Wyszukiwania w duńskim rejestrze objęły 8.8 miliona osób

Osoby bez uprawnień prowadziły nieregularne wyszukiwania w duńskim rejestrze ludności, korzystając z dostępu przyznanego prywatnej firmie. Władze szacują, że sprawa dotyczy 8,8 mln osób spośród około 11 mln wpisów. Nadal nie potrafią ustalić, ile danych osobowych zwróciły zapytania (ministerstwo, administracja CPR).

Rejestr CPR jest podstawą duńskich numerów identyfikacyjnych. Szacunek obejmuje obecnych mieszkańców kraju, emigrantów i osoby zmarłe. W zasięgu zapytań były imiona i nazwiska, adresy oraz numery CPR.

Jak podaje ministerstwo, wyszukiwania prowadzono we wrześniu, a pracownicy rejestru wykryli je wieczorem w piątek 2 października. Dostęp firmy odcięto, policja wszczęła śledztwo, a sprawę zgłoszono Datatilsynet, duńskiemu organowi ochrony danych. Wstępne sprawdzenie wykazało, że zapytania nie objęły nazwisk ani adresów osób o chronionej tożsamości (ministerstwo).

Jak dostęp przyznany firmie stał się drogą do rejestru

Prywatne firmy mogą uzyskać licencję na dostęp do CPR w określonych celach, głównie po to, by aktualizować dane klientów. Firma, której dotyczy sprawa, miała taką licencję. Jej nazwy nie ujawniono. Władze nie ustaliły, kto prowadził wyszukiwania: pracownik, osoba z wykradzionymi danymi logowania czy ktoś, kto skorzystał z innej drogi.

Zgodnie ze standardowymi warunkami CPR z czerwca 2026 r. to klient ma w dużej mierze pilnować wykorzystania dostępu. Musi rejestrować, który pracownik wykonał każde wyszukiwanie, i co miesiąc sprawdzać statystyki użycia (warunki CPR).

Rejestr może widzieć mniej niż jego klient. Gdy oprogramowanie firmy automatycznie odpytuje CPR, bez ręcznego wpisywania każdego zapytania, rejestr zwykle widzi tylko program, który je wysłał. Władze nie ujawniły, z którego rozwiązania korzystała firma. Warunki pokazują, gdzie może powstać luka w nadzorze, ale nie dowodzą, że tak się stało. Według szacunku ministerstwa przekazanego przez Ritzau niezauważona aktywność trwała około dziesięciu dni (DK Nyt/Ritzau).

Christina Egelund, minister odpowiedzialna za rejestr, nazwała incydent bardzo poważnym i przyznała, że zabezpieczenia dostępu firmy były niewystarczające. Zarządziła przegląd wszystkich dostępów do CPR. Pozostałe prywatne firmy odzyskały dostęp 5 października (status CPR), więc przegląd trwa, gdy ten rodzaj dostępu pozostaje aktywny.

Czego władze jeszcze nie ustaliły

Zgłoszenie o naruszeniu, które Datatilsynet otrzymał 4 października, opisywało bardzo dużą liczbę automatycznych zapytań mających znaleźć prawidłowe numery CPR (Datatilsynet). Organ podkreślił, że przedstawiono mu relację zgłaszającego, a nie własne ustalenia. Ani Datatilsynet, ani ministerstwo nie podały, ile zapytań trafiło na istniejący numer, ile zwróciło nazwiska lub adresy ani ile rekordów skopiowano.

Brak tych danych wpływa na dwie odrębne decyzje. Pierwsza dotyczy ostrzeżenia osób, których dane mogły zostać naruszone. Zgodnie z unijnym ogólnym rozporządzeniem o ochronie danych, czyli RODO, administrator musi bezpośrednio powiadomić te osoby, gdy naruszenie może stwarzać wysokie ryzyko dla ich praw (RODO). Datatilsynet nadzoruje, czy taka ocena została przeprowadzona prawidłowo, a jej wynik zależy od tego, jakie informacje faktycznie zwróciły zapytania.

Druga decyzja dotyczy nadania nowych numerów CPR i należy do rządu. Po spotkaniu z dwiema komisjami parlamentarnymi Egelund powiedziała, że jest za wcześnie, by rozstrzygać, czy ktokolwiek powinien otrzymać nowy numer (Ritzau). Zmiana numerów jest rozważana, ale nie została przesądzona.

Dlaczego inne kraje Europy powinny zwrócić uwagę

Rejestr obejmuje także emigrantów, więc część osób, których dotyczy incydent, mieszka obecnie w innych krajach Europy. Nie opublikowano jednak danych o ich rozmieszczeniu. Podobny przypadek wykorzystania autoryzowanego połączenia miał miejsce w Szwecji. Związek zawodowy Vision podał, że we wrześniu i październiku 2025 r. osoba trzecia wpisywała ciągi znaków przypominające numery do internetowego formularza członkowskiego (Vision). Formularz automatycznie odpytuje szwedzki państwowy rejestr adresów. W odpowiedzi zwrócił nazwiska i adresy około 300 tys. osób (Sveriges Radio).

Unijne przepisy o ochronie danych wymagają odpowiednich zabezpieczeń. Nie określają jednak, jakie mechanizmy logowania, limity wyszukiwań ani rejestry działań poszczególnych użytkowników mają stosować klienci korzystający z licencjonowanego dostępu (RODO). O tych rozwiązaniach decydują operatorzy rejestrów, dlatego przegląd zarządzony przez Egelund obejmuje właśnie ich praktyki.

Ustalenia pozwalają dziś na jeden pewny wniosek: z przyznanej drogi dostępu do duńskiego rejestru skorzystano bez upoważnienia i na dużą skalę, zanim pracownicy rejestru to wykryli. Nie wiadomo, czy doszło w ten sposób do masowego pobrania danych. Datatilsynet i policja muszą ustalić, ile zapytań zwróciło prawdziwe nazwiska i adresy. Los tych danych po ich uzyskaniu to osobna kwestia, którą ma wyjaśnić policyjne śledztwo.