MIVD-directeur had jarenlang een openbaar Strava-account waaruit zijn woonadres te herleiden was

Jarenlang openbaar wat een inlichtingenchef juist afgeschermd wil hebben

De directeur van de Militaire Inlichtingen- en Veiligheidsdienst, viceadmiraal Peter Reesink, had tot deze week een openbaar account op de sportapp Strava. Via dat profiel waren zijn fiets- en hardlooproutes jarenlang voor iedereen te bekijken. De Volkskrant stuitte op het account en kon er zonder bijzondere hulpmiddelen zijn woonadres uit afleiden.

Reesink staat sinds februari 2024 aan het hoofd van de dienst die spionage, sabotage en digitale dreiging tegen de Nederlandse krijgsmacht moet onderkennen. Juist bij die functie hoort dat persoonlijke gegevens en vaste verplaatsingen zo min mogelijk te achterhalen zijn.

Van het hoofdkwartier naar de voordeur

De activiteiten op het profiel besloegen de periode van 2018 tot 2025. In die jaren legde Reesink meermalen de rit vast van het hoofdkwartier van de MIVD naar zijn woning. Wie die ritten naast elkaar legt, houdt aan het einde van elk spoor hetzelfde punt over.

Daarin zit de kern van het probleem met sportapps. Een enkele activiteit zegt weinig, maar tientallen registraties over meerdere jaren vormen samen een kaart van iemands leven. Begin- en eindpunten die telkens terugkeren, laten zich niet als toeval wegredeneren.

Niet alleen een adres, ook een agenda

Uit de gegevens viel meer af te leiden dan de woonplaats alleen. Journalisten konden zien waar Reesink zijn camper stalde en waar en wanneer hij op vakantie was. Zo ontstaat niet alleen een beeld van waar iemand woont, maar ook van wanneer dat huis leegstaat.

Voor een dienst die zich bezighoudt met statelijke dreiging is dat een bruikbaar pakket. Wie iemand wil benaderen, volgen of onder druk zetten, heeft aan vaste routines en voorspelbare afwezigheid vaak meer dan aan een postadres.

In strijd met de eigen regels van Defensie

Het gebruik van een openbaar account op een sportapp is in strijd met de richtlijnen van Defensie. Die regels gelden voor het hele personeel, van militairen op oefening tot de leiding van de diensten zelf.

Dat de hoogste functionaris van de militaire inlichtingendienst buiten die regels viel, maakt de zaak ongemakkelijker dan een gewone slordigheid. De richtlijn komt immers voort uit precies het dreigingsbeeld dat zijn eigen dienst opstelt.

De uitleg: app verwijderd, account vergeten

Na vragen van de krant is het profiel op prive gezet en heeft Reesink verwijdering van zijn gegevens aangevraagd. Zelf zei hij de app van zijn telefoon te hebben gehaald, maar te zijn vergeten dat het account en de opgeslagen ritten online bleven staan.

Een woordvoerder van Defensie liet weten dat Reesink de gang van zaken betreurt en dat hij het met de kennis van nu anders zou doen. Die uitleg raakt aan een hardnekkig misverstand over digitale diensten: het weghalen van een app van een telefoon zegt niets over de gegevens die op de servers van het bedrijf blijven staan.

Geen incident maar een terugkerend patroon

De zaak staat niet op zichzelf. In 2024 wist Omroep Gelderland via Strava ruim duizend Nederlandse militairen te traceren. In 2025 kwam een Franse marineofficier in het nieuws omdat via zijn sportgegevens de positie van het vliegdekschip Charles de Gaulle te herleiden zou zijn. Nog eerder werden Amerikaanse en Israelische militaire locaties zichtbaar doordat personeel op de basis hardliep met een fitnessapp aan.

Telkens werkt hetzelfde mechanisme. Niemand deelt bewust iets geheims. De optelsom van op zichzelf onschuldige gegevens levert het geheim op.

De waarschuwing die de directeur zelf uitsprak

Reesink waarschuwde vorig jaar nog publiekelijk voor de toenemende Russische agressie en voor de naiviteit waarmee organisaties omgaan met dreiging tegen hun systemen en personeel. Dat maakt de vondst van de Volkskrant pijnlijk, maar ook illustratief.

Digitale hygiene faalt zelden door onwil. Ze faalt doordat iemand een account aanmaakt in een context waarin dat onschuldig is, en jaren later een functie krijgt waarin datzelfde account iets heel anders betekent. Er is geen moment waarop een app vraagt of de rol van de gebruiker inmiddels veranderd is.

Wat dit betekent voor de Nederlandse veiligheidsketen

De praktische les is niet dat sporters hun gegevens moeten wissen, maar dat organisaties de verantwoordelijkheid voor die opschoning niet bij het individu kunnen laten. Bij Defensie bestaan de regels al; de zaak laat zien dat naleving niet vanzelf meebeweegt met een loopbaan.

Voor Nederland is dat relevant omdat de kring van mensen met een gevoelige functie groter is dan alleen de krijgsmacht. Bestuurders van vitale bedrijven, netbeheerders en onderzoekers lopen tegen dezelfde combinatie aan: apps die jarenlang locatiedata bewaren, en een rol die pas later gevoelig wordt. Zolang niemand periodiek controleert wat er nog openbaar staat, blijft de zwakste schakel een profiel dat iemand zelf allang vergeten was.