Утечка CPR-номеров в Дании произошла из-за неограниченного легального доступа компаний к национальной базе через API, а не из-за взлома. CPR-номер используется как универсальный идентификатор для доступа к медицинским, банковским и государственным сервисам, что делает его критически ценным. Доступ к базе предоставляется без ограничений на объём или частоту запросов, позволяя любому сотруднику компании экспортировать данные всей популяции. Население Дании — около 6 млн, но утечка затронула 8,8 млн записей, включая данные умерших и бывших резидентов, что указывает на хранение исторических данных в базе. Несмотря на наличие MitID как двухфакторной системы аутентификации, утечка CPR-номеров ставит под угрозу целостность системы, так как номера используются как первичный идентификатор во многих сервисах, где двухфакторная аутентификация не применяется (например, аптеки). Цифровизация государственных услуг в Дании развивалась без должного акцента на кибербезопасность, и IT-инфраструктура часто управляется другими министерствами, а не отдельным ведомством. Аналогичные утечки произошли в Польше (20 млн медицинских записей) и Франции (678 тыс. налоговых записей), указывая на системную проблему в ЕС. GDPR не предотвратил такие инциденты: штрафы недостаточны для стимулирования инвестиций в безопасность, а закон не применяется к государственным системам в полной мере. Спор о публичном доступе к данным (как в Швеции через hitta.se) не решён: одни считают, что прозрачность снижает риск злоупотреблений, другие — что это лишь легитимизирует эксплуатацию данных и не заменяет защиту. Для снижения рисков необходимо: рассматривать CPR-номер как имя пользователя, а не пароль, требуя дополнительный фактор аутентификации; обязывать компании анонимизировать или хешировать данные при тестировании; вводить уголовные наказания для ответственных лиц внутри компаний; ограничивать доступ к CPR только тем организациям, которые действительно нуждаются в данных для законных функций, и проводить строгий аудит всех запросов. Утечка подтверждает, что персональные данные в Дании давно не являются секретом — они доступны через легальные каналы, делая инцидент не новостью, а масштабным проявлением уже уязвимой системы. Цифровая идентификация на основе национальных номеров фундаментально уязвима при отсутствии контроля над доступом.