La AEPD confirma que Cantabria no protegía la plataforma de la que robaron 150.000 registros de alumnos y sus familias

La Agencia Española de Protección de Datos (AEPD) ha declarado que el Gobierno de Cantabria infringió el Reglamento General de Protección de Datos al no contar con medidas de seguridad adecuadas en Yedra, la plataforma desde la que se gestiona al alumnado de los centros educativos no universitarios de la comunidad, cuando unos atacantes robaron de ella 150.000 registros personales. Entre los datos sustraídos figuran el DNI de alumnos y de sus tutores legales, teléfonos, correos electrónicos, direcciones postales y fotografías de carné.

La resolución, firmada por el presidente de la AEPD, Lorenzo Cotino, reconstruye un robo que se prolongó durante una semana de abril de 2024 sin que nadie lo frenara. Según el informe del CCN-Cert incorporado al expediente, la intrusión se produjo entre el 1 y el 8 de abril; la Policía Nacional la acotó después entre el 2 y el 7. El Centro Criptológico Nacional alertó al Gobierno de Cantabria el propio día 5 de «conexiones de presuntas direcciones IP maliciosas» y del posible «compromiso de credenciales», pero aquel aviso no hablaba todavía de brecha y la exfiltración no se confirmó hasta el 10 de septiembre de 2024, cinco meses después. La plataforma da servicio a unos 250.000 usuarios.

El caso dio un vuelco en julio de 2025, cuando la Policía informó al Ejecutivo cántabro de que, en una investigación ordenada por la Audiencia Nacional, había incautado a un hacker datos procedentes de aquella brecha. Hasta entonces, el Gobierno había mantenido ante la Agencia que no existía «certeza técnica» de que los datos comprometidos procedieran de una fuga de su aplicación. El Ejecutivo tampoco hizo entonces una comunicación general a los usuarios, al considerar que solo constaban dos afectados con datos de cinco años de antigüedad; la resolución fija ahora los hechos probados en 150.000 registros sustraídos.

Una infracción grave, agravada por tratarse de menores

La AEPD tipifica los hechos como infracción del artículo 32 del RGPD, el que obliga a aplicar medidas técnicas y organizativas apropiadas al riesgo, y la califica de grave a los efectos de la ley. La Agencia subraya además dos agravantes: entre los afectados hay previsiblemente menores de edad y entre los archivos se encuentran el DNI y la fotografía, datos «de especial sensibilidad debido a las consecuencias que para sus titulares pueda tener el acceso no autorizado». De haber sido una empresa la infractora, la multa podría haber llegado a diez millones de euros o al 2 % de su facturación anual global, optándose por la mayor de las dos cantidades.

Al tratarse de una administración pública, la ley no permite sancionarla con multa: el castigo es la declaración pública de la infracción y una orden con plazo. El Gobierno de Cantabria tiene tres meses desde que la resolución sea firme y ejecutiva para acreditar que ya aplica medidas de seguridad efectivas y para informar sobre el estado de Altamira, la aplicación que debe sustituir a Yedra y cuya seguridad tendrá que demostrar igualmente. Si no atiende el requerimiento, la Agencia podrá abrirle un nuevo expediente.

El episodio recuerda al robo de historiales médicos en Extremadura, cuyo SES tuvo que enviar 25.824 comunicaciones a los 18.416 pacientes afectados: la administración se ha convertido en uno de los objetivos más rentables para los atacantes y, demasiado a menudo, sus plataformas más viejas son las que guardan los datos más sensibles. Yedra lleva más de veinte años en funcionamiento y su propia consejería reconoce que no es renovable tal y como está configurada.

Lo más incómodo de la resolución es esto: el primer aviso llegó cuando el robo aún se estaba produciendo, y aun así nadie supo cortarlo. Que la AEPD no pueda multar a las administraciones no significa que el descontrol salga gratis; significa que el coste lo pagan los ciudadanos, con su DNI y su foto circulando por ahí, y que la única presión real es la vergüenza pública de una resolución como esta. Es la misma agencia que hace unos días pedía a los ciudadanos no pulsar «permitir siempre» sin pensar ante los agentes de IA: exigir cuidado a los usuarios mientras una plataforma con 250.000 usuarios se deja vaciar durante una semana es un contraste difícil de sostener.

Más información | Resolución de la AEPD contra el Gobierno de Cantabria (expediente EXP202416430)