Over · Mick Beer

Deze site is mijn werkplek, niet mijn portfolio. Hier publiceer ik wat ik vind, wat ik bouw en wat ik vastleg. Geen advertenties, geen vendor content, geen winstoogmerk.

Wat hier staat

Het werk ligt in lagen. Een onderzoek vertelt wat er bij één organisatie gebeurde. Een patroon zegt welke fout het is. Een notitie legt uit waarom die fout ertoe doet. De tools zijn wat er overblijft als je het zelf wilt gebruiken.

Het onderzoek De voorpagina. Wat er nu ligt, met het laatste werk bovenaan.
Artikelen Alle publicaties, nieuwste eerst. Elk stuk sluit af met hoe het gemeten is en wat het niet aantoont.
Dossiers Vijf lopende lijnen: tracking en adtech, identiteit en toegang, overheid en toezicht, datalekken en nalatigheid, en techniek en macht.
DPE-register Genummerde foutpatronen. Dezelfde fout bij een andere organisatie krijgt hetzelfde nummer. Er staat geen organisatie in, geen product en geen domein, en er staat geen ernstscore bij. Wel bij elk patroon wat het niet vaststelt, en welke weerlegging het onderuit haalt.
Manuscript Het doorlopende werk achter de onderzoeken: bevindingen, beginselen en gedachten, per onderwerp geordend en onderling verbonden. Elke notitie draagt haar eigen bronnen.
Zoeken Eén veld over onderzoeken, notities en patronen tegelijk. Het filteren gebeurt in je eigen browser, dus er is geen logboek van zoekopdrachten.
Tools Wat ik zelf nodig had en nergens vond, gebouwd om te gebruiken, niet om te verkopen.
Succesverhalen Organisaties die na een bevinding opruimden, met expliciet onderscheid tussen wat ik heb gemeten en wat zij hebben toegezegd.
Pers Publicaties die door media zijn opgepikt, met links naar de originele stukken.

Hoe ik meet

Onder elk artikel staat de verantwoording van dat onderzoek: wat er gemeten is, wanneer, en wat het niet zegt. Dit is de vaste kern die daaronder ligt. De uitgeschreven versie staat in het manuscript, bij hoe mijn scanner werkt en van vermoeden naar bevinding.

Een echte browser, geen kale scan. Ik meet in een zichtbare browser met een vers profiel dat na afloop wordt weggegooid, en waar het uitmaakt met doorklikken en scrollen. Elke site wordt drie keer bezocht: niets gekozen, geweigerd, geaccepteerd. Wordt er geen weigerknop gevonden, dan leg ik dat vast als bevinding en doe ik niet alsof er geweigerd is. Veel advertentietechniek laadt pas als een bezoeker iets doet, dus meet ik zoals een bezoeker, niet zoals een scanner.
Twee soorten runs. De diepe run laat zien wat er kán gebeuren. De schone run zonder doorklikken levert de cijfers waarop de conclusies rusten, zodat een advertentie van een tussenpagina niet aan de gemeten site wordt toegeschreven.
Eén run telt anders voor een groep dan voor een organisatie. Over een verzameling sites doe ik uitspraken op basis van één meting; daar middelt de ruis uit. Een individuele organisatie spreek ik nooit aan op één run.
Alleen mijn eigen kant. Eigen toestel, eigen account, eigen document, eigen netwerkverkeer. Geen gegevens van andere mensen, geen schrijfacties op de systemen van een ander, geen exploit. Wat mijn eigen apparaat verstuurt, mag ik lezen en vastleggen.
Alles wordt vastgelegd. Het volledige netwerkverkeer gaat in een opname. Elk artefact, opname, schermafdruk en opgehaald script, krijgt een SHA256 in een manifest, samen met het tijdstip en de versie van de meetopstelling. Bij de zwaarste dossiers wordt dat manifest bovendien onafhankelijk gedateerd, zodat achteraf te controleren is dat het bewijs sinds de meting niet is veranderd.
Het anker ligt bij de ruwe opname, nooit bij mijn analyse. Een analyse kan ik herschrijven, een netwerkopname niet. Wie later mijn cijfers wil narekenen, houdt de opname ertegen en niet mijn tabel.
Ik lees wat er staat, ik leid niets af uit een naam. Een cijfer komt uit het verkeer zelf, niet uit de naam van een tracker of uit wat een leverancier zegt te doen, want een naam in de code is nog geen tracker. Welk verzoek bij welke pagina hoort volgt uit de structuur van de opname, niet uit de referer-header: die wordt door de meetopstelling vervormd.
Land betekent zeggenschap, niet toevallige serverlocatie. Waar een geolocatiedatabase een land noemt, controleer ik dat tegen de registratie van het IP-blok zelf, want een landlabel is zo oud als de database die het gaf. De aanduiding volgt wie de ontvanger bezit, niet waar een edge-server van een tussenpartij staat.
Drie bewijsniveaus, altijd benoemd. Vastgesteld betekent dat ik het veld in de data of op het scherm heb gezien. Afgeleid betekent dat het gedrag of de architectuur het impliceert, zonder dat ik de inhoud zag. Open betekent dat het achter versleuteling of certificate pinning zat en niet te lezen was. Dat onderscheid houd ik per bevinding overeind.
Gevoelig materiaal blijft offline. Gelekte gegevens onderzoek ik in een afgesloten omgeving zonder netwerk. Geen clouddienst, geen taalmodel. Wie een lek onderzoekt, hoort het lek niet te vergroten.

Wat een meting niet zegt

Een browsermeting ziet alleen wat een toestel verstuurt en ontvangt. Wat bedrijven onderling uitwisselen, buiten de browser om, blijft buiten beeld. Daarom is elk aantal dat ik publiceer een ondergrens.

Niet waargenomen is geen bewijs van afwezigheid. Eén meetdag is een momentopname. Een gemeten website zegt niets over de app, en een gemeten app niets over de ingelogde omgeving. Waar dat de conclusie raakt, staat het in het stuk zelf, onder het kopje wat het onderzoek niet zegt.

En onrechtmatigheid stel ik niet vast. Ik meet wat er gebeurt en leg de regel ernaast. Het oordeel is aan een toezichthouder of een rechter.

Wederhoor

Een organisatie hoort te weten wat er over haar gepubliceerd wordt voordat het gepubliceerd is. Ik leg de bevindingen en de vragen schriftelijk voor, met een harde termijn erbij, en in het stuk staat welke termijn dat was. Wie een concreet herstelplan met een datum aanbiedt, krijgt uitstel. Zwijgen levert geen uitstel op.

Komt er een reactie, dan neem ik hem herkenbaar en in de kern volledig op, niet samengevat en niet in mijn eigen woorden. Alleen persoonlijke contactgegevens laat ik weg. Een bevinding die feitelijk wordt weerlegd, publiceer ik niet. Komt er geen reactie, dan staat er dat de bevindingen vooraf zijn voorgelegd en dat er niet inhoudelijk is gereageerd. De uitnodiging blijft daarna openstaan: reageert een organisatie later alsnog, dan wordt het stuk aangevuld.

Inzage in de tekst vooraf geef ik niet. Wederhoor is dat ik de bevindingen voorleg en de reactie verwerk, niet dat iemand meeleest met wat ik schrijf. Wat ik wel toezeg: wijs na publicatie een onjuistheid aan, en die wordt onmiddellijk en zichtbaar gecorrigeerd.

De records die een bevinding dragen, deel ik op aanvraag met de betrokken partij, met hun hashes erbij. Het hele meetarchief gaat niet mee: wederhoor gaat over de bevinding die voorligt.

Bij een gevoelige bevinding gaat het stuk eerst op een niet-vindbare pagina, buiten menu, sitemap en zoekmachines, zodat de betrokkene het kan inzien voordat het publiek vindbaar wordt.

Eén afbakening. Dit is geen kwetsbaarheidsmelding. Ik dring geen systeem binnen en misbruik geen zwakke plek, ik meet wat mijn eigen toestel verstuurt. Zulk onderzoek hoeft niet eerst door een besloten disclosure-kanaal voordat erover geschreven mag worden.

Correcties

Blijkt iets fout, dan komt de correctie zichtbaar en gedateerd in het stuk zelf te staan, met de oorspronkelijke tekst erbij geciteerd. Stil aanpassen doe ik niet: een eerlijke verbetering die je wegpoetst, lijkt op heimelijk afzwakken.

Een claim die niet na te rekenen is, repareer ik door het ontbrekende bewijs alsnog te publiceren, niet door de bewering te wissen. Toevoegen is iets anders dan aanpassen.

Tegenspraak wordt eerst nagerekend en dan pas beantwoord. De volgorde is steeds dezelfde: meting, tegenspraak, correctie, controleerbare verificatie.

Tegenspraak en correctie staan boven gelijk hebben.

Wat ik doe

Vier dingen lopen door elkaar.

Ik onderzoek wat Nederlandse organisaties met je data doen. Forensisch, reproduceerbaar, en met naam en toenaam. Het resultaat is De Nationale Privacy Index, een ranking van 211 organisaties, stand juli 2026. Daarnaast Mijnoverheid.us, een burgerregister van overheidsdiensten waarvan data of zeggenschap naar Amerika gaat.

Ik schrijf een manuscript. Op /manuscript/ staat mijn openbare werk als een samenhangend geheel, per onderwerp geordend en onderling verbonden. Elke notitie draagt haar eigen bronnen, zodat na te rekenen is waar ze op leunt. Waar een artikel op zo'n notitie steunt, staat de link in de lopende tekst.

Ik bouw tools die ik zelf nodig had en nergens vond. Paramant voor versleuteld versturen en ondertekenen zonder opslag. Windstil voor de rustigste navigatieroute. VeiligOpPad voor wie zich onveilig voelt op straat. vrijewetgeving.nl als open archief van alle Nederlandse wetgeving. En Totale Digitale Waarborging, waarmee je zelf kunt toetsen of een dienst te verantwoorden is.

Ik leg vast wanneer het misgaat. Niet alleen publiek maken, maar formeel indienen waar het hoort: meldingen bij de Autoriteit Persoonsgegevens, een wetsvoorstel bij de Tweede Kamer, of een volledig dossier als de organisatie zelf niet beweegt.

Waarom

Windstil bouwde ik vanuit eigen ervaring met druktegevoeligheid. Toen ik buiten ging lopen wilde ik routes die rustig waren, niet alleen kort. Die app bestond niet, dus heb ik hem gemaakt. Dat patroon herhaalde zich: ik kom iets tegen wat misgaat of ontbreekt, en dan bouw of onderzoek ik het.

Privacy is niet abstract voor me. Toen ik ontdekte hoeveel persoonlijke data Nederlandse organisaties routinematig doorspelen naar advertentiebedrijven en Amerikaanse partijen, kon ik dat niet ongelezen laten. Dus ben ik gaan testen, documenteren, melden. Niet omdat het mijn vak is, maar omdat niemand anders het systematisch deed.

Waar ik voor sta

Geen advertenties op deze site of in mijn apps. Geen tracking. Geen vendor content. Geen winstoogmerk. Geen subsidie waar voorwaarden aan zitten.

Wat ik publiceer is reproduceerbaar. De onderzoeksmethode is openbaar. Wat ik vind dat fout zit, vermeld ik bij naam, met bewijs, en ik probeer altijd eerst de organisatie zelf te bereiken voor publicatie.

Track record

Werk dat is opgepikt of geverifieerd door derden:

De Belastingdienst-casus. Na mijn meting in de betaalomgeving ging de Adobe-tracker eruit, meldde de dienst zelf een datalek bij de Autoriteit Persoonsgegevens en bedankte hij de melder. In antwoord op Kamervragen (2026Z11812) erkende de staatssecretaris dat het gebruik in strijd was met de ePrivacy-regels en de AVG. Opgepikt door onder meer NRC, Tweakers, Security.NL, iBestuur en Binnenlands Bestuur. Lees de afronding van het dossier.
Paspoort aan de poort. Onderzoek op een echt toestel liet zien dat bij registratie voor digitale stadiontoegang het BSN en de pasfoto uit de paspoortchip naar een identiteitsserver in de cloud gaan. Hetzelfde sjabloon draait bij meerdere clubs. De leverancier reageerde inhoudelijk; die reactie staat volledig in het wederhoorstuk. Lees het dossier.
De landsadvocaat. De website van Pels Rijcken deelde zonder toestemming gegevens met Google en andere techbedrijven. Het kantoor ruimde de zwaarste tracking binnen 72 uur op en erkende publiek dat de bevindingen juist waren. BNR Nieuwsradio, Nieuwslens en Welingelichte Kringen berichtten erover. Lees de reactie op hun verklaring.
De 113-casus. Na publicatie verwijderde 113.nl alle externe trackers, ook de session-replay die het scherm van bezoekers meekeek. In de hermeting laadt de site in geen enkele toestemmingsstand nog een tracker. Vier landelijke media pikten het op: Hart van Nederland, Tweakers, BNR en Stichting Donateursbelangen. Lees het onderzoek en het dossier over hoe 113 reageerde.
De Nationale Privacy Index. 211 organisaties getest, per sector gerangschikt op wat er werkelijk gemeten is. Te zien op de Nationale Privacy Index.
Cookie-onderzoek op Nederlandse nieuwssites. 101 advertentiepartners die voor consent worden geactiveerd op nu.nl (lees het stuk).
Wetsvoorstel tegen private opslag van identiteitsgegevens. Dossier 2026Z04148 / 2026D09561, geaccepteerd door de Commissie Digitale Zaken van de Tweede Kamer. De kern: verifieer de identiteit, bewaar het document niet. Lees de aankondiging.
De vergeten rijksrichtlijn. 1718 overheids- en publieke-taaksites gemeten tegen een rijksdocument dat trackers op overheidssites verbiedt. Lees het onderzoek.
Diverse meldingen bij de Autoriteit Persoonsgegevens, lopend en afgerond.

Contact en tegenspraak

Ben je een geadresseerde organisatie, journalist of lezer met een correctie? Stuur een bericht. Het formulier opent je eigen e-mailprogramma; er passeert niets deze site en er wordt niets gelogd.

Voor tegenspraak helpt het als je aangeeft welke zin niet klopt en waarop je dat baseert. Gaat het om een meting, dan stuur ik de records die de bevinding dragen, met hun hashes, zodat je ze zelf kunt nalopen.

Stuur een bericht