Registrul danez, accesat fără autorizație: 8.8 milioane afectate

Registrul CPR stă la baza numărului personal de identificare folosit în Danemarca. Utilizatori neautorizați au făcut căutări neregulamentare în registru prin intermediul unei companii private care avea drept de acces. Autoritățile nu pot preciza câte date personale au fost obținute și estimează că 8,8 milioane de persoane, din aproximativ 11 milioane de înregistrări, au fost afectate (Ministerul, Administrația CPR).

Estimarea îi include pe rezidenții actuali, pe cei care au emigrat și pe persoanele decedate. Printre datele care puteau fi consultate se numără nume, adrese și numere CPR.

Potrivit ministerului, căutările au avut loc în septembrie, iar personalul registrului le-a observat în seara de vineri, 2 octombrie. Accesul companiei a fost blocat, poliția a deschis o anchetă, iar Datatilsynet, autoritatea daneză pentru protecția datelor, a fost notificată. Verificările preliminare au arătat că numele și adresele persoanelor care trăiesc sub identitate protejată nu au fost accesate (Ministerul).

Cum a devenit un cont autorizat poarta de acces

Companiile private pot primi acces autorizat la CPR pentru anumite scopuri, în principal pentru a-și actualiza evidențele despre clienți. Compania implicată avea o astfel de licență, însă numele ei nu a fost făcut public. Autoritățile nu au precizat cine a făcut căutările: un angajat, o persoană din exterior care a folosit date de autentificare furate sau cineva care a obținut acces pe altă cale.

Regulile pun o mare parte din supraveghere în sarcina clientului. Condițiile standard ale CPR din iunie 2026 cer companiilor să înregistreze care angajat a efectuat fiecare căutare și să verifice lunar statisticile de utilizare (condițiile CPR).

Registrul poate avea însă o imagine mai limitată. Potrivit acelorași condiții, când programul unui client interoghează automat CPR, fără ca o persoană să introducă fiecare căutare, registrul vede de regulă doar programul care trimite solicitarea. Autoritățile nu au dezvăluit cum era configurat accesul companiei. Condițiile indică unde s-ar putea afla un punct slab, dar nu dovedesc că acesta a existat în acest caz. O estimare a ministerului, relatată de Ritzau, arată că activitatea a trecut neobservată timp de aproximativ zece zile (DK Nyt/Ritzau).

Christina Egelund, ministra responsabilă de acest domeniu, a calificat incidentul drept foarte grav și a spus că securitatea accesului companiei nu a fost suficientă. A dispus o verificare a tuturor accesărilor CPR. Ceilalți clienți privați au primit din nou acces pe 5 octombrie (situația CPR), astfel că verificarea se desfășoară în timp ce acest tip de acces rămâne activ.

Ce nu au stabilit încă autoritățile

Sesizarea de incident primită de Datatilsynet pe 4 octombrie descria un număr foarte mare de căutări automate, menite să găsească numere CPR valide (Datatilsynet). Autoritatea a subliniat că aceasta era relatarea celui care a trimis sesizarea, nu o constatare proprie. Nici Datatilsynet, nici ministerul nu au publicat câte căutări au identificat un număr real, câte au returnat nume sau adrese și câte înregistrări au fost copiate.

Aceste cifre lipsă contează pentru două decizii distincte. Prima privește avertizarea persoanelor afectate. Regulamentul general privind protecția datelor al UE obligă operatorul responsabil de prelucrarea datelor să îi informeze direct pe oameni dacă o încălcare prezintă probabil un risc ridicat pentru drepturile lor (RGPD). Datatilsynet supraveghează dacă această evaluare este făcută corect, iar ea depinde de datele pe care le-au returnat căutările.

A doua decizie privește atribuirea unor numere de identificare noi și ține de guvern. După ce a informat două comisii parlamentare, Egelund a spus că este prea devreme pentru a decide dacă unele persoane ar trebui să primească un număr CPR nou (Ritzau). Schimbarea numerelor este în discuție, dar nu a fost decisă.

De ce ar trebui să urmărească situația și ceilalți europeni

Registrul include și persoane care au emigrat, așa că unii dintre cei afectați locuiesc acum în alte țări europene, deși nu a fost publicată o defalcare pe țări. În Suedia, o conexiune autorizată a fost exploatată într-un mod asemănător. Sindicatul Vision spune că, în septembrie și octombrie 2025, o terță parte a introdus în formularul online de înscriere a membrilor șiruri de caractere asemănătoare numerelor de identificare (Vision).

Formularul interoga automat registrul național suedez de adrese și a returnat nume și adrese pentru aproximativ 300.000 de persoane (Radio Sveriges).

Legislația UE privind protecția datelor impune măsuri de securitate adecvate, dar nu stabilește ce controale de autentificare, limite ale căutărilor sau jurnale de acces pentru fiecare utilizator trebuie să folosească clienții autorizați ai unui registru (RGPD). Aceste decizii revin operatorilor fiecărui registru, iar asupra lor se concentrează acum verificarea cerută de Egelund.

Un lucru este clar: o cale autorizată de acces la registrul populației din Danemarca a fost folosită fără permisiune, la scară largă, înainte ca personalul registrului să observe activitatea. Nu s-a stabilit încă dacă au fost extrase cantități mari de date personale. Datatilsynet și poliția trebuie să afle câte căutări au returnat nume și adrese reale. Ce s-a întâmplat apoi cu datele este o întrebare separată, la care trebuie să răspundă ancheta poliției.