Accessi abusivi al registro danese: 8,8 milioni

Utenti non autorizzati hanno interrogato in modo anomalo il registro della popolazione danese tramite una società privata che aveva il permesso di accedervi. Le autorità non sanno ancora quanti dati personali siano stati ottenuti con quelle ricerche. Secondo le stime, l’accesso non autorizzato ha riguardato 8,8 milioni di persone, su circa 11 milioni di nominativi presenti nel registro (Ministry, CPR Administration).

Il registro, noto come CPR, è alla base di ogni numero di identità personale danese. La stima comprende residenti, emigrati e persone decedute; tra i dati potenzialmente accessibili c’erano nomi, indirizzi e numeri CPR.

Secondo il ministry, le ricerche sono proseguite per tutto settembre e gli addetti al registro le hanno individuate la sera di venerdì 2 ottobre. Le autorità hanno bloccato l’accesso della società, la polizia ha avviato un’indagine e il Datatilsynet, l’autorità danese per la protezione dei dati, è stato informato. I primi controlli indicano che nomi e indirizzi delle persone con identità protetta non sono stati consultati (Ministry).

Come un accesso autorizzato è diventato una porta d’ingresso

Le società private possono ottenere una licenza per accedere al CPR per usi specifici, soprattutto per tenere aggiornati i dati dei clienti. La società coinvolta aveva una licenza di questo tipo, ma il suo nome non è stato reso noto. Le autorità non hanno chiarito chi abbia effettuato le ricerche: un dipendente, una persona esterna con credenziali rubate o qualcuno che ha usato un altro canale.

Le regole affidano ai clienti gran parte dei controlli. Le condizioni standard del CPR, in vigore da giugno 2026, impongono di registrare quale dipendente abbia eseguito ogni ricerca e di verificare ogni mese le statistiche sull’utilizzo (CPR terms).

Il registro può avere una visione più limitata. In base alle stesse condizioni, quando il software di un cliente interroga automaticamente il CPR, senza che una persona inserisca ogni singola ricerca, il registro di norma vede soltanto il software che invia la richiesta. Le autorità non hanno reso noto quale modalità usasse questa società. Le condizioni indicano dove potrebbe trovarsi un punto cieco, ma non dimostrano che in questo caso ci fosse. Secondo una stima ministeriale riferita da Ritzau, l’attività è rimasta inosservata per circa dieci giorni (DK Nyt/Ritzau).

Christina Egelund, la ministra responsabile, ha definito l’incidente molto grave e ha detto che la sicurezza degli accessi concessi alla società non era adeguata. Ha ordinato una revisione di tutti gli accessi al CPR. Il 5 ottobre le altre società private hanno riottenuto l’accesso (CPR status), perciò la revisione prosegue mentre questo tipo di accesso resta attivo.

Che cosa le autorità non hanno ancora accertato

La segnalazione della violazione ricevuta dal Datatilsynet il 4 ottobre descriveva un numero molto elevato di interrogazioni automatizzate, pensate per individuare numeri CPR validi (Datatilsynet). L’autorità ha precisato che si trattava di quanto riferito da chi aveva inviato la segnalazione, non di una sua conclusione. Né il Datatilsynet né il ministero hanno pubblicato quante interrogazioni abbiano trovato un numero valido, quante abbiano restituito nomi o indirizzi e quanti dati siano stati copiati.

Le cifre mancanti sono decisive per due decisioni distinte. La prima riguarda gli avvisi. In base al Regolamento generale sulla protezione dei dati dell’UE, l’organizzazione titolare del trattamento deve informare direttamente le persone quando è probabile che una violazione comporti un rischio elevato per i loro diritti (GDPR). Il Datatilsynet verifica che la valutazione sia corretta, ma questa dipende da quali dati le ricerche abbiano effettivamente restituito.

La seconda decisione riguarda l’eventuale assegnazione di nuovi numeri d’identità e spetta al governo. Dopo aver aggiornato due commissioni parlamentari, Egelund ha detto che è troppo presto per decidere se qualcuno debba ricevere un nuovo numero CPR (Ritzau). La sostituzione dei numeri è allo studio, ma non è stata decisa.

Perché anche gli altri europei dovrebbero seguire il caso

Poiché il registro comprende anche gli emigrati, alcune delle persone coinvolte vivono oggi in altri paesi europei, anche se non è stata pubblicata una ripartizione per paese. Anche in Svezia un collegamento autorizzato è stato sfruttato in modo simile. Il sindacato Vision riferisce che, tra settembre e ottobre 2025, una terza persona ha inserito sequenze simili a numeri nel modulo online per l’iscrizione (Vision). Poiché il modulo interrogava automaticamente il registro statale degli indirizzi svedese, ha restituito nomi e indirizzi di circa 300.000 persone (Sveriges Radio).

La normativa europea sulla protezione dei dati impone misure di sicurezza adeguate, ma non stabilisce quali controlli degli accessi, limiti alle ricerche o registri per singolo utente debbano adottare i clienti autorizzati di un registro (GDPR). Queste scelte spettano a chi gestisce ciascun registro: è su di loro che ricade ora la revisione ordinata da Egelund.

I fatti consentono una conclusione certa: una via autorizzata per accedere al registro della popolazione danese è stata usata senza permesso e su vasta scala, prima che gli addetti se ne accorgessero. Resta da dimostrare se questo abbia comportato un’ampia acquisizione di dati personali. Il Datatilsynet e la polizia devono ora stabilire quante interrogazioni abbiano restituito nomi e indirizzi reali; spetta poi all’indagine della polizia chiarire che fine abbiano fatto quei dati.