En virksomhed behøver ikke være stor, før dens adgang til personoplysninger kan få stor betydning.

Det blev tydeligt i oktober 2026, da CPR-administrationen offentliggjorde, at en virksomheds lovlige adgang til CPR var blevet misbrugt til omfattende uautoriserede opslag.

For danske SMV’er er læringen ikke, at alle leverandører er farlige. Den er, at sikkerhed også handler om de adgange og forbindelser, der ligger mellem virksomheder og systemer.

Adgange mellem virksomheder og systemer kræver beskyttelse. AI-genereret illustration – ikke en rekonstruktion af CPR-sagen.

Hvad ved vi om CPR-sagen?

Den 5. oktober 2026 oplyste CPR-administrationen, at uvedkommende havde skaffet sig adgang til blandt andet navne, adresser og CPR-numre om cirka 8,8 millioner registrerede personer gennem misbrug af en virksomheds lovlige adgang.

Tallet er myndighedens offentliggjorte opgørelse på den dato – ikke antallet af nulevende danskere. CPR-registret omfatter også afdøde og udrejste personer. Senere omtaler har brugt andre tal for opslag og gyldige CPR-numre; de tal må ikke blandes sammen med antal personer.

Softwarevirksomheden Pays bekræftede efterfølgende over for TV 2, at dens CPR-adgang var blevet misbrugt. Bekræftelsen er gengivet af Ritzau.

Den 23. oktober meddelte Datatilsynet, at det indledte en formel undersøgelse af CPR-administrationen og Charity Guard ApS. Den præcise ansvars- og selskabsfordeling var dermed fortsat under undersøgelse. En undersøgelse er ikke en afgørelse om skyld eller lovbrud.

Uautoriseret adgang er heller ikke det samme som dokumentation for, at alle tilgængelige oplysninger om alle berørte personer blev kopieret eller offentliggjort. Den officielle meddelelse oplyser desuden, at adgangen ikke omfattede navne og adresser på personer med navne- og adressebeskyttelse.

Sagen handler om misbrug af en virksomheds registeradgang. Den er ikke i sig selv dokumentation for, at en almindelig SMV’s kundedata er kompromitteret gennem dens betalingsleverandør. Men den gør et generelt spørgsmål meget konkret: Hvor meget kan én adgang åbne for?

Din sikkerhed stopper ikke ved din egen virksomhed

Mange små og mellemstore virksomheder har styr på deres egne computere, adgangskoder og medarbejdere. Men personoplysninger bevæger sig også gennem lønsystemer, webshops, betalingsløsninger, CRM-systemer og eksterne IT-partnere.

Det giver et vigtigt spørgsmål: Hvem uden for virksomheden kan tilgå oplysningerne – og hvor langt rækker deres adgang?

En leverandør kan være en nødvendig del af driften og samtidig være et led i en større adgangskæde. Derfor er det ikke nok kun at spørge, om virksomheden selv virker interessant for en angriber. En adgang, en konto eller en forbindelse kan være interessant i sig selv.

Hvad er leverandørrisiko i GDPR-sammenhæng?

Leverandørrisiko er risikoen for, at personoplysninger bliver kompromitteret gennem de virksomheder og systemer, I bruger. Det kan handle om et angreb, men også om for brede rettigheder, forkert deling eller mangelfuld håndtering af en hændelse.

Et lønbureau kan behandle medarbejderoplysninger. En webshopløsning kan have adgang til kundeoplysninger. En IT-partner kan have administrative rettigheder til flere systemer. Det er illustrative eksempler – ikke oplysninger om den konkrete CPR-sag.

En databehandleraftale er nødvendig, når leverandøren er databehandler, men aftalen er ikke i sig selv en teknisk beskyttelse. I skal også kende den faktiske behandling, adgang og sikkerhed.

Det er samtidig vigtigt at afklare rollen: Ikke alle leverandører er databehandlere. En betalingsudbyder kan eksempelvis være selvstændigt dataansvarlig for visse behandlinger. Rollen afhænger af, hvem der bestemmer formål og væsentlige hjælpemidler – ikke bare af, hvad leverandøren kaldes.

Fem konkrete tiltag til din virksomhed

1. Få overblik over leverandører og personoplysninger

Lav en samlet oversigt over de løsninger og samarbejdspartnere, der behandler personoplysninger for jer. Notér formål, typer af oplysninger, rolle, ansvarlig kontaktperson og eventuelle underdatabehandlere.

Start med de vigtigste systemer frem for at vente på det perfekte overblik. GDPRdesks guide til databehandlerregisteret giver et konkret sted at begynde.

2. Begræns adgangen til det nødvendige

Undersøg, hvilke oplysninger og funktioner hver leverandør faktisk har brug for. En løsning, der kun skal kontrollere én oplysning, behøver ikke nødvendigvis adgang til et helt register.

Gennemgå administrative konti, integrationer og gamle forbindelser. Fjern adgange, der ikke længere bruges, og spørg til mulighederne for at begrænse rettigheder. Det er princippet om mindst mulig nødvendig adgang omsat til hverdag.

3. Følg op på aftaler og sikkerhed

Hvis leverandøren er databehandler, skal en aftale efter GDPR artikel 28 blandt andet beskrive behandlingen og forpligtelserne. Den dataansvarlige skal bruge databehandlere, der kan stille tilstrækkelige garantier for passende beskyttelse.

Spørg konkret: Hvordan beskyttes adgangen? Hvem kan bruge den? Hvordan opdages misbrug? Hvilken dokumentation kan leverandøren fremlægge? Er der ændringer i underdatabehandlere?

Opfølgningen skal stå i forhold til risikoen. Et system med CPR-numre og brede adgangsrettigheder kræver typisk mere opmærksomhed end en løsning med få kontaktoplysninger.

4. Aftal, hvordan I får besked om et brud

Find ud af, hvem der kontakter jer, hvordan og med hvilke oplysninger. Hvis leverandøren er databehandler, skal den underrette den dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med et brud.

Databehandleren har ikke automatisk 72 timer til at give jer besked. Fristen på om muligt 72 timer vedrører den dataansvarliges anmeldelse til tilsynsmyndigheden, når anmeldelsespligten gælder. Jeres aftaler og kontaktveje bør gøre en hurtig vurdering mulig.

5. Hav en enkel plan, før en hændelse opstår

Udpeg en ansvarlig, og aftal de første skridt: Kontakt leverandøren, afklar hvilke oplysninger der er berørt, begræns adgangen, og dokumentér det, I ved og gør.

En plan behøver ikke være lang. Den skal kunne bruges, når virksomheden får en besked om et muligt brud midt i en travl arbejdsdag.

Hvad gør du, hvis en leverandør melder om et databrud?

Begynd med fakta. Hvilke af jeres oplysninger er berørt? Er der konstateret uautoriseret adgang eller udtræk, eller er det endnu kun en mulighed? Hvilke personer kan være påvirket? Hvornår blev hændelsen opdaget, og hvilke tiltag er gennemført?

Hvis I er dataansvarlige, skal et brud anmeldes til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer efter, at I er blevet bekendt med det, medmindre det er usandsynligt, at bruddet medfører en risiko for personers rettigheder eller frihedsrettigheder. Hvis alle oplysninger ikke er klar, kan anmeldelsen efter reglerne suppleres trinvist uden unødig yderligere forsinkelse.

Ved sandsynlig høj risiko skal de berørte personer som udgangspunkt også underrettes uden unødig forsinkelse. Alle brud skal dokumenteres internt – også når de ikke anmeldes.

Er du i tvivl, kan du begynde med GDPRdesks gratis værktøj »Skal jeg anmelde?«. Det giver en indledende vurdering og erstatter ikke virksomhedens konkrete vurdering og ansvar.

Se også statistikken over anmeldte databrud. Den giver et bredere billede af hændelser i Danmark, men kan ikke bruges til at fastslå årsagen eller risikoen i en bestemt sag.

Sådan kan GDPRdesk hjælpe

GDPRdesk hjælper med to forskellige opgaver: at skabe overblik før en hændelse og at strukturere vurderingen, når noget er sket.

Databehandlerregisteret giver et samlet sted at holde styr på databehandlere og aftaler. Databrudsanalysen hjælper med screening, en foreløbig vurdering og dokumentation af hændelsen.

GDPRdesk er ikke et sikkerhedssystem, der blokerer angreb eller overvåger leverandørernes adgang. Platformen støtter virksomhedens GDPR-arbejde; den erstatter ikke tekniske sikkerhedsforanstaltninger eller den konkrete juridiske vurdering.

Vil I begynde med leverandøroverblikket, er databehandlerregisteret med i Starter. Har I også brug for databrudsanalyse, skal I vælge Solo eller Team. Se abonnementerne og vælg den adgang, I har brug for.

Et lille led kan have stor betydning. Det vigtigste er at vide, hvor jeres oplysninger er, hvem der har adgang, og hvad I gør, hvis den adgang bliver misbrugt.

Ofte stillede spørgsmål

Er alle vores leverandører databehandlere?

Nej. Rollen afhænger af den konkrete behandling. En leverandør er databehandler, når den behandler personoplysninger på jeres vegne. Den kan også være selvstændigt dataansvarlig for andre behandlinger. Afklar rollen, før I vælger aftale og opfølgning.

Er CPR-numre følsomme personoplysninger efter GDPR?

CPR-numre er ikke i sig selv følsomme personoplysninger efter artikel 9. De er personoplysninger med særlige danske regler og kræver passende beskyttelse. Et brud med CPR-numre kan være alvorligt, selv om oplysningerne ikke hører til artikel 9-kategorierne.

Er en databehandleraftale nok til at beskytte os?

Nej. Aftalen fastlægger forpligtelserne, men erstatter ikke passende sikkerhed, begrænset adgang og relevant opfølgning på databehandleren.

Skal et databrud hos en leverandør altid anmeldes?

Nej. Det afhænger af jeres rolle, om der er et brud vedrørende oplysninger, I er ansvarlige for, og risikoen for de berørte personer. Som dataansvarlig skal I anmelde, medmindre det er usandsynligt, at bruddet medfører en risiko. Brud skal dokumenteres internt, også når de ikke anmeldes.

Kilder til artikelteksten

CPR-administrationen, 5. oktober 2026: Omfattende uautoriseret adgang til borgeres CPR-oplysninger. Primærkilde til adgang, oplysninger, den daterede opgørelse på cirka 8,8 millioner personer og navne-/adressebeskyttelse.
Datatilsynet, 23. oktober 2026: Datatilsynet indleder formel undersøgelse af CPR-sagen. Primærkilde til undersøgelsens status og parter.
Ritzau via Sjællandske Nyheder, 9. oktober 2026: Den fynske it-virksomhed Pays er blevet udnyttet i CPR-sagen. Virksomhedsbekræftelse formidlet via medie, ikke selvstændig myndighedskonklusion.
Datatilsynet: Anmeld sikkerhedsbrud. Vejledning om anmeldelse og frist.
Datatilsynet: Multifaktorautentifikation. Generelle anbefalinger om beskyttelse af adgang.
GDPR, EUR-Lex – dansk tekst. Artikel 9, 28, 32, 33 og 34.

Kildekontrol: 30. oktober 2026. Artiklen bruger den konkrete sag som anledning til generelle råd og foregriber ikke undersøgelsens resultat.