Acceso indebido afecta a 8.8 millones en Dinamarca

Usuarios no autorizados realizaron búsquedas irregulares en el registro de población de Dinamarca a través de una empresa privada que tenía permiso para consultarlo. Las autoridades aún no pueden precisar cuántos datos personales se obtuvieron. Calculan que el acceso no autorizado afectó a 8,8 millones de personas, de los cerca de 11 millones de registros (Ministerio, Administración del CPR).

El registro, conocido como CPR, está detrás de cada número de identidad personal danés. El cálculo incluye a residentes actuales, personas emigradas y fallecidas. Entre los datos a los que se podía acceder figuraban nombres, direcciones y números CPR.

Según el Ministerio, las búsquedas se realizaron durante septiembre y el personal del registro las detectó la noche del viernes 2 de octubre. Se revocó el acceso de la empresa, la policía abrió una investigación y se notificó a Datatilsynet, la autoridad danesa de protección de datos. Las primeras comprobaciones indican que no se accedió a los nombres ni las direcciones de personas con identidad protegida (Ministerio).

Cómo una cuenta autorizada abrió la puerta

Las empresas privadas pueden obtener acceso autorizado al CPR para usos concretos, sobre todo para mantener actualizados los datos de sus clientes. La empresa implicada tenía una licencia de ese tipo. No se ha hecho público su nombre. Las autoridades tampoco han dicho quién realizó las búsquedas: si fue un empleado, alguien ajeno a la empresa con credenciales robadas o una persona que utilizó otra vía.

Las normas dejan buena parte de la supervisión en manos del cliente. Las condiciones estándar del CPR, vigentes desde junio de 2026, exigen que cada cliente registre qué empleado realizó cada búsqueda y revise las estadísticas de uso mensuales (condiciones del CPR).

La perspectiva del propio registro puede ser más limitada. Según esas mismas condiciones, cuando el programa informático de un cliente consulta automáticamente el CPR, sin que una persona introduzca cada búsqueda, el registro normalmente solo identifica al programa que envía la solicitud. Las autoridades no han aclarado qué sistema utilizaba la empresa. Las condiciones señalan dónde podría haber un punto ciego, pero no demuestran que lo hubiera. Según un cálculo ministerial difundido por Ritzau, la actividad pasó inadvertida durante unos diez días (DK Nyt/Ritzau).

Christina Egelund, la ministra responsable, calificó el incidente de muy grave y afirmó que la seguridad del acceso de la empresa no había sido suficiente. Ordenó revisar todos los accesos al CPR. El 5 de octubre se restableció el acceso de otras empresas privadas (estado del CPR), de modo que la revisión sigue adelante mientras ese tipo de acceso permanece abierto.

Lo que las autoridades aún no han determinado

El informe de la brecha que recibió Datatilsynet el 4 de octubre describía un número muy elevado de consultas automatizadas destinadas a encontrar números CPR válidos (Datatilsynet). La autoridad subrayó que esa era la versión de quien notificó el incidente, no una conclusión propia. Ni Datatilsynet ni el Ministerio han publicado cuántas consultas dieron con un número real, cuántas devolvieron nombres o direcciones ni cuántos registros se copiaron.

Esos datos pendientes condicionan dos decisiones distintas. La primera es si hay que avisar a las personas afectadas. El Reglamento General de Protección de Datos de la UE (RGPD) obliga a la organización responsable de los datos a informar directamente a las personas cuando una brecha pueda entrañar un alto riesgo para sus derechos (RGPD). Datatilsynet supervisa que esa valoración se haga correctamente, y para decidirlo importa qué información devolvieron realmente las consultas.

La segunda decisión corresponde al Gobierno y se refiere a la emisión de nuevos números de identidad. Tras informar a dos comisiones parlamentarias, Egelund dijo que era pronto para decidir si alguien debería recibir un nuevo número CPR (Ritzau). La posibilidad de cambiar los números está sobre la mesa, pero no se ha decidido.

Por qué también importa fuera de Dinamarca

Como el registro incluye a personas emigradas, algunas de las afectadas viven ahora en otros países europeos, aunque no se ha publicado un desglose por país. Suecia también ha sufrido la explotación de una conexión autorizada en circunstancias similares. El sindicato Vision afirma que, en septiembre y octubre de 2025, un tercero introdujo en su formulario de afiliación en línea secuencias de cifras que parecían números de identidad (Vision). Como el formulario consultaba automáticamente el registro estatal sueco de direcciones, devolvió los nombres y las direcciones de unas 300.000 personas (Radio Sueca).

La legislación europea de protección de datos exige medidas de seguridad adecuadas, pero no determina qué controles de acceso, límites a las búsquedas o registros de actividad por usuario deben aplicar los clientes autorizados de un registro (RGPD). Esas decisiones corresponden a quienes gestionan cada registro, y son el objeto de la revisión ordenada por Egelund.

Los datos disponibles permiten una conclusión clara: se utilizó sin autorización y a gran escala una vía de acceso permitida al registro de población danés, y el personal no lo detectó de inmediato. Aún no se ha demostrado que eso se tradujera en una extracción masiva de datos personales. Datatilsynet y la policía deben determinar cuántas consultas devolvieron nombres y direcciones reales. La investigación policial tendrá que aclarar por separado qué ocurrió después con esos datos.