Registre de population danois : 8.8 millions touchés

Le Danemark estime que 8,8 millions de personnes, sur quelque 11 millions d’entrées au registre CPR, ont été concernées par des recherches non autorisées menées en septembre via une entreprise privée habilitée. L’ampleur des données obtenues reste inconnue.

Le chiffre de 8,8 millions mesure le nombre de personnes concernées, pas celui des dossiers dont les données ont effectivement été consultées. Des utilisateurs non autorisés ont lancé des recherches dans le registre danois en passant par une entreprise privée qui y avait accès. Les autorités ne savent pas encore combien de données personnelles ces recherches ont produit. Elles estiment que 8,8 millions de personnes, sur quelque 11 millions d’entrées, ont été touchées par cet accès non autorisé (ministère, CPR Administration).

Le registre, appelé CPR, est au cœur du système danois d’identification personnelle. L’estimation porte sur les résidents actuels, les personnes ayant émigré et les personnes décédées. Les données accessibles comprenaient des noms, des adresses et des numéros CPR.

Selon le ministère, les recherches ont eu lieu en septembre. Les agents du registre les ont repérées le vendredi 2 octobre au soir. L’accès de l’entreprise a été coupé, la police a ouvert une enquête et Datatilsynet, l’autorité danoise de protection des données, a été informée. Les premières vérifications indiquent que les noms et adresses des personnes bénéficiant d’une protection de l’identité n’ont pas été consultés (ministère).

Comment un accès autorisé a servi de porte d’entrée

Des entreprises privées peuvent obtenir une licence d’accès au CPR pour des usages précis, principalement pour tenir à jour les dossiers de leurs clients. L’entreprise concernée disposait d’une telle licence. Son nom n’a pas été rendu public. Les autorités n’ont pas précisé qui a lancé les recherches : un salarié, un tiers ayant dérobé des identifiants ou une personne ayant utilisé une autre voie.

Les règles font reposer une large part du contrôle sur l’entreprise cliente. Les conditions générales du CPR, publiées en juin 2026, exigent que les clients consignent quel salarié a effectué chaque recherche et examinent chaque mois les statistiques d’utilisation (conditions du CPR).

Le registre peut, de son côté, avoir une vision plus limitée. Selon ces mêmes conditions, lorsqu’un logiciel interroge automatiquement le CPR, sans qu’une personne saisisse chaque recherche, le registre ne voit généralement que le logiciel à l’origine de la demande. Les autorités n’ont pas révélé quel système utilisait cette entreprise. Ces règles signalent un angle mort possible, sans prouver qu’il existait dans ce cas. Une estimation ministérielle rapportée par Ritzau évalue à une dizaine de jours la durée pendant laquelle l’activité est passée inaperçue (DK Nyt/Ritzau).

Christina Egelund, la ministre chargée du dossier, a qualifié l’incident de très grave et reconnu que la sécurité de l’accès accordé à l’entreprise était insuffisante. Elle a ordonné un examen de tous les accès au CPR. Les autres clients privés ont retrouvé leur accès le 5 octobre (état du CPR) : l’examen se poursuit donc alors que ce type d’accès reste ouvert.

Ce que les autorités n’ont pas encore établi

Le signalement de violation reçu par Datatilsynet le 4 octobre faisait état d’un très grand nombre de recherches automatisées destinées à trouver des numéros CPR valides (Datatilsynet). L’autorité a précisé qu’il s’agissait du récit transmis par le déclarant, et non de ses propres conclusions. Ni Datatilsynet ni le ministère n’ont indiqué combien de recherches ont abouti à un numéro valide, combien ont renvoyé des noms ou des adresses, ni combien de dossiers ont été copiés.

Ces chiffres manquants pèsent sur deux décisions distinctes. La première concerne l’information des personnes touchées. En vertu du règlement général sur la protection des données de l’UE, le responsable du traitement — l’organisation qui décide de l’usage des données — doit les informer directement lorsqu’une violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés (RGPD). Datatilsynet contrôle la qualité de cette évaluation, qui dépend de ce que les recherches ont effectivement renvoyé.

La seconde décision relève du gouvernement : faut-il attribuer de nouveaux numéros d’identité ? Après avoir informé deux commissions parlementaires, Egelund a déclaré qu’il était trop tôt pour trancher (Ritzau). Le changement de numéros est à l’étude, mais n’a pas été décidé.

Pourquoi les autres Européens sont concernés

Comme le registre comprend les personnes ayant émigré, certaines des personnes touchées vivent désormais ailleurs en Europe, même si aucun détail par pays n’a été publié. La Suède a connu un détournement comparable d’un accès autorisé. Le syndicat Vision affirme qu’en septembre et octobre 2025, un tiers a saisi des séries de chiffres ressemblant à des numéros d’identification dans son formulaire d’adhésion en ligne (Vision). Le formulaire interrogeant automatiquement le registre national suédois des adresses, il a renvoyé les noms et adresses d’environ 300 000 personnes (Sveriges Radio).

Le droit européen impose des mesures de sécurité adaptées aux données. Il ne précise pas quels contrôles d’identification, limites de recherche ou journaux individuels les clients autorisés d’un registre doivent mettre en place (RGPD). Ces choix incombent aux opérateurs de chaque registre. C’est aussi sur eux que porte désormais l’examen ordonné par Egelund.

Les faits établis permettent une conclusion nette : une voie d’accès autorisée au registre danois de la population a été utilisée sans permission, à grande échelle, avant que les agents du registre ne la repèrent. On ne sait pas encore si cet accès s’est traduit par une extraction massive de données personnelles. Datatilsynet et la police doivent déterminer combien de recherches ont renvoyé des noms et des adresses réels. Le sort de ces données après leur consultation est une question distincte, que l’enquête policière devra éclaircir.