La suplantación de identidad se consolidó en Colombia como uno de los riesgos digitales de mayor crecimiento entre 2022 y 2026. Las cifras oficiales de la Superintendencia de Industria y Comercio (SIC), sumadas a la entrada en vigor de dos leyes específicas y a la aceleración del fraude asistido por inteligencia artificial a nivel global, configuran un panorama que exige actualizar tanto el diagnóstico como la respuesta tecnológica frente a este fenómeno.
SEMANA dialogó con Camilo Gantiva, socio de Holland & Knight, para conocer las implicaciones del tema en el país y en las empresas que han sido víctimas de esta práctica.
SEMANA: ¿Qué responsabilidad legal tienen las empresas de telecomunicaciones, entidades financieras o comercios cuando permiten la contratación de productos o servicios a través de una identidad suplantada?
Camilo Gantiva: La Ley 2573 de 2026 busca proteger a las personas en eventos de suplantación y establece que la carga de la prueba está en cabeza de quien tenga mejores condiciones para demostrar un hecho. En materia de suplantación, los operadores de telecomunicaciones y las entidades financieras o crediticias deberán entregar la información y los documentos que recibieron durante la contratación del bien o servicio.
En la medida en que el usuario interponga oportunamente las respectivas quejas y denuncie ante la Fiscalía, la entidad inicialmente deberá asumir las consecuencias de la suplantación y suspender los cobros de los servicios adquiridos mediante esta modalidad hasta que las autoridades decidan sobre la existencia o no de una suplantación.
SEMANA: Cuando una persona descubre que fue víctima de suplantación y aparece reportada en centrales de riesgo por obligaciones que nunca adquirió, ¿cuáles son sus derechos y qué mecanismos legales tiene para lograr la eliminación de esos reportes?
Camilo Gantiva: La persona tiene derecho a poner el caso en conocimiento de la fuente (la entidad que reportó) y solicitar la corrección del dato negativo.
La fuente debe cotejar, dentro de los diez (10) días hábiles siguientes, los documentos utilizados para adquirir la obligación con los que aportó la víctima y, sin exigir ningún requisito adicional, debe solicitar que se modifique el dato negativo.
En lugar del reporte negativo, se deberá incluir la leyenda “Víctima de falsedad personal”, que no podrá ser tratada como un reporte negativo ni servir para reducir la calificación de riesgo.
Mientras tanto, al presentar la denuncia, la persona deberá ser marcada ante los operadores de información como “víctima de falsedad personal”, sin que esto afecte su puntaje. Además, si la entidad no responde la reclamación dentro de los quince (15) días hábiles, prorrogables por ocho días más, la solicitud se entenderá resuelta a favor de la víctima por silencio administrativo.
SEMANA: ¿Qué obligaciones impone la legislación colombiana en materia de protección de datos personales y verificación de identidad para prevenir este tipo de fraudes?
Camilo Gantiva: La ley refuerza el principio de seguridad, que obliga a manejar la información con medidas técnicas, humanas y administrativas que eviten su adulteración, pérdida o uso fraudulento.
En concreto, las empresas deben adoptar medidas de seguridad para establecer la veracidad de la identidad de las personas y validar la información que estas suministran.
Adicionalmente, en los seis meses siguientes a la entrada en vigor de la ley, la Superintendencia de Industria y Comercio, la Superintendencia Financiera y el Ministerio TIC deberán reglamentar protocolos con herramientas y metodologías que permitan la plena identificación de quien pretende adquirir un producto o servicio.
SEMANA: ¿Cuál es la ruta jurídica que debe seguir una víctima de suplantación de identidad y qué pruebas son fundamentales para demostrar que nunca autorizó la contratación o transacción cuestionada?
Camilo Gantiva: La ruta que debe seguir la víctima es la siguiente:
• Informar de inmediato al comercio que ha sido suplantada, para que se cancele el bien o servicio adquirido sin su autorización.
• Denunciar ante la Fiscalía General de la Nación o la Policía Nacional el presunto delito de falsedad personal, documental y conexos.
• Aportar documentos y pruebas sumarias que sirvan para demostrar la suplantación y ayudar a esclarecer los hechos.
• La víctima cuenta con veinte (20) días hábiles, una vez informado al comercio, para presentar la denuncia ante la Fiscalía y allegar los soportes a la entidad. Vale resaltar que, si la propia entidad verifica y encuentra elementos que evidencian la suplantación, puede liberar a la persona incluso de la obligación de denunciar.
SEMANA: Frente al crecimiento de los fraudes digitales y el uso de tecnologías como biometría e inteligencia artificial, ¿considera que el marco normativo colombiano es suficiente o existen vacíos legales que deberían ser corregidos?
Camilo Gantiva: Actualmente, existen vacíos que deben corregirse, así como arbitrajes regulatorios entre lo que ocurre en el ámbito financiero y en otras industrias.
Mientras que las entidades financieras reconocen la posibilidad de utilizar mecanismos biométricos para identificar a sus clientes, en otras industrias esto no está expresamente permitido y, por el contrario, la Superintendencia de Industria y Comercio ha establecido en diversos pronunciamientos que la identificación biométrica no puede ser obligatoria ni exclusiva. Esto limita, en la práctica, la posibilidad de controlar la suplantación.