Dānijas reģistrā skarti 8.8 miljoni cilvēku

Neatļautas personas, izmantojot privāta uzņēmuma piekļuvi Dānijas iedzīvotāju reģistram, tajā veikušas neatļautus meklējumus. Amatpersonas vēl nevar pateikt, cik daudz personas datu šajos meklējumos iegūts. Iestādes lēš, ka neatļautā piekļuve skārusi 8,8 miljonus cilvēku no aptuveni 11 miljoniem reģistra ierakstu (ministrija, CPR administrācija).

Reģistrs, ko dēvē par CPR, ir visu Dānijas personas identifikācijas numuru pamatā. Aplēse attiecas uz pašreizējiem iedzīvotājiem, emigrējušajiem un mirušajiem. Pieejamā informācija ietvēra vārdus, adreses un CPR numurus.

Ministrija ziņo, ka meklējumi reģistrā esot notikuši septembrī un reģistra darbinieki tos pamanījuši piektdien, 2. oktobra vakarā. Uzņēmuma piekļuvi slēdza, policija sāka izmeklēšanu, un par notikušo informēja Datatilsynet — Dānijas datu aizsardzības iestādi. Sākotnējās pārbaudēs noskaidrots, ka nav skarti to cilvēku vārdi un adreses, kuri dzīvo ar aizsargātu identitāti (ministrija).

Kā licencēts konts kļuva par ieejas punktu

Privātie uzņēmumi var saņemt licenci piekļuvei CPR konkrētiem mērķiem, galvenokārt klientu datu aktualizēšanai. Šajā gadījumā uzņēmumam bija šāda licence. Tā nosaukums nav publiskots. Amatpersonas nav atklājušas, kas veica meklējumus: darbinieks, persona ar nozagtiem piekļuves datiem vai kāds, kurš izmantoja citu piekļuves ceļu.

Noteikumi lielu daļu uzraudzības pienākuma uzliek pašam klientam. CPR standarta noteikumi, kas pieņemti 2026. gada jūnijā, klientiem liek reģistrēt, kurš darbinieks veicis katru meklējumu, un reizi mēnesī pārskatīt lietojuma statistiku (CPR noteikumi).

Pašam reģistram pārskatāmība var būt ierobežotāka. Saskaņā ar tiem pašiem noteikumiem, ja klienta programmatūra automātiski vaicā CPR un neviens cilvēks neievada katru meklējumu, reģistrs parasti redz tikai programmatūru, kas sūta pieprasījumu. Amatpersonas nav atklājušas, kādu risinājumu izmantoja šis uzņēmums. Noteikumi parāda, kur var veidoties nepārskatāma zona, bet neapliecina, ka tā šajā gadījumā izveidojās. Ritzau citētā ministres aplēse liecina, ka neatļautie meklējumi esot palikuši nepamanīti aptuveni desmit dienas (DK Nyt/Ritzau).

Atbildīgā ministre Kristīna Egelunda incidentu nosauca par ļoti nopietnu un teica, ka uzņēmuma piekļuves drošība nav bijusi pietiekama. Viņa uzdevusi pārskatīt visu piekļuvi CPR. Citiem privātajiem klientiem piekļuvi atjaunoja 5. oktobrī (CPR informācija par piekļuves statusu), tāpēc pārbaude notiek, kamēr šāda veida piekļuve joprojām ir atvērta.

Ko iestādes vēl nav noskaidrojušas

Datatilsynet 4. oktobrī saņemtajā ziņojumā par datu aizsardzības incidentu aprakstīti ļoti daudzi automatizēti vaicājumi, kuru mērķis bijis atrast derīgus CPR numurus (Datatilsynet).

Uzraugs uzsvēra, ka šis ir paziņotāja sniegts notikuma apraksts, nevis paša uzrauga konstatējums. Ne Datatilsynet, ne ministrija nav publiskojusi, cik vaicājumu atrada derīgu numuru, cik no tiem atgrieza vārdus vai adreses un cik ierakstu tika nokopēti.

Šo skaitļu trūkums apgrūtina divus atsevišķus lēmumus. Pirmais ir par to, vai jābrīdina skartie cilvēki. Saskaņā ar ES Vispārīgo datu aizsardzības regulu (VDAR) par datiem atbildīgajai organizācijai cilvēki jāinformē tieši, ja pārkāpums, visticamāk, rada augstu risku viņu tiesībām (VDAR). Datatilsynet uzrauga, vai šis vērtējums veikts pienācīgi, un tas būs atkarīgs no tā, ko vaicājumi patiesībā atgrieza.

Otrs lēmums ir par jauniem identifikācijas numuriem, un tas ir valdības ziņā. Pēc divu parlamenta komiteju informēšanas Egelunda sacīja, ka vēl ir pāragri lemt, vai kādam jāpiešķir jauns CPR numurs (Ritzau). CPR numuru maiņu apspriež, bet lēmuma vēl nav.

Kāpēc tam jāpievērš uzmanība arī citur Eiropā

Reģistrā ir arī emigrējušie, tāpēc daļa skarto cilvēku tagad dzīvo citur Eiropā, lai gan sadalījums pa valstīm nav publiskots. Zviedrijā līdzīgā veidā izmantota atļauta pieslēguma iespēja. Arodbiedrība Vision ziņo, ka 2025. gada septembrī un oktobrī kāda trešā persona tās tiešsaistes dalībnieku pieteikšanās formā esot ievadījusi virknes, kas līdzinās identifikācijas numuriem (Vision).

Tā kā veidlapa automātiski vaicāja Zviedrijas valsts adrešu reģistram, tā atgrieza aptuveni 300 000 cilvēku vārdus un adreses (Sveriges Radio).

ES datu aizsardzības tiesību akti prasa nodrošināt atbilstošu drošību, taču nenosaka, kādas piekļuves kontroles, meklējumu ierobežojumi vai katra lietotāja darbību žurnāli jāievieš reģistru licencētajiem klientiem (VDAR). Šos risinājumus izvēlas katra reģistra operatori; tie ietilpst Egelundas uzdotajā piekļuves pārbaudē.

Līdzšinējie fakti ļauj izdarīt vienu drošu secinājumu: atļautais piekļuves ceļš Dānijas iedzīvotāju reģistram izmantots bez atļaujas un plašā mērogā, pirms to pamanīja reģistra darbinieki. Nav pierādīts, vai tā rezultātā noplūda liels apjoms personas datu. Datatilsynet un policijai tagad jānoskaidro, cik vaicājumu atgrieza īstus vārdus un adreses. Savukārt policijas izmeklēšanai jāatbild uz atsevišķu jautājumu: kas ar šiem datiem notika pēc tam.