Un informe preliminar de la ponent de la comissió sobre Pegasus al Parlament Europeu, Sophie in't Veld, assenyala el govern espanyol per l'espionatge a independentistes en el marc del Catalangate. "El govern espanyol probablement va ser el principal client de la Unió Europea del grup NSO", assenyala l'informe. NSO és la companyia israeliana desenvolupadora i comercialitzadora del programari Pegasus. El document també considera que les autoritats del Marroc van espiar el president del govern espanyol, Pedro Sánchez, i diversos dels seus ministres. Ara, l'informe s'haurà de sotmetre a un procés d'esmenes i podria acabar sent rebaixat.

Ara com ara, el document de la comissió considera demostrat que hi va haver espionatge a diversos parlamentaris, eurodiputats, advocats, membres d'organitzacions de la societat civil i més ciutadans en el cas del Catalangate. També assenyala que el govern espanyol ha admès l'espionatge a 18 dels 65 afectats i critica que les autoritats de l'Estat "han facilitat poca informació" sobre els fets, argumentant motius de seguretat nacional. De tota manera, la ponent assenyala que "la vigilància dels objectius catalans va ser realitzada per les autoritats espanyoles en relació amb el referèndum d'independència de l'1 d'octubre de 2017 i els esdeveniments posteriors". 

L'informe, de 159 pàgines, apunta a un "patró clar" en l'espionatge, perquè la majoria dels atacs del Catalangate coincideixen amb moments de "rellevància política", com ara el judici del procés, altres causes judicials o accions polítiques dels afectats. Aquest espionatge afectaria les comunicacions entre advocats i clients, tal com reconeix la ponent de la comissió. "Les autoritats han reconegut només 18 dels 65 casos i les ordres judicials no s'han divulgat, per  tant no és possible establir de quina manera tindrien un impacte immediat o constituirien una amenaça imminent per a la seguretat nacional o la integritat de l'Estat", diu l'informe.

La ponent del document també constata la lentitud amb què avança aquesta investigació en contrast amb l'espionatge a Sánchez. En tot cas, el Parlament Europeu considera acreditats els 65 casos d'espionatge, 63 dels quals van ser amb Pegasus i quatre amb l'altre programari maliciós, Candiru (dues persones van ser atacades amb tots dos softwares). També detalla que l'atac a ciutadans catalans va començar el 2015 i es va fer "a gran escala" a partir del 2017, coincidint amb els moments àlgids del procés. Com que ha passat força temps, això ha dificultat les tasques d'investigació. Els 65 afectats o bé formaven part del moviment independentista o bé hi van tenir contacte en algun moment.