Les autorités danoises ont annoncé lundi 5 octobre 2026 que les données d’environ 8,8 millions de personnes inscrites dans le système central de la population avaient fait l’objet d’un accès non autorisé. Celui-ci concernait des noms, des adresses et des numéros d’identification personnelle, après le détournement d’une autorisation légale accordée à une entreprise privée danoise pour effectuer des recherches dans le registre.
Les données relatives aux noms et adresses protégés exclues
L’administration du registre central de la population a indiqué que son premier examen avait montré que les noms et adresses des personnes inscrites au système de protection des noms et adresses n’avaient pas été concernés par l’accès non autorisé. La base de données comprend des personnes décédées et des personnes ayant quitté le Danemark, ainsi que des résidents et des personnes en vie. Le nombre annoncé ne se limite donc pas aux habitants actuels du pays.
L’administration a suspendu l’autorisation de l’entreprise privée utilisée dans l’incident et a commencé, avec des spécialistes et les autorités compétentes, à établir la chronologie et l’étendue exacte des faits. Elle a également informé l’autorité chargée de la protection des données, tandis que la police mène l’enquête en coordination avec les autorités concernées. Selon la chronologie communiquée par l’administration, un comportement inhabituel survenu dans le système du registre en septembre a été détecté dans la soirée du vendredi 2 octobre 2026.
Au cours du week-end, il est apparu que des entités non autorisées avaient pu accéder aux données d’environ 8,8 millions de personnes inscrites. L’autorité chargée de la protection des données a indiqué avoir reçu le signalement de l’administration du registre dimanche 4 octobre, précisant qu’il faisait état d’un très grand nombre de recherches automatisées dans le système visant à identifier des numéros d’identification personnelle valides.
L’autorité a ajouté avoir commencé à examiner précisément ce qui s’était produit, la manière dont l’incident avait été rendu possible et l’entité responsable du traitement des données personnelles liées à l’affaire. Elle a souligné que l’enquête n’en était encore qu’à ses débuts, ce qui ne permettait pas à ce stade de tirer des conclusions définitives sur les faits.
L’étendue du registre et les limites de l’accès légal
Le registre central de la population comprend environ 11 millions de personnes, parmi lesquelles des résidents actuels du Danemark, des personnes ayant déménagé à l’étranger et des personnes décédées dont les dossiers sont toujours conservés dans le système. Le nombre d’inscrits dépasse donc celui de la population actuelle du pays. L’administration a expliqué que l’accès avait eu lieu dans le périmètre des informations que les entreprises privées habilitées peuvent légalement consulter, après que des inconnus eurent utilisé l’autorisation de recherche d’une entreprise.
L’identité de l’entité à l’origine de l’opération fait toujours l’objet d’une enquête. En vertu de l’article 38 de la loi danoise sur le registre de la population, les entreprises privées ayant un intérêt légitime peuvent obtenir des données concernant un groupe déterminé de personnes qu’elles ont préalablement identifiées individuellement.
Le mécanisme de recherche et la responsabilité de l’entité inconnue annoncée
Ces personnes peuvent être identifiées au moyen de leur numéro d’identification personnelle, de leur date de naissance et de leur nom, ou de leur nom et de leur adresse, à condition que l’entreprise soit habilitée à recevoir les données conformément aux règles de protection de l’information. La ministre de la Recherche, de l’Éducation et de la Numérisation, Christina Egelund, a qualifié l’incident de très grave et a déclaré en avoir informé la commission des Affaires économiques et de la Numérisation du Parlement.
Elle a ajouté que les autorités concernées travaillaient à déterminer l’étendue exacte de l’incident et que des mesures avaient déjà été prises au sein du système du registre pour empêcher la répétition de faits similaires. Christina Egelund a déclaré avoir demandé un audit de sécurité complet du système afin qu’il serve de base à d’éventuelles mesures supplémentaires, appelant les citoyens à la prudence au cours de la période actuelle et à venir.
Elle a confirmé que l’établissement des faits se poursuivait en coopération avec les autorités compétentes. L’administration a mis en garde contre le partage de mots de passe ou de toute information confidentielle par téléphone ou par courrier électronique, même si l’interlocuteur semble connaître le nom, l’adresse et le numéro d’identification de la personne.
La ligne danoise dédiée à la sécurité numérique a également mis en place le numéro 45 33 37 00 37 pour fournir des conseils, avec une extension de ses horaires au cours des prochains jours, de 8 heures à minuit.
Les autorités ont indiqué que les mesures prises comprenaient des actions immédiates au sein du registre, ainsi qu’un audit de sécurité approfondi susceptible de conduire à d’autres mesures. Elles ont précisé que les informations communiquées pourraient être actualisées à mesure que l’enquête progresserait et que les détails de l’incident seraient établis.
