Danmarks befolkningsregister: 8.8 miljoner berörda

Obehöriga användare gjorde sökningar i Danmarks befolkningsregister via ett privat företag som hade tillstånd att använda det. Myndigheterna vet ännu inte hur mycket persondata sökningarna gav tillgång till. De uppskattar att 8,8 miljoner personer berördes av åtkomsten, av cirka 11 miljoner poster (ministeriet, CPR-administrationen).

Registret, CPR, ligger till grund för varje danskt personnummer. Uppskattningen omfattar personer som bor i Danmark, har flyttat därifrån eller har avlidit. Uppgifterna som kunde nås omfattade namn, adresser och CPR-nummer.

Enligt ministeriet gjordes sökningarna under september. Registerpersonal upptäckte dem på kvällen fredagen den 2 oktober. Företagets åtkomst stängdes, polisen inledde en utredning och Datatilsynet, Danmarks dataskyddsmyndighet, underrättades. En första kontroll visade att namn och adresser till personer med skyddad identitet inte hade nåtts (ministeriet).

Så blev ett behörigt konto en väg in

Privata företag kan få licensierad åtkomst till CPR för särskilda ändamål, främst för att hålla kundregister uppdaterade. Företaget i det här fallet hade en sådan licens. Dess namn har inte offentliggjorts. Myndigheterna har inte sagt vem som gjorde sökningarna: en anställd, någon utomstående med stulna inloggningsuppgifter eller någon som tog sig in på annat sätt.

Reglerna lägger en stor del av kontrollansvaret på kunden. CPR:s standardvillkor från juni 2026 kräver att kunderna loggar vilken anställd som gjorde varje sökning och granskar användningsstatistiken varje månad (CPR:s villkor).

Registret kan självt ha sämre insyn. Enligt samma villkor ser det normalt bara vilket program som skickar en begäran när kundens programvara söker automatiskt, utan att någon skriver in varje sökning. Myndigheterna har inte uppgett hur företaget använde registret. Villkoren visar var en lucka i kontrollen skulle kunna finnas, men inte att den fanns här. Enligt en ministeruppskattning som Ritzau rapporterat pågick den oupptäckta aktiviteten i omkring tio dagar (DK Nyt/Ritzau).

Ansvariga ministern Christina Egelund kallade händelsen mycket allvarlig och sade att säkerheten kring företagets åtkomst inte hade varit tillräcklig. Hon beordrade en granskning av all åtkomst till CPR. Andra privata kunder fick åter anslutning den 5 oktober (CPR:s lägesuppdatering), medan granskningen pågår.

Vad myndigheterna ännu inte har klarlagt

Den incidentrapport som Datatilsynet tog emot den 4 oktober beskrev ett mycket stort antal automatiserade sökningar för att hitta giltiga CPR-nummer (Datatilsynet). Myndigheten underströk att detta var rapportörens beskrivning, inte dess egen slutsats. Varken Datatilsynet eller ministeriet har offentliggjort hur många sökningar som träffade ett giltigt nummer, hur många som gav namn eller adresser eller hur många poster som kopierades.

De uppgifterna påverkar två olika beslut. Det första gäller om människor ska varnas. Enligt EU:s allmänna dataskyddsförordning ska den personuppgiftsansvariga organisationen informera berörda direkt när ett dataintrång sannolikt innebär en hög risk för deras rättigheter (GDPR). Datatilsynet granskar om bedömningen görs korrekt. Den beror på vilka uppgifter sökningarna faktiskt gav.

Det andra beslutet gäller nya personnummer och ligger hos regeringen. Efter att ha informerat två parlamentsutskott sade Egelund att det var för tidigt att avgöra om någon borde få ett nytt CPR-nummer (Ritzau). Nya nummer diskuteras, men inget beslut har fattats.

Varför andra européer bör följa utvecklingen

Eftersom registret även omfattar personer som har flyttat från Danmark bor en del av de berörda nu i andra europeiska länder, även om ingen fördelning per land har publicerats. Även i Sverige har en behörig anslutning utnyttjats på ett liknande sätt. Fackförbundet Vision uppger att en tredje part i september och oktober 2025 matade in nummerliknande sifferföljder i förbundets webbformulär för medlemskap (Vision).

Formuläret sökte automatiskt i det svenska statliga adressregistret och lämnade då ut namn och adresser till omkring 300 000 personer (Sveriges Radio).

EU:s dataskyddsregler kräver lämplig säkerhet, men anger inte vilka inloggningskontroller, sökbegränsningar eller loggar per användare som kunder med licensierad registeråtkomst måste ha (GDPR). Det ansvaret ligger hos dem som driver registren. Det är den typen av kontroller Egelunds granskning nu ska gå igenom.

Klart är att en tillåten väg in i Danmarks befolkningsregister användes utan tillstånd och i stor skala innan registerpersonalen upptäckte det. Det är ännu inte visat om detta ledde till att stora mängder personuppgifter hämtades ut. Datatilsynet och polisen behöver nu fastställa hur många sökningar som gav verkliga namn och adresser. Polisen får också utreda vad som därefter hände med uppgifterna.