Deens bevolkingsregister: 8,8 miljoen mensen geraakt

Onbevoegden hebben via een particulier bedrijf met toegang tot het Deense bevolkingsregister onregelmatige zoekopdrachten uitgevoerd. De autoriteiten weten nog niet hoeveel persoonsgegevens die zoekacties hebben opgeleverd. Wel schatten ze dat 8,8 miljoen mensen zijn geraakt, op circa 11 miljoen registraties in het register (ministerie, CPR-administratie).

Achter elk Deens persoonsnummer zit het CPR, het centrale bevolkingsregister. De schatting omvat huidige inwoners, mensen die zijn geëmigreerd en overledenen. De gegevens die binnen bereik lagen, waren onder meer namen, adressen en CPR-nummers.

Volgens het ministerie vonden de zoekacties plaats in september. Medewerkers van het register ontdekten ze vrijdagavond 2 oktober. De toegang van het bedrijf werd afgesloten, de politie startte een onderzoek en Datatilsynet, de Deense privacytoezichthouder, werd ingelicht. Voorlopige controles wijzen erop dat de namen en adressen van mensen met een afgeschermde identiteit niet zijn ingezien (ministerie).

Hoe een vergunning toegang bood

Particuliere bedrijven kunnen voor specifieke doelen een vergunning krijgen om het CPR te raadplegen, vooral om klantgegevens actueel te houden. Het bedrijf in deze zaak had zo'n vergunning. De naam is niet bekendgemaakt. Ook is niet duidelijk wie de zoekacties uitvoerde: een werknemer, een buitenstaander met gestolen inloggegevens of iemand via een andere route.

De regels leggen overigens een groot deel van het toezicht bij de klant. De standaardvoorwaarden van het CPR uit juni 2026 verplichten klanten vast te leggen welke medewerker elke zoekopdracht uitvoerde en maandelijks de gebruiksstatistieken te controleren (CPR-voorwaarden).

Het register zelf kan een beperkter beeld van de zoekacties hebben. Volgens dezelfde voorwaarden ziet het register bij automatische zoekopdrachten, waarbij niemand elke zoekopdracht handmatig invoert, doorgaans alleen welke software het verzoek doet. De autoriteiten hebben niet bekendgemaakt hoe het bedrijf werkte. De voorwaarden wijzen op een mogelijke blinde vlek, maar tonen niet aan dat die zich hier ook voordeed. Een ministeriële schatting waarover Ritzau berichtte, kwam uit op ongeveer tien dagen waarin de activiteit onopgemerkt bleef (DK Nyt/Ritzau).

Minister Christina Egelund noemde het incident zeer ernstig en zei dat de beveiliging van de toegang voor het bedrijf tekortschoot. Ze gaf opdracht alle toegang tot het CPR te controleren. Andere particuliere klanten kregen op 5 oktober weer toegang (CPR-status). Die toegang blijft dus open terwijl de controle loopt.

Wat nog niet vaststaat

De melding van het datalek die Datatilsynet op 4 oktober ontving, beschreef een zeer groot aantal geautomatiseerde zoekacties om geldige CPR-nummers te vinden (Datatilsynet). De toezichthouder benadrukte dat dit het relaas van de melder was, geen eigen vaststelling. Datatilsynet en het ministerie hebben niet bekendgemaakt hoeveel zoekopdrachten een bestaand nummer opleverden, hoeveel daarvan namen of adressen toonden en hoeveel registraties zijn gekopieerd.

Deze ontbrekende cijfers zijn bepalend voor twee afzonderlijke besluiten. Het eerste gaat over waarschuwingen. Op grond van de Europese Algemene verordening gegevensbescherming (AVG) moet de organisatie die verantwoordelijk is voor de gegevens mensen rechtstreeks informeren als een datalek waarschijnlijk een hoog risico voor hun rechten oplevert (AVG). Datatilsynet houdt toezicht op die afweging. Die hangt immers af van wat de zoekopdrachten daadwerkelijk opleverden.

Het tweede besluit gaat over nieuwe persoonsnummers en is aan de regering. Na een briefing aan twee parlementaire commissies zei Egelund dat het te vroeg was om te besluiten of iemand een nieuw CPR-nummer moest krijgen (Ritzau). Nieuwe nummers zijn in bespreking, maar er is nog geen besluit.

Waarom ook andere Europeanen moeten opletten

Omdat het register ook mensen bevat die zijn geëmigreerd, wonen sommige betrokkenen inmiddels elders in Europa. Een uitsplitsing per land is niet gepubliceerd. Ook in Zweden is misbruik gemaakt van een verbinding die met toestemming beschikbaar was. Vakbond Vision zegt dat een derde partij in september en oktober 2025 reeksen die op nummers leken invoerde in het online ledenformulier (Vision). Omdat het formulier automatisch het Zweedse bevolkingsregister raadpleegde, leverde het namen en adressen op van ongeveer 300.000 mensen (Sveriges Radio).

De Europese privacywetgeving verplicht passende beveiliging, maar schrijft niet voor welke inlogbeveiliging, zoeklimieten of gebruikersgebonden logboeken registers moeten eisen van hun vergunninghouders (AVG). Die keuzes liggen bij de beheerders van elk register. Daarop richt Egelunds controle zich nu.

De feiten laten één conclusie toe: een toegestane toegang tot het Deense bevolkingsregister is op grote schaal zonder toestemming gebruikt voordat medewerkers van het register dit ontdekten. Of daarbij ook grote hoeveelheden persoonsgegevens zijn verkregen, staat nog niet vast. Datatilsynet en de politie moeten vaststellen hoeveel zoekopdrachten echte namen en adressen opleverden. Wat daarna met die gegevens is gebeurd, is een afzonderlijke vraag voor het politieonderzoek.