La Ley 2573 del 19 de mayo de 2026 establece un conjunto de medidas orientadas a proteger a las personas naturales y jurídicas que sean víctimas de suplantación de identidad, especialmente cuando la suplantación implique obligaciones para quien se ve afectado con la misma, como cobro de obligaciones crediticias o reportes negativos ante operadores de información o las denominadas centrales de riesgo.
El alcance de esta nueva regulación se extiende a operadores de información, de telecomunicaciones, entidades financieras y/o crediticias, así como establecimientos de comercio que ofrecen servicios y obligaciones (las “Entidades Obligadas” o las “Entidades”). Por tal motivo, las Entidades Obligadas deberán revisar sus procesos de vinculación de clientes, validación de su identidad, atención de reclamaciones, procesos de cobranza, reportes ante operadores de información y prevención del fraude.
Debe diferenciarse entre fuentes de información y operadores de información. Las fuentes de información son quienes reportan datos sobre el comportamiento de pago del titular de la obligación; por su parte, los operadores de información son quienes administran, organizan o ponen en circulación dichos datos, como ocurre con las centrales de riesgo (v.gr. Datacrédito Experian, TransUnion) Esta distinción es importante para quienes deban presentar un reclamo por una supuesta suplantación, ya que en su mayoría se presentan ante las centrales de riesgo, quienes a su turno, deben dirigirse a la fuente de informacion para que esta última sea la que dé respuesta al reclamo.
Se destacan algunos aspectos de la Ley 2573 de 2026:
1. Definiciones, modalidades de suplantación y principios aplicables:
La ley define como persona suplantada a la persona natural o jurídica afectada por el uso fraudulento de sus datos personales, a través de medios físicos o digitales, por lo que se distingue entre suplantación de identidad digital y suplantación de identidad física, entendidas como conductas mediante las cuales una persona se hace pasar por otra para obtener un beneficio, engañar a terceros, adquirir bienes o servicios a cargo de la persona afectada.
Entre las modalidades de suplantación previstas se encuentran el uso indebido de documentos de identificación, la utilización no autorizada de datos personales, el uso indebido de tarjetas débito o crédito, la creación de perfiles digitales falsos y otros mecanismos dirigidos a obtener y emplear información personal sin autorización.
La ley reitera la aplicación de los principios previstos en la Ley 1266 de 2008 y la Ley 1581 de 2012, e incorpora principios específicos como acceso y circulación restringida, seguridad, veracidad y carga dinámica de la prueba. Este último implica que la obligación de probar recae sobre quien se encuentre en mejores condiciones de hacerlo.
2. Obligaciones para las entidades:
Las Entidades Obligadas deberán fortalecer sus mecanismos de verificación de identidad en los procesos mediante los cuales una persona adquiere un bien o un servicio. Para ello, deberán adoptar medidas de seguridad suficientes y razonables que permitan validar la identidad del solicitante, verificar los documentos presentados y confirmar la información suministrada.
Ante una posible suplantación, la Entidad Obligada deberá:
i. dar respuesta a la solicitud o queja dentro de los diez (10) días hábiles siguientes a la radicación de la misma, y suspender de forma inmediata la prestación o suministro de los bienes o servicios presuntamente adquiridos mediante suplantación.
ii. informar a la persona afectada que cuenta con veinte (20) días hábiles para presentar denuncia ante la Fiscalía por el delito de falsedad personal y delitos conexos, así como para aportar los soportes correspondientes.
iii. presentada la denuncia e informada la Entidad acerca de ello, esta última deberá realizar el reporte ante los operadores de información con la leyenda “Víctima de Falsedad Personal”, sin afectar la puntuación, score o calificación crediticia de la presunta víctima.
iv. presentada la denuncia, la Entidad debe suspender el cobro del bien o servicio adquirido a nombre de la presunta persona suplantada. Si la persona no la presenta la denuncia dentro de ese plazo, la entidad podrá reanudar el cobro de la obligación, incluyendo intereses y demás gastos causados desde el momento en que se suspendió el cobro.
v. a solicitud de la persona afectada, las Entidades Obligadas deberán entregar copia de la información y de los documentos aportados para la aprobación de la operación cuestionada. La ley señala que esta entrega no podrá negarse bajo ninguna circunstancia.
vi. emitir un reporte ante la DIAN según lo reglamente esta última, con el fin de evitar perjuicios tributarios para la persona presuntamente suplantada.
vii. adelantar las investigaciones internas necesarias para determinar una posible responsabilidad de sus funcionarios e interponer las acciones judiciales correspondientes cuando existan indicios o pruebas que así lo indiquen.
viii. formular la respectiva denuncia por el presunto delito de estafa y conexos, si la Entidad evidencia que entre los documentos utilizados para adquirir el bien o servicio y aquellos aportados por la persona afectada, existen discrepancias que puedan constituir prueba sumaria de la falsedad.
***En todo caso, debe tenerse en cuenta que ante cualquier tipo de petición o reclamo la Ley de Habeas Data con sus respectivas modificaciones prevé que los mismos deberán resolverse dentro de los quince (15) días hábiles siguientes a su recibo, prorrogables por ocho (8) días hábiles más, so pena de que la solicitud o reclamo se entienda resuelta favorablemente a la persona que lo presentó.
3. Incumplimiento de protocolos y consecuencias operativas:
La Superintendencia de Industria y Comercio, la Superintendencia Financiera de Colombia y el Ministerio de Tecnologías de la Información y las Comunicaciones deberán reglamentar los protocolos necesarios para atender oportunamente los reportes de posible suplantación, de acuerdo con sus competencias, de tal manera que si se verifica el incumplimiento de los mismos y se presenta una solicitud por una posible suplantación la Entidad Obligada deberá suspender la gestión de cobranza y modificar el reporte realizado ante los operadores de información.
El incumplimiento también podrá dar lugar, según el caso, a la devolución oportuna de los dineros y a la eliminación de las acreencias generadas por razón de la defraudación. Además, la ley dispone que no podrán congelarse los dineros ni esperarse respuesta o autorización del titular de la cuenta receptora para reversar la transacción.
Dentro de los seis (6) meses siguientes a la expedición de la ley, la SIC, la SFC en coordinación con MinTic deberán reglamentar los protocolos para atender oportunamente los reportes de posible suplantación.
4. Deberes de la persona suplantada:
La persona que manifieste haber sido suplantada deberá informar oportunamente de esta situación a la respectiva Entidad, solicitar la cancelación del bien o servicio adquirido sin su autorización, aportar los documentos o elementos de prueba que tenga disponibles y realizar la prueba de validación de identidad prevista por la Entidad.
Igualmente, deberá presentar denuncia ante la Fiscalía la Policía Nacional por los delitos de falsedad personal y delitos conexos, dentro de los veinte (20) días hábiles siguientes a la fecha en que sea informada de ese deber por la entidad obligada. Si la persona no cumple con esta obligación dentro del término previsto, la entidad podrá reanudar el cobro.
Cuando la suplantación se haya presentado mediante la creación de perfiles digitales falsos en redes deberá así mismo presentar la denuncia.
6. Actuación judicial:
Si el juez competente comprueba la suplantación de identidad, la persona deberá ser exonerada y desvinculada de cualquier cobro y reporte negativo, y la Entidad podrá constituirse como víctima dentro del proceso penal. Por el contrario, si se determina que no hubo suplantación y que la persona efectivamente adquirió el bien o servicio, la Entidad podrá reanudar el cobro con todos los intereses y valores causados, como si nunca se hubiera suspendido.
Mientras el cobro esté suspendido o pendiente de decisión judicial, no operará el término de prescripción para el cobro de las obligaciones, el cual empezará a correr una vez quede en firme la decisión de la autoridad judicial que archive o culmine el proceso.
Adicionalmente, cuando el proceso penal finalice con decisión de archivo por no poder identificar al autor de la conducta, la Fiscalía deberá indicar si efectivamente ocurrió la falsedad personal, aun cuando no sea posible continuar el proceso penal contra una persona determinada. Esta regla busca evitar que la persona afectada quede expuesta a nuevos cobros o reportes por obligaciones derivadas de la suplantación de identidad.
7. Deber especial de verificación:
La ley establece un deber especial de verificación a cargo de las Entidades Obligadas y de las autoridades, dentro del ámbito de sus competencias. Este deber busca contribuir a la administración de justicia y reducir los tiempos de resolución de estos casos.
En virtud de esta obligación, las Entidades deberán verificar detalladamente la veracidad de la presunta suplantación. Si encuentran elementos que la evidencien, la persona afectada quedará liberada de presentar denuncia ante la Fiscalía y deberá ser exonerada y desvinculada de cualquier cobro asociado al bien o servicio adquirido fraudulentamente. No obstante, las Entidades no se encuentran facultadas para determinar que no existió suplantación, pues esa decisión corresponde a las autoridades judiciales competentes.
8. Canales de atención y cultura de seguridad digital:
La SIC, la SFC y MinTic deberán disponer de canales virtuales, físicos y telefónicos para la atención de quejas, denuncias, reclamos y apelaciones de personas suplantadas, y particularmente en asuntos relacionados con la protección de datos personales. La ley también contempla medidas de cultura de seguridad digital orientadas a informar a las personas sobre el manejo de sus datos personales, el uso adecuado de redes sociales y la ruta que deben seguir en caso de uso fraudulento de su información.
9. Reglamentación y vigencia:
La Ley 2573 de 2026 entrará en vigencia dentro de los seis (6) meses siguientes a su promulgación, salvo los parágrafos primero y segundo del artículo 5, los cuales rigen desde su promulgación los cuales se refieren a la reglamentación de los protocolos a cargo de las autoridades competentes para atender los reportes de posibles casos de suplantación de identidad y a las consecuencias derivadas del incumplimiento de dichos protocolos.
Para profundizar en los alcances de la Ley 2573 de 2026 y consultar el documento completo, AFIC pone a disposición de sus usuarios el material oficial para descarga. Este recurso permite revisar con mayor detalle las medidas relacionadas con la suplantación de identidad, los reportes negativos y el cobro de obligaciones.
