Danijos registre paveikta 8,8 mln. žmonių

Leidimo neturintys asmenys per privačią įmonę, kuriai buvo suteikta prieiga prie Danijos gyventojų registro, vykdė neteisėtas paieškas. Pareigūnai kol kas negali pasakyti, kiek asmens duomenų pavyko gauti. Jų vertinimu, neteisėta prieiga galėjo paveikti 8,8 mln. žmonių iš maždaug 11 mln. registro įrašų (ministerija, CPR administracija).

CPR registras susietas su kiekvienu Danijos gyventojo asmens tapatybės numeriu. Į vertinimą patenka dabartiniai gyventojai, iš šalies išvykę žmonės ir mirusieji. Tarp galimai pasiekiamų duomenų buvo vardai, adresai ir CPR numeriai.

Kaip nurodo ministerija, paieškos vyko rugsėjį, o registro darbuotojai jas pastebėjo penktadienio, 2026 m. spalio 2 d., vakarą. Įmonės prieiga buvo panaikinta, policija pradėjo tyrimą, o apie atvejį pranešta Danijos duomenų apsaugos institucijai Datatilsynet. Preliminariais duomenimis, asmenų, kurių tapatybė saugoma, vardai ir adresai nebuvo pasiekti (ministerija).

Kaip licencijuota prieiga tapo keliu į registrą

Privačios įmonės gali gauti licenciją naudotis CPR registru nustatytais tikslais, dažniausiai klientų duomenims atnaujinti. Šią licenciją turėjo ir ši įmonė, kurios pavadinimas neskelbiamas. Pareigūnai neatskleidė, kas vykdė paieškas: įmonės darbuotojas, pašalinis asmuo, pasinaudojęs pavogtais prisijungimo duomenimis, ar kas nors kitu būdu.

Pagal 2026 m. birželio CPR standartines sąlygas klientai privalo registruoti, kuris darbuotojas atliko kiekvieną paiešką, ir kas mėnesį peržiūrėti naudojimosi statistiką (CPR sąlygos).

Pats registras gali matyti mažiau. Kai kliento programinė įranga automatiškai teikia užklausas CPR registrui ir žmogus kiekvienos paieškos neįveda ranka, registras paprastai mato tik užklausą siunčiančią programą. Pareigūnai neatskleidė, kaip veikė ši įmonė. Sąlygos parodo, kur galėtų atsirasti stebėsenos spraga, bet neįrodo, kad ji šiuo atveju buvo. „Ritzau“ paskelbtame ministerijos vertinime teigiama, kad nepastebėta veikla galėjo trukti apie dešimt dienų (DK Nyt / Ritzau).

Už šį klausimą atsakinga ministrė Kristina Egelund incidentą pavadino itin rimtu ir sakė, kad įmonės prieigos saugumo priemonės buvo nepakankamos. Ji nurodė peržiūrėti visas prieigas prie CPR registro. Kitų privačių klientų prieiga atkurta 2026 m. spalio 5 d. (CPR informacija), tad peržiūra vyksta ir toliau paliekant atvirą tokio pobūdžio prieigą.

Ko pareigūnai dar nenustatė

Pažeidimo pranešime, kurį Datatilsynet gavo 2026 m. spalio 4 d., aprašyta labai daug automatizuotų užklausų, skirtų galiojantiems CPR numeriams rasti (Datatilsynet). Institucija pabrėžė, kad tai buvo pranešėjo pateikta informacija, o ne jos pačios išvada. Nei Datatilsynet, nei ministerija nepaskelbė, kiek užklausų aptiko tikrą numerį, kiek jų grąžino vardus ar adresus ir kiek įrašų buvo nukopijuota.

Trūkstami duomenys svarbūs priimant du atskirus sprendimus. Pirmasis – ar reikia įspėti žmones. Pagal ES Bendrąjį duomenų apsaugos reglamentą (BDAR), už duomenis atsakinga organizacija privalo tiesiogiai informuoti žmones, jei dėl pažeidimo gali kilti didelis pavojus jų teisėms (BDAR). Datatilsynet prižiūri, ar toks vertinimas atliktas tinkamai, o jo rezultatas priklauso nuo to, kokius duomenis paieškos iš tiesų grąžino.

Antrasis sprendimas – ar suteikti žmonėms naujus tapatybės numerius. Jį priima vyriausybė. Dviem parlamento komitetams pranešusi ministrė Egelund sakė, kad spręsti, ar kam nors reikėtų naujo CPR numerio, dar per anksti (Ritzau). Galimybė pakeisti numerius svarstoma, bet sprendimas nepriimtas.

Kodėl į tai turėtų atkreipti dėmesį ir kiti europiečiai

Kadangi registre yra ir iš šalies išvykusių žmonių, dalis nukentėjusiųjų dabar gyvena kitose Europos valstybėse, nors duomenų apie jų pasiskirstymą pagal šalis nepaskelbta. Panašiai buvo pasinaudota ir teisėta prieiga prie Švedijos registro. Profesinė sąjunga „Vision“ pranešė, kad 2025 m. rugsėjį ir spalį trečioji šalis į jos internetinę narystės formą įvedinėjo į asmens numerius panašias skaičių sekas (Vision). Kadangi forma automatiškai tikrino duomenis Švedijos valstybiniame adresų registre, buvo gauti maždaug 300 000 žmonių vardai ir adresai (Sveriges Radio).

ES duomenų apsaugos teisė reikalauja tinkamų saugumo priemonių, tačiau nenustato, kokią prisijungimo kontrolę, paieškų ribojimus ar kiekvieno naudotojo veiksmų žurnalus turi taikyti registrų klientai, turintys licenciją (BDAR). Šias priemones pasirenka patys registrų valdytojai – būtent jas dabar peržiūri ministrė Egelund.

Kol kas galima tvirtai teigti viena: teisėta prieiga prie Danijos gyventojų registro buvo panaudota be leidimo, dideliu mastu, o registro darbuotojai tai pastebėjo tik vėliau. Ar dėl to nutekėjo daug asmens duomenų, dar nenustatyta. Datatilsynet ir policija turi išsiaiškinti, kiek paieškų grąžino tikrus vardus ir adresus. Kas vėliau nutiko su šiais duomenimis, policija turi tirti atskirai.