Taanis mõjutasid volitamata päringud 8,8 miljonit inimest

Taani rahvastikuregistris tehti loata päringuid eraettevõtte kaudu, kellel oli registri kasutamiseks luba. Ametivõimud ei tea siiani, kui palju isikuandmeid nende päringutega saadi. Nende hinnangul puudutas loata ligipääs 8,8 miljonit inimest ligi 11 miljonist registrikandest (ministeerium, CPR-i haldusasutus).

CPR on Taani rahvastikuregister, millel põhineb iga riigi isikukood. Hinnang hõlmab praegusi elanikke, väljarännanuid ja surnuid. Päringutega oli võimalik saada nimesid, aadresse ja CPR-numbreid.

Ministeeriumi andmetel tehti päringuid septembris ning registri töötajad märkasid neid reedel, 2. oktoobril õhtul. Ettevõtte ligipääs suleti, politsei alustas uurimist ja juhtumist teavitati Taani andmekaitseasutust Datatilsynet. Esialgse kontrolli järgi ei sattunud päringute kätte kaitstud identiteediga inimeste nimed ega aadressid (ministeerium).

Kuidas sai litsentsitud kontost ligipääsutee

Eraettevõtted saavad CPR-i kasutada kindlatel eesmärkidel, peamiselt kliendiandmete ajakohastamiseks. Ka selle juhtumiga seotud ettevõttel oli vastav luba, kuid selle nime pole avalikustatud. Ametivõimud pole öelnud, kes päringuid tegi: kas ettevõtte töötaja, varastatud sisselogimisandmeid kasutanud kõrvaline isik või keegi, kes pääses registrisse muul viisil.

Tingimuste järgi vastutab suuresti päringute jälgimise eest klient ise. CPR-i 2026. aasta juuni standardtingimused nõuavad, et klient märgiks üles, milline töötaja iga päringu tegi, ja vaataks kasutusstatistika kord kuus üle (CPR-i tingimused).

Registri enda vaade päringutele võib olla piiratum. Samade tingimuste järgi näeb register tavaliselt automaatsete päringute puhul ainult päringu teinud tarkvara, mitte inimest, kes päringuid algatas. Ametivõimud pole avaldanud, millist lahendust ettevõte kasutas. Tingimused näitavad võimalikku pimekohta, kuid ei tõenda, et see juhtumis rolli mängis. Ritzau vahendatud ministri hinnangul jäi tegevus avastamata ligikaudu kümneks päevaks (DK Nyt/Ritzau).

Valdkonna eest vastutav minister Christina Egelund nimetas juhtumit väga tõsiseks ja ütles, et ettevõtte ligipääsu turvameetmed polnud piisavad. Ta algatas kõigi CPR-i ligipääsude ülevaatuse. Teiste eraettevõtete ligipääs taastati 5. oktoobril (CPR-i teade), mistõttu käib ülevaatus samal ajal, kui eraettevõtete ligipääs on taas avatud.

Mida ametivõimud pole veel kindlaks teinud

Datatilsynet sai 4. oktoobril teate rikkumisest, milles kirjeldati suurt hulka automaatseid päringuid, mille eesmärk oli leida kehtivaid CPR-numbreid (Datatilsynet). Andmekaitseasutus rõhutas, et see oli teate esitanud osapoole kirjeldus, mitte ameti enda tuvastus. Datatilsynet ega ministeerium pole avaldanud, kui paljud päringud leidsid kehtiva numbri, tagastasid nime või aadressi või viisid registrikande kopeerimiseni.

Need teadmata arvud mõjutavad kaht eri otsust. Esimene puudutab inimeste teavitamist. EL-i isikuandmete kaitse üldmääruse järgi peab andmete töötlemise eest vastutav organisatsioon inimesi otse teavitama, kui rikkumine kujutab tõenäoliselt suurt ohtu nende õigustele (GDPR). Datatilsynet kontrollib, kas seda otsustatakse õigesti. Otsus sõltub sellest, milliseid andmeid päringutega tegelikult saadi.

Teine otsus puudutab uute isikukoodide väljastamist ja selle teeb valitsus. Pärast kahe parlamendikomisjoni teavitamist ütles Egelund, et uute CPR-numbrite väljastamise üle on veel vara otsustada (Ritzau). Numbrite vahetamine on arutlusel, otsust pole tehtud.

Miks peaksid ka teised eurooplased tähele panema

Kuna register hõlmab ka Taanist lahkunuid, elab osa mõjutatud inimestest praegu mujal Euroopas. Riikide kaupa jaotust pole avaldatud. Sarnasel viisil kasutati ära ka Rootsis lubatud andmeühendust. Ametiühing Visioni sõnul sisestas kõrvaline isik 2025. aasta septembris ja oktoobris selle liikmevormi numbrijadasid, mis meenutasid isikukoode (Vision). Veebivorm päris automaatselt andmeid Rootsi riiklikust aadressiregistrist ning tagastas umbes 300 000 inimese nimed ja aadressid (Sveriges Radio).

EL-i andmekaitseõigus nõuab asjakohaseid turvameetmeid, kuid ei sätesta, milliseid sisselogimiskontrolle, päringupiiranguid või kasutajapõhiseid logisid registrite litsentsitud kliendid peavad rakendama (GDPR). Need valikud jäävad iga registri haldajatele. Nüüd vaatab neid üle Egelundi juhitud ministeerium.

Praegu saab kindlalt öelda, et Taani rahvastikuregistrisse lubatud ligipääsu kasutati loata ja suures ulatuses, enne kui registri töötajad selle avastasid. Pole tõendatud, kas selle kaudu saadi suures mahus isikuandmeid. Datatilsynet ja politsei peavad kindlaks tegema, kui paljud päringud tagastasid tegelikke nimesid ja aadresse. Andmete edasine kasutamine on eraldi küsimus, mida uurib politsei.