CPR-sagen: Datatilsynet spørger til alarmer, login og cirka 15 millioner opslag

Datatilsynet indledte 23. oktober 2026 en formel undersøgelse af CPR-sagen og sendte høringsbreve til CPR-administrationen og Charity Guard ApS. Brevene skal blandt andet afklare, om usædvanlige opslag kunne opdages og blokeres, og hvordan uvedkommende kunne komme ind gennem en virksomheds systemer.

I brevet til Charity Guard refererer tilsynet virksomhedens egen anmeldelse: Antallet af opslag anslås til cirka 15 millioner. Det er et tal for opslag, ikke for personer. Ministeriets tidligere oplysning om cirka 8,8 millioner berørte registrerede personer beskriver derfor noget andet.

Sagen har direkte betydning for borgernes sikkerhed ved digitale og telefoniske henvendelser. Et kendt navn, en adresse eller et CPR-nummer kan bruges til at få en falsk henvendelse til at virke troværdig. Det er ikke i sig selv dokumentation for adgang til en bankkonto, og myndighedernes meddelelser opgør ikke et samlet økonomisk tab for borgerne.

Spørgsmålene retter sig også mod myndighedens kontrol

CPR-administrationen bliver bedt om at forklare, hvordan kunder får adgang til CPR Direkte, og hvilke sikkerhedskomponenter der indgår. Tilsynet spørger også, hvor mange private virksomheder der har adgang via integration mellem deres systemer og CPR.

Et centralt spørgsmål er, om administrationen havde mekanismer, der kunne opdage og eventuelt blokere en adgang, når antallet eller mønstret af opslag afveg fra det normale. Hvis sådanne mekanismer ikke fandtes, ønsker tilsynet grunden oplyst.

Der spørges desuden til kontrol med virksomhedernes overholdelse af retningslinjerne og til tidligere risikovurderinger. Har der været kontrolgennemgange, ønsker tilsynet resultaterne af de seneste to.

Det er spørgsmål under en undersøgelse. Brevet fastslår ikke, at samtlige kontroller manglede, eller at en bestemt myndighed allerede er fundet ansvarlig.

Virksomheden skal forklare adgangsvejen

Charity Guard bliver blandt andet spurgt til sine systemers adgang til CPR, formålet med opslagene og sikkerheden ved login over internettet, herunder eventuel brug af flere faktorer til at bekræfte identiteten.

Tilsynet ønsker også oplysninger om virksomhedens løbende kontrol af opslag og procedurer for brugeradgange. Det offentliggjorte brev indeholder spørgsmålene, ikke virksomhedens svar. En forklaring om en bestemt teknisk fejl kan derfor ikke udledes som et afgjort faktum af brevet.

Datatilsynet gør samtidig virksomheden opmærksom på reglerne om selvinkriminering, fordi oplysningerne kan få betydning for en mulig strafbar overtrædelse. Det er en retssikkerhedsmæssig vejledning, ikke en bøde eller en dom. Begge høringsbreve anmoder om svar senest tre uger fra brevets dato.

8,8 millioner er ikke 8,8 millioner nulevende danskere

Forsknings-, Uddannelses- og Digitaliseringsministeriet offentliggjorde 5. oktober, at uvedkommende havde misbrugt en privat virksomheds lovlige adgang til CPR. Omfanget blev opgjort til cirka 8,8 millioner registrerede personer, herunder både levende, udrejste og døde.

Ministeriet oplyste dengang, at den foretagne gennemgang ikke viste adgang til navne og adresser på personer med navne- og adressebeskyttelse. Den formulering er snævrere end en generel garanti for, at alle oplysninger om alle beskyttede personer er uberørte.

Virksomhedens adgang blev stoppet, og ministeriet oplyste, at politiet efterforskede sagen. De første oplysninger blev offentliggjort med forbehold for, at den videre kortlægning kunne ændre det konkrete billede. Datatilsynets nye høringer er endnu et skridt i den afklaring.

Borgerne mærker allerede mere identitetskontrol

Vejle Kommune meddelte 6. oktober, at borgere efter hændelsen kunne møde supplerende spørgsmål, inden kommunen udleverer personlige oplysninger. Kommunen fremhævede risikoen ved henvendelser, hvor afsenderen kender navn, adresse og CPR-nummer og derefter beder om eksempelvis MitID-oplysninger, kortoplysninger eller pengeoverførsler.

Det dokumenterer en konkret følge for kontakten med Borgerservice. Det dokumenterer ikke, at alle kommuner bruger samme procedure, eller at en bestemt svindelsag skyldes netop CPR-hændelsen.

Ansvaret er fortsat under undersøgelse

Datatilsynet oplyser, at svarene skal danne grundlag for at vurdere, om databeskyttelsesreglerne er overholdt. Det nye er dermed undersøgelsens konkrete spørgsmål til både myndighed og virksomhed. En endelig konklusion om regelbrud fremgår ikke af meddelelsen fra 23. oktober.

For de berørte borgere står blandt andet hændelsesforløbet, kontrollernes tilstrækkelighed og ansvarsfordelingen tilbage at blive belyst. De offentliggjorte høringer indeholder heller ikke en opgørelse af dokumenterede individuelle tab eller en beslutning om kompensation.