Over dit register

Wat dit is

Mijnoverheid.us is geen overheidssite. Het is een particulier register, samengesteld door Mick Beer als burger. Elke regel beschrijft één concrete situatie waarbij Nederlandse overheidsdienstverlening data of zeggenschap aan een Amerikaanse partij blootstelt. Geen mening, geen analyse — feit, bron, wetsartikel.

Niet aangesloten bij of geautoriseerd door de Rijksoverheid, een ministerie, of een uitvoeringsorganisatie. De domeinnaam verwijst naar het onderwerp, niet naar de afzender.

Methode

Bronnen

De bevindingen komen uit twee soorten bronnen:

1. Eigen onderzoek — BeforeYouMick scanner-runs (Playwright + Chromium), APK-decompilatie van overheidsapps, DNS-resolves en CNAME-keten-analyse, hand-matige forensiek op response-headers en JavaScript-code.
2. Publieke bronnen — Kamerbrieven, persberichten, rechterlijke uitspraken, leveranciers-eigen documentatie, en publicaties van toezichthouders zoals de Algemene Rekenkamer en de Autoriteit Persoonsgegevens.

Severity-classificatie

• KRITIEK — bewezen tracking-cookies of externe trackers vóór toestemming, bewezen US-jurisdictie over identificeerbare data, of contracten waarvan de Tweede Kamer de gevolgen heeft afgewezen.
• ERNSTIG — sterke aanwijzingen voor data-uitstroom naar de VS, ontbrekende of incomplete DPIA, en CNAME-cloaking om externe trackers te verbergen.
• LET OP — patronen of signalen die op zichzelf niet doorslaggevend zijn, maar wel gedocumenteerd horen te worden.

Bewijsclassificatie

Iedere bevinding is voorzien van een eerlijkheidsoordeel: BEWEZEN (zelf reproduceerbaar of openbaar bevestigd), STERKE AANWIJZING (consistent meerdere bronnen, niet onafhankelijk verifieerbaar door iedereen), OPEN (in onderzoek; nog niet definitief).

Bewijsbestanden

Voor journalisten, toezichthouders en juristen zijn alle ruwe data en bewijsstukken op aanvraag beschikbaar:

• JSON-output per scan met SHA256-checksums per bestand
• Forensisch dossier 100-sites-meting (102 pagina's PDF)
• Chain-of-custody-pakket: prompts, terminal-history, file-mtimes, git-log
• APK-decompilatie-dumps van overheidsapps
• HAR-bestanden, DevTools-screenshots, tracking-cookie-dumps

Aanvragen via hackedemia.nl. Voor verificatie van publicatiedatums: alle bevindingen zijn gehasht in findings.json.

Open data

Alle scan-data is publiek beschikbaar onder CC0 1.0 Universal — Public Domain. Iedereen mag downloaden, herhalen, citeren, hergebruiken — zonder attributie verplicht, al wordt het wel gewaardeerd.

• mijnoverheid.us/findings.json — gestructureerde dossiers (44 cases met juridische analyse)
• mijnoverheid.us/scan-data.json — alle 536 sites raw scan-data, één bestand
• mijnoverheid.us/scan-data.sha256 — SHA256-checksum voor verifieerbaarheid
• mijnoverheid.us/scan/<domein>.json — per-site detail (cookies, trackers, bevindingen)

Reproduceerbaar onderzoek begint met openbare data.

Juridisch kader

De volgende wetten en regels worden in het register gehanteerd:

• Telecommunicatiewet art. 11.7a — verplichte voorafgaande toestemming voor cookies en vergelijkbare technieken.
• AVG art. 5 — beginselen: rechtmatigheid, doelbinding, transparantie, dataminimalisatie, integriteit.
• AVG art. 13 — informatieverplichting bij verwerking.
• AVG art. 28 — verwerkersovereenkomsten.
• AVG art. 32 — passende beveiligingsmaatregelen.
• AVG art. 35 — DPIA verplicht bij hoog risico.
• AVG art. 44–49 — doorgifte naar derde landen.
• US CLOUD Act (2018) — Amerikaanse jurisdictie over data bij Amerikaanse cloud-aanbieders, ongeacht fysieke locatie.

Wie

Mick Beer — onafhankelijk security/privacy-onderzoeker en journalist in Harderwijk. Eerder onderzoek naar Odido, cookie-compliance op Nederlandse nieuwssites, en de privacy-stack van DigiD en de Belastingdienst.

Voor wie ik ben en wat ik publiceer: mickbeer.com en hackedemia.nl.

Contact

Voor pers, embargo-aanvragen, tip-meldingen of correcties: via hackedemia.nl of mickbeer.com. Heb je een tip over een overheidssite die niet in het register staat? Stuur het door — bij voorkeur met een reproduceerbare URL of HAR-bestand.

Infrastructuur van deze site

Deze site draait op een Hetzner-server in Helsinki, achter Caddy met auto-SSL via Let's Encrypt. Geen analytics, geen cookies, geen externe scripts of fonts. Nginx access-logs uitgezet (geen IP-loggen).

Volledige bron-code en deploy-recept beschikbaar bij de auteur. Geen Microsoft 365. Geen Google Workspace. Geen Cloudflare.