La Ley Estatutaria 2573 de 2026 introduce un cambio relevante en la protección de las personas que han sido víctimas de suplantación de identidad. Su propósito central es impedir que una persona natural o jurídica soporte consecuencias patrimoniales, crediticias, comerciales o reputacionales por obligaciones que no adquirió, especialmente frente a operadores de telecomunicaciones, entidades financieras, crediticias y establecimientos comerciales que otorgan bienes o servicios con base en validaciones de identidad.  

La ley parte de una realidad evidente: el fraude de identidad ya no es un hecho marginal. Hoy se presenta mediante documentos falsos, uso indebido de datos personales, apertura fraudulenta de productos financieros, activación de líneas telefónicas, creación de perfiles digitales falsos y mecanismos de ingeniería social. En ese contexto, el ordenamiento jurídico no podía seguir trasladando al ciudadano suplantado toda la carga de demostrar que no fue él quien contrató, compró, recibió el servicio o asumió la deuda.

1. La tesis central de la ley: quien está en mejor posición debe probar

Uno de los elementos más importantes de la Ley 2573 es la incorporación expresa del principio de carga dinámica de la prueba. Esto significa que, en materia de suplantación, los operadores de telecomunicaciones, entidades financieras, crediticias y demás establecimientos comerciales deberán entregar la información y los documentos que recibieron para aprobar el bien o servicio.

La regla es correcta: si una entidad abrió un producto, activó una línea, aprobó un crédito o permitió una transacción, es esa entidad la que conserva los soportes, registros, formularios, validaciones biométricas, grabaciones, IP, documentos, firmas, trazabilidad digital o cualquier otro medio de verificación utilizado. Por tanto, no resulta razonable exigirle al ciudadano suplantado una prueba imposible: demostrar cómo un tercero usó indebidamente su identidad.

2. Qué conductas reconoce la ley como suplantación de identidad

La ley distingue entre suplantación física y suplantación digital. La primera se presenta cuando alguien se hace pasar por otra persona para obtener bienes, servicios o beneficios mediante medios físicos. La segunda ocurre cuando el fraude se ejecuta mediante programas informáticos, páginas electrónicas, correos, mensajes de texto, ingeniería social u otros mecanismos digitales.

También identifica conductas concretas, entre ellas: uso de documentos de identificación ajenos, tratamiento de datos personales sin autorización, utilización fraudulenta de tarjetas débito o crédito, y creación de perfiles digitales falsos que afecten la honra o el buen nombre del titular.

Este punto es importante porque la ley deja de tratar la suplantación como un simple problema privado entre acreedor y deudor. La reconoce como un fenómeno complejo de seguridad digital, protección de datos, habeas data, responsabilidad empresarial y prevención del fraude.

3. Obligaciones de las empresas: no basta con cobrar, hay que verificar

La Ley 2573 impone deberes concretos a los operadores de telecomunicaciones, entidades financieras y establecimientos comerciales. Entre los más relevantes se encuentran:

Primero, deben adoptar medidas de seguridad digital suficientes y razonables para verificar la identidad de quienes adquieren productos o servicios.

Segundo, cuando exista denuncia de falsedad personal o delitos conexos, deberán reportar la situación ante los operadores de información con la marcación “víctima de falsedad personal”, sin afectar el puntaje crediticio de la presunta víctima.

Tercero, deberán atender las solicitudes y quejas de las personas suplantadas dentro de los términos legales.

Cuarto, deberán suspender inmediatamente la prestación o suministro de bienes y servicios adquiridos fraudulentamente, una vez sean informados por la persona afectada.

Quinto, deberán entregar al presunto suplantado copia de la información y documentos aportados para aprobar el producto o servicio. La ley es categórica: bajo ninguna circunstancia podrá negarse esa información.

Este último punto tiene gran trascendencia práctica. En muchos casos, la persona afectada no sabe cómo se originó la obligación, qué documento se usó, qué firma aparece, qué correo electrónico fue registrado, qué dirección fue suministrada o qué validación realizó la entidad. Con esta ley, esa información deja de ser una barrera probatoria y se convierte en un deber de transparencia.

4. Suspensión del cobro: una medida de protección patrimonial inmediata

Uno de los avances más relevantes está en la suspensión del cobro. Cuando una persona informe que fue suplantada, el operador, entidad financiera, crediticia o establecimiento comercial deberá suspender de manera inmediata el cobro del bien o servicio, incluyendo intereses, gastos de cobranza y demás valores derivados de la obligación discutida.

La persona suplantada contará con veinte días hábiles para presentar la denuncia ante la Fiscalía General de la Nación y allegar los soportes correspondientes. Si no lo hace, la entidad podrá reanudar el cobro. Si cumple con la carga mínima de denuncia y soporte, la suspensión se mantiene hasta que exista decisión judicial que determine si hubo o no suplantación.

Esta medida busca equilibrar dos intereses: proteger a la víctima real del fraude, pero evitar que la figura sea utilizada abusivamente por quien sí adquirió la obligación y pretende evadir su pago. Por eso, si la autoridad judicial concluye que no hubo suplantación, el cobro podrá reanudarse con intereses y demás valores causados.

5. Reportes en centrales de riesgo: la víctima no puede ser castigada dos veces

La ley modifica el tratamiento de los reportes negativos en centrales de riesgo. Cuando el titular manifieste ser víctima de falsedad personal y le estén cobrando obligaciones derivadas de esa conducta, podrá solicitar la corrección ante la fuente. La fuente deberá cotejar los documentos utilizados para adquirir la obligación con los documentos aportados por el titular.

Si existen discrepancias, deberá solicitar la modificación del dato negativo, del récord, del score o de cualquier información que refleje el comportamiento crediticio del titular. Además, deberá incluirse la leyenda “Víctima de Falsedad Personal”.

La propia ley precisa que esa leyenda no podrá considerarse reporte negativo, ni podrá disminuir la calificación de riesgo, ni alterar estudios financieros o crediticios. Su finalidad es otra: permitir una verificación intensificada de identidad para evitar nuevas defraudaciones.

Este punto es esencial. La persona suplantada no solo enfrenta el cobro de una obligación ajena; también puede sufrir afectaciones en su vida financiera, imposibilidad de acceder a crédito, deterioro reputacional y restricciones comerciales. La ley intenta impedir esa segunda victimización.

6. Silencio positivo y efectos frente a las entidades

La ley también incorpora una regla fuerte: las peticiones o reclamos deberán resolverse dentro de quince días hábiles, prorrogables por ocho días más. Si no se responde oportunamente, la solicitud se entenderá resuelta favorablemente.

Esto convierte el silencio de la entidad en un riesgo jurídico real. Ya no será admisible dilatar indefinidamente la respuesta, congelar la reclamación o remitir al ciudadano de una dependencia a otra. La falta de respuesta puede activar consecuencias favorables para el titular y dar lugar a la intervención de la Superintendencia de Industria y Comercio o de la Superintendencia Financiera, según corresponda.

7. Un deber especial de verificación empresarial

La ley también establece que las entidades deben verificar detalladamente la veracidad de la presunta suplantación. Si encuentran elementos que evidencien el fraude, podrán liberar a la persona suplantada de la obligación de interponer denuncia ante la Fiscalía y desvincularla del cobro.

Sin embargo, la ley hace una precisión relevante: estas entidades no pueden declarar que no existió suplantación, porque esa decisión corresponde a las autoridades judiciales. En otras palabras, pueden reconocer elementos suficientes para proteger a la víctima, pero no pueden sustituir al juez penal en la determinación definitiva de inexistencia del delito.

8. Lectura jurídica y empresarial

La Ley 2573 de 2026 debe entenderse como una norma de protección al consumidor financiero, al usuario de telecomunicaciones, al titular de datos personales y a la víctima de fraude. Su contenido se articula con la Ley 1266 de 2008 sobre habeas data financiero, la Ley 1581 de 2012 sobre protección de datos personales y la Ley 2157 de 2021 en materia de reportes negativos.

Desde el punto de vista empresarial, la ley eleva el estándar de debida diligencia. Las entidades no podrán ampararse en procesos automáticos, formularios electrónicos o validaciones débiles para sostener cobros contra personas que alegan haber sido suplantadas. La seguridad digital, la trazabilidad documental y la gestión probatoria pasan a ser obligaciones centrales del negocio.

Desde el punto de vista ciudadano, la norma ofrece una ruta más clara: informar a la entidad, solicitar documentos, aportar prueba sumaria, denunciar cuando corresponda, exigir suspensión del cobro y pedir corrección del reporte negativo.

9. Riesgos de implementación

La ley es positiva, pero su eficacia dependerá de la reglamentación y de la capacidad operativa de las entidades. Hay por lo menos cuatro retos:

Primero, definir protocolos claros de validación de identidad, especialmente en operaciones digitales.

Segundo, evitar que las entidades sigan imponiendo cargas excesivas a la víctima, como autenticaciones innecesarias, trámites duplicados o exigencias no previstas en la ley.

Tercero, coordinar adecuadamente a la Superintendencia de Industria y Comercio, la Superintendencia Financiera y el Ministerio de Tecnologías de la Información y las Comunicaciones.

Cuarto, garantizar que la marcación “Víctima de Falsedad Personal” no se convierta en una alerta comercial encubierta que termine restringiendo el acceso al crédito.

10. Comentario final

La Ley 2573 de 2026 responde a una necesidad real: proteger a quienes son convertidos en deudores, usuarios o clientes por actos fraudulentos cometidos por terceros. La norma corrige una asimetría probatoria evidente y obliga a las entidades a actuar con mayor diligencia, transparencia y responsabilidad.

El mensaje jurídico es claro: la víctima de suplantación no puede ser tratada como deudora mientras la entidad guarda la información, controla los documentos, administra el reporte y mantiene el poder de cobro. En adelante, quien aprobó el producto o servicio deberá mostrar cómo verificó la identidad, qué soportes recibió y por qué considera legítima la obligación.

En una economía cada vez más digital, la confianza no se protege trasladando el riesgo al ciudadano, sino exigiendo a las empresas sistemas serios de validación, respuesta oportuna y corrección inmediata cuando el fraude aparece.

Contáctanos - [email protected]