Danski register prebivalstva: prizadetih 8.8 milijona ljudi

Nepooblaščeni uporabniki so prek zasebnega podjetja, ki je imelo dovoljenje za dostop, izvajali neobičajne poizvedbe po danskem registru prebivalstva. Uradniki še ne morejo povedati, koliko osebnih podatkov so poizvedbe razkrile. Oblasti ocenjujejo, da je nepooblaščeni dostop prizadel 8,8 milijona ljudi od približno 11 milijonov vpisov (Ministrstvo, uprava CPR).

Register CPR je podlaga za vsako dansko osebno identifikacijsko številko. Ocena zajema sedanje prebivalce, izseljene osebe in umrle. Med podatki, do katerih bi bilo mogoče dostopati, so imena, naslovi in številke CPR.

Po navedbah ministrstva so poizvedbe potekale septembra, zaposleni v registru pa so jih zaznali v petek zvečer, 2. oktobra. Podjetju so odvzeli dostop, policija je začela preiskavo, obvestili pa so tudi Datatilsynet, danski organ za varstvo podatkov. Prva preverjanja kažejo, da niso dostopali do imen in naslovov oseb z varovano identiteto (Ministrstvo).

Kako je licencirani dostop postal vstopna točka

Zasebna podjetja lahko pridobijo licenco za dostop do CPR za določene namene, predvsem za sprotno posodabljanje podatkov o strankah. Podjetje v tem primeru je takšno licenco imelo, njegovega imena pa niso objavili. Uradniki niso pojasnili, kdo je izvajal poizvedbe: zaposleni, zunanji akter z ukradenimi prijavnimi podatki ali kdo, ki je uporabil drugo pot.

Pravila od stranke zahtevajo, da sama spremlja uporabo registra. Standardni pogoji CPR iz junija 2026 določajo, da mora evidentirati, kateri zaposleni je izvedel posamezno poizvedbo, in vsak mesec pregledati statistiko uporabe (pogoji CPR).

Register lahko vidi manj. Če programska oprema stranke samodejno poizveduje po CPR, ne da bi kdo vsakič ročno vnesel iskanje, register po istih pogojih običajno zazna le programsko opremo, ki poizvedbo pošlje. Uradniki niso povedali, kako je dostop uporabljalo to podjetje. Pogoji kažejo, kje bi lahko nastala vrzel v nadzoru, ne dokazujejo pa, da je do nje prišlo. Po oceni ministrstva, ki jo je povzela Ritzau, je dejavnost ostala neopažena približno deset dni (DK Nyt/Ritzau).

Christina Egelund, pristojna ministrica, je dogodek označila za zelo resen in dejala, da varovanje dostopa podjetja ni bilo ustrezno. Odredila je pregled vseh dostopov do CPR. Drugim zasebnim strankam so dostop znova omogočili 5. oktobra (stanje CPR), zato pregled poteka, medtem ko tovrstni dostop ostaja odprt.

Česa uradniki še niso ugotovili

Prijava kršitve varstva podatkov, ki jo je Datatilsynet prejel 4. oktobra, je opisala zelo veliko število avtomatiziranih poizvedb, namenjenih iskanju veljavnih številk CPR (Datatilsynet). Organ je poudaril, da gre za navedbe prijavitelja, ne za njegove ugotovitve. Niti Datatilsynet niti ministrstvo nista objavila, koliko poizvedb je zadelo veljavno številko, koliko jih je vrnilo imena ali naslove in koliko zapisov je bilo kopiranih.

Manjkajoči podatki so pomembni za dve ločeni odločitvi. Prva zadeva obveščanje posameznikov. Po Splošni uredbi EU o varstvu podatkov mora upravljavec osebnih podatkov ljudi neposredno obvestiti, kadar je verjetno, da kršitev pomeni veliko tveganje za njihove pravice (GDPR). Datatilsynet nadzira, ali je bila ta presoja ustrezna, odvisna pa je od tega, katere podatke so poizvedbe dejansko vrnile.

Druga odločitev se nanaša na dodelitev novih identifikacijskih številk in je v pristojnosti vlade. Potem ko je seznanila dva parlamentarna odbora, je Egelund dejala, da je za odločitev o morebitni dodelitvi novih številk CPR še prezgodaj (Ritzau). O zamenjavi številk se razpravlja, odločitev pa še ni sprejeta.

Zakaj je primer pomemben tudi za druge evropske države

Ker register vključuje tudi izseljene osebe, nekateri prizadeti zdaj živijo drugod po Evropi, čeprav podatkov po državah še niso objavili. Podobno zlorabo dovoljenega dostopa so zaznali tudi na Švedskem. Sindikat Vision je sporočil, da je v septembru in oktobru 2025 tretja oseba v njegov spletni članski obrazec vnašala zaporedja, podobna številkam (Vision). Ker je obrazec samodejno poizvedoval po švedskem državnem naslovnem registru, je vrnil imena in naslove približno 300.000 ljudi (Švedski radio).

Pravo EU o varstvu podatkov zahteva ustrezno varovanje. Ne določa pa, kakšne kontrole prijave, omejitve poizvedb ali dnevnike po uporabnikih morajo uporabljati stranke z licenco za dostop do registra (GDPR). O teh podrobnostih odločajo upravljavci posameznih registrov; prav na tem področju zdaj poteka pregled, ki ga je odredila Egelund.

Doslej znani podatki potrjujejo, da je nekdo brez dovoljenja v velikem obsegu uporabil dostopno pot do danskega registra prebivalstva, zaposleni v registru pa so to zaznali šele pozneje. Ali je bilo pri tem pridobljenih veliko osebnih podatkov, še ni dokazano. Datatilsynet in policija morata zdaj ugotoviti, koliko poizvedb je vrnilo resnična imena in naslove. Kaj se je s temi podatki zgodilo pozneje, mora posebej razjasniti policijska preiskava.