Le 5 octobre 2026, le ministère danois chargé de la numérisation a annoncé un accès non autorisé de grande ampleur au registre central des personnes, le CPR. Environ 8,8 millions de personnes sont concernées sur les quelque 11 millions inscrites, vivantes, émigrées ou décédées : nom, adresse, numéro CPR et d’autres informations. L’attaque n’est pas venue de l’extérieur. Une entreprise privée danoise, non nommée, disposait d’un accès légal au registre et l’a détourné en septembre pour extraire des données. Le sujet dépasse le Danemark : il pose la question des habilitations des partenaires, que tout organisme qui ouvre un fichier à un tiers devrait se poser.
Ce que l’on sait de l’incident
Selon le communiqué du ministère, l’administration du CPR a repéré un comportement anormal dans le système le vendredi 2 octobre au soir. L’accès de l’entreprise a été coupé, l’autorité danoise de protection des données a été saisie, la police enquête et une revue complète de la sécurité du registre a été demandée. Les personnes bénéficiant d’une protection de nom et d’adresse ne seraient pas touchées. Le ministère indique que l’enquête débute et que le périmètre peut encore évoluer ; il ne dit pas si les données ont été revendues ou transmises.
Le communiqué met surtout en garde contre l’hameçonnage : un escroc qui connaît le nom, l’adresse et le numéro d’identification d’une personne gagne vite sa confiance au téléphone. Le ministère rappelle de ne jamais communiquer de mot de passe, même à un interlocuteur qui semble bien informé.
Le parallèle avec le NIR
Le numéro CPR joue au Danemark un rôle proche de celui du NIR en France : un identifiant unique, stable, utilisé par les administrations et par de nombreux acteurs privés. La France a fait un choix plus restrictif. L’usage du NIR est réservé aux catégories de responsables et aux finalités listées par le décret dit « cadre NIR » du 19 avril 2019, et le domaine de la santé dispose de règles propres, détaillées par la CNIL.
Ce cadre limite le nombre d’acteurs autorisés, mais il ne protège pas d’un abus commis par l’un d’eux. Le cas danois en donne l’illustration : l’entreprise avait un accès légal, et c’est l’usage qu’elle en a fait qui sortait du cadre. Les organismes qui manipulent le NIR (employeurs pour la paie, organismes de protection sociale, établissements de santé, services de santé au travail, organismes de formation) confient souvent tout ou partie de ces traitements à des éditeurs, des hébergeurs ou des prestataires de paie. Chacun de ces partenaires dispose d’un accès légitime. Le risque est le même.
Contrôler les habilitations des partenaires au-delà du contrat
La plupart des contrats et des conventions d’accès décrivent qui peut se connecter. Peu décrivent le volume attendu, le rythme des requêtes, ou le moment où un comportement doit être jugé anormal. Une extraction massive par un compte habilité passe inaperçue si personne ne regarde les journaux, ou si les alertes ne se déclenchent qu’en cas d’échec d’authentification.
Le RGPD fournit les outils. L’article 28 impose que le sous-traitant n’agisse que sur instruction documentée et que le contrat permette des audits. L’article 32 demande des mesures adaptées au risque, parmi lesquelles la capacité à détecter un usage anormal. Pour un tiers qui n’est pas sous-traitant mais destinataire autorisé, la convention d’accès doit porter des clauses équivalentes : finalités limitées, volumes, journalisation, droit de contrôle, suspension immédiate.
Ce que l’organisme doit vérifier
- Recenser tous les tiers qui accèdent à vos fichiers d’identification, par interface, export régulier ou accès direct, et la base de cet accès (contrat article 28, convention, obligation légale).
- Limiter chaque accès au strict nécessaire : champs consultables, nombre de fiches par requête, plages horaires, adresses IP autorisées.
- Journaliser les accès des partenaires et fixer des seuils d’alerte sur les volumes. Le Danemark a repéré l’anomalie grâce au comportement du système ; encore faut-il que quelqu’un regarde.
- Revoir les habilitations au moins une fois par an et à chaque fin de contrat ; supprimer les comptes dormants.
- Prévoir dans les contrats le droit d’audit, l’obligation de signaler sans délai tout incident, et la coupure immédiate de l’accès en cas de doute.
- Préparer la réponse : un détournement par un partenaire habilité reste une violation de données. Notification à la CNIL dans les 72 heures (article 33) et information des personnes si le risque est élevé (article 34), ce qui sera presque toujours le cas lorsque le NIR est en jeu.
Dans les services de santé au travail que j’accompagne, la question des accès éditeurs revient à chaque audit : comptes de support ouverts en permanence, extractions faites pour une migration et jamais effacées, prestataire qui sous-traite lui-même la maintenance. Ce sont rarement des fautes graves prises une à une. Mises bout à bout, elles ressemblent beaucoup au point de départ de l’incident danois.
Les DPO du réseau DPO FRANCE accompagnent les organismes dans la revue des accès de leurs partenaires et la mise à jour des contrats. DPO SUITE recense les sous-traitants et destinataires, les rattache à chaque traitement et conserve les audits, les incidents et les notifications.
