El Tribunal Supremo da por válido EncroChat
La reciente sentencia del Tribunal Supremo, nº 854/2025, de 16 de octubre, marca un antes y un después en el debate sobre la validez de las pruebas procedentes de EncroChat, SKY ECC o ANOM, la red de teléfonos encriptados intervenida por las autoridades francesas en 2020.
El Alto Tribunal da por válida la utilización de esas pruebas en España, rechazando los recursos de varios acusados y confirmando las condenas dictadas por la Audiencia Nacional.
¿Qué fue EncroChat?
EncroChat era una red de telefonía encriptada utilizada, según las investigaciones europeas, por miles de personas en todo el continente.
Los dispositivos —vendidos por unos 3.000 euros— ofrecían mensajería cifrada punto a punto y un sistema de autodestrucción de mensajes.
En 2020, las autoridades francesas y holandesas consiguieron infiltrarse en el sistema, instalando un software capaz de capturar millones de mensajes antes de que fueran encriptados.
A partir de ahí, los datos fueron filtrados por países y enviados a los distintos Estados miembros.
España recibió la información a través de la denominada Transmission spontanée d’information remitida por Francia, lo que dio origen a numerosas investigaciones por tráfico de drogas, blanqueo de capitales, organización criminal y otros delitos graves.
¿Qué dice el Tribunal Supremo sobre Encrochat?
El Tribunal Supremo —en esta sentencia de casación— avala la validez de la prueba EncroChat y desestima los recursos interpuestos por varios acusados condenados en la Audiencia Nacional.
El eje de su decisión gira en torno a tres ideas principales:
EncroChat fue una investigación legítima en Francia.
El Supremo considera que la intervención fue autorizada judicialmente en el Estado de origen, donde se hallaban los servidores.
Por tanto, España no puede cuestionar su validez aplicando su propia legislación procesal.
No fue una investigación en curso, sino el resultado de una ya finalizada.
El Tribunal insiste en que España no ejecutó la medida, sino que simplemente recibió los resultados de una investigación ya concluida en Francia, lo que —a su juicio— excluye la necesidad de una autorización judicial española.
Se aplica el principio de no indagación.
Según el Supremo, los tribunales españoles no deben examinar la legalidad de la actuación extranjera si la medida fue autorizada por un juez de otro Estado miembro de la UE.
En consecuencia, no corresponde valorar si la obtención de la prueba vulneró derechos fundamentales conforme a la LECrim española, sino únicamente verificar su autenticidad y fiabilidad.
La Directiva 2014/41/UE y el control judicial
Referencia a la Directiva 2014/41/UE relativa a la orden europea de investigación en materia penal
El Supremo cita el artículo 31 de la Directiva 2014/41/UE, relativa a la orden europea de investigación, que regula la obligación de notificar a otro Estado miembro cuando una medida de investigación puede afectar a personas situadas en su territorio.
Reconoce que Francia no comunicó previamente a España la intervención, pero sostiene que la Directiva no establece consecuencias específicas para ese incumplimiento.
Por tanto, el envío posterior de la Transmission spontanée d’information —meses después del hackeo— se considera suficiente para convalidar la cooperación entre Estados.
En otras palabras, el Supremo interpreta esa comunicación como una “subsanación ex post” del defecto de notificación inicial.
Sobre la naturaleza de la medida
El Tribunal reconoce que la infiltración en EncroChat fue una injerencia masiva en las comunicaciones privadas, pero niega que fuera una investigación prospectiva.
Afirma que las autoridades francesas ya tenían sospechas de que esa red se utilizaba con fines delictivos, especialmente en delitos de tráfico de drogas y crimen organizado.
Por tanto, según el Supremo, la medida no fue una “pesca de arrastre”, sino una intervención dirigida a desmantelar un sistema criminalizado en su conjunto.
¿Necesitas un abogado experto en Encrochat?
Una análisis crítico a la sentencia del Tribunal Supremo
Un aval peligroso a la injerencia masiva
Este autor discrepa profundamente del criterio del Tribunal Supremo en esta sentencia sobre EncroChat.
Se percibe claramente que el Tribunal ha querido “salir del paso”, evitando pronunciarse sobre el fondo del asunto —la compatibilidad de esta injerencia con la Ley de Enjuiciamiento Criminal— y trasladando al TJUE o al TEDH la responsabilidad de resolver un problema que saben perfectamente que no encaja en nuestro sistema procesal penal.
Contradicicones sobre la injerencia masiva
El Supremo reconoce que la medida fue tan amplia como para considerarse una injerencia masiva, pero al mismo tiempo niega que fuera prospectiva.
Y ahí surge la gran contradicción: una injerencia masiva, por definición, no puede estar focalizada en sujetos previamente identificados.
Si había sospechosos concretos, la medida no debía ser masiva; si era la única forma posible, entonces no existían sospechosos individualizados.
Y eso, en nuestro Derecho, encaja de lleno en el concepto de investigación prospectiva, expresamente prohibida.
Un contraste con el Derecho comparado europeo
Omisión a la sentencia del Tribunal Regional de Berlín que declara nula la Prueba de Enrcohat
El Tribunal Supremo español cita numerosas resoluciones de otros países europeos —entre ellas, de los tribunales de Países Bajos, Francia o Reino Unido— para justificar la validez de las pruebas derivadas de EncroChat, pero omite la sentencia del Tribunal Regional de Berlín (Landgericht Berlin, 525 KLs 8/22, de 19 de diciembre de 2024).
El Tribunal Regional de Berlín declaró ilícitas las pruebas obtenidas de EncroChat y absolvió a los acusados, precisamente porque consideró que la actuación de las autoridades francesas vulneró el artículo 31 de la Directiva 2014/41/UE.
Francia nunca notificó a Alemania ni obtuvo autorización judicial antes de intervenir comunicaciones de usuarios situados en su territorio.
El tribunal alemán subrayó que esa notificación “no es una mera formalidad, sino una garantía sustancial que permite al Estado receptor ejercer su soberanía y proteger su propio nivel de derechos fundamentales”.
Además, revisó la Orden Europea de Investigación (OEI) emitida posteriormente por la Fiscalía alemana y concluyó que tampoco cumplía los requisitos de la Directiva ni del Derecho procesal alemán, al carecer de una sospecha individual previa, control judicial nacional y motivación específica.
Por ello, los datos fueron declarados inutilizables como prueba (Beweisverwertungsverbot).
Mientras el Supremo español da por válidas las escuchas con una justificación genérica de “especial gravedad”, el tribunal alemán —con una legislación muy similar a la nuestra— rechazó expresamente esa lógica por considerarla incompatible con el principio de especialidad y con el derecho a un juicio justo.
¿Qué es el principio de especialidad?
El principio de especialidad, que inspira tanto la cooperación judicial como la regulación de las medidas tecnológicas, impide interceptar comunicaciones para “ver qué se encuentra”.
Solo pueden autorizarse cuando ya existen indicios objetivos sobre un delito concreto y respecto de personas determinadas.
EncroChat hizo justo lo contrario: primero se accedió a todas las comunicaciones y después se empezó a buscar delitos dentro de ellas.
Eso no es una investigación dirigida: es una prospección global.
Y si algo prohíbe expresamente nuestro ordenamiento, es la investigación prospectiva: la búsqueda masiva de posibles delitos sin un objeto procesal concreto.
El principio de especialidad frente al caso EncroChat
La relevancia del principio de especialidad se entiende perfectamente al analizar el caso EncroChat.
En esa operación, las autoridades francesas no interceptaron las comunicaciones de un investigado concreto, sino que penetraron en toda una red encriptada, captando millones de mensajes de miles de usuarios sin individualización previa.
No se investigaba un delito concreto
El Supremo da por válida la medida amparándose en su “especial gravedad”. Pero ese argumento es profundamente equivocado.
No se investigaba un delito concreto, lo que realmentese pretendía era romper una red opaca, con la sospecha generalizada de que en su interior podrían cometerse delitos graves.
Pero ese planteamiento vulnera el principio de especialidad: no se puede investigar una “cloaca delictiva” en abstracto, sino solo hechos concretos y personas determinadas.
Es decir, no se podía investigar un delito concreto, porque no se podía entrar. Esa imposibilidad técnica no legitima transformar la necesidad policial en una autorización judicial genérica para espiar a miles de usuarios sin individualización previa.
El resultado fue una injerencia masiva, basada más en la conveniencia operativa que en los límites legales que impone el artículo 588 bis a LECrim. Y eso, en un Estado de Derecho, no puede considerarse una investigación legítima. Todo lo demás —por muy eficaz que sea en la lucha contra el crimen organizado— constituye una investigación prospectiva, incompatible con los límites constitucionales del artículo 18 CE y con la propia Ley de Enjuiciamiento Criminal.
El riesgo de extender esta lógica a otras plataformas
Si seguimos el razonamiento del Supremo, ¿por qué no desencriptar masivamente WhatsApp, Telegram o Gmail para ver si alguien ha cometido un delito?
El artículo 579 LECrim lo prohíbe expresamente: toda interceptación de comunicaciones requiere autorización judicial previa, motivación concreta y proporcionalidad, y debe dirigirse a una persona o grupo determinado, nunca a la población en general.
EncroChat no fue una notitia criminis individualizada, sino una prospección indiscriminada.
Y las prospecciones indiscriminadas no son compatibles con el Estado de Derecho, por muy eficaces que resulten en la lucha contra el crimen organizado.
El principio de no indagación mal aplicado
Por último, el Tribunal Supremo ampara toda esta construcción en el principio de no indagación, según el cual los jueces españoles no deben revisar la legalidad de las pruebas obtenidas en otro Estado miembro.
Pero ese principio no puede convertirse en una carta blanca para aceptar pruebas masivas obtenidas fuera de todo control judicial español.
El principio de no indagación no exime al tribunal de comprobar que las pruebas empleadas en un proceso penal en España respetan los estándares mínimos de legalidad, proporcionalidad y tutela de derechos fundamentales.
Opacidad y privación del derecho de defensa
Una prueba filtrada y sin acceso completo
El propio Tribunal Supremo reconoce que los datos remitidos por Francia no son los originales del servidor, sino una selección realizada por las autoridades francesas, posteriormente filtrada de nuevo por la Guardia Civil para discriminar qué fragmentos podrían ser de interés en cada procedimiento.
Esa “selección en cascada”, como admite expresamente la sentencia, impide a las defensas acceder a los datos en bruto, lo que limita de forma evidente su capacidad para verificar la autenticidad e integridad de las comunicaciones.
El Supremo intenta paliar esta carencia citando la doctrina del TEDH en el caso Yalçinkaya c. Turquía y su propia jurisprudencia (STS 993/2022, STS 106/2023, entre otras), según la cual el derecho de defensa no exige necesariamente acceder a toda la información intervenida, siempre que existan garantías suficientes de contradicción y control judicial posterior.
Sin embargo, esa interpretación resulta formalista y alejada de la realidad práctica: las defensas no han podido examinar el material original, ni someterlo a peritaje independiente, ni conocer los procedimientos técnicos empleados para captar, procesar y reconstruir los mensajes.
Ruptura en la cadena de custodia
El contraste con el Tribunal Regional de Berlín es elocuente.
El tribunal alemán fue categórico al afirmar que esa misma opacidad técnica y ausencia de trazabilidad constituían una ruptura de la cadena de custodia incompatible con el derecho a un juicio justo.
Denunció que ni los tribunales ni los peritos de la defensa pudieron acceder al malware utilizado, ni conocer cómo se extrajeron o manipularon los mensajes, ni verificar su integridad.
Por tanto, concluyó que, sin un acceso efectivo a los datos en bruto, la defensa queda privada de su derecho de contradicción, vulnerándose el artículo 6 del Convenio Europeo de Derechos Humanos y el artículo 48 de la Carta de Derechos Fundamentales de la UE.
En palabras del propio tribunal alemán: “La defensa no puede ejercer su derecho de contradicción si no conoce cómo, cuándo ni con qué medios se obtuvieron los datos que se le imputan.”
El Tribunal Supremo otorga confianza a la versión policial
Mientras el Tribunal de Berlín consideró que esa falta de acceso imposibilitaba la utilización judicial de los datos de EncroChat, el Tribunal Supremo español, en cambio, da por superada la cuestión apelando a la equidad global del proceso.
En la práctica, esto supone aceptar como válidos unos datos cuya autenticidad nunca ha podido ser contrastada por la defensa, confiando en informes policiales que derivan de copias sucesivas y parciales del material original.
El resultado es claro: la defensa ha sido privada de los medios necesarios para ejercer un control técnico y contradictorio sobre la prueba, quedando su derecho de defensa reducido a un mero acto de fe en la versión policial.
¿Necesitas un abogado experto en tráfico de drogas?
Falta de notificación previa por parte de las autoridades francesas
Una obligación impuesta por la Directiva 2014/41/UE
El Tribunal menciona, además, el artículo 31 de la Directiva 2014/41/UE, que impone el deber de notificación cuando una medida de investigación afecta a otro Estado miembro, pero se limita a afirmar que la Directiva “no prevé las consecuencias de la falta de notificación”.
A partir de ahí, el Supremo acepta como válida la Transmission spontanée d’information remitida por Francia —meses después de la intervención— y la interpreta como una especie de subsanación ex post, algo que carece de todo respaldo jurídico.
La notificación como garantía de soberanía y control judicial
La notificación no es una formalidad, sino una garantía esencial de control judicial y respeto a la soberanía del Estado afectado.
La propia STJUE (apartado 123) reconoce que, en el plano europeo, la contestación del Estado notificado es potestativa, pero deja claro que esa facultad solo puede ejercerse cuando la medida no estaría permitida en un caso interno similar.
Ahora bien, España, al transponer la Directiva mediante la Ley 23/2014, de 20 de noviembre, fue mucho más estricta: su artículo 222 obliga a que la autoridad judicial española “comunique lo procedente” al Estado que está ejecutando la medida, convirtiendo en obligatoria una respuesta que en la Directiva era meramente facultativa.
Una vulneración directa del principio de cooperación judicial
Por tanto, España debía haberse pronunciado expresamente antes de que Francia interviniera las comunicaciones de ciudadanos localizados en territorio español.
Al no producirse esa comunicación previa, el principio de cooperación judicial se vulneró de raíz.
Y el Supremo, en lugar de reconocer esa infracción, da por buena una notificación posterior, reinterpretándola como una corrección a posteriori del defecto del artículo 31, lo que vacía de contenido las garantías que la propia Ley española quiso reforzar.
El alcance del control previsto en la Directiva
Además, el propio artículo 31 de la Directiva contempla expresamente que, si el descubrimiento se produce durante la intervención, el Estado afectado puede determinar que no se utilice el material ya obtenido mientras la persona objeto de la medida se encontraba en su territorio, o bien que solo pueda emplearse bajo las condiciones que dicho Estado establezca.
En definitiva, el Estado notificado tiene la potestad de controlar la medida en sí misma y, si considera que no es procedente conforme a su Derecho interno, puede exigir que cese la intervención o que los resultados no se utilicen como prueba.
Consecuencias de la falta de notificación
Por tanto, la ausencia de esta notificación privó a España de ejercer ese control, impidiendo valorar si la medida cumplía los requisitos de proporcionalidad, necesidad y legalidad exigidos por nuestra legislación procesal.
En consecuencia, también impidió decidir si el material obtenido podía —o no— tener valor probatorio en un procedimiento penal español.
EncroChat fue una intervención a tiempo real, no una recopilación de datos.
Y el dato más grave es este: la intervención de EncroChat fue una monitorización a tiempo real, lo que significa que las autoridades francesas eran plenamente conscientes de que estaban captando comunicaciones de usuarios situados en España.
Aun así, no lo notificaron hasta que la operación finalizó.
Durante semanas, escucharon conversaciones de personas en territorio español sin el más mínimo control judicial de nuestras autoridades.
Y mientras esas escuchas se producían, podrían —y debieron— haber informado a España, pero no lo hicieron.
De haberse cumplido la Directiva, España habría podido exigir condiciones, limitar el uso del material obtenido o incluso ordenar que no se empleara como prueba.
La omisión no fue, por tanto, un descuido procesal, sino una vulneración directa del equilibrio de soberanías y del derecho de todo ciudadano a que la intromisión en sus comunicaciones sea autorizada y controlada por un juez de su propio país.
La “subsanación ex post”: una ficción jurídica
Aun así, el Tribunal Supremo considera suficiente la Transmission spontanée d’information enviada por Francia meses después de la intervención, interpretándola como una especie de “subsanación ex post”. Pero esa figura no existe en nuestro Derecho.
La validez de una medida tan restrictiva de derechos no puede convalidarse a posteriori, y menos aún cuando hablamos de una monitorización en tiempo real, en la que las autoridades francesas estaban escuchando comunicaciones de ciudadanos situados en territorio español mientras la intervención seguía activa.
Durante ese tiempo, podrían haber informado inmediatamente a las autoridades españolas, conforme al artículo 31 de la Directiva 2014/41/UE, pero optaron por no hacerlo.
Y no fue hasta que la operación finalizó cuando remitieron la información a España, tratando de convertir en cooperación judicial lo que, en realidad, fue una injerencia transfronteriza sin control jurisdiccional nacional.
Aceptar esa actuación como válida equivale a legitimar escuchas en vivo sobre ciudadanos españoles sin autorización judicial española, amparándose después en una comunicación formal tardía.
Eso vulnera el principio de control judicial efectivo y vacía de contenido las garantías constitucionales del artículo 18 de la Constitución.
En definitiva, esa aceptación ex post supone convalidar una injerencia masiva sin supervisión judicial española, algo que nuestro sistema procesal penal no solo prohíbe, sino que sanciona con la nulidad de pleno derecho.
¿Necesitas un abogado experto en blanqueo de capitales?
A la deriva de una próxima resolución del TJUE sobre Enrochat
La sentencia del Tribunal Supremo deja la sensación de que España está a la deriva judicial en un asunto crucial para las garantías procesales.
El propio fallo admite —aunque lo esquive— que existen carencias estructurales en la cooperación judicial europea respecto a EncroChat: falta de notificación previa, ausencia de control judicial español, imposibilidad de verificar la autenticidad técnica de las pruebas y privación de las defensas de su acceso efectivo al material de cargo.
Y, sin embargo, el Tribunal opta por no resolver esas carencias, sino por aplazar el debate, confiando en que el Tribunal de Justicia de la Unión Europea acabe delimitando el alcance de la Directiva 2014/41/UE y de los derechos fundamentales implicados.
Todo apunta a que el TJUE tendrá que pronunciarse, más pronto que tarde, sobre tres cuestiones esenciales:
1.- Si es conforme al Derecho de la Unión la interceptación masiva de comunicaciones sin notificación previa al Estado afectado.
2.- Si puede admitirse como prueba válida una información procesada y filtrada sin control judicial ni trazabilidad técnica verificable.
3.- Y si la confianza mutua entre Estados miembros puede prevalecer sobre el derecho de defensa y el principio de legalidad procesal nacional.
Hasta entonces, España se sitúa en una posición incómoda: acepta una injerencia masiva en la privacidad de miles de ciudadanos sin control judicial español, confiando en una legalidad extranjera que no conoce ni puede fiscalizar.
Mientras otros tribunales europeos —como el de Berlín— optan por la cautela y la exclusión de pruebas de origen dudoso, el Supremo español prefiere la eficacia a la garantía, el resultado al procedimiento.
Una decisión marcada por la política criminal
Sin duda, se trata de una decisión guiada por razones de política criminal, más que por un análisis estrictamente jurídico.
El Tribunal Supremo parece haber optado por respaldar el trabajo de las fuerzas de seguridad y de la cooperación policial internacional, aun a costa de relajar las exigencias de control judicial y de tutela efectiva de derechos fundamentales.
No puede ignorarse que detrás de EncroChat hay años de operaciones de inteligencia europeas y una coordinación policial sin precedentes, cuya eficacia en la lucha contra el crimen organizado es innegable.Pero la legitimidad del Derecho penal no puede sustentarse solo en la eficacia.
Las garantías procesales existen precisamente para evitar que la persecución de los delitos derive en una erosión del Estado de Derecho.
Y aunque las autoridades francesas y europeas lograron resultados espectaculares en términos operativos, eso no puede justificar la admisión acrítica de pruebas obtenidas fuera del marco procesal previsto por la ley.
El fin no justifica los medios.
¿Necesitas ayuda legal?
Soy Víctor Ávila, abogado penalista especialista en el delito contra la salud pública y quiero ayudarte.