Promulgada el 19 de mayo de 2026, la Ley Estatutaria 2573 desarrolla los derechos al habeas data, a la intimidad y al buen nombre frente a la suplantación de identidad en el ecosistema digital.
Con la entrada en vigencia de la Ley 2573 del 19 de mayo de 2026, Colombia fortalece las medidas de protección para las personas víctimas de suplantación de identidad en la contratación de servicios o productos financieros, crediticios y de telecomunicaciones.
La norma consolida la validación de identidad como un estándar exigible para las organizaciones, elevando los niveles de verificación, trazabilidad y respaldo de evidencias en los procesos de vinculación y autenticación digital.
De acuerdo con cifras de la Superintendencia de Industria y Comercio (SIC), entre 2022 y mayo de 2026 se registraron 13.983 reclamaciones por suplantación de identidad, de las cuales 11.365 corresponden al sector de las telecomunicaciones, lo que representa un 81% del total. Además, desde 2020 a la fecha, se han reportado 40.316 denuncias por suplantación de identidad ante la Delegatura para la Protección de Datos Personales.
Qué establece la Ley 2573 de 2026
Promulgada el 19 de mayo de 2026, la Ley Estatutaria 2573 desarrolla los derechos al habeas data, a la intimidad y al buen nombre frente a la suplantación de identidad en el ecosistema digital.
La ley tiene por objeto la adopción de medidas, procesos y políticas por parte de los operadores de telecomunicaciones, las entidades financieras-crediticias y demás establecimientos comerciales con esta competencia, para proteger los derechos de las personas suplantadas en su identidad de reportes negativos ante operadores de información y el cobro de obligaciones.
El marco normativo impone obligaciones específicas a estas entidades, entre las que se destacan:
- Adoptar medidas de seguridad digital suficientes y razonables para verificar la identidad de las personas en el momento de la vinculación y en operaciones sensibles posteriores.
- Suspender el cobro de bienes y servicios adquiridos de forma fraudulenta, incluyendo intereses y gastos de cobranza.
- Realizar el reporte correspondiente ante los operadores de información marcando al titular como “víctima de falsedad personal” sin que esto impacte su puntuación crediticia.
- Emitir reporte a la DIAN para evitar perjuicios tributarios a la persona suplantada.
- Adelantar investigaciones internas sobre la posible responsabilidad de funcionarios de la entidad en la suplantación.
La ley exige medidas de seguridad digital “razonables y suficientes” para verificar la identidad del usuario en el momento de la vinculación y en operaciones sensibles posteriores. Esto implica que la validación robusta deja de ser una práctica opcional y pasa a ser un estándar exigible, tanto en el proceso de onboarding como en la autenticación de las operaciones de los usuarios.
María Lucía Cardona, consultora legal especializada de OlimpIA, destacó que la ley representa un cambio de enfoque para el ecosistema digital.
Por otro lado, señaló que “el sector financiero viene hace muchos años trabajando precisamente en fortalecer todo el tema de validación de identidad en todo el ecosistema, o sea, no solamente digital sino también en presencial”, por lo que, en su criterio, muchas entidades ya tenían previsto este tipo de exigencias.
Frente al principal reto de implementación, consideró que la atención de reclamos puede ser una de las áreas más sensibles, en especial por la necesidad de evidencias y protocolos para tramitar adecuadamente las marcaciones por suplantación.
“La ley busca, yo creo, que es reforzar esa confianza entre la empresa y el cliente”, afirmó, al exigir procesos correctos de enrolamiento y medidas de seguridad acordes con cada trámite.
Sobre el ritmo de adopción, estimó que “vamos a ver a las entidades financieras, a las de telecomunicaciones liderando el tema, mientras que sectores como fintech podrían tardar un poco más en adaptarse, aunque con las mismas capacidades para hacerlo”.
Mecanismos de protección para las víctimas
La Ley 2573 de 2026 introduce un mecanismo de suspensión inmediato del cobro y de los reportes negativos ante la sola noticia de la suplantación. Teniendo en cuenta que la identidad digital se ha consolidado como el nuevo estándar de seguridad, la norma elevó las exigencias, pues ya no basta con verificar una identidad, ahora las organizaciones deben demostrar cómo la verificaron y conservar la evidencia de ese proceso.
Dentro de los aspectos más relevantes para fortalecer los mecanismos de protección de las personas que han sido víctimas de suplantación, se encuentran:
- Carga dinámica de la prueba: la entidad deberá entregar información y documentos con los que aprobó la validación de identidad, demostrando una correcta administración de las evidencias.
- Suspensión inmediata del cobro, intereses y gastos de cobranza al recibir el reporte de suplantación por parte del afectado, siendo reportado como una víctima de falsedad para no afectar su score crediticio. La entidad cuenta con 10 días para dar respuesta a la solicitud entregando copia del expediente de validación de identidad; de lo contrario se darán por cierto los hechos reportados.
- Adoptar medidas de seguridad digital para la verificación de la identidad. Esto implica que la validación robusta deja de ser una práctica opcional y pasa a ser un estándar exigible, tanto en el proceso de onboarding como en la autenticación de las operaciones de los usuarios.
“La Ley 2573 marca un cambio significativo en materia de prevención del fraude, ya no será suficiente reaccionar cuando ocurra una suplantación de identidad; las organizaciones deberán demostrar que cuentan con mecanismos confiables para prevenirla, validar correctamente a sus usuarios y conservar las evidencias que respalden cada decisión”, destacó Laura Echeverría, Chief Legal Officer de OlimpIA.
Reporte de Juan Camilo Torres