Reglamento e-Evidence: las órdenes europeas de producción de prueba electrónica desde el 18 de agosto de 2026

Desde el 18 de agosto de 2026, un fiscal o un juez de instrucción de cualquier Estado miembro vinculado por el Reglamento puede dirigir una orden directamente a la empresa que custodia su correo, sus mensajes o su nube en otro Estado miembro, y esa empresa dispone de diez días para entregar los datos. Sin comisión rogatoria, sin autoridad central, sin solicitud tramitada a través de un ministerio. Eso es lo que hace el Reglamento (UE) 2023/1543, sobre las órdenes europeas de producción y de conservación de pruebas electrónicas, y supone el cambio más relevante en la obtención transfronteriza de prueba de la última década. Este artículo expone lo que el Reglamento dice realmente y dónde conserva margen la defensa del investigado.

Qué cambia el 18 de agosto de 2026

El Reglamento (UE) 2023/1543, de 12 de julio de 2023 (DOUE L 191, de 28 de julio de 2023), entró en vigor en 2023 pero, conforme a su artículo 34.2, es aplicable desde el 18 de agosto de 2026. Hasta ahora, obtener prueba electrónica en poder de un prestador establecido en otro Estado miembro exigía auxilio judicial internacional o una orden europea de investigación: instrumentos entre Estados, ejecutados por las autoridades del otro país conforme a su propio derecho y a su propio calendario. El Reglamento sustituye esa arquitectura, para los datos que cubre, por un canal directo entre la autoridad judicial y el prestador.

Su instrumento complementario, la Directiva (UE) 2023/1544, obligaba a los Estados miembros a imponer antes del 18 de febrero de 2026 a los prestadores que ofrecen servicios en la Unión la designación de un establecimiento o el nombramiento de un representante legal para recibir estas órdenes. Esa es la dirección a la que llega la orden: el artículo 7 del Reglamento dispone que las órdenes se dirigen directamente a ese establecimiento designado o representante legal y, solo excepcionalmente, en casos de urgencia en que este no reaccione a tiempo, a cualquier otro establecimiento del prestador en la Unión.

Dos órdenes y cuatro categorías de datos

El Reglamento crea dos instrumentos (artículo 3):

• La orden europea de producción, que ordena al prestador entregar la prueba electrónica.
• La orden europea de conservación, que ordena congelar los datos para que no desaparezcan antes de una posterior solicitud de entrega.

Ambas operan sobre cuatro categorías de datos, y la distinción entre ellas gobierna casi todo lo demás: los datos de abonado (identidad, dirección, datos de facturación, tipo y duración del servicio); los datos solicitados con el único fin de identificar al usuario (esencialmente direcciones IP, puertos de origen y marcas de tiempo); los datos de tráfico (los metadatos de las comunicaciones: origen y destino, localización del dispositivo, fecha, hora, duración, protocolo, inicios y cierres de sesión); y los datos de contenido (texto, voz, vídeo, imágenes, sonido). Los prestadores afectados son los de servicios de comunicaciones electrónicas, los de nombres de dominio y numeración IP y otros servicios de la sociedad de la información que permitan a sus usuarios comunicarse entre sí o que almacenen datos por cuenta de ellos cuando el almacenamiento sea un componente definitorio del servicio.

Cuándo puede emitirse una orden

Operan dos filtros, y son el primer lugar donde debe mirar la defensa.

Quién puede emitirla (artículo 4). Para los datos de abonado y los de identificación del usuario, la orden puede proceder de un juez, un tribunal, un juez de instrucción o un fiscal. Para los datos de tráfico y los de contenido solo puede emitirla o validarla un juez, un tribunal o un juez de instrucción: el fiscal, por sí solo, no.

Para qué delitos (artículo 5). Los datos de abonado y los de identificación del usuario pueden solicitarse para cualquier delito. Los datos de tráfico y de contenido solo pueden solicitarse para delitos castigados en el Estado de emisión con una pena privativa de libertad de un máximo de al menos tres años, para una lista cerrada de delitos cometidos total o parcialmente mediante un sistema de información (fraude en los medios de pago distintos del efectivo de la Directiva (UE) 2019/713, abuso sexual de menores de la Directiva 2011/93/UE y ataques contra los sistemas de información de la Directiva 2013/40/UE) o para delitos de terrorismo de la Directiva (UE) 2017/541. También cabe emitirlas para ejecutar una pena privativa de libertad de al menos cuatro meses cuando el condenado se haya fugado y la resolución no se dictara en rebeldía.

A ello se añade que el artículo 5.2 exige que toda orden sea necesaria y proporcionada a la finalidad del procedimiento, atendiendo a los derechos del sospechoso o del acusado, y solo la permite cuando una orden similar hubiera podido dictarse en las mismas condiciones en un caso interno comparable. Esa doble condición —proporcionalidad y equivalencia interna— es un límite sustantivo, no una fórmula de estilo.

Los plazos: diez días, ocho horas, sesenta días

El artículo 10 marca el reloj de la orden de producción. Al recibirla, el destinatario debe actuar con celeridad para conservar los datos. Si no se exige notificación al Estado de ejecución, debe transmitirlos en diez días. Si se exige, los transmite al término de ese plazo de diez días salvo que la autoridad de ejecución haya invocado un motivo de denegación. En casos de urgencia —amenaza inminente para la vida, la integridad física o la seguridad de una persona, o para una infraestructura crítica— los datos deben transmitirse en ocho horas, y la autoridad de ejecución que quiera oponerse dispone de 96 horas para hacerlo.

La orden de conservación funciona de otro modo (artículo 11): el prestador debe conservar los datos sin dilación indebida y la obligación cesa a los 60 días, salvo que la autoridad de emisión confirme que se ha dictado una solicitud posterior de entrega. Dentro de ese plazo puede prorrogar la conservación otros 30 días. En la práctica será el instrumento que se utilice primero, para impedir que se borre un buzón mientras se prepara la petición de fondo.

La notificación al Estado de ejecución y los motivos de denegación

El Reglamento no deja al Estado de ejecución completamente al margen. Conforme al artículo 8, cuando la orden de producción persigue datos de tráfico o de contenido, la autoridad de emisión debe notificarlo a la autoridad de ejecución al mismo tiempo que remite la orden al prestador, y esa notificación tiene efecto suspensivo sobre la obligación de entrega del prestador, salvo en los casos de urgencia. Existe una excepción relevante: no se exige notificación cuando la autoridad de emisión tiene motivos razonables para creer que el delito se cometió, se está cometiendo o probablemente se cometerá en el Estado de emisión y que la persona cuyos datos se solicitan reside allí.

Cuando sí hay notificación, el artículo 12 permite a la autoridad de ejecución invocar, en diez días (96 horas en los casos de urgencia), un elenco tasado de motivos de denegación: que los datos estén protegidos por inmunidades o privilegios del Estado de ejecución, o por normas sobre responsabilidad penal relativas a la libertad de prensa o de expresión; que la ejecución suponga, en situaciones excepcionales, una vulneración manifiesta de un derecho fundamental del artículo 6 del TUE y de la Carta; que sea contraria al principio ne bis in idem; o que la conducta no constituya delito en el Estado de ejecución, salvo que figure entre las categorías del anexo IV del Reglamento. Las inmunidades y privilegios son el motivo con más recorrido práctico, porque es donde habita el secreto profesional del abogado.

Sanciones a los prestadores y qué ocurre si se niegan

El artículo 15 obliga a los Estados miembros a prever sanciones pecuniarias de hasta el 2 % del volumen de negocios anual total mundial del prestador en el ejercicio anterior por el incumplimiento de las obligaciones de producción, conservación y confidencialidad. A cambio, los prestadores no responden frente a sus usuarios por el perjuicio derivado exclusivamente del cumplimiento de buena fe de una orden. La estructura de incentivos es, por tanto, asimétrica: quien duda se expone a una multa sobre su facturación; quien cumple queda indemne. Nadie debería esperar que un prestador litigue por cuenta de su cliente.

Si el prestador no cumple, el artículo 16 permite a la autoridad de emisión pedir a la de ejecución que ejecute la orden; esta resuelve sobre el reconocimiento en cinco días hábiles. Y cuando el cumplimiento choque con el derecho de un tercer Estado —el escenario clásico con un prestador estadounidense—, el artículo 17 concede al destinatario diez días para formular una objeción motivada, que abre una revisión por el órgano jurisdiccional competente del Estado de emisión y suspende entretanto la ejecución. La objeción no puede fundarse en el mero hecho de que los datos estén almacenados fuera de la Unión.

Qué significa para la defensa

De todo ello se siguen tres consecuencias para quien está siendo investigado y tiene sus comunicaciones en un servidor extranjero.

Normalmente se lo comunicarán, aunque no siempre de inmediato. El artículo 13 obliga a la autoridad de emisión a informar sin dilación indebida a la persona cuyos datos se han entregado y a incluir información sobre los recursos disponibles. Puede retrasar, restringir u omitir esa información en las condiciones del artículo 13.3 de la Directiva (UE) 2016/680, dejando constancia motivada en el expediente. El momento en que llega esa comunicación es el momento en que empieza a correr el plazo para impugnar: no es un papel que deba archivarse sin leer.

La impugnación se sustancia en el Estado de emisión. El artículo 18 garantiza el derecho a la tutela judicial efectiva frente a la orden de producción y, lo que es decisivo, exige que incluya la posibilidad de impugnar la legalidad de la medida, incluidas su necesidad y su proporcionalidad. Ese recurso se ejercita ante un órgano jurisdiccional del Estado de emisión conforme a su derecho nacional y con los mismos plazos que en casos internos comparables. El artículo 18.5 añade que deben respetarse los derechos de la defensa y la equidad del proceso al valorar la prueba obtenida.

Los estándares probatorios españoles siguen aplicándose al resultado. Los datos que llegan por una orden europea de producción no quedan al margen de los controles ordinarios de la prueba digital en el juicio: autenticidad, integridad y cadena de custodia, y exclusión de la prueba obtenida con vulneración de derechos fundamentales conforme al artículo 11.1 de la Ley Orgánica del Poder Judicial. Ambos los examinamos en el análisis de la jurisprudencia del Tribunal Supremo sobre prueba digital, en la guía sobre la prueba ilícita y el fruto del árbol envenenado y en el estudio de la cadena de custodia. El Reglamento cambia cómo se obtiene el material; no rebaja el umbral de lo que un tribunal puede utilizar para condenar.

Tampoco desplaza a los demás instrumentos transfronterizos. La orden europea de investigación y el auxilio judicial internacional siguen vigentes para todo lo que el Reglamento no cubre, junto a los procedimientos de entrega de la euroorden; ese mapa lo trazamos en la guía sobre cooperación judicial penal internacional.

Cómo podemos ayudarle

Si le han comunicado que sus datos se han entregado en virtud de una orden europea de producción, o sospecha que se ha notificado una orden de conservación a su proveedor, el trabajo útil se hace pronto: leer la orden frente a los umbrales del artículo 5, comprobar si la categoría de datos se correspondía con las facultades de la autoridad emisora del artículo 4, examinar la necesidad y la proporcionalidad, identificar el privilegio o la inmunidad que debió activar un motivo de denegación y dejar preparada la objeción para hacerla valer cuando la prueba se valore en el juicio oral. Nuestro despacho trabaja la defensa frente a la prueba digital en el proceso penal y las investigaciones transfronterizas en materia de ciberdelincuencia. Si su caso se encuentra en esta situación, podemos revisar la orden y exponerle sus opciones.