El 8 de enero de 2026, el Tribunal Supremo de Estonia, en el asunto n.º 3-23-125, declaró ilegal una directiva general emitida por la Unidad de Inteligencia Financiera de Estonia (FIU o Rahapesu Andmebüroo) que, a finales de 2022, solicitó un volumen considerable de información a todos los proveedores autorizados de servicios fiduciarios y societarios (TCSPs) que ofrecían servicios de constitución de sociedades y oficina virtual en Estonia.
Esta decisión se convirtió en un importante precedente para todo el sistema de supervisión AML (Anti-Money Laundering) y delimitó el alcance de la injerencia estatal permitida en las actividades de empresas legítimas. La posición del Tribunal Supremo de Estonia también recibió una amplia cobertura en los medios estonios, incluidos Postimees y ERR, lo que puso de relieve su importancia no solo para la comunidad profesional, sino también para el debate jurídico público en general.
Uno de los impulsores del procedimiento judicial que dio lugar a esta histórica sentencia del Tribunal Supremo de Estonia en enero de 2026 fue Ühinenud Õigusbürood OÜ, la empresa matriz de Eesti Firma OÜ. El objetivo de acudir a los tribunales era obtener seguridad jurídica sobre los límites admisibles de las facultades de supervisión en el ámbito AML/KYC (Anti-Money Laundering / Know Your Customer), así como defender el principio de proporcionalidad en la relación entre el regulador y las empresas autorizadas.
Supervisión AML y solicitud masiva de datos
En diciembre de 2022, la FIU envió una única directiva a 322 TCSPs autorizados, exigiéndoles que respondieran a un cuestionario de 44 preguntas. La solicitud abarcaba una amplia variedad de temas: desde los procedimientos internos AML/KYC hasta la estructura de clientes, el alcance geográfico de las actividades, los indicadores financieros y la aplicación de medidas sancionadoras.
El regulador justificó sus acciones por la necesidad de obtener una visión integral de los riesgos del sector y establecer una supervisión AML orientada al riesgo. Al mismo tiempo, la solicitud no estaba vinculada a sospechas, infracciones o inspecciones individuales concretas. Tenía carácter preventivo y se aplicaba por igual a todos los participantes del mercado, independientemente de su tamaño, modelo de negocio o perfil de riesgo.
Precisamente este enfoque se convirtió en objeto de controversia. Varias empresas que ya habían cumplido la directiva plantearon la cuestión de dónde se encuentra el límite entre la supervisión AML legítima y una carga administrativa excesiva, y si el regulador puede exigir a las empresas, como parte de una evaluación abstracta de riesgos, información tan amplia y compleja desde el punto de vista analítico.
Posición jurídica clave del Tribunal Supremo
Al examinar el asunto n.º 3-23-125, el Tribunal Supremo no cuestionó la importancia de las medidas AML/KYC (Anti-Money Laundering / Know Your Customer) como herramientas para proteger el sistema financiero. En cambio, se centró en la corrección del procedimiento y en los fundamentos jurídicos de las actuaciones de la autoridad supervisora.
Distinción entre las funciones de la FIU
El Tribunal señaló que la FIU de Estonia combina dos funciones diferentes. Por una parte, es una unidad de inteligencia financiera (FIU) que analiza operaciones sospechosas. Por otra, es una autoridad supervisora que controla el cumplimiento de los requisitos AML/KYC por parte de las entidades obligadas.
Estas funciones tienen distinta naturaleza jurídica y se basan en diferentes disposiciones legales. Las facultades otorgadas a la FIU para desempeñar tareas de inteligencia financiera no pueden utilizarse automáticamente para ejercer la supervisión estatal. Al desarrollar actividades de supervisión, el regulador debe actuar estrictamente mediante los instrumentos previstos expresamente para ese fin.
Una base jurídica incorrecta como error principal
El Tribunal concluyó que la FIU se había basado en una disposición legal que no estaba destinada a solicitar información de forma masiva a empresas privadas como parte de una supervisión preventiva. El uso de una base jurídica incorrecta se consideró una infracción significativa que convertía la directiva en ilegal, independientemente de su finalidad declarada.
Es importante señalar que el Tribunal no afirmó que la recopilación de información sea intrínsecamente inadmisible. Indicó que, incluso en el ámbito AML/KYC, las medidas de supervisión deben contar con una justificación jurídica clara, específica y adecuada.
Principio de «primero los registros, después las empresas»
El Tribunal prestó especial atención a las fuentes de información. En el contexto de la supervisión AML preventiva, el regulador está obligado a utilizar primero los datos que ya obran en poder del Estado o que están disponibles a través de registros oficiales.
No está permitido exigir a las empresas información que pueda obtenerse sin su intervención. Este enfoque no se ajusta al principio de proporcionalidad y traslada injustificadamente a las empresas el trabajo analítico del regulador.
Límite entre los datos y los «nuevos informes»
Una de las conclusiones más prácticas de la decisión fue que una solicitud de información no debe convertirse en una obligación para las empresas de crear nuevos documentos o resúmenes analíticos cuando la ley no haya exigido previamente ese nivel de detalle.
Por supuesto, las empresas disponen de datos primarios sobre sus actividades. Sin embargo, la existencia de datos no equivale a la obligación de disponer de informes ya elaborados con cada desglose que pueda interesar a la autoridad supervisora. El Tribunal destacó que la supervisión AML no puede exigir a las empresas que generen con carácter retroactivo análisis complejos únicamente para comodidad del regulador.
La proporcionalidad como elemento obligatorio de la supervisión AML
Aun reconociendo la legitimidad del objetivo —evaluar los riesgos del sector—, el Tribunal señaló la falta de proporcionalidad del instrumento elegido. Una solicitud idéntica de 44 preguntas dirigida a todos los participantes del mercado, sin tener en cuenta sus características individuales, se consideró excesiva por su amplitud y grado de injerencia. Según el Tribunal, la supervisión AML debe ser específica y limitarse a lo mínimamente necesario, en lugar de ser universal y excesiva.
Importancia práctica de la decisión para los TCSPs y las FinTech
Para los TCSPs, así como para las empresas FinTech sujetas a la regulación AML/KYC, esta decisión tiene importantes implicaciones prácticas. **En primer lugar**, aumenta la previsibilidad de las prácticas de supervisión. Las empresas tienen derecho a esperar que las solicitudes de información estén justificadas, sean proporcionales y cuenten con una base jurídica sólida.
En segundo lugar, la decisión fomenta una mejor organización interna de los procesos de cumplimiento normativo. Comprender qué datos está obligada a conservar una empresa por ley y cuáles se generan exclusivamente para fines de gestión interna adquiere una importancia crítica en la interacción con los reguladores.
En tercer lugar, para las propias autoridades supervisoras, la decisión establece un marco en el que la supervisión AML no pierde eficacia, pero adquiere una mayor solidez jurídica. Las inspecciones específicas, la justificación clara de las solicitudes y el uso de las fuentes de información gubernamentales disponibles reducen el riesgo de controversias posteriores y aumentan la confianza general en el sistema.
Conclusión
La decisión del Tribunal Supremo de Estonia del 8 de enero de 2026 no debilita el sistema AML/KYC. Al contrario, lo hace más maduro. El Tribunal indicó claramente que la lucha contra el blanqueo de capitales debe llevarse a cabo dentro del marco legal, respetando el principio de proporcionalidad y las garantías procesales de las empresas.
Para los TCSPs autorizados, esta sentencia confirmó que la seguridad jurídica y una supervisión eficaz no son incompatibles. Para el regulador, sirvió como recordatorio de que, incluso en ámbitos sensibles de interés público, las facultades regulatorias tienen límites. Precisamente este equilibrio crea un entorno estable, previsible y basado en la confianza para el desarrollo empresarial en Estonia.
