Los bancos en Colombia tendrán que suspender cobros y dejar de hacer reportes negativos de millones de personas: aplica en estos casos

El 19 de mayo de 2026 fue expedida por el Gobierno nacional la Ley 2573 de 2026, “por medio de la cual se establecen medidas para proteger a las personas del reporte negativo ante operadores de información y el cobro de obligaciones en casos de suplantación de identidad ante los operadores de telecomunicaciones, las entidades financieras - crediticias y demás establecimientos comerciales con esta competencia y se dictan otras disposiciones”.

Con esta se marca un hito en la protección contra la suplantación de identidad en Colombia, un problema que registra un crecimiento sostenido en los últimos años. Solo en 2025 se registraron 62.299 denuncias por delitos informáticos vinculados a fraudes de este tipo, de acuerdo con datos oficiales.

Dicha norma introduce nuevas salvaguardas jurídicas: dispone la suspensión inmediata de cobros, prohíbe reportes negativos en centrales de riesgo y exige a bancos, comercios y operadores de telefonía reforzar sus sistemas de validación. Las víctimas deben denunciar penalmente el hecho, pero la responsabilidad de probar la autenticidad de una operación ahora recae sobre la entidad implicada, que debe facilitar la documentación y reportar el incidente a las autoridades.

Y es que cada vez es más común que ciudadanos encuentren deudas crediticias o de telefonía que jamás solicitaron. Más allá del impacto económico, las víctimas suelen ver afectado el historial crediticio y padecen gestiones de cobranza y señalamientos injustificados en centrales de riesgo.

Qué establece la Ley 2573 de 2026 sobre la suplantación de identidad

El propósito central de la Ley 2573 es brindar protección a víctimas de suplantación que afrontan reclamaciones financieras por contratos o deudas resultantes de este delito. El texto define como objetivo “proteger a las víctimas de suplantación de identidad frente a los cobros injustificados y los reportes negativos en las centrales de riesgo”.

Asimismo, la ley impone a operadores de telecomunicaciones, bancos y comercios la obligación de fortalecer los mecanismos de autenticación de identidad. Incluye directrices para el tratamiento de información ante las centrales de riesgo y modifica el esquema tradicional de responsabilidades en la verificación de identidad.

Dentro de las innovaciones está la “carga dinámica de la prueba”, una disposición que exige a la entidad involucrada demostrar que fue el cliente quien solicitó el servicio o producto bajo investigación.

Procedimientos y plazos para víctimas

La normativa fija pasos concretos para las personas que se vean afectadas por dicho delito. La persona debe:

• Informar el fraude a la entidad apenas tenga conocimiento
• A partir de ese momento, dispone de 20 días hábiles para presentar una denuncia penal ante la Fiscalía.
• Durante el plazo, la víctima tiene que aportar los documentos requeridos y someterse a procedimientos de validación para verificar su identidad.

Si no cumple estos requisitos en el periodo establecido, la entidad queda habilitada para retomar la gestión de cobro, incluidos intereses y gastos causados durante la suspensión.

Las entidades, por su parte, están obligadas a:

• Integrar la denuncia y la información al expediente y entregar copias de los documentos que se usaron inicialmente para aprobar el producto o servicio.
• Esto permite una revisión exhaustiva del caso ante las autoridades competentes.
• Además, la ley exige que, dentro de un plazo de 10 días hábiles, la entidad reporte la situación a las centrales de riesgo con la marcación de “Víctima de Falsedad Personal”, lo que garantiza que no se afecte el historial financiero durante la investigación.

Responsabilidades de las entidades ante casos de fraude

Después de la notificación de la víctima, la suspensión del cobro debe ser inmediata. La normativa establece que la entidad “suspenda de manera inmediata el cobro del bien y/o servicio incluyendo los intereses, gastos de cobranza y demás que se pudieren haber generado”. La medida protectora se mantiene hasta que la autoridad decida el desenlace del caso.

Mientras el proceso esté abierto, no se puede generar ni conservar ningún reporte negativo en las centrales de riesgo. Según se establece, la marcación de “Víctima de Falsedad Personal” “no podrá tenerse como un reporte negativo ni podrá ser causa de disminución en la calificación de riesgo ni alterar sus estudios financieros o crediticios”.

Las organizaciones involucradas deben, además, reforzar los controles de autenticación e informar a la Dirección de Impuestos y Aduanas Nacionales (Dian) cuando se detecten productos fraudulentos que puedan ocasionar obligaciones tributarias a la víctima. En circunstancias en que la entidad, mediante una investigación interna, logre comprobar el fraude antes de que la víctima interponga la denuncia penal, las protecciones pueden aplicarse de manera anticipada.

Qué ocurre después de la investigación penal en casos de suplantación

Las consecuencias para la víctima dependen del resultado de la investigación judicial o interna. Cuando se confirma la suplantación, la persona queda completamente liberada de la obligación y de cualquier repercusión en su historial financiero.

La ley dispone que el afectado será “exonerada y desvinculada de cualquier cobro y reporte negativo en las centrales de riesgo” vinculados a ese contrato. Si la investigación penal se archiva pero se puede establecer la existencia de la falsedad por otros medios, la protección se mantiene para evitar nuevas afectaciones. Por el contrario, si se determina que no hubo suplantación, la persona debe responder penalmente y la entidad reanuda los cobros, añadiendo intereses y gastos generados durante la suspensión.

La “carga dinámica de la prueba” significa que la entidad debe entregar la documentación que respalde la legitimidad de la operación y aportar los medios técnicos necesarios, lo que facilita la defensa de la persona afectada.

La nueva regulación también busca eliminar los obstáculos que enfrentaban quienes debían demostrar que no autorizaron un contrato o una solicitud de crédito.

Implementación y estrategias de prevención

La Ley 2573 entrará en vigor seis meses después de su promulgación. Durante este periodo, el Gobierno, la Superintendencia Financiera, la Superintendencia de Industria y Comercio y el Ministerio de Tecnologías de la Información y las Comunicaciones (Ministerio TIC) deben diseñar una ruta de atención específica para víctimas.

Estas entidades están obligadas a lanzar campañas educativas en medios públicos, orientadas a la prevención del fraude y protección de los datos personales de los ciudadanos.

Asimismo, deberán establecer protocolos para la atención rápida de reportes y fortalecer los filtros de validación, asegurando que la protección opere desde el momento en que la víctima comunica el caso. Gracias a este nuevo marco legal, las personas que logren demostrar la suplantación dejarán de enfrentar cobros injustos y podrán restablecer su historial crediticio, en línea con las garantías promovidas por la Ley 2573.