La filtración de datos en Dinamarca expone datos personales de 8,8 millones de personas
Una filtración masiva de datos en Dinamarca expuso registros del CPR de unas 8,8 millones de personas, incluidos números de la seguridad social, direcciones, relaciones familiares y otros datos sensibles de casi todos los residentes actuales y de muchos antiguos. Los comentaristas destacan que los números CPR nunca estuvieron pensados para ser secretos, pero aun así se usan para comprobaciones de identidad, lo que hace más factibles el fraude a gran escala y la ingeniería social a pesar del sistema MitID 2FA del país. El incidente alimenta preocupaciones más amplias sobre la débil ciberseguridad del sector público en Europa, la aplicación desigual del GDPR y una sensación creciente de que las filtraciones generalizadas están erosionando tanto la privacidad personal como la confianza en los servicios digitales del gobierno.
Alcance y naturaleza de la filtración
- Los datos del CPR (Central Person Register) de unas 8,8 millones de personas fueron accedidos a través de la conexión API de una empresa privada al registro nacional.
- El conjunto de datos incluye prácticamente a todos los ciudadanos daneses vivos, a muchos residentes extranjeros con números CPR y a algunas personas fallecidas.
- Según los informes, los datos del CPR contienen: número de la seguridad social, edad, sexo (codificado en el número), dirección, relaciones familiares y posiblemente marcas sensibles (p. ej., cambio de sexo, dirección protegida).
- Hay afirmaciones contradictorias: funcionarios dicen que no se filtraron los nombres/direcciones de personas con direcciones protegidas; otros dicen que al menos sus identidades siguen expuestas.
Diseño de seguridad y uso indebido del CPR
- Muchos señalan que el CPR nunca estuvo destinado a ser secreto, pero en la práctica a menudo se usa como autenticador, lo que facilita la ingeniería social y las verificaciones de identidad por teléfono.
- Varios sostienen que esto podría finalmente obligar a tratar el CPR como un mero identificador, con autenticación real mediante MitID (2FA nacional) o algo similar.
- Otros señalan que el propio MitID tiene problemas de usabilidad y de plataforma y que está respaldado por un gobierno que ya ha permitido la vigilancia masiva.
Comparaciones y contexto más amplio
- Comparación nórdica: en Suecia (y en parte Noruega/Finlandia) los identificadores personales, las direcciones e incluso los datos salariales son mucho más accesibles públicamente, enmarcados como información pública; algunos ven beneficios (transparencia salarial, eficiencia empresarial), otros ven riesgos serios (acoso, delincuencia).
- Los usuarios enumeran filtraciones recientes de gran tamaño en Polonia (médica), Francia (impuestos y posesión de armas), Alemania (funcionariado/planes de emergencia) y EE. UU. (IDScan, FBI) para argumentar que estas brechas son sistémicas a nivel mundial, no algo exclusivo de Dinamarca.
Confianza, fatiga por la privacidad y riesgo
- Fuerte tono pesimista: muchos asumen que todos sus datos ya se han filtrado y se centran en mitigar daños en lugar de prevenirlos.
- Otros se oponen, subrayando que las consecuencias pueden ser graves (p. ej., filtraciones de notas de terapia que llevaron a suicidios, secuestros selectivos en Francia).
- Debate sobre si las grandes filtraciones son “mayormente inconsecuentes” o si facilitan peligrosamente abusos futuros por parte del Estado o de delincuentes.
Responsabilidad e ideas de política
- Frustración por el hecho de que los regímenes tipo GDPR sigan permitiendo filtraciones masivas cuando el Estado o sus contratistas poseen los datos.
- Llamadas a: multas mucho más elevadas y/o prisión por negligencia, minimización estricta de datos y límites de retención, prohibir copias de identificaciones innecesarias y explorar la identidad autosoberana.
- Algunos esperan que esta filtración obligue a Dinamarca a endurecer sus sistemas; otros dudan de que haya un cambio significativo sin consecuencias visibles y personales para quienes toman las decisiones.