien vóór toestemming? Welke leveranciers ontvangen gegevens? Gaat het om IP-adressen, accountidentifiers, transactiereferenties of URL-paden? Beschrijft de cookietekst de werkelijke inrichting? Wie mag een tag toevoegen? Welke oude hulpmiddelen en accounts van bureaus hebben nog toegang?
Ondernemingen die klantdocumenten, salarisgegevens, belastingdossiers, gezondheidsinformatie, sollicitaties of financiële gegevens verwerken, moeten extra zorgvuldig omgaan met portalen en uploads. Analyse rond gevoelige klantreizen verdient een strengere blik dan analyse op een openbare brochurepagina. Hetzelfde geldt voor inlogomgevingen en betaalprocessen, waar klanten zorgvuldigheid verwachten, ook als zij de privacyverklaring nooit lezen.
Ik zie liever dat een klein bedrijf bescheiden analysemogelijkheden gebruikt die het kan uitleggen dan een indrukwekkend dashboard dat het niet kan verdedigen. Het incident bij de Belastingdienst laat zien hoe snel een meetinstrument kan veranderen in een toestemmingskwestie, een leverancierskwestie, een datalekkwestie en een vertrouwenskwestie.
Terug naar het dashboard
Terug naar de oprichter die de bezoekers van gisteren bekijkt. Het dashboard is nog steeds nuttig. Het kan helpen bij voorraad, prijsstelling, campagnes en klantenservice. Maar het mag niet langer buiten de governance staan. Een website is niet af zodra hij er goed uitziet. Hij is af als de onderneming weet wat zij verstuurt, waarom zij dat doet, wie het ontvangt en waar die beslissing is vastgelegd.
Wilt u bespreken wat dit betekent voor uw bedrijf?
De data, bronnen en analyse achter dit artikel zijn uitgevoerd door Paolo Maria Pavan. AI is niet gebruikt om bronnen te identificeren, de feitelijke basis op te bouwen of het analytische oordeel in dit artikel te vormen. AI is alleen gebruikt als hulpmiddel bij het opstellen. De definitieve Nederlandse tekst is persoonlijk nagekeken, geredigeerd en goedgekeurd door Paolo Maria Pavan voor publicatie.
