Пробив в регистъра засегна 8,8 млн. души

Неоторизирани лица са правили неправомерни справки в датския регистър на населението чрез частна компания, получила разрешение да го използва. Длъжностните лица все още не могат да кажат какъв обем лични данни са върнали справките. Според оценката на властите неразрешеният достъп е засегнал 8,8 млн. души от приблизително 11 млн. записа (Министерството, CPR Administration).

Регистърът CPR съдържа данните, свързани с всеки датски личен идентификационен номер. Оценката обхваща настоящи жители, емигранти и починали. Достъпните полета включвали имена, адреси и CPR номера.

Справките са правени през септември, а служителите на регистъра ги засекли вечерта на петък, 2 октомври, съобщава министерството. Достъпът на компанията бил прекратен, полицията започнала разследване, а Datatilsynet, датският орган за защита на личните данни, бил уведомен. Първоначалните проверки показали, че имената и адресите на хора със защитена самоличност не са били засегнати (Министерството).

Как разрешеният достъп се е превърнал във вход

Частни компании могат да получат лицензиран достъп до CPR за конкретни цели, най-вече за да поддържат актуални данните на клиентите си. Компанията в този случай е имала такъв лиценз. Името ѝ не е оповестено. Длъжностните лица не са казали кой е извършвал справките: служител, външно лице с откраднати данни за вход или човек, използвал друг път за достъп.

Правилата възлагат голяма част от контрола на клиента. Стандартните условия на CPR от юни 2026 г. изискват клиентите да записват кой служител е направил всяка справка и да преглеждат месечните статистики за използването (Условията на CPR).

Самият регистър може да вижда по-малко. Според същите условия, когато софтуерът на клиента прави справки автоматично, без човек да въвежда всяка от тях, регистърът обикновено вижда само софтуера, изпратил заявката. Длъжностните лица не са разкрили какъв режим е използвала компанията. Условията показват къде може да има сляпо петно, но не и че в този случай е имало такова. Според оценка на министърката, цитирана от Ritzau, необелязаната активност продължила около десет дни (DK Nyt/Ritzau).

Кристина Егелунд, министърката с ресор CPR, нарекла случая изключително сериозен и заявила, че сигурността на достъпа на компанията не е била достатъчна. Тя разпоредила преглед на целия достъп до CPR. На 5 октомври други частни клиенти получили отново достъп (Статус на CPR), така че проверката тече, докато този вид достъп остава активен.

Какво властите още не са установили

В сигнала за нарушението, получен от Datatilsynet на 4 октомври, се описвали много на брой автоматизирани справки, насочени към откриване на валидни CPR номера (Datatilsynet). Регулаторът подчерта, че това е описание на подателя на сигнала, а не собствено заключение. Нито Datatilsynet, нито министерството са публикували колко справки са съвпаднали с реален номер, колко са върнали имена или адреси и колко записа са били копирани.

Липсващите данни са важни за две отделни решения. Първото е дали да бъдат изпратени предупреждения. Според Общия регламент на ЕС за защита на данните организацията, отговорна за данните, трябва да уведоми хората пряко, ако нарушението вероятно създава висок риск за правата им (Регламентът). Datatilsynet следи дали тази преценка е направена правилно, а тя зависи от това какви данни действително са върнали справките.

Второто решение е дали да бъдат издадени нови лични номера и то е отговорност на правителството. След като информирала две парламентарни комисии, Егелунд заявила, че е рано да се реши дали някой трябва да получи нов CPR номер (Ritzau). Смяната на номерата се обсъжда, но решение няма.

Защо и други европейци трябва да следят случая

Тъй като регистърът включва емигранти, част от засегнатите сега живеят в други европейски държави, макар че разбивка по страни не е публикувана. В Швеция също е злоупотребено с разрешена връзка към регистър. Синдикатът Vision съобщава, че през септември и октомври 2025 г. трета страна е въвеждала поредици, наподобяващи номера, във формуляра за членство на организацията (Vision). Формулярът автоматично е проверявал данните в шведския държавен регистър на адресите и е върнал имената и адресите на около 300 000 души (Sveriges Radio).

Правилата на ЕС за защита на данните изискват подходящи мерки за сигурност. Те не определят конкретни правила за влизане, ограничения за броя справки или регистрация на действията на всеки потребител при лицензираните клиенти на регистрите (Регламентът). Тези мерки се определят от операторите на отделните регистри; именно върху тях е насочен прегледът на Егелунд.

Данните подкрепят един сигурен извод: разрешен канал към регистъра на населението в Дания е бил използван без разрешение и в голям мащаб, преди служителите на регистъра да го засекат. Все още не е доказано дали това е довело до мащабно изтичане на лични данни. Datatilsynet и полицията трябва да установят колко справки са върнали действителни имена и адреси. Какво е станало с тези данни след това е отделен въпрос, на който трябва да отговори полицейското разследване.