Danski registar: pogođeno 8.8 milijuna

Neovlašteni korisnici pretraživali su danski registar stanovništva preko privatne tvrtke koja je imala dopušten pristup. Dužnosnici još ne mogu utvrditi koliko su osobnih podataka te pretrage otkrile. Procjenjuju da je neovlaštenim pristupom obuhvaćeno 8,8 milijuna ljudi, od približno 11 milijuna zapisa (Ministarstvo, Uprava CPR-a).

Registar, poznat kao CPR, temelj je danskog osobnog identifikacijskog broja. Procjena obuhvaća sadašnje stanovnike, iseljenike i preminule, a dostupni podaci uključivali su imena, adrese i CPR brojeve.

Prema ministarstvu, pretrage su se odvijale tijekom rujna, a zaposlenici registra otkrili su ih u petak navečer, 2. listopada. Tvrtki je ukinut pristup, policija je pokrenula istragu, a o slučaju je obaviješten Datatilsynet, dansko tijelo za zaštitu podataka. Preliminarne provjere pokazale su da nisu otkrivena imena ni adrese osoba sa zaštićenim identitetom (Ministarstvo).

Kako je licencirani račun postao ulazna točka

Privatne tvrtke mogu dobiti licencu za pristup CPR-u u određene svrhe, uglavnom kako bi ažurirale evidenciju svojih korisnika. Tvrtka u ovom slučaju imala je takvu licencu, ali njezino ime nije objavljeno. Dužnosnici nisu rekli tko je pokretao pretrage: zaposlenik, netko izvan tvrtke s ukradenim pristupnim podacima ili osoba koja je pristupila drugim putem.

Prema standardnim uvjetima CPR-a iz lipnja 2026., korisnici moraju bilježiti koji je zaposlenik pokrenuo svaku pretragu i jednom mjesečno pregledati statistiku korištenja (uvjeti CPR-a).

Registar može imati uži uvid u ono što se događa. Prema istim uvjetima, kada korisnički računalni program automatski šalje upite CPR-u, bez da netko ručno unosi svaku pretragu, registar obično vidi samo program koji šalje zahtjev. Dužnosnici nisu objavili kako je pristupala ova tvrtka. Uvjeti upućuju na moguću slabu točku, ali ne dokazuju da je ona postojala u ovom slučaju. Prema procjeni koju je prenio Ritzau, neotkrivena aktivnost trajala je oko deset dana (DK Nyt/Ritzau).

Christina Egelund, nadležna ministrica, nazvala je incident iznimno ozbiljnim i rekla da zaštita pristupa koji je tvrtka imala nije bila dovoljno dobra. Naložila je provjeru svih pristupa CPR-u. Ostalim privatnim korisnicima pristup je ponovno omogućen 5. listopada (status CPR-a), pa se provjera provodi dok takav pristup ostaje otvoren.

Što dužnosnici još nisu utvrdili

U prijavi o povredi podataka koju je Datatilsynet zaprimio 4. listopada opisan je vrlo velik broj automatiziranih upita kojima se traže valjani CPR brojevi (Datatilsynet). Regulator je naglasio da je riječ o navodima podnositelja prijave, a ne o njegovim vlastitim nalazima. Ni Datatilsynet ni ministarstvo nisu objavili koliko je upita pogodilo valjan broj, koliko ih je vratilo ime ili adresu ni koliko je zapisa kopirano.

Ti podaci važni su za dvije odvojene odluke. Prva se odnosi na obavještavanje građana. Prema Općoj uredbi EU-a o zaštiti podataka, organizacija odgovorna za podatke mora izravno obavijestiti ljude kada povreda vjerojatno predstavlja visok rizik za njihova prava (GDPR). Datatilsynet nadzire je li ta procjena ispravna, a ona ovisi o tome što su upiti doista otkrili.

Druga odluka odnosi se na dodjelu novih identifikacijskih brojeva i u nadležnosti je vlade. Nakon što je izvijestila dva parlamentarna odbora, Egelund je rekla da je prerano odlučiti treba li ikome dodijeliti novi CPR broj (Ritzau). O promjeni brojeva još se raspravlja; odluka nije donesena.

Zašto je slučaj važan i izvan Danske

Budući da registar obuhvaća i iseljenike, neki od pogođenih danas žive u drugim europskim zemljama, premda podaci po državama nisu objavljeni. Sličan slučaj zlouporabe ovlaštenog pristupa zabilježen je i u Švedskoj. Sindikat Vision navodi da je u rujnu i listopadu 2025. treća strana u njegov mrežni obrazac za učlanjenje unosila nizove koji su nalikovali identifikacijskim brojevima (Vision). Budući da je obrazac automatski pretraživao švedski državni registar adresa, otkrio je imena i adrese oko 300.000 ljudi (Sveriges Radio).

Zakonodavstvo EU-a o zaštiti podataka zahtijeva primjerene sigurnosne mjere, ali ne propisuje kakve kontrole prijave, ograničenja pretraživanja ni zapisnike po pojedinom korisniku moraju primjenjivati licencirani korisnici registara (GDPR). O tim odlukama odlučuju upravitelji pojedinih registara, a upravo njih sada preispituje Egelund.

Dosad se može pouzdano zaključiti da je dopušteni pristup danskom registru stanovništva u velikom opsegu korišten bez odobrenja, prije nego što su to zaposlenici registra otkrili. Nije dokazano da je pritom izgubljena velika količina osobnih podataka. Datatilsynet i policija trebaju utvrditi koliko je upita otkrilo stvarna imena i adrese. Što se s tim podacima dogodilo nakon toga, zasebno je pitanje za policijsku istragu.