Aunque el Tribunal de Justicia de la Unión Europea establece unas bases legales comunes, el derecho interno de los distintos países resulta determinante a la hora de analizar la legalidad de una medida invasiva como la intervención de las comunicaciones de miles de dispositivos de forma inmotivada. En nuestro país, la injerencia en el secreto de las comunicaciones tiene una reserva jurisdiccional; esto es, al ser restrictiva de derechos fundamentales, solo puede ser ordenada por un juez. La Ley de Enjuiciamiento Criminal no autoriza al fiscal a realizar intervenciones telefónicas o a trasladar su contenido entre procedimientos judiciales sin autorización judicial. Esto pone en cuestión la competencia del fiscal para emitir una OEI que tenía como finalidad recabar dichos datos.

“Más aún, la Ley 23/2014, de 20 de noviembre, de reconocimiento mutuo de resoluciones penales en la UE reconoce a la Fiscalía, en su artículo 187, como autoridad de emisión de órdenes europeas de investigación en los procedimientos que dirija y lleve la dirección de la fase de instrucción, lo hace siempre que la medida que contenga la OEI no sea limitativa de derechos fundamentales, siendo consecuencia de ello la imposibilidad de emitir una OEI con carácter general”, ahonda el penalista Ricardo Álvarez Ossorio. Este abogado alude también a la Circular de la Fiscalía General del Estado 2/2022 en la que las diligencias de investigación practicadas por la fiscalía “no pueden aspirar a transmutar su naturaleza y convertirse en actos de prueba”, al desarrollarse en un contexto preprocesal y estar estos atribuidos a la función del juez de instrucción.

El Tribunal Europeo de Derechos Humanos ya ha declarado violado el Convenio Europeo de Derechos Humanos en varias ocasiones cuando se han aplicado medidas coercitivas contra personas sobre las que solo existiría como indicio el uso de tecnología encriptada, como en algunos de los casos relacionados con EncroChat (Caso Akgun contra Turquía, 2021) o cuando no se ha permitido a las defensas acceder a las fuentes de prueba originales al invocar secretos de defensa o Estado. En este caso, los investigados no sabían que lo estaban siendo y no han podido recurrir puesto que no se han judicializado los asuntos hasta mucho después de la injerencia en los derechos.

Más que contundente fue la sentencia de este mismo tribunal cuando, en el año 2023, condenó a Turquía, cuyo Estado de Derecho ha sido puesto en entredicho en no pocas ocasiones, por violar varios artículos del Convenio Europeo de Derechos humanos al condenar a un hombre por su supuesta pertenencia a un movimiento terrorista basándose que hacía uso de Bylock, otra aplicación de mensajería encriptada, el “EncroChat turco”. Turquía violó el derecho a un juicio justo porque, como sucede en el caso de EncroChat, las defensas de las personas investigadas no tuvieron acceso a las pruebas en su formato original y estas no pudieron ser examinadas. Los investigados no fueron conscientes de que estaban siendo investigados y por tanto, no pudieron recurrir o impugnar las medidas que se estaban tomando contra ellos.

LA OPERACIÓN EMMA

Hay pocas dudas del origen de la información y de los cauces que se siguieron en su transmisión. En un caso similar, relacionado con el sistema de comunicación encriptada SkyECC, una teniente de la Guardia Civil admitía durante un interrogatorio judicial, el pasado año en la Audiencia Nacional, “a nosotros, a nivel policial nos facilitan la información antes de que llegue al juzgado, para ver si hay algo de interés antes de solicitar la OEI”. En el caso de EncroChat, hemos tenido acceso a documentos que acreditan cómo las policías de distintos países se pusieron de acuerdo para desarrollar este sistema de infiltración masiva y compartieron cuestiones operativas y de contenido. Es la Operación Emma.

Las primeras comunicaciones policiales se remontan a finales de febrero del año 2019. “La policía de Holanda, Reino Unido y Francia han creado un equipo para luchar contra una organización criminal con un sistema de comunicaciones utilizado para la distribución de droga. Es un sistema de comunicación cifrado que se ha vendido a más de 55.000 usuarios en todo el mundo. Es un sistema diseñado para evitar actividades policiales”, se puede leer. Desde el primer momento son conscientes de que su plan puede comprometer la privacidad de decenas de miles de usuarios, pero resuelven: “Actualmente no existe ninguna razón objetiva para creer que un usuario (de EncroChat) no realice actividades delictivas”. En esas primeras conversaciones ya explican que la policía francesa ha copiado la infraestructura completa del sistema de comunicación.

El 6 de septiembre de 2019 ya hay una reunión en Lille, Francia, y se intensifica el intercambio de conversaciones. Reino Unido, por entonces miembro de la UE, tiene un papel muy activo.

A principios de febrero del 2020 los distintos cuerpos policiales se citan para un encuentro que dura tres días: 19, 20 y 21 de febrero. Asisten, al menos, miembros de Francia, Holanda, Reino Unido, Bélgica y de Europol. Según las intenciones de los promotores franceses, el encuentro busca “coordinar asuntos operativos entre países involucrados, resolver una estrategia y aspectos del análisis de datos o establecer una estrategia para compartir inteligencia a partir de interceptaciones en vivo”.

El acta posterior a ese encuentro detalla que serán Países Bajos y Francia quienes especificarán los datos que se compartirán con los países que no son miembros del JIT (equipo de trabajo policial conjunto) y los términos y condiciones para su uso y difusión. “Lo ideal sería que los países que no son JIT proporcionen las decisiones de sus autoridades competentes antes de que el inicio de la operación común. En caso de no haber respuesta de un país en particular, los datos relacionados serán conservados pero no difundidos. Europol eliminará los datos de sus sistemas”.

En esta reunión ya se habla de cómo se distribuirían esos datos: “La intención del JIT es crear paquetes específicos para los que no son miembros del JIT basados en torres de telefonía móvil del teléfonos, en la hora y fecha de la acción”. Y ponen fechas: “La fecha indicativa de inicio de la acción está fijada provisionalmente para el 10 de marzo de 2020. Se espera que la recopilación de datos dure hasta 2 meses”.

“No deseamos comunicar el número de usuarios que pueden haber sido afectados por esta medida”

En otro documento, fechado el 9 de marzo, cuando se produce otro encuentro, se concreta que “el intercambio de información se realizará inicialmente a través de Europol (en forma de inteligencia policial), y estará sujetos a un alto nivel de confidencialidad. Cada país individual será posteriormente encargarse de enviar sus solicitudes de asistencia mutua a las autoridades francesas, para que los datos podrán incorporarse a procedimientos judiciales”. Esto evidencia, una vez más, el orden en el que se produjo el intercambio de información. El 29 de junio ya se propone un texto borrador común para las órdenes europeas de investigación.

Según la documentación intercambiada a través de Siena, el canal de comunicación entre policías, las policías accedieron a datos en tiempo real desde el mes de abril. Una interceptación que se prorroga posteriormente, a partir de junio. Son los datos con los que se inicia la investigación policial sobre el vendedor en España de los dispositivos móviles, una investigación que derivaría en las diligencias de la fiscalía 16/2020.

“Pretendemos que esta etapa sea lo más confidencial y prolongada posible para observar cómo reaccionan los grupos criminales”, apunta las diferentes policías en mayo. Entre las normas restrictivas que se trasladan en mayo a todas las policías que intervienen, de una u otra forma en la operación, es que “no se haga ninguna revelación sobre la operación Emma” o que se “haga uso de sus posibilidades procesales para mantener en secreto durante el mayor tiempo posible la fuente de los datos obtenidos”.

En Junio de ese año se imparten más instrucciones y, conscientes de los riesgos que entraña esta operación, los impulsores de la iniciativa advierten a todos los receptores de las comunicaciones que quieren “estar muy atentos y hacer que nuestro procedimiento sea lo más seguro posible desde el punto de vista legal. De hecho, cualquier imprudencia en la comunicación institucional podría tener consecuencias procesales”. Saben que la acción afecta a personas que pueden no estar cometiendo delitos “No deseamos comunicar el número de usuarios que pueden haber sido afectados por esta medida, ni sobre la duración de esta medida, ni sobre los modelos comprometidos para evitar cualquier peligro jurídico”. El 4 de junio, la empresa, EncroChat, se percata de la brecha que han sufrido y envía un mensaje a los usuarios advirtiendo de ello.

El 25 de junio la policía ya habla de la operación como “un gran logro”, aunque añaden que el “pleno éxito sólo se conseguirá si conseguimos, todos juntos, desmantelar los OCG detectados garantizando un nivel de evidencia suficiente para obtener convicciones significativas contra sus miembros”. No es hasta julio cuando la Fiscalía Española emite la Orden Europea de Investigación.