Dit is wat er bij één betaling de grens over ging
Niet bij benadering. Dit zijn de letterlijke velden met de echte waarden uit mijn eigen sessie, verstuurd naar adobe-analytics-dc.belastingdienst.nl. Die naam klinkt als de Belastingdienst, maar via een verhulde DNS-omleiding komt hij uit bij data.adobedc.net, oftewel Adobe Inc. in de Verenigde Staten.
| Wat Adobe meekrijgt | Veld | Echte waarde uit mijn sessie |
|---|---|---|
| Een vast nummer dat je herkent | mid / v61 |
een 38-cijferige ECID, twee jaar geldig |
| Welke aanslag je bekijkt | c26 / v26 |
Inkomstenbelasting 2023 |
| Welke betaalstatussen je openhebt | c28 / v34 |
open:true;incasso:false;afgehandeld:true |
| De specifieke vordering | c6 / v6 |
de detail-URL met de claim-identifier erin |
| Welk middel en welke actie | c9 / v9 |
Inkomstenbelasting · Betaal met iDEAL \| Wero |
| Welke betaalopties je krijgt | v37 |
iDEAL aangeboden, Wero aangeboden |
| Waar je in de betaalfunnel zit | v41 |
ideal;start;ih;#; (methode, stap, middel) |
| Welk tabblad actief is | c13 / v13 |
open |
| Je UI-voorkeur | c23 / v23 |
Thema: dark |
| Het moment dat je op betalen klikt | events |
event30 (betaalstart), plus pageview en impression |
Lees die tabel nog een keer, want hier zit het hele verhaal in.
Een advertentiebedrijf aan de andere kant van de oceaan krijgt geen anoniem tellertje dat zegt “er was een bezoeker”. Het krijgt een verslag, regel voor regel, van een burger die zijn inkomstenbelasting betaalt.
Welk jaar. Welke methode. Welke stap in de funnel. Het moment van de klik. En er bovenop een nummer waarmee al die regels aan dezelfde persoon vastzitten.
Ik heb niets aan deze lijst hoeven toe te voegen of te verzinnen. De vertaling van al die cryptische veldnamen (c28, v61, event30) naar wat ze betekenen staat gewoon in het Adobe-configuratiebestand dat de site zelf laadt. De Belastingdienst heeft dit zo ingericht, expliciet, en het staat in hun eigen code te lezen.
Stel je voor dat er iemand naast je staat terwijl je je belasting betaalt. Niet een ambtenaar van de Belastingdienst, maar een Amerikaans reclamebedrijf. En die iemand noteert alles: welke aanslag je openhebt, dat je voor iDEAL kiest, het seconde-precieze moment dat je op betalen klikt, en dat je je daarna bedenkt en annuleert. Bij elke notitie zet hij hetzelfde volgnummer, zodat hij je over twee jaar nog herkent, ook op heel andere websites.
Dat is geen beeldspraak en geen scenario. Dat is precies wat er gebeurt zodra je inlogt op Mijn Belastingdienst. Ik heb het van begin tot eind van mijn eigen scherm geplukt, ingelogd met mijn eigen DigiD, met de antwoorden van de servers erbij, en gehasht zodat het na te lopen is.
Wat daar vertrekt is geen bezoekersteller, maar een verslag van wat ik deed.
Dat ene nummer is het ergste
De bovenste regel is de gevaarlijkste, en daarom staat hij boven. Het veld mid en het veld v61 bevatten exact hetzelfde getal van 38 cijfers. Dat is de Experience Cloud ID, het vaste herkenningsnummer waarmee Adobe een persoon over zijn hele netwerk aan elkaar knoopt. Bij mij wordt dat nummer bewaard in een cookie s_ecid met een levensduur van 63072000 seconden. Reken het uit:
Die herkenning verdwijnt niet als je uitlogt, ze blijft twee jaar staan.
Dat verandert alles aan de tabel hierboven. Zonder dat nummer zou je nog kunnen zeggen: het is gedrag van een naamloze bezoeker. Mét dat nummer is het een dossier. Elke regel die je betaalt, elke aanslag die je opent, hangt aan dezelfde sleutel, twee jaar lang, en aan een sleutel die Adobe ook elders herkent.
En het wrange is dat het niet eens hoeft. De DigiD-inlog zelf, de stap ervoor, is wél netjes. Die meet via een eigen teller van Logius die in Nederland draait, zonder DNS-truc en zonder cookies, en die niet meer doorgeeft dan een paginanaam. Het kán dus gewoon. Zodra je de fiscale omgeving zelf binnenstapt, gaat het mis.
Wat er niet werd meegestuurd
Ik schrijf dit dossier het liefst zo dat het overeind blijft bij de scherpste tegenlezing, dus hier de ondergrens. Je bedrag gaat niet mee. Je BSN niet. Je IBAN niet. Je betalingskenmerk niet. Dat heb ik niet aangenomen maar gecontroleerd, door alle verzonden waarden af te zoeken. Het zijn niet de cijfers van je aanslag die het land uit gaan.
Wat het land uit gaat is je gedrag eromheen, gekoppeld aan een persoon. Dat klinkt zachter, maar dat is het niet. Een advertentienetwerk hoeft je bedrag niet te weten om te weten dat jij, deze specifieke persoon, op dit moment een belastingschuld aan het afbetalen bent via iDEAL en halverwege twijfelde.
Ook je twijfel is een gebeurtenis
De scherpste test was wat er gebeurt als je je bedenkt. Ik startte de betaling en annuleerde hem, en keerde terug in het portaal. Precies dat stuk, de terugkeer na het afbreken, ontbrak in al mijn eerdere opnames, want die stopten op de pagina van de bank.
Na het annuleren verandert in de antwoorden van de server precies één ding: de status van de claim springt van Nieuw naar Mislukt. De volledige woordenschat die de server kent is Nieuw, Succesvol, Mislukt en In afwachting bij bank. Onschuldig op zichzelf. Maar het afbreken van een betaling zit in dezelfde Adobe-funnel als de rest. Niet alleen dát je betaalt wordt geregistreerd, ook dat je het niet afmaakte.
Waarom dit niet te verdedigen valt
Het gebeurt zonder dat je iets gevraagd wordt. Er is geen toestemmingsscherm dat de Adobe-tracking aankondigt of laat weigeren. Het profiel en het herkenningsnummer vertrekken bij het laden van de pagina, voordat je ook maar iets hebt kunnen aanklikken.
Het juridische verwijt, en dat label ik nadrukkelijk als de gangbare beoordeling en niet als mijn eigen eindoordeel, zit hem niet eens in de reis naar de VS. Die doorgifte is in beginsel gedekt door het huidige verdrag tussen de EU en de VS. De kern is dat er geen grondslag onder de AVG is en geen toestemming voor het plaatsen en uitlezen van deze trackers, waarvoor de e-privacyregels en de Telecommunicatiewet die toestemming wél eisen. De Autoriteit Persoonsgegevens beboette eerder Kruidvat voor vergelijkbare tracking.
En dan de context die dit van vervelend naar onverteerbaar tilt.
Dit is niet een webwinkel. Dit is de Belastingdienst, het deel van de staat waar je het minst te kiezen hebt: je móét betalen, je móét DigiD gebruiken. En het is de toeslagenomgeving, precies de plek die de overheid na de affaire zou herstellen.
Daar, van alle plekken, krijgt een Amerikaans reclamebedrijf een klik-voor-klik verslag mee.
Wat ik heb gemeten, en wat niet
Voor de volledigheid, want daar hecht ik aan. Dit gaat over mijn eigen account, op mijn eigen apparaat, opgenomen op 30 mei en 1 juni 2026, met de complete antwoorden van de servers erbij. Het is reproduceerbaar: de opnames zijn gehasht en bewaard, de hele zoektocht is na te lopen. De bedragen, het BSN en het betalingskenmerk zijn niet alleen niet gepubliceerd maar aantoonbaar ook niet verzonden. Wat hierboven staat is geen vermoeden uit een privacyverklaring. Het is wat er feitelijk over de lijn ging toen ik een aanslag wilde betalen.
Een maand geleden was het verhaal: de openbare site lekt je zoekgedrag. Nu weten we dat het niet ophoudt bij de voordeur. Je gaat door DigiD heen, je opent je aanslag, je begint te betalen, en Adobe schrijft elke stap mee.