Uit de stukken blijkt dat de leiding van de Belastingdienst al in maart 2015 gewaarschuwd is dat er een beveiligingslek was. Er werd herhaaldelijk op gewezen dat de leiding maatregelen moesten nemen om aan de Wet Bescherming Persoonsgegevens te voldoen, zo laat een bron in Zembla weten.

Een jaar later, in maart 2016, concludeerde ook de Auditdienst Rijk (ADR) in een rapport dat beveiligingsmaatregelen 'niet geëffectueerd zijn', meldt het programma verder. Volgens Bart Jacobs, hoogleraar computerbeveiliging aan de Radboud Universiteit, is er sprake van een ernstig gebrek aan beveiliging: ,,Wat daar gebeurt is onwettig''