Μητρώο πληθυσμού Δανίας: αναζητήσεις αφορούν 8,8 εκατ.

Μη εξουσιοδοτημένοι χρήστες έκαναν αναζητήσεις στο μητρώο πληθυσμού της Δανίας μέσω ιδιωτικής εταιρείας που είχε άδεια πρόσβασης. Οι αρχές δεν γνωρίζουν ακόμη πόσα προσωπικά δεδομένα επέστρεψαν οι αναζητήσεις. Εκτιμούν ότι η μη εξουσιοδοτημένη πρόσβαση επηρέασε 8,8 εκατομμύρια ανθρώπους, σε σύνολο περίπου 11 εκατομμυρίων εγγραφών (Υπουργείο, Διοίκηση CPR).

Το μητρώο, γνωστό ως CPR, αποτελεί τη βάση για κάθε προσωπικό αριθμό ταυτοποίησης στη Δανία. Η εκτίμηση καλύπτει σημερινούς κατοίκους, όσους έχουν μεταναστεύσει και αποβιώσαντες. Στα στοιχεία στα οποία μπορούσαν να φτάσουν οι αναζητήσεις περιλαμβάνονταν ονόματα, διευθύνσεις και αριθμοί CPR.

Σύμφωνα με το υπουργείο, οι αναζητήσεις έγιναν τον Σεπτέμβριο και οι υπάλληλοι του μητρώου τις εντόπισαν το βράδυ της Παρασκευής 2 Οκτωβρίου. Η πρόσβαση της εταιρείας διακόπηκε, η αστυνομία ξεκίνησε έρευνα και ενημερώθηκε η Datatilsynet, η δανική αρχή προστασίας δεδομένων. Οι πρώτοι έλεγχοι έδειξαν ότι δεν υπήρξε πρόσβαση στα ονόματα και στις διευθύνσεις ανθρώπων με προστατευμένη ταυτότητα (Υπουργείο).

Πώς ένας αδειοδοτημένος λογαριασμός έγινε πύλη πρόσβασης

Οι ιδιωτικές εταιρείες μπορούν να λάβουν άδεια πρόσβασης στο CPR για συγκεκριμένους σκοπούς, κυρίως για να ενημερώνουν τα στοιχεία των πελατών τους. Η εταιρεία στην προκειμένη περίπτωση διέθετε τέτοια άδεια, αλλά το όνομά της δεν έχει δημοσιοποιηθεί. Οι αρχές δεν έχουν πει ποιος έκανε τις αναζητήσεις: εργαζόμενος της εταιρείας, τρίτος με κλεμμένα στοιχεία σύνδεσης ή κάποιος που χρησιμοποίησε άλλο τρόπο πρόσβασης.

Οι κανόνες αναθέτουν μεγάλο μέρος της παρακολούθησης στον πελάτη. Οι τυποποιημένοι όροι του CPR, που ισχύουν από τον Ιούνιο του 2026, απαιτούν από τις εταιρείες να καταγράφουν ποιος εργαζόμενος έκανε κάθε αναζήτηση και να ελέγχουν κάθε μήνα τα στατιστικά χρήσης (όροι CPR).

Το ίδιο το μητρώο μπορεί να έχει πιο περιορισμένη εικόνα. Όταν το λογισμικό ενός πελάτη υποβάλλει αυτόματα ερωτήματα στο CPR, χωρίς να πληκτρολογεί κάποιος κάθε αναζήτηση, το μητρώο συνήθως βλέπει μόνο το λογισμικό που στέλνει το αίτημα. Οι αρχές δεν έχουν αποκαλύψει ποιο μοντέλο χρησιμοποιούσε η συγκεκριμένη εταιρεία. Οι όροι δείχνουν πού θα μπορούσε να υπάρχει κενό στην εποπτεία, όχι ότι υπήρχε. Εκτίμηση υπουργού, την οποία μετέδωσε το Ritzau, τοποθετεί τη δραστηριότητα που πέρασε απαρατήρητη σε περίπου δέκα ημέρες (DK Nyt/Ritzau).

Η Christina Egelund, η αρμόδια υπουργός, χαρακτήρισε το περιστατικό εξαιρετικά σοβαρό και είπε ότι η ασφάλεια της πρόσβασης της εταιρείας δεν ήταν επαρκής. Διέταξε επανεξέταση όλων των προσβάσεων στο CPR. Άλλοι ιδιωτικοί πελάτες συνδέθηκαν ξανά στις 5 Οκτωβρίου (κατάσταση CPR), επομένως ο έλεγχος γίνεται ενώ αυτός ο τύπος πρόσβασης παραμένει ενεργός.

Τι δεν έχουν εξακριβώσει ακόμη οι αρχές

Η αναφορά για την παραβίαση δεδομένων που έλαβε η Datatilsynet στις 4 Οκτωβρίου περιέγραφε πολύ μεγάλο αριθμό αυτοματοποιημένων αναζητήσεων, με στόχο τον εντοπισμό έγκυρων αριθμών CPR (Datatilsynet). Η αρχή διευκρίνισε ότι αυτή ήταν η περιγραφή του φορέα που υπέβαλε την αναφορά και όχι δικό της πόρισμα. Ούτε η Datatilsynet ούτε το υπουργείο έχουν δημοσιοποιήσει πόσες αναζητήσεις αντιστοιχούσαν σε υπαρκτό αριθμό, πόσες επέστρεψαν ονόματα ή διευθύνσεις και πόσες εγγραφές αντιγράφηκαν.

Τα στοιχεία που λείπουν καθορίζουν δύο διαφορετικές αποφάσεις. Η πρώτη αφορά την ενημέρωση των πολιτών. Ο Γενικός Κανονισμός για την Προστασία Δεδομένων της ΕΕ απαιτεί από τον οργανισμό που έχει την ευθύνη των δεδομένων να ενημερώνει απευθείας τους ανθρώπους όταν μια παραβίαση είναι πιθανό να δημιουργήσει υψηλό κίνδυνο για τα δικαιώματά τους (ΓΚΠΔ). Η Datatilsynet ελέγχει αν η εκτίμηση γίνεται σωστά, και αυτή εξαρτάται από το τι επέστρεψαν πράγματι οι αναζητήσεις.

Η δεύτερη απόφαση αφορά το ενδεχόμενο έκδοσης νέων αριθμών ταυτότητας και ανήκει στην κυβέρνηση. Αφού ενημέρωσε δύο κοινοβουλευτικές επιτροπές, η Egelund δήλωσε ότι είναι νωρίς να αποφασιστεί αν κάποιοι πολίτες θα πρέπει να λάβουν νέο αριθμό CPR (Ritzau). Η αλλαγή αριθμών εξετάζεται, αλλά δεν έχει αποφασιστεί.

Γιατί έχει σημασία και για άλλους Ευρωπαίους

Επειδή το μητρώο περιλαμβάνει και όσους έχουν μεταναστεύσει από τη Δανία, ορισμένοι από τους ανθρώπους που επηρεάστηκαν ζουν πλέον σε άλλες ευρωπαϊκές χώρες, αν και δεν έχει δημοσιευθεί κατανομή ανά χώρα. Η Σουηδία έχει επίσης αντιμετωπίσει παρόμοια εκμετάλλευση μιας εγκεκριμένης σύνδεσης. Το συνδικάτο Vision αναφέρει ότι τον Σεπτέμβριο και τον Οκτώβριο του 2025 τρίτος εισήγαγε αριθμοσειρές που έμοιαζαν με έγκυρους αριθμούς στη διαδικτυακή φόρμα εγγραφής μελών του (Vision). Καθώς η φόρμα υπέβαλλε αυτόματα ερωτήματα στο κρατικό μητρώο διευθύνσεων της Σουηδίας, επέστρεψε ονόματα και διευθύνσεις περίπου 300.000 ανθρώπων (Sveriges Radio).

Η νομοθεσία της ΕΕ για την προστασία δεδομένων απαιτεί κατάλληλα μέτρα ασφάλειας. Δεν ορίζει, όμως, ποιοι έλεγχοι σύνδεσης, ποια όρια αναζητήσεων ή ποια αρχεία καταγραφής ανά χρήστη πρέπει να εφαρμόζονται στους αδειοδοτημένους πελάτες ενός μητρώου (ΓΚΠΔ). Αυτές τις επιλογές κάνουν οι διαχειριστές κάθε μητρώου, και σε αυτές επικεντρώνεται τώρα ο έλεγχος της Egelund.

Τα στοιχεία τεκμηριώνουν ένα σαφές συμπέρασμα: ένας επιτρεπόμενος τρόπος πρόσβασης στο μητρώο πληθυσμού της Δανίας χρησιμοποιήθηκε χωρίς άδεια και σε μεγάλη κλίμακα, προτού τον εντοπίσουν οι υπάλληλοι του μητρώου. Δεν έχει αποδειχθεί αν αυτό οδήγησε σε μεγάλη απώλεια προσωπικών δεδομένων. Η Datatilsynet και η αστυνομία πρέπει τώρα να εξακριβώσουν πόσες αναζητήσεις επέστρεψαν πραγματικά ονόματα και διευθύνσεις. Το τι συνέβη στη συνέχεια με αυτά τα δεδομένα είναι ξεχωριστό ζήτημα, στο οποίο θα πρέπει να απαντήσει η αστυνομική έρευνα.