8.8 millioner berørt af opslag i CPR-registeret

Uautoriserede brugere foretog usædvanlige opslag i Danmarks CPR-register gennem en privat virksomhed, der havde tilladelse til at bruge det. Myndighederne kan endnu ikke sige, hvor mange personoplysninger opslagene gav adgang til. De vurderer, at 8,8 millioner mennesker ud af omkring 11 millioner registrerede blev berørt af den uautoriserede adgang (ministeriet, CPR-kontoret).

CPR ligger til grund for alle danske personnumre. Skønnet omfatter nuværende beboere, udvandrede og afdøde. De oplysninger, der kunne søges frem, omfattede navne, adresser og CPR-numre.

Ifølge ministeriet foregik opslagene i september, og medarbejdere i CPR-registeret opdagede dem fredag aften den 2. oktober. Virksomhedens adgang blev lukket, politiet indledte en efterforskning, og Datatilsynet blev orienteret. De foreløbige undersøgelser viste, at navne og adresser på personer med navne- og adressebeskyttelse ikke var blevet tilgået (ministeriet).

Sådan blev en godkendt konto adgangsvejen

Private virksomheder kan få tilladelse til at bruge CPR til bestemte formål, først og fremmest til at holde kundeoplysninger ajour. Virksomheden i denne sag havde en sådan tilladelse. Dens navn er ikke offentliggjort. Myndighederne har ikke oplyst, hvem der foretog opslagene: en medarbejder, en udenforstående med stjålne loginoplysninger eller nogen, der brugte en anden adgangsvej.

Reglerne placerer en stor del af kontrollen hos kunden. CPR’s standardvilkår fra juni 2026 kræver, at kunderne registrerer, hvilken medarbejder der foretager hvert opslag, og gennemgår forbruget hver måned (CPR-vilkår).

CPR-registerets eget indblik kan være mere begrænset. Når en kundes software automatisk slår op i CPR, uden at en person indtaster hvert opslag, kan registeret ifølge de samme vilkår som regel kun se, hvilken software der sender forespørgslen. Myndighederne har ikke oplyst, hvordan virksomheden i denne sag søgte i registret. Vilkårene viser, hvor der kan være en blind vinkel, men ikke at der var en i dette tilfælde. Et ministerielt skøn, som Ritzau har omtalt, lød på, at aktiviteten gik uopdaget hen i omkring ti dage (DK Nyt/Ritzau).

Den ansvarlige minister, Christina Egelund, kaldte sagen meget alvorlig og sagde, at sikkerheden omkring virksomhedens adgang ikke havde været god nok. Hun har bestilt en gennemgang af al adgang til CPR. Andre private kunder fik igen adgang den 5. oktober (CPR-status), så gennemgangen foregår, mens denne type adgang fortsat er åben.

Hvad myndighederne endnu ikke har fastslået

Den anmeldelse, Datatilsynet modtog den 4. oktober, beskrev et meget stort antal automatiske opslag, der skulle finde gyldige CPR-numre (Datatilsynet). Tilsynet understregede, at det var anmelderens beskrivelse, ikke tilsynets egen konklusion. Hverken Datatilsynet eller ministeriet har oplyst, hvor mange opslag der ramte et gyldigt nummer, hvor mange der gav navne eller adresser, eller hvor mange registrede oplysninger der blev kopieret.

De manglende tal har betydning for to forskellige beslutninger. Den første handler om, hvem der skal advares. EU’s generelle databeskyttelsesforordning kræver, at den organisation, der er ansvarlig for oplysningerne, informerer de berørte direkte, hvis et brud sandsynligvis indebærer en høj risiko for deres rettigheder (GDPR). Datatilsynet fører tilsyn med, om vurderingen bliver foretaget korrekt, og den afhænger af, hvilke oplysninger opslagene faktisk gav adgang til.

Den anden beslutning handler om nye CPR-numre, og den ligger hos regeringen. Efter en orientering af to folketingsudvalg sagde Egelund, at det var for tidligt at afgøre, om nogen skulle have et nyt CPR-nummer (Ritzau). Nye numre bliver overvejet, men der er ikke truffet nogen beslutning.

Hvorfor andre europæere bør følge sagen

Fordi registret også omfatter udvandrede, bor nogle af de berørte nu i andre europæiske lande, selv om der ikke er offentliggjort en opgørelse fordelt på lande. Sverige har også oplevet, at en godkendt adgang blev udnyttet på lignende vis. Fagforbundet Vision oplyser, at en tredjepart i september og oktober 2025 indtastede talrækker, der lignede personnumre, i forbundets digitale medlemsformular (Vision). Formularen slog automatisk op i det svenske folkeregister og viste dermed navne og adresser på omkring 300.000 mennesker (Sveriges Radio).

EU’s databeskyttelsesregler kræver passende sikkerhed, men fastsætter ikke, hvilke login-kontroller, begrænsninger på opslag eller logfiler for den enkelte bruger registrets godkendte kunder skal have (GDPR). De valg ligger hos operatørerne af de enkelte registre, og det er den del, Egelunds gennemgang nu retter sig mod.

Forløbet dokumenterer én ting klart: En tilladt adgangsvej ind i Danmarks CPR-register blev brugt uden tilladelse og i stort omfang, før medarbejderne opdagede det. Det er endnu ikke fastslået, om opslagene førte til et omfattende tab af personoplysninger. Datatilsynet og politiet skal nu finde ud af, hvor mange opslag der viste rigtige navne og adresser. Hvad der siden skete med oplysningerne, er et særskilt spørgsmål for politiets efterforskning.