Propósito y ámbito de aplicación

La Ley Estatutaria 2573 de 2026 tiene como propósito principal proteger a las personas naturales y jurídicas que sean víctimas de suplantación de identidad, evitando que esta situación genere reportes negativos ante operadores de información financiera o crediticia y cobros injustificados. Se enmarca en el ámbito de la protección de datos personales, la seguridad digital y la defensa de los derechos de los consumidores en sectores clave como las telecomunicaciones y las finanzas. Su origen responde a la creciente incidencia de fraudes derivados del uso indebido de datos personales en Colombia, que afectan la confianza en el sistema financiero y comercial.

Proceso legislativo

La ley fue debatida y aprobada en el Congreso de la República durante el año 2026, con participación activa de las comisiones legislativas relacionadas con asuntos económicos, de tecnologías de la información y protección al consumidor. El trámite contó con un análisis detallado de las problemáticas vinculadas a la suplantación de identidad, y se consensuaron medidas para equilibrar la protección de los titulares de datos con las funciones de los operadores financieros y comerciales. La promulgación se realizó el 19 de mayo de 2026, seguida de su publicación oficial al día siguiente.

Contenido clave y disposiciones principales

Entre las disposiciones más relevantes de la Ley 2573 de 2026 destacan:

• Objeto y principios: La ley obliga a operadores de telecomunicaciones, entidades financieras y demás establecimientos comerciales a adoptar medidas de seguridad digital para verificar la identidad de los usuarios y proteger los datos personales conforme a los principios de acceso restringido, seguridad, veracidad y carga dinámica de la prueba.
• Definiciones claras: Se precisan conceptos fundamentales como ciberseguridad, ingeniería social, suplantación de identidad digital y física, y fuente de información, para orientar la interpretación y aplicación de la norma.
• Tipos de suplantación: Se tipifican la suplantación mediante uso fraudulento de documentos y datos personales y la realizada a través de medios electrónicos, incluyendo programas informáticos y técnicas de ingeniería social.
• Obligaciones de los operadores: Entre sus deberes está adoptar medidas de seguridad razonables, reportar casos como “víctimas de falsedad personal” sin afectar la calificación crediticia, atender quejas en plazos máximos de diez días hábiles, suspender cobros fraudulentos y entregar información probatoria a las personas afectadas.
• Derechos y deberes de la persona suplantada: La norma establece la obligación de informar y denunciar la suplantación, aportar pruebas sumarias y realizar validaciones de identidad exigidas para la protección de sus derechos.
• Reporte y corrección en centrales de riesgo: Se modifica la Ley 1266 de 2008 para incorporar procedimientos rápidos para corregir reportes negativos derivados de suplantación, incluyendo la inclusión de una leyenda en los registros que identifique a la víctima sin perjudicar su historial crediticio.
• Suspensión y término del cobro: Se disponen reglas claras para suspender el cobro de obligaciones mientras se verifica judicialmente la existencia de la suplantación. Asimismo, se establecen consecuencias jurídicas para denuncias falsas y para la reanudación del cobro en caso de que no se compruebe la suplantación.
• Rol de las autoridades y servicio público: Se asignan responsabilidades a la Superintendencia de Industria y Comercio, Superintendencia Financiera y Ministerio de Tecnologías de la Información y las Comunicaciones para reglamentar protocolos y brindar canales de atención y asistencia a las víctimas.
• Promoción de cultura de seguridad digital: Se autoriza la financiación de campañas informativas audiovisuales para concientizar sobre el manejo adecuado de datos personales y el uso responsable de redes sociales, con accesibilidad para personas con discapacidades.

Implicaciones y aplicación práctica

La ley representa un avance significativo en la protección del derecho al habeas data y en la lucha contra el fraude digital y físico en Colombia. Al establecer un marco normativo detallado para operadores y víctimas, busca garantizar una respuesta eficaz y equilibrada frente a la suplantación de identidad. La obligatoriedad de suspender cobros y corregir reportes negativos durante la investigación judicial contribuye a evitar daños económicos y reputacionales injustos a las personas afectadas. Además, la implementación de protocolos y la promoción de una cultura de seguridad digital apuntan a la prevención y al fortalecimiento de las capacidades institucionales en este ámbito. Este cuerpo normativo deberá ser reglamentado en coordinación entre las autoridades competentes para asegurar su efectiva aplicación y cumplimiento, incluyendo mecanismos tecnológicos y administrativos que permitan identificar y mitigar riesgos de suplantación. La atención oportuna y la claridad en los procedimientos también buscan brindar confianza a los usuarios y fomentar la transparencia en el manejo de datos personales.