Tanskan rekisterissä luvattomia hakuja 8,8 miljoonan tietoihin

Luvattomia hakuja tehtiin Tanskan väestörekisteriin yksityisen yrityksen kautta, jolla oli lupa käyttää rekisteriä. Viranomaiset eivät vielä tiedä, kuinka paljon henkilötietoja hauissa saatiin. Arvion mukaan luvaton käyttö koski 8,8 miljoonaa ihmistä rekisterin noin 11 miljoonasta merkinnästä (ministeriö, CPR-hallinto).

CPR-rekisteri on jokaisen tanskalaisen henkilötunnuksen taustalla. Arvio kattaa nykyiset asukkaat, maasta muuttaneet ja kuolleet. Haettavissa olleisiin tietoihin kuuluivat nimet, osoitteet ja CPR-tunnukset.

Ministeriön mukaan hakuja tehtiin syyskuussa, ja rekisterin työntekijät havaitsivat ne perjantai-iltana 2. lokakuuta. Yrityksen käyttöoikeus suljettiin, poliisi aloitti tutkinnan ja Tanskan tietosuojaviranomainen Datatilsynet sai ilmoituksen. Alustavissa tarkistuksissa ei havaittu, että henkilöiden, joiden henkilöllisyys on suojattu, nimiin tai osoitteisiin olisi päästy käsiksi (ministeriö).

Miten luvallisesta käyttöoikeudesta tuli reitti rekisteriin

Yksityiset yritykset voivat saada luvan käyttää CPR-rekisteriä tiettyihin tarkoituksiin, pääasiassa asiakastietojen pitämiseen ajan tasalla. Tässä tapauksessa yrityksellä oli tällainen lupa. Sen nimeä ei ole julkistettu. Viranomaiset eivät ole kertoneet, kuka haut teki: työntekijä, ulkopuolinen varastetuilla kirjautumistiedoilla vai joku muuta reittiä käyttänyt.

Säännöt jättävät suuren osan valvonnasta asiakkaalle. CPR:n kesäkuussa 2026 päivitetyt vakioehdot edellyttävät, että asiakkaat kirjaavat, kuka työntekijä teki kunkin haun, ja tarkistavat käyttötilastot kuukausittain (CPR:n ehdot).

Rekisterin oma näkymä voi olla rajallisempi. Samojen ehtojen mukaan rekisteri näkee tavallisesti vain pyynnön lähettävän ohjelmiston, jos asiakkaan ohjelmisto hakee tietoja automaattisesti eikä ihminen käynnistä jokaista hakua erikseen. Viranomaiset eivät ole kertoneet, käyttikö yritys tällaista järjestelyä. Ehdot osoittavat mahdollisen valvonnan katvealueen, mutta eivät todista, että tapauksessa oli sellainen. Ritzau uutisoi ministeriön arviosta, jonka mukaan toiminta jäi huomaamatta noin kymmenen päivän ajan (DK Nyt/Ritzau).

Asiasta vastaava ministeri Christina Egelund piti tapausta erittäin vakavana ja sanoi, ettei yrityksen käyttöoikeuden suojaus ollut riittävällä tasolla. Hän määräsi kaikki CPR-rekisterin käyttöoikeudet tarkastettaviksi. Muiden yksityisten asiakkaiden yhteydet avattiin uudelleen 5. lokakuuta (CPR:n tilannetiedote), joten tarkastus tehdään samalla, kun yritysten pääsy rekisteriin on jälleen sallittu.

Mitä viranomaiset eivät vielä tiedä

Datatilsynetille 4. lokakuuta toimitetussa tietoturvaloukkausilmoituksessa kuvattiin erittäin suurta määrää automaattisia hakuja, joilla pyrittiin löytämään voimassa olevia CPR-tunnuksia (Datatilsynet). Tietosuojaviranomainen korosti, että kyse oli ilmoittajan kuvauksesta, ei sen omasta havainnosta. Datatilsynet tai ministeriö ei ole kertonut, kuinka moni haku osui oikeaan tunnukseen, kuinka monesta palautui nimi tai osoite tai kuinka monta tietuetta kopioitiin.

Puuttuvat tiedot vaikuttavat kahteen erilliseen ratkaisuun. Ensimmäinen koskee ihmisten varoittamista. EU:n yleisen tietosuoja-asetuksen mukaan rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta suoraan ihmisille, jos siitä todennäköisesti aiheutuu suuri riski heidän oikeuksilleen (GDPR). Datatilsynet valvoo, että arvio tehdään asianmukaisesti. Arviossa ratkaisee se, mitä haut todella palauttivat.

Toinen ratkaisu koskee uusien henkilötunnusten antamista, ja siitä päättää hallitus. Egelund sanoi kahden parlamentin valiokunnan tiedotuksen jälkeen, että vielä on liian aikaista ratkaista, pitäisikö joillekin antaa uusi CPR-tunnus (Ritzau). Tunnusten vaihtamista harkitaan, mutta päätöstä ei ole tehty.

Miksi muidenkin eurooppalaisten kannattaa seurata tapausta

Koska rekisterissä on myös maasta muuttaneita, osa tietoturvaloukkauksen kohteista asuu nyt muualla Euroopassa. Maakohtaista erittelyä ei ole julkaistu. Vastaavanlainen tapaus on tullut esiin myös Ruotsissa, jossa luvallista yhteyttä käytettiin hyväksi. Ammattiliitto Visionin mukaan kolmas osapuoli syötti syys- ja lokakuussa 2025 numeroita muistuttavia numerosarjoja sen verkkosivujen jäsenlomakkeeseen (Vision). Lomake haki automaattisesti tietoja Ruotsin väestörekisteristä ja palautti noin 300 000 ihmisen nimet ja osoitteet (Sveriges Radio).

EU:n tietosuojalainsäädäntö edellyttää asianmukaista tietoturvaa. Siinä ei kuitenkaan määrätä, miten rekisterin luvallisten yritysasiakkaiden kirjautumisia pitää valvoa tai hakuja rajoittaa, eikä se edellytä käyttäjäkohtaisia lokitietoja (GDPR). Ratkaisut tekee kunkin rekisterin ylläpitäjä. Egelundin tarkastus kohdistuu nyt näihin valintoihin.

Yksi asia on selvä: Tanskan väestörekisterin luvallista käyttöyhteyttä käytettiin laajassa mittakaavassa luvatta ennen kuin rekisterin työntekijät havaitsivat toiminnan. Vielä ei ole osoitettu, kuinka paljon henkilötietoja päätyi luvattomien käyttäjien haltuun. Datatilsynetin ja poliisin on selvitettävä, kuinka moni haku palautti oikean nimen ja osoitteen. Poliisitutkinnassa selvitetään erikseen, mitä tiedoille tapahtui sen jälkeen.