Ley 2573 de 2026: qué cambia ante la suplantación de identidad para telcos, entidades financieras y comercios

01Qué es la Ley 2573 de 2026

Es la Ley Estatutaria 2573 del 19 de mayo de 2026, publicada en el Diario Oficial 53.496 del 20 de mayo de 2026. Su objeto es que los operadores de telecomunicaciones, las entidades financieras y crediticias y los demás establecimientos comerciales con esa competencia adopten medidas, procesos y políticas para proteger a las personas suplantadas de los reportes negativos ante operadores de información y del cobro de obligaciones (artículo 1).

No crea delitos. Se rige por los principios de las leyes 1266 de 2008 y 1581 de 2012 (artículo 2), y las autoridades actúan frente a su incumplimiento «única y exclusivamente» en temas de hábeas data (artículo 11). Por ser estatutaria, la Corte Constitucional la revisó antes de su sanción, en la sentencia C-413 de 2025, y aprobó varios artículos con condiciones que hoy hacen parte de cómo se aplica.

02Desde cuándo rige

El artículo 13 dice que la ley «entrará en vigencia dentro de los seis (6) meses siguientes a su promulgación». Se publicó en el Diario Oficial el 20 de mayo de 2026. La Ley 4 de 1913 dice que la promulgación consiste en insertar la ley en el periódico oficial (artículo 52) y que los plazos de meses terminan a la medianoche del último día (artículo 59); con esa regla, el plazo de seis meses vence el 20 de noviembre de 2026.

Hay una excepción: los parágrafos 1 y 2 del artículo 5 rigen desde la publicación. El primero ordena a la Superintendencia de Industria y Comercio (SIC) y a la Superintendencia Financiera, en coordinación con el Ministerio TIC, reglamentar los protocolos para atender los reportes de posible suplantación. El segundo dice qué pasa cuando se verifica el incumplimiento de los lineamientos, recomendaciones y protocolos de seguridad de las autoridades y el titular pidió la corrección.

03A quién obliga

La ley nombra a tres grupos (artículo 5):

• Los operadores de telecomunicaciones.
• Las entidades financieras y crediticias.
• Los demás establecimientos comerciales «con esta competencia». La ley no define esa expresión.

Además obliga a la «fuente»: quien recibe datos de una persona por una relación comercial, de servicio o de cualquier otra índole y los entrega a un operador de información, como las centrales de riesgo (artículo 3, numeral 7, y artículo 7).

04Qué deben hacer las empresas obligadas

El artículo 5 les fija diez deberes, además de los que ya tenían por las leyes 1266 de 2008 y 1581 de 2012:

1. 1
   Adoptar medidas de seguridad digital suficientes y razonables para establecer que la identidad de la persona y sus documentos son verdaderos.
2. 2
   Cuando exista denuncia de falsedad personal o delitos conexos, reportar a la central de riesgo la marca «víctima de falsedad personal», sin que afecte el puntaje de la persona.
3. 3
   Validar, bajo el principio de buena fe, la información que entregan quienes adquieren sus productos o servicios.
4. 4
   Responder las solicitudes y quejas de las personas suplantadas dentro de los 10 días hábiles siguientes a su radicación.
5. 5
   Suspender de inmediato el producto o servicio obtenido con la suplantación, una vez la persona lo informe.
6. 6
   Comunicarle a la persona el plazo del artículo 7, para que pueda beneficiarse de la suspensión de los cobros y de los reportes a las centrales de riesgo.
7. 7
   Entregarle a la persona que dice haber sido suplantada copia de la información y los documentos con que se aprobó el producto. Bajo ninguna circunstancia puede negarse.
8. 8
   Reportar a la Dirección de Impuestos Nacionales (así la nombra la ley), para que la persona no sufra perjuicios tributarios por el fraude.
9. 9
   Cuando la fuente encuentre diferencias entre los documentos con que se adquirió la obligación y los que entrega el titular, denunciar la estafa de la que pudo ser víctima.
10. 10
    Investigar si algún funcionario de la entidad participó en la suplantación y, si hay indicios, iniciar las acciones judiciales.

05Qué pasa cuando alguien informa una suplantación

1. 1
   Se suspende el cobro. Apenas la empresa es informada, debe suspender de inmediato el cobro, con los intereses y los gastos de cobranza (artículo 8).
2. 2
   La persona tiene 20 días hábiles para denunciar. La empresa le comunica que cuenta con ese plazo para presentar la denuncia ante la Fiscalía y entregar los soportes. Según la Corte (sentencia C-413 de 2025), en ese mismo plazo también la empresa debe formular la denuncia penal que corresponda.
3. 3
   Si en el plazo no se presentan la denuncia y los soportes, la empresa puede reanudar el cobro desde la fecha en que lo suspendió y hacer el reporte (artículo 8, parágrafo 1).
4. 4
   Si se presentan, el cobro sigue suspendido hasta que haya un pronunciamiento judicial, incluido el archivo de la indagación, o una decisión de un juez civil que defina si la obligación existe (artículo 9, con el condicionamiento de la sentencia C-413 de 2025).
5. 5
   La empresa no puede concluir que no hubo suplantación. Debe verificarla en detalle y, si encuentra elementos que la evidencien, libera a la persona de denunciar y de cualquier cobro. La decisión de que no existió suplantación está reservada a las autoridades judiciales (artículo 10).

Para la fuente que reporta a las centrales de riesgo, el artículo 7 suma un procedimiento propio:

• Debe cotejar en 10 días hábiles los documentos con que se adquirió la obligación con los que entrega el titular, que sirven como prueba sumaria.
• Debe pedir la corrección del dato negativo, y en el registro se incluye la leyenda «Víctima de Falsedad Personal».
• Esa leyenda no puede tenerse como reporte negativo ni bajar la calificación de riesgo.
• Si la petición no se resuelve en 15 días hábiles, prorrogables 8 más, se entiende resuelta a favor del titular.

06Plazos de la ley

07Qué deben hacer las personas suplantadas

El artículo 6 también les fija deberes: informar a la empresa en cuanto se enteren, aportar las pruebas que tengan, denunciar ante la Fiscalía o la Policía, reclamar ante la red social si la suplantación fue con un perfil falso y presentar la prueba de validación de identidad que fije la empresa.

08Qué falta: los protocolos

La ley no dice con qué tecnología se verifica la identidad. Los protocolos que deben reglamentar la SIC y la Superintendencia Financiera deben incluir «mecanismos, herramientas y metodologías idóneos que permitan la plena identificación del potencial adquirente» (artículo 5, parágrafo 1).

El 8 de septiembre de 2026 la SIC abrió una consulta pública sobre validación de identidad para construir esos lineamientos. Según su cronograma, la propuesta se publica para comentarios el 2 de noviembre de 2026 y se expide el 20 de noviembre de 2026.