A dán nyilvántartási ügy 8,8 millió embert érintett

Egy magáncég rendszerén keresztül jogosulatlanul kerestek adatokat a dán lakossági nyilvántartásban, noha a vállalatnak volt engedélye az adatbázis használatára. A hatóságok egyelőre azt sem tudják megmondani, mennyi személyes adatot adtak vissza a keresések. Becslésük szerint a jogosulatlan hozzáférés a mintegy 11 millió bejegyzésből 8,8 millió embert érintett (a minisztérium, a CPR nyilvántartás kezelője).

A CPR néven ismert nyilvántartás tartja számon a dán személyi azonosító számokat. A becslés a jelenlegi lakosokra, a kivándoroltakra és az elhunytakra is kiterjed; a hozzáférhető adatok között nevek, lakcímek és CPR-számok szerepeltek.

A minisztérium szerint a keresések szeptemberben zajlottak, a nyilvántartás munkatársai pedig október 2-án, péntek este vették észre őket. Leállították a cég hozzáférését, a rendőrség nyomozást indított, a dán adatvédelmi hatóságot, a Datatilsynetet pedig értesítették. Az első ellenőrzések szerint a védett személyazonosságú emberek nevéhez és lakcíméhez nem fértek hozzá (a minisztérium).

Hogyan vált a szabályos hozzáférés a visszaélés útjává

A magáncégek meghatározott célokra kaphatnak engedélyt a CPR elérésére, főként azért, hogy naprakészen tartsák ügyféladataikat. Az érintett vállalat is rendelkezett ilyen engedéllyel, a nevét azonban nem hozták nyilvánosságra. A hatóságok azt sem közölték, ki indította a kereséseket: egy alkalmazott, valaki megszerzett belépési adatokkal, vagy egy másik útvonalon bejutó személy.

A szabályok az ellenőrzés jelentős részét az ügyfélre bízzák. A CPR 2026 júniusában kiadott általános feltételei előírják, hogy az ügyfelek rögzítsék, melyik munkatárs indította az egyes kereséseket, és havonta nézzék át a használati statisztikákat (a CPR feltételei).

A nyilvántartás üzemeltetői ennél kevesebbet is láthatnak. Ugyanezek a feltételek kimondják, hogy ha az ügyfél szoftvere automatikusan kérdez le adatokat a CPR-ből, emberi beavatkozás nélkül, akkor a nyilvántartás rendszerint csak a lekérdezést küldő szoftvert látja. A hatóságok nem árulták el, hogy a cég milyen megoldást használt. A feltételek alapján ez lehet egy ellenőrzési vakfolt, de ebből nem következik, hogy az ügyben ténylegesen az volt. A Ritzau által ismertetett miniszteri becslés szerint a gyanús tevékenységet mintegy tíz napig nem vették észre (DK Nyt/Ritzau).

Christina Egelund, az ügyért felelős miniszter súlyosnak nevezte az esetet, és azt mondta, a cég hozzáférésének biztonsági feltételei nem voltak megfelelőek. Elrendelte a CPR-hez való valamennyi hozzáférés felülvizsgálatát. A többi magánügyfelet október 5-én visszakapcsolták (a CPR tájékoztatója), így a felülvizsgálat idején is nyitva marad ez a hozzáférési forma.

Mit nem állapítottak meg még a hatóságok

A Datatilsynethöz október 4-én beérkezett incidensbejelentés szerint nagyon sok automatikus lekérdezéssel próbáltak érvényes CPR-számokat találni (Datatilsynet). A hatóság hangsúlyozta, hogy ez a bejelentő beszámolója, nem a saját megállapítása. Sem a Datatilsynet, sem a minisztérium nem közölte, hány keresés talált valódi azonosítót, hány adott vissza nevet vagy lakcímet, és hány rekordot másoltak le.

A hiányzó adatok két külön döntéshez kellenek. Az első az érintettek értesítése. Az EU általános adatvédelmi rendelete szerint az adatkezelőnek közvetlenül tájékoztatnia kell az embereket, ha az adatvédelmi incidens valószínűleg magas kockázatot jelent a jogaikra nézve (GDPR). A Datatilsynet azt felügyeli, hogy az adatkezelő megfelelően mérje fel a helyzetet; ehhez tudni kell, mit adtak vissza a keresések.

A második döntés új személyi azonosító számok kiadásáról szól, és a kormány hatáskörébe tartozik. Miután tájékoztatta a parlament két bizottságát, Egelund azt mondta, még korai eldönteni, kapjon-e bárki új CPR-számot (Ritzau). Az új azonosítók kiadása felmerült, de döntés még nincs.

Miért figyelhetnek erre más európaiak is

Mivel a nyilvántartásban a kivándoroltak adatai is szerepelnek, az érintettek között olyanok is vannak, akik ma más európai országban élnek, bár országonkénti bontást nem közöltek. Svédországban is előfordult, hogy valaki visszaélt egy engedélyezett adatkapcsolattal. A Vision szakszervezet szerint 2025 szeptemberében és októberében egy külső szereplő személyi azonosítókra emlékeztető számsorokat vitt be az online tagfelvételi űrlapjukba (Vision). Mivel az űrlap automatikusan lekérdezte a svéd állami lakcímnyilvántartást, mintegy 300 000 ember nevét és lakcímét adta vissza (Sveriges Radio).

Az uniós adatvédelmi jog megfelelő biztonsági intézkedéseket ír elő, de nem szabja meg, milyen belépési ellenőrzést, lekérdezési korlátot vagy felhasználónkénti naplózást kell alkalmazniuk a nyilvántartások engedélyezett ügyfeleinek (GDPR). Ezekről az adott nyilvántartás üzemeltetői döntenek; Egelund felülvizsgálata is ezt a területet érinti.

Az eddig ismert adatok alapján egy dolog biztos: a dán lakossági nyilvántartás egyik engedélyezett hozzáférési útját nagy léptékben, jogosulatlanul használták, mielőtt a nyilvántartás munkatársai észlelték volna. Egyelőre nem bizonyított, hogy ennek során nagy mennyiségű személyes adat került ki. A Datatilsyneten és a rendőrségen múlik, hogy kiderítsék, hány keresés adott vissza valódi neveket és lakcímeket. A rendőrségi nyomozatnak azt is fel kell tárnia, mi történt később ezekkel az adatokkal.