Dánsky register: zasiahnutých 8.8 milióna ľudí

Neoprávnení používatelia vyhľadávali údaje v dánskom registri obyvateľov cez súkromnú firmu, ktorá mala povolený prístup. Úrady zatiaľ nevedia povedať, koľko osobných údajov tieto vyhľadávania sprístupnili. Odhadujú, že neoprávnený prístup sa mohol týkať 8,8 milióna ľudí z približne 11 miliónov záznamov (ministerstvo, správa registra CPR).

Register CPR je základom dánskeho osobného identifikačného čísla. Odhad zahŕňa súčasných obyvateľov, ľudí, ktorí sa odsťahovali, aj zosnulých. Medzi dostupnými údajmi boli mená, adresy a čísla CPR.

Podľa ministerstva sa vyhľadávania uskutočňovali počas septembra. Pracovníci registra ich zaznamenali v piatok večer 2. októbra. Prístup firmy zablokovali, polícia začala vyšetrovanie a o prípade informovali Datatilsynet, dánsky úrad na ochranu osobných údajov. Predbežné preverovanie ukázalo, že sa nedostali k menám a adresám ľudí so skrytou identitou (ministerstvo).

Ako sa povolený prístup stal cestou k údajom

Súkromné firmy môžu získať licenciu na prístup k registru CPR na konkrétne účely, najmä na aktualizáciu údajov o svojich zákazníkoch. Licenciu mala aj firma zapojená do tohto prípadu. Úrady jej názov nezverejnili a zatiaľ neuviedli, kto vyhľadávania vykonával: zamestnanec, niekto s ukradnutými prihlasovacími údajmi alebo osoba, ktorá sa do systému dostala iným spôsobom.

Pravidlá prenášajú veľkú časť kontroly na zákazníkov. Štandardné podmienky registra CPR z júna 2026 vyžadujú, aby zákazníci zaznamenávali, ktorý zamestnanec vykonal každé vyhľadávanie, a každý mesiac kontrolovali štatistiky využívania (podmienky CPR).

Register však nemusí vidieť celú situáciu. Ak zákaznícky softvér vyhľadáva v CPR automaticky, bez toho, aby každé vyhľadávanie zadal človek, register podľa rovnakých podmienok spravidla vidí iba softvér, ktorý žiadosť odoslal. Úrady nezverejnili, ako systém používala táto firma. Podmienky ukazujú, kde by mohlo vzniknúť slepé miesto, nedokazujú však, že v tomto prípade vzniklo. Ministerský odhad, ktorý zverejnila agentúra Ritzau, hovorí o približne desiatich dňoch neodhalených aktivít (DK Nyt/Ritzau).

Ministerka zodpovedná za register Christina Egelundová označila incident za mimoriadne vážny a uviedla, že zabezpečenie prístupu firmy nebolo dostatočné. Nariadila preverenie všetkých prístupov k CPR. Ostatným súkromným zákazníkom obnovili prístup 5. októbra (stav CPR), takže preverovanie prebieha aj v čase, keď tento typ prístupu zostáva otvorený.

Čo úrady zatiaľ nezistili

Hlásenie o úniku, ktoré Datatilsynet dostal 4. októbra, opisovalo veľký počet automatizovaných vyhľadávaní zameraných na zisťovanie platných čísel CPR (Datatilsynet). Úrad zdôraznil, že ide o opis oznamovateľa, nie o jeho vlastné zistenie. Datatilsynet ani ministerstvo nezverejnili, koľko vyhľadávaní viedlo k platnému číslu, koľko vrátilo meno alebo adresu ani koľko záznamov niekto skopíroval.

Od týchto údajov závisia dve samostatné rozhodnutia. Prvé sa týka varovania ľudí. Podľa všeobecného nariadenia EÚ o ochrane údajov musí organizácia zodpovedná za údaje priamo informovať ľudí, ak únik pravdepodobne predstavuje vysoké riziko pre ich práva (GDPR). Datatilsynet dohliada na to, či organizácia toto riziko správne posúdi. Posúdenie závisí od toho, aké údaje vyhľadávania skutočne vrátili.

Druhé rozhodnutie sa týka vydania nových identifikačných čísel a je na vláde. Po tom, ako Egelundová informovala dva parlamentné výbory, povedala, že je priskoro rozhodnúť, či by niekto mal dostať nové číslo CPR (Ritzau). Zmena čísel sa zvažuje, rozhodnutie však nepadlo.

Prečo by tomu mali venovať pozornosť aj ľudia v iných európskych krajinách

Keďže register zahŕňa aj ľudí, ktorí sa z Dánska odsťahovali, niektorí zo zasiahnutých teraz žijú inde v Európe. Úrady zatiaľ nezverejnili, v ktorých krajinách. Podobným spôsobom zneužili aj povolené pripojenie vo Švédsku. Odborový zväz Vision uvádza, že v septembri a októbri 2025 tretia strana zadávala do jeho online členského formulára postupnosti podobné identifikačným číslam (Vision). Formulár automaticky vyhľadával v štátnom registri adries a vrátil mená a adresy približne 300 000 ľudí (Sveriges Radio).

Pravidlá EÚ o ochrane údajov vyžadujú primerané zabezpečenie. Neurčujú však, aké kontroly prihlasovania, limity vyhľadávania alebo záznamy o jednotlivých používateľoch musia zaviesť licencovaní zákazníci registra (GDPR). O týchto opatreniach rozhodujú prevádzkovatelia jednotlivých registrov. Práve tie teraz preveruje Egelundová.

Z dostupných informácií vyplýva jeden jasný záver: povolený prístup k dánskemu registru obyvateľov niekto vo veľkom využíval bez oprávnenia a pracovníci registra to odhalili až neskôr. Zatiaľ nie je dokázané, či pri tom došlo k rozsiahlemu získaniu osobných údajov. Datatilsynet a polícia teraz musia zistiť, koľko vyhľadávaní vrátilo skutočné mená a adresy. Čo sa s týmito údajmi stalo potom, je samostatnou otázkou pre policajné vyšetrovanie.