Acesso indevido afeta 8,8 milhões na Dinamarca

Utilizadores não autorizados fizeram pesquisas irregulares no registo da população da Dinamarca através de uma empresa privada que tinha autorização para o consultar. As autoridades ainda não conseguem determinar que volume de dados pessoais foi obtido. Estimam que 8,8 milhões de pessoas, entre cerca de 11 milhões de registos, tenham ficado abrangidas pelo acesso não autorizado (Ministério, Administração do CPR).

Conhecido pela sigla CPR, o registo está na base de todos os números de identificação pessoal dinamarqueses. A estimativa inclui residentes, emigrantes e pessoas falecidas. Entre os dados potencialmente acessíveis estavam nomes, moradas e números CPR.

Segundo o Ministério, as pesquisas decorreram durante setembro e os funcionários do registo detetaram-nas na noite de sexta-feira, 2 de outubro. O acesso da empresa foi cortado, a polícia abriu uma investigação e a Datatilsynet, autoridade dinamarquesa de proteção de dados, foi notificada. As primeiras verificações indicaram que os nomes e as moradas de pessoas com identidade protegida não tinham sido acedidos (Ministério).

Como um acesso autorizado se tornou uma via de entrada

As empresas privadas podem obter uma licença para consultar o CPR para fins específicos, sobretudo para manter atualizados os registos dos clientes. A empresa em causa tinha essa licença, mas o seu nome não foi divulgado. As autoridades ainda não esclareceram quem fez as pesquisas: um trabalhador, alguém de fora com credenciais de acesso roubadas ou uma pessoa que recorreu a outra via.

As regras atribuem ao cliente grande parte da responsabilidade pela vigilância do acesso. As condições gerais do CPR, em vigor desde junho de 2026, exigem que cada cliente registe que trabalhador fez cada pesquisa e reveja mensalmente as estatísticas de utilização (condições do CPR).

O sistema do registo pode ter uma visão mais limitada. Segundo as mesmas condições, quando o software de um cliente consulta automaticamente o CPR, sem que alguém introduza cada pesquisa, o registo vê normalmente apenas o software que fez o pedido. As autoridades não revelaram que modalidade era usada pela empresa. As condições mostram onde poderá existir um ponto cego, mas não provam que tenha existido neste caso. Uma estimativa ministerial citada pela Ritzau aponta para cerca de dez dias de atividade não detetada (DK Nyt/Ritzau).

Christina Egelund, a ministra responsável, classificou o caso como muito grave e afirmou que a segurança do acesso da empresa não tinha sido suficiente. Mandou rever todos os acessos ao CPR. As restantes empresas privadas voltaram a ter acesso em 5 de outubro (situação do CPR, pelo que a revisão está a decorrer enquanto esse tipo de acesso continua aberto.

O que as autoridades ainda não apuraram

A participação de violação de dados recebida pela Datatilsynet em 4 de outubro descrevia um número muito elevado de pesquisas automatizadas, destinadas a encontrar números CPR válidos (Datatilsynet). A autoridade sublinhou que essa era a versão de quem apresentou a participação, não uma conclusão sua. Nem a Datatilsynet nem o Ministério divulgaram quantas pesquisas encontraram um número válido, quantas devolveram nomes ou moradas, ou quantos registos foram copiados.

A falta desses dados condiciona duas decisões distintas. A primeira diz respeito aos avisos às pessoas afetadas. Ao abrigo do Regulamento Geral sobre a Proteção de Dados da União Europeia, a entidade responsável pelo tratamento tem de informar diretamente as pessoas quando uma violação seja suscetível de representar um risco elevado para os seus direitos (RGPD). Cabe à Datatilsynet fiscalizar se essa avaliação é feita corretamente, e a decisão depende dos dados que as pesquisas efetivamente devolveram.

A segunda decisão cabe ao Governo e diz respeito à atribuição de novos números de identificação. Depois de informar duas comissões parlamentares, Egelund disse que ainda era cedo para decidir se alguém deveria receber um novo número CPR (Ritzau). A possibilidade está a ser discutida, mas não foi decidida.

Porque devem os restantes europeus acompanhar o caso

Como o registo inclui emigrantes, algumas das pessoas afetadas vivem agora noutros países europeus, embora não tenha sido divulgada uma repartição por país. Na Suécia, uma ligação autorizada foi também explorada de forma semelhante. O sindicato Vision afirma que, em setembro e outubro de 2025, um terceiro introduziu sequências semelhantes a números no formulário de inscrição online (Vision). Como o formulário consultava automaticamente o registo estatal de moradas da Suécia, devolveu nomes e moradas de cerca de 300 mil pessoas (Sveriges Radio).

A legislação europeia sobre proteção de dados exige medidas de segurança adequadas, mas não especifica que controlos de acesso, limites de pesquisas ou registos por utilizador devem adotar os clientes licenciados de cada registo (RGPD). Essas escolhas cabem a quem gere cada registo, e é esse modelo de acesso que a revisão de Egelund está agora a avaliar.

Os factos permitem uma conclusão segura: uma via autorizada de acesso ao registo da população dinamarquesa foi usada sem permissão, em larga escala, antes de os funcionários a detetarem. Ainda não está provado que isso tenha resultado numa extração extensa de dados pessoais. Cabe agora à Datatilsynet e à polícia apurar quantas pesquisas devolveram nomes e moradas verdadeiros. O destino desses dados depois de consultados é outra questão, que a investigação policial terá de esclarecer.