Colombia endurece ley contra suplantación de identidad digital

Colombia ha dado un paso decisivo en la protección de sus ciudadanos frente al creciente flagelo de la suplantación de identidad digital. Con la promulgación de la Ley 2573 de 2026, el país establece un marco legal robusto que impone obligaciones claras a entidades financieras, operadores de telecomunicaciones y establecimientos comerciales, buscando salvaguardar el patrimonio y la reputación de las víctimas.

Esta normativa, publicada el 20 de mayo de 2026 y cuya aplicación general iniciará en noviembre del mismo año, aborda una problemática que, solo en 2025, generó 62.299 denuncias por delitos informáticos ante la Policía Nacional. La urgencia de esta ley se acentúa en un contexto donde el 82% de las transacciones bancarias ya se realiza a través de canales digitales, haciendo a los usuarios más vulnerables a estas prácticas fraudulentas.

La Ley 2573 de 2026: Un Escudo Reforzado contra el Fraude Digital

La nueva Ley 2573 es una norma estatutaria que profundiza en la protección de derechos fundamentales como el hábeas data, la intimidad y el buen nombre, específicamente frente a la suplantación de identidad en el ámbito digital. Se enmarca en la línea de la Ley 1266 de 2008 (hábeas data financiero) y la Ley 1581 de 2012 (protección de datos personales), pero va más allá al definir no solo cómo se deben proteger los datos, sino qué acciones deben tomar las empresas una vez que la suplantación ya ha ocurrido.

El propósito fundamental de esta ley es la adopción de medidas, procesos y políticas por parte de los sujetos obligados para resguardar los derechos de las personas suplantadas, particularmente en lo que respecta a reportes negativos ante operadores de información crediticia y el cobro de obligaciones derivadas de fraudes. La norma introduce definiciones clave para conceptos como ciberseguridad, ingeniería social, seguridad digital y los distintos tipos de suplantación de identidad (física y digital).

🛒 Ofertas destacadas · Enlace de afiliado

Obligaciones para el Sector Empresarial

La Ley 2573 establece un conjunto de responsabilidades para tres categorías principales de sujetos obligados en Colombia:

Entidades financieras y crediticias: Esto incluye bancos, compañías de financiamiento, cooperativas con actividad financiera, sociedades especializadas en depósitos y pagos electrónicos (SEDPE), y cualquier otra entidad que ofrezca mecanismos crediticios.
Operadores de telecomunicaciones: Aquellos que activan líneas o servicios vinculados a la identidad del usuario.
Establecimientos comerciales con competencia crediticia: Empresas que ofrecen productos cuya contratación genera obligaciones de crédito.

Las principales obligaciones que estas entidades deberán cumplir incluyen:

Implementar medidas de seguridad digital robustas para verificar la identidad de los usuarios.
Reportar a las víctimas de suplantación como «víctimas de falsedad personal» ante las centrales de riesgo, sin que esto afecte su historial o puntaje crediticio.
Atender las solicitudes de los afectados en un plazo máximo de diez (10) días hábiles.
Suspender de inmediato los bienes o servicios adquiridos fraudulentamente a nombre de la víctima.
Entregar a la víctima copias de los documentos utilizados para la aprobación del producto o servicio.
Reportar la situación a la Dirección de Impuestos y Aduanas Nacionales (DIAN) e investigar la posible responsabilidad de sus propios funcionarios.

Un Nuevo Paradigma para las Víctimas

Para la persona que ha sido víctima de suplantación, la nueva ley ofrece un camino más claro y protecciones específicas. Si el titular de la información alega haber sido suplantado, la entidad correspondiente debe cotejar los documentos en un plazo de diez (10) días hábiles y solicitar la modificación del dato negativo en las centrales de riesgo. Es crucial que se incluya la leyenda «Víctima de Falsedad Personal», la cual no impactará negativamente la calificación de riesgo del afectado.

En caso de que esta situación no se resuelva en quince (15) días hábiles (prorrogables por ocho más), operará el silencio administrativo positivo, lo que implica que la solicitud de la víctima se dará por aceptada. Además, la ley estipula que, cuando una persona se opone al cobro de un bien o servicio alegando suplantación, los operadores y entidades no solo deberán suspender la gestión de cobranza, sino también modificar cualquier reporte negativo y devolver dineros o eliminar las acreencias derivadas del fraude.

La Superintendencia de Industria y Comercio (SIC) y la Superintendencia Financiera, en coordinación con el Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC), disponen de seis meses para reglamentar los protocolos detallados de atención a reportes de suplantación, lo que busca estandarizar y agilizar los procesos.

Contexto Colombiano: Desafíos y Oportunidades

La aprobación de esta ley no es un hecho aislado. Se enmarca en una coyuntura en Colombia caracterizada por la rápida digitalización de servicios y un aumento paralelo de la ciberdelincuencia. Ciudades como Cali, Popayán y la región del Valle del Cauca, centros económicos y tecnológicos en el suroccidente del país, han experimentado un crecimiento significativo en el uso de plataformas digitales para transacciones y comunicaciones. Este avance, si bien impulsa la economía, también expone a sus habitantes a riesgos emergentes como el phishing, la clonación de SIM y la identidad sintética, donde se crean perfiles fraudulentos usando datos reales. La Ley 2573 de 2026 es, por tanto, una respuesta legislativa necesaria a la evolución de estas amenazas, buscando equilibrar la innovación tecnológica con la seguridad y confianza de los ciudadanos en el entorno digital.

Un aspecto crucial que subraya esta ley es la importancia de actuar con celeridad. Los expertos en derecho penal enfatizan que la suplantación de identidad no es un mero problema técnico, sino un delito que requiere una denuncia formal. La evidencia digital se degrada rápidamente y las entidades manejan plazos estrictos, por lo que cada hora sin actuar puede magnificar el daño patrimonial y complicar la reparación. Esta ley busca precisamente reducir esa ventana de vulnerabilidad, otorgando a las víctimas herramientas jurídicas y un camino claro para buscar reparación y protegerse de futuras afectaciones.