Et sikkerhedshul i Motorstyrelsens register over danske bilejere stod åbent i op mod fem år, før det blev lukket helt. Ifølge DR’s afdækning fra september 2026 ramte fejlen 71.080 danskere, hvoraf mange havde navne- og adressebeskyttelse, netop den beskyttelse der skulle forhindre offentliggørelse af deres oplysninger. Sagen rejser et spørgsmål, som rækker langt ud over én myndigheds it-drift: hvor lang tid må gå, fra en offentlig instans selv opdager et databrud, til borgerne rent faktisk er beskyttet igen?
Hvad skete der hos Motorstyrelsen?
Kernen i sagen er Motorregistret, det centrale register over køretøjer og deres ejere i Danmark. Motorstyrelsen giver en række virksomheder terminaladgang til registret, så de kan slå oplysninger op i forbindelse med deres daglige arbejde. Problemet opstod, fordi en fejl i systemet gjorde, at oplysninger tilhørende personer med navne- og adressebeskyttelse alligevel blev vist for de virksomheder, der havde adgang.
Navne- og adressebeskyttelse er en ordning, som borgere typisk søger om, når de har konkret grund til at frygte forfølgelse, vold eller chikane, for eksempel efter et voldeligt forhold eller trusler fra en tidligere partner. Når beskyttelsen fejler i et offentligt register, er konsekvensen ikke bare et teoretisk privatlivsbrud. Det er en reel sikkerhedsrisiko for nogle af de borgere, systemet skulle skærme mest.
Ifølge Computerworlds gennemgang af sagen opdagede Motorstyrelsen selv fejlen den 4. juli 2025 og anmeldte den samme dag til Datatilsynet. Det er værd at bide mærke i: der er ikke tale om en ekstern forsker eller journalist, der fandt hullet, men om myndighedens egen kontrol. Det gør sagen mere til en historie om oprydning end om afsløring, men oprydningen har taget markant længere tid end de fleste borgere nok ville forvente.
Tidslinjen: fra 2021 til september 2026
Det mest opsigtsvækkende element i sagen er ikke selve fejlen, men hvor længe den fik lov at eksistere. Ifølge de tilgængelige oplysninger stammer eksponeringen af navne og adresser helt tilbage fra 2021. Det betyder, at data i praksis kan have været tilgængelige for uvedkommende virksomheder i op mod fire år, før Motorstyrelsen selv fangede problemet i sommeren 2025.
Men historien stopper ikke der. Da Motorstyrelsen lukkede den del af hullet, der handlede om navne og adresser, den 15. juli 2025, stod en anden del af problemet fortsat åbent: adgangen til danskernes fødselsdatoer gennem samme terminaladgang. Den del af sagen blev først lukket helt den 22. september 2026, mere end 14 måneder efter den oprindelige opdagelse. Det er den detalje, der får DR til at konkludere, at sikkerhedshullet reelt stod åbent i over et år, efter at Motorstyrelsen første gang meldte sagen til Datatilsynet.
| Dato | Begivenhed |
|---|---|
| 2021 | Fejl i Motorregistrets terminaladgang begynder at eksponere beskyttede navne og adresser |
| 4. juli 2025 | Motorstyrelsen opdager selv fejlen internt |
| 4. juli 2025 | Sagen anmeldes til Datatilsynet samme dag |
| 15. juli 2025 | Adgangen til beskyttede navne og adresser lukkes delvist |
| September 2026 | DR og Computerworld afdækker, at fødselsdatoer stadig kan tilgås |
| 22. september 2026 | Motorstyrelsen lukker adgangen til fødselsdatoer helt |
Hvilke persondata blev eksponeret?
De data, der ifølge den seneste rapportering var tilgængelige gennem fejlen, omfatter navne, adresser og fødselsdatoer på personer registreret i Motorregistret. For personer med navne- og adressebeskyttelse er netop navn og adresse de oplysninger, som lovgivningen forsøger at skjule, så det er den mest alvorlige del af lækket.
Der er derimod intet i den tilgængelige rapportering, der tyder på, at fulde CPR-numre blev eksponeret. Det er en vigtig skelnen. Et CPR-nummer er Danmarks centrale personidentifikator og bruges af myndigheder, banker og sundhedsvæsen til at koble oplysninger sammen på tværs af systemer. Når et CPR-nummer lækkes sammen med navn og adresse, stiger risikoen for identitetstyveri markant, fordi nummeret i sig selv fungerer som nøgle til mange andre registre. I Motorstyrelsens sag er det navn, adresse og fødselsdato, der er bekræftet eksponeret, hvilket stadig kan bruges til at lokalisere en person eller understøtte social engineering, men det er ikke det samme sikkerhedsniveau som et fuldt CPR-lækage.
For de borgere, der har navne- og adressebeskyttelse, er skellet dog mindre trøstende. Hele formålet med beskyttelsen er, at en bestemt gruppe mennesker, typisk virksomheder og enkeltpersoner uden legitim interesse, ikke skal kunne se, hvor personen bor. Når adressen alligevel har været synlig i op mod fire år for et større antal virksomheder, er skaden potentielt sket, uanset om CPR-nummeret fulgte med eller ej.
De 59 virksomheder med adgang til Motorregistret
Ifølge oplysningerne i sagen havde Motorstyrelsen givet terminaladgang til Motorregistret til 59 virksomheder. Disse er ikke tilfældige aktører, men virksomheder, der har en legitim, afgrænset opgave, som kræver opslag i registret. Fordelingen af de 59 virksomheder viser, hvor bredt denne type adgang reelt er spredt i det danske erhvervsliv.
| Virksomhedstype | Antal virksomheder | Typisk brug af opslag |
|---|---|---|
| Genbrugspladser og ophugningsvirksomheder | 26 | Afmelding af udtjente køretøjer og ejeropslag |
| Parkeringsselskaber | 22 | Identifikation af ejer ved parkeringsafgifter |
| Inkassofirmaer | 4 | Opsporing af ejer ved gældsinddrivelse |
| Øvrige virksomheder | 7 | Andre lovlige opslagsformål i registret |
| I alt | 59 | Terminaladgang til Motorregistret |
Genbrugspladser og ophugningsvirksomheder udgør den største gruppe. Det giver mening rent forretningsmæssigt: når en bil skal skrottes, skal ejerforholdet dokumenteres, før afmeldingen kan gennemføres. Parkeringsselskaber er den næststørste gruppe, og her ligger en anden pointe: disse virksomheder slår typisk op i registret for at sende en parkeringsafgift til en ejer, der måske slet ikke kender til beskyttelsen af sin egen adresse i andre sammenhænge. De fire inkassofirmaer repræsenterer den mest følsomme kategori, fordi gældsinddrivelse i forvejen er en situation, hvor beskyttede personer ofte har brug for, at deres adresse ikke er let tilgængelig.
Hvorfor tog det over et år at lukke hullet helt?
Det springende punkt i sagen er ikke, at en fejl opstod, men at rettelsen blev delt op i to faser med mere end et års mellemrum. Motorstyrelsen lukkede først den del af hullet, der vedrørte navne og adresser, i juli 2025, kort efter opdagelsen. Men adgangen til fødselsdatoer gennem den samme terminalløsning blev stående i yderligere over et år, indtil den 22. september 2026.
Det mønster er ikke unikt for Motorstyrelsen. Det går igen i flere danske it-sikkerhedssager, at en delvis rettelse bliver fejlfortolket som en fuld lukning af problemet, indtil en ekstern undersøgelse eller pressehenvendelse afdækker, at resten af hullet stadig er åbent. I Motorstyrelsens tilfælde var det tilsyneladende medier, der i september 2026 rejste spørgsmålet om fødselsdatoerne, hvilket førte til den endelige lukning samme måned.
Motorstyrelsen har erkendt sagen og oplyst, at myndigheden nu gennemgår, hvordan oplysninger leveres til virksomheder fra Motorregistret, samt at man vil trække på ekstern bistand for at undgå lignende fejl fremover. Det er en formulering, der peger på et strukturelt problem snarere end en enkeltstående kodefejl: når adgang gives til 59 forskellige virksomheder gennem en fælles terminalløsning, kræver det løbende kontrol af, præcis hvilke felter hver bruger kan se, og den kontrol har tydeligvis ikke fungeret tilstrækkeligt i denne sag.
Datatilsynets rolle og risikoen for en bøde
Motorstyrelsen anmeldte sagen til Datatilsynet samme dag, som fejlen blev opdaget, den 4. juli 2025. Det er i sig selv i overensstemmelse med databeskyttelsesforordningens artikel 33, som kræver, at en dataansvarlig anmelder et brud på persondatasikkerheden senest 72 timer efter, at bruddet er kommet til myndighedens kendskab. Anmeldelsen samme dag som opdagelsen lever fint op til den frist.
Det, der er mere usikkert, er, hvad der sker herfra. Der er ikke i den tilgængelige rapportering nogen oplysning om, at Datatilsynet har afsluttet en formel undersøgelse eller foreslået en bøde i sagen. Det betyder ikke, at sagen er lukket, men at der endnu ikke foreligger en offentlig afgørelse. Databeskyttelsesforordningens artikel 32 stiller krav om, at en dataansvarlig skal implementere passende tekniske og organisatoriske foranstaltninger til at sikre et sikkerhedsniveau, der passer til risikoen. Et sikkerhedshul, der eksponerer navne- og adressebeskyttede personers oplysninger i flere år, er præcis den type sag, som artikel 32 er skrevet til at gribe fat i.
Sagen om Region Syddanmark viser, hvordan den slags sager kan udvikle sig i det danske retssystem. Byretten i Kolding dømte i december 2024 regionen for to overtrædelser af artikel 32 og idømte en samlet bøde på 1 million kroner. Vestre Landsret ændrede senere afgørelsen, frifandt regionen for det ene forhold og landede på en bøde på 500.000 kroner den 23. marts 2026. Sagen handlede om en database, hvor brugere med login-adgang kunne se personoplysninger om cirka 23.000 personer, heriblandt følsomme sundhedsoplysninger om børn i psykiatrisk behandling. Det centrale her er, at det ikke er Datatilsynet selv, der idømmer den type bøde. Tilsynet undersøger og indstiller til politianmeldelse, mens domstolene fastsætter den endelige straf. Hvis Motorstyrelsen-sagen følger samme spor, kan der gå lang tid, før et endeligt bødebeløb, hvis noget, bliver kendt.
Sammenligning med andre danske databrud og GDPR-sager
Motorstyrelsen-sagen er langt fra enestående i det danske landskab af databrud i den offentlige sektor. Nedenstående tabel samler de mest sammenlignelige sager fra 2025 og 2026, så omfanget kan holdes op mod hinanden.
| Sag | Berørte personer | Data eksponeret | Udfald |
|---|---|---|---|
| Motorstyrelsen | 71.080 | Navn, adresse, fødselsdato | Ingen bøde offentliggjort endnu, intern undersøgelse i gang |
| Region Syddanmark | Cirka 23.000 | Sundhedsdata, heriblandt børn i psykiatrisk behandling | 500.000 kr. i bøde, Vestre Landsret, 23. marts 2026 |
| SATS Danmark | Ikke offentliggjort | Check-in-fotos i fitnesscenter | Klage afvist af Datatilsynet, 7. september 2026 |
| Nationalt niveau (alle sektorer) | – | Alle typer databrud | 9.849 anmeldelser til Datatilsynet i 2025, mod 9.624 i 2024 |
Tallene fortæller en historie om et støt stigende antal anmeldelser: fra 9.624 i 2024 til 9.849 i 2025, altså en stigning på omkring 2 procent. Det kan skyldes flere faktiske brud, men det kan lige så vel afspejle, at flere myndigheder og virksomheder er blevet bedre til at opdage og anmelde hændelser, som tidligere ville være gået under radaren. Motorstyrelsens sag føjer sig til rækken af sager, hvor det netop er myndigheden selv, der finder og anmelder fejlen, hvilket isoleret set er positivt, men rejser spørgsmålet om, hvorfor den efterfølgende lukning tager så lang tid.
SATS-sagen mellem Danmark og Norge illustrerer en anden dimension af det samme system: Datatilsynet i Danmark afviste en klage om SATS Danmark den 7. september 2026 under forordningens artikel 60, stykke 8, den såkaldte one-stop-shop-mekanisme, mens Norges tilsynsmyndighed samme sommer, den 15. juli 2026, udstedte påbud og påtaler i en beslægtet sag om check-in-fotos uden at pålægge en bøde. Det viser, at selv i sager med grænseoverskridende elementer i Norden kan de nationale tilsyn nå til forskellige konklusioner om, hvornår en sag kræver en formel sanktion.
Hvad betyder navne- og adressebeskyttelse i praksis?
Navne- og adressebeskyttelse er ikke en generel privatlivsindstilling, som enhver dansker kan slå til. Det er en specifik beskyttelsesordning, som kommunerne administrerer, og som typisk kræver en konkret begrundelse, for eksempel dokumenteret frygt for vold, chikane eller forfølgelse fra en navngiven person. Når beskyttelsen er givet, skal den i teorien slå igennem i alle offentlige registre, hvor adressen ellers ville være synlig, herunder folkeregistret, CVR og netop Motorregistret.
Problemet med Motorstyrelsens sag er, at beskyttelsen ikke slog igennem i den terminaladgang, som virksomhederne brugte. Det betyder i praksis, at en person, der har søgt og fået beskyttelse netop fordi vedkommende frygter en bestemt person eller situation, i årevis kunne have sin adresse tilgængelig for medarbejdere i for eksempel et inkassofirma eller en genbrugsplads. Der er intet, der tyder på, at oplysningerne blev misbrugt i konkrete tilfælde, men selve eksponeringen underminerer formålet med ordningen, uanset om nogen faktisk har handlet på den.
Det rejser et bredere spørgsmål om, hvordan Danmark som samlet system sikrer, at en beskyttelse givet ét sted, for eksempel i kommunen, rent faktisk forplanter sig korrekt til alle de tekniske systemer, hvor adressen ellers ville dukke op. Motorregistret er kun ét eksempel; princippet gælder lige så meget for andre registre, hvor virksomheder har begrænset, formålsbestemt adgang.
Historisk kontekst: offentlige registre og datasikkerhed i Danmark
Danmark har gennem årtier bygget en model med centrale, digitale registre, CPR-registret, Det Centrale Virksomhedsregister og Motorregistret blandt de mest kendte, som gør det muligt for myndigheder og virksomheder at slå oplysninger op hurtigt og automatiseret. Modellen har givet Danmark et ry som et af de mest digitaliserede lande i verden, men den bygger samtidig på en grundlæggende antagelse: at adgangskontrollen til hvert enkelt register er præcis og løbende vedligeholdt.
Motorstyrelsen-sagen er ikke den første, hvor den antagelse har vist sig skrøbelig. Region Syddanmark-sagen fra 2024 til 2026 handlede om en anden type register, men samme grundproblem: adgangskontrol, der ikke fulgte med, da databasen blev udvidet eller ændret over tid. Det peger på et mønster, hvor mange danske offentlige it-systemer er bygget op over en lang årrække, ofte med flere lag af tilføjede funktioner, hvilket gør det sværere at holde overblik over, præcis hvem der kan se hvad.
Den stigende anmeldelsesrate hos Datatilsynet, fra 9.624 sager i 2024 til 9.849 i 2025, kan ses som et symptom på samme udvikling. Jo flere systemer og integrationer en myndighed eller virksomhed opererer med, desto flere potentielle fejlpunkter opstår der, og desto vigtigere bliver det at have en proces for, hvor hurtigt en delvis rettelse følges op af en fuld lukning.
Markedets og branchens reaktion
For de 59 virksomheder, der havde terminaladgang til Motorregistret, betyder sagen sandsynligvis skærpet kontrol af, hvilke data de fremover kan se og bruge. Genbrugspladser, parkeringsselskaber og inkassofirmaer har alle en legitim forretningsmæssig grund til at slå ejeroplysninger op, men sagen viser, at adgangen skal være præcist afgrænset til det, der faktisk er nødvendigt for opgaven, og ikke bredere end det.
For it-sikkerhedsbranchen i Danmark er sagen endnu et eksempel, der understøtter en tendens, som allerede ses i flere brancher: virksomheder og myndigheder investerer i revision af, hvem der har adgang til hvilke data, og i teknisk værktøj, der kan opdage, når en adgangsrettighed reelt viser mere, end den burde. Konsulenthuse, der arbejder med informationssikkerhed og GDPR-compliance i den offentlige sektor, kan forvente øget efterspørgsel efter netop den type gennemgang, i takt med at flere myndigheder ønsker at undgå at ende i samme situation som Motorstyrelsen.
For borgere med navne- og adressebeskyttelse rejser sagen et mere personligt spørgsmål om tillid. Beskyttelsen findes netop, fordi nogle mennesker har en reel og dokumenteret grund til at frygte, hvad der sker, hvis deres adresse bliver kendt. Når den slags oplysninger lækkes gennem et system, som borgeren aldrig selv har haft direkte kontakt med, er det svært for den enkelte at vide, om og hvornår vedkommende bør reagere.
International sammenligning: GDPR-håndhævelse over for offentlige myndigheder
Danmark er langt fra alene om at have sager, hvor offentlige myndigheder kæmper med at leve op til databeskyttelsesforordningens sikkerhedskrav. Mønstret, hvor en dataansvarlig selv opdager og anmelder en fejl, men bruger lang tid på den fulde udbedring, går igen i flere europæiske sager om offentlige registre og it-systemer. Det, der adskiller sagerne fra hinanden, er ofte, hvor hurtigt det nationale tilsyn reagerer, og om sagen ender i en bøde, en påtale eller slet ingen offentlig sanktion.
SATS-sagen mellem Danmark og Norge er et konkret eksempel på, hvordan to nordiske tilsyn kan vurdere en beslægtet sag forskelligt: det norske Datatilsynet valgte påbud og påtaler uden bøde i sin 2026-afgørelse om check-in-fotos, mens det danske Datatilsynet afviste en klage om samme selskab under one-stop-shop-mekanismen samme år. For Motorstyrelsen-sagen er der endnu ingen tilsvarende afgørelse at sammenligne med, men de to eksisterende danske sager, Region Syddanmark og SATS, viser, at udfaldet kan variere betydeligt, selv inden for samme lands tilsynsmyndighed og samme år.
Hvad kan berørte borgere gøre?
For de 71.080 personer, der ifølge Motorstyrelsen er berørt af sagen, er der ikke meldt en formel proces ud for individuel underretning i de foreliggende oplysninger. Databeskyttelsesforordningens artikel 34 kræver, at den dataansvarlige underretter de registrerede direkte, hvis et brud sandsynligvis indebærer en høj risiko for deres rettigheder og frihedsrettigheder, hvilket typisk er relevant for personer med navne- og adressebeskyttelse, hvor eksponering af adressen i sig selv kan udgøre en sikkerhedsrisiko.
Borgere, der er usikre på, om de er blandt de berørte, kan rette henvendelse til Motorstyrelsen direkte via motorst.dk for at få klarhed. Har man navne- og adressebeskyttelse og oplever mistænkelig kontakt, henvendelser eller post fra afsendere, man ikke kan genkende, er det relevant at dokumentere det og overveje at kontakte både Motorstyrelsen og i alvorlige tilfælde politiet. Det er også muligt at klage direkte til Datatilsynet, hvis man mener, at ens rettigheder efter databeskyttelsesforordningen er blevet krænket.
Fem forudsigelser for sagens videre forløb
Baseret på, hvordan lignende sager har udviklet sig i Danmark de seneste år, er der en række sandsynlige udviklinger at holde øje med i månederne efter afsløringen.
- Datatilsynet vil sandsynligvis bruge flere måneder, muligvis over et år, på at afslutte sin undersøgelse af sagen, i tråd med tidslinjen i Region Syddanmark-sagen, hvor der gik over et år fra byrettens dom til landsrettens endelige afgørelse.
- Hvis sagen ender med en sanktion, vil den mest sandsynligt tage form af en politianmeldelse med efterfølgende retssag frem for en administrativ bøde direkte fra Datatilsynet, i tråd med praksis i sager om offentlige myndigheder efter artikel 32.
- Motorstyrelsen vil sandsynligvis offentliggøre resultaterne af sin interne undersøgelse med ekstern bistand, hvilket kan afdække, om lignende sikkerhedshuller findes i andre dele af Motorregistrets terminaladgang.
- Andre danske myndigheder med tilsvarende terminaladgang for eksterne virksomheder vil sandsynligvis blive presset til at gennemgå deres egne adgangskontroller for at undgå en lignende sag, særligt i lyset af de stigende anmeldelsestal hos Datatilsynet.
- Debatten om, hvor lang tid en delvis rettelse må stå alene, før hele sikkerhedshullet er lukket, vil sandsynligvis blive rejst politisk, givet at over et år gik mellem den første og den anden lukning i denne sag.
Ofte stillede spørgsmål
Hvor mange danskere er berørt af Motorstyrelsens datalæk?
Ifølge Motorstyrelsens egne oplysninger er 71.080 personer berørt af sikkerhedshullet i Motorregistrets terminaladgang.
Hvilke data blev eksponeret i sagen?
De bekræftede eksponerede data er navn, adresse og fødselsdato. Der er ikke oplysninger, der bekræfter, at fulde CPR-numre blev eksponeret.
Hvor længe stod sikkerhedshullet åbent?
Eksponeringen af navne og adresser går tilbage til 2021 og blev delvist lukket i juli 2025. Adgangen til fødselsdatoer stod åben helt frem til 22. september 2026.
Hvem opdagede fejlen?
Motorstyrelsen opdagede selv fejlen den 4. juli 2025 og anmeldte den samme dag til Datatilsynet.
Har Motorstyrelsen fået en bøde?
Der er ikke offentliggjort en bøde eller en afsluttet afgørelse fra Datatilsynet i sagen på nuværende tidspunkt. Motorstyrelsen har oplyst, at man iværksætter en intern undersøgelse med ekstern bistand.
Hvilke virksomheder havde adgang til de eksponerede data?
59 virksomheder havde terminaladgang til Motorregistret, heriblandt 26 genbrugspladser og ophugningsvirksomheder, 22 parkeringsselskaber og 4 inkassofirmaer.
Hvad er navne- og adressebeskyttelse?
Det er en ordning, hvor borgere med dokumenteret frygt for forfølgelse, vold eller chikane kan få skjult navn og adresse i offentlige registre. Ordningen administreres af kommunerne.
Kan jeg finde ud af, om jeg er berørt?
Borgere kan kontakte Motorstyrelsen direkte for at få klarhed om, hvorvidt de indgår blandt de 71.080 berørte personer.
