Dotazy v dánském registru zasáhly 8,8 milionu lidí

Přes soukromou společnost, která směla registr používat, zadávali neoprávnění uživatelé neobvyklé dotazy do dánské evidence obyvatel. Úřady zatím nedokážou říci, kolik osobních údajů se jimi podařilo získat. Podle odhadu úřadů se neoprávněný přístup dotkl 8,8 milionu lidí z přibližně 11 milionů záznamů (ministerstvo, Správa CPR).

Registr, známý jako CPR, je základem každého dánského osobního identifikačního čísla. Odhad zahrnuje současné obyvatele, lidi, kteří ze země odešli, i zemřelé. Mezi údaji, které mohly být dostupné, byla jména, adresy a čísla CPR.

Podle ministerstva probíhaly dotazy během září a pracovníci registru si jich všimli v pátek 2. října večer. Přístup firmy byl zablokován, policie zahájila vyšetřování a úřad pro ochranu osobních údajů Datatilsynet dostal oznámení. Předběžné prověrky ukázaly, že jména a adresy lidí se zvlášť chráněnou identitou dotčeny nebyly (ministerstvo).

Jak se licencovaný účet stal vstupní cestou

Soukromé firmy mohou získat licenci k přístupu do CPR pro stanovené účely, především k aktualizaci záznamů o zákaznících. Licenci měla i firma, která se podílela na tomto případu. Její jméno úřady nezveřejnily. Neřekly ani, kdo dotazy zadával: zda zaměstnanec, cizí osoba s odcizenými přihlašovacími údaji, nebo někdo, kdo se k systému dostal jinou cestou.

Podle standardních podmínek CPR z června 2026 musí zákazníci zaznamenávat, který zaměstnanec každý dotaz provedl, a každý měsíc kontrolovat statistiky využití (podmínky CPR).

Záznam na straně registru může být méně podrobný. Pokud software zákazníka posílá dotazy do CPR automaticky a nikdo nevkládá každý z nich zvlášť, registr podle stejných podmínek obvykle vidí jen software, který požadavek odeslal. Úřady nezveřejnily, jaké uspořádání firma používala. Podmínky ukazují, kde by mohlo vzniknout slepé místo, nedokládají ale, že tomu tak bylo i v tomto případě. Podle odhadu ministryně, o němž informoval DK Nyt/Ritzau, zůstala činnost bez povšimnutí zhruba deset dní.

Příslušná ministryně Christina Egelundová označila incident za mimořádně závažný a řekla, že zabezpečení přístupu firmy nebylo dostatečné. Nařídila prověřit všechny přístupy do CPR. Ostatním soukromým zákazníkům přístup obnovili 5. října (stav CPR). Přezkum tak probíhá souběžně s tím, že tento druh přístupu zůstává dostupný.

Co úřady dosud nezjistily

Oznámení o incidentu, které Datatilsynet obdržel 4. října, popisovalo velmi rozsáhlé automatizované dotazy, jejichž cílem bylo najít platná čísla CPR (Datatilsynet). Úřad zdůraznil, že šlo o popis oznamovatele, nikoli o jeho vlastní zjištění. Datatilsynet ani ministerstvo nezveřejnily, kolik dotazů narazilo na platné číslo, kolik vrátilo jména nebo adresy a kolik záznamů někdo zkopíroval.

Na těchto chybějících údajích závisí dvě odlišná rozhodnutí. První se týká varování lidí. Podle obecného nařízení EU o ochraně osobních údajů musí organizace odpovědná za údaje informovat dotčené osoby přímo, pokud únik pravděpodobně představuje vysoké riziko pro jejich práva (GDPR). Datatilsynet dohlíží na to, zda organizace riziko správně vyhodnotí. Rozhodnutí závisí na tom, co dotazy skutečně vrátily.

Druhé rozhodnutí se týká nových identifikačních čísel a náleží vládě. Po informování dvou parlamentních výborů Egelundová uvedla, že je příliš brzy rozhodovat, zda by někdo měl dostat nové číslo CPR (Ritzau). Přidělení nových čísel se zvažuje, rozhodnuto o něm ale není.

Proč by to mělo zajímat i další Evropany

Protože registr zahrnuje také lidi, kteří z Dánska odešli, žijí nyní někteří z dotčených jinde v Evropě. Úřady zatím nezveřejnily, v kterých zemích. Podobným způsobem někdo zneužil oprávněné propojení také ve Švédsku. Odborový svaz Vision uvedl, že v září a říjnu 2025 zadávala třetí osoba do jeho online členského formuláře řady znaků připomínající čísla (Vision). Formulář automaticky ověřoval údaje ve švédském státním registru adres a vrátil jména a adresy přibližně 300 000 lidí (Sveriges Radio).

Právo EU na ochranu osobních údajů vyžaduje přiměřené zabezpečení. Konkrétní pravidla pro přihlašování, limity počtu dotazů ani záznamy o vyhledávání jednotlivých uživatelů, které musí používat zákazníci s licencí, ale nestanovuje (GDPR). Tato pravidla určují provozovatelé jednotlivých registrů; přezkum Egelundové se nyní týká právě dánského systému.

Z dostupných informací lze zatím s jistotou říci jedno: povolená cesta do dánského registru byla ve velkém využita bez oprávnění, než si toho pracovníci registru všimli. Zda tak došlo k rozsáhlému úniku osobních údajů, prokázáno není. Datatilsynet a policie nyní musí zjistit, kolik dotazů vrátilo skutečná jména a adresy. Co se s těmito údaji stalo potom, je samostatnou otázkou pro policejní vyšetřování.