Pays bevestigt rol bij Deens registerlek; toegang bleef weken open

Het is nu bekend via welk bedrijf miljoenen Deense persoonsgegevens konden weglekken. Pays uit Odense bevestigde op 9 oktober aan omroep TV 2 dat iemand zijn wettelijke toegang tot het Deense persoonsregister heeft misbruikt. Het bedrijf kon daar persoonsgegevens opzoeken. Directeur en eigenaar Sophie Laursen zegt samen te werken met de betrokken autoriteiten. Zij wilde geen interview geven en beantwoordde geen vervolgvragen, meldt TV 2.

Ook over het wachtwoord is nieuwe informatie verschenen. Politiken meldde op 8 oktober dat iemand die beweert achter het lek te zitten, de code 123456 noemde. De krant liet diens beschrijving van de gegevens en methode beoordelen door deskundigen, die betrokkenheid aannemelijk vonden. TV 2 schrijft dat zijn eigen onderzoek aansluit bij berichtgeving over een gelekte mail met dat wachtwoord voor het Pays-account.

Toegang bleef langer open dan het misbruik duurde

Documenten die TV 2 opvroeg bij de overheid plaatsen het begin van de onbevoegde toegang op 10 september. De verbinding werd pas op 2 oktober afgesloten, na ruim drie weken. Volgens het voorlopige onderzoek in die documenten stopte het misbruik vermoedelijk al op 20 september. Er zat dus twaalf dagen tussen het vermoedelijke einde van het misbruik en de afsluiting. Een medewerker ontdekte de ongewone activiteit via een hoge rekening voor zoekopdrachten. De documenten tellen ongeveer 14 miljoen zoekopdrachten; dat zijn geen 14 miljoen verschillende mensen.

Vergroot illustratie ↗

Een bedrijfsaansluiting kan meer doen dan één naam opzoeken. De registerbeheerder biedt bedrijven, verenigingen en fondsen toegang om bijvoorbeeld adresgegevens van klanten of leden bij te werken. Dat kan via een zoekpagina, rechtstreeks vanuit bedrijfssoftware of met grotere gegevensbestanden. Zo kunnen persoonsgegevens via de verbinding van een andere organisatie bereikbaar zijn. Welke van die producten Pays precies gebruikte, blijkt niet uit deze algemene uitleg.

Die toegang is wel begrensd. Volgens de toelichting die het Deense ministerie op 5 oktober publiceerde, moeten bedrijven een gerechtvaardigd belang hebben en de betrokken personen vooraf afzonderlijk hebben geïdentificeerd. Ook moeten zij de gegevens volgens de privacyregels mogen ontvangen. Het ministerie sprak over ongeveer 8,8 miljoen geraakte registraties, inclusief overleden en geëmigreerde personen. Namen en adressen van mensen met naam- en adresbescherming vielen erbuiten; of dat ook voor hun andere gegevens geldt, meldt de toelichting niet.

De bevestiging van Pays geeft het onderzoek een naam; wie verantwoordelijk is, moet nog blijken. De Deense privacytoezichthouder Datatilsynet schreef in zijn verklaring van 5 oktober te onderzoeken wat er gebeurde, hoe dat kon en wie verantwoordelijk is voor de verwerking van de persoonsgegevens. Hij kon toen de concrete omstandigheden nog niet beoordelen; die verklaring is ouder dan de nieuwe mediabevindingen.

Ook relevant na een verblijf in Denemarken

Ook Nederlanders en Belgen kunnen geraakt zijn. Volgens de registerbeheerder krijgen mensen die daadwerkelijk naar Denemarken verhuizen en daar worden ingeschreven een CPR-nummer, het Deense persoonsnummer. Ook iemand die er niet woont maar wel belasting moet betalen, kan zo’n nummer krijgen. Wie later naar Denemarken verhuist, gebruikt volgens die uitleg hetzelfde nummer. Wat telt, is of je in Denemarken ingeschreven staat of stond, niet je nationaliteit.

Voor mensen die mogelijk geraakt zijn, heeft de overheid haar veiligheidsadvies op 8 oktober bijgewerkt. Daarin staat nu ook dat je je hele CPR-nummer of delen ervan niet als wachtwoord moet gebruiken; doe je dat wel, verander dat wachtwoord dan. Verder vraagt Sikkerdigital extra aandacht voor onverwachte berichten of telefoontjes waarin iemand persoonlijke gegevens noemt. Controleer zo’n contact via de officiële website of het algemene telefoonnummer.