Ya es realidad la ley que exige a los bancos suspender el cobro de cuotas y eliminar el reporte negativo en centrales de riesgo como Datacrédito.
Se trata de la Ley Estatutaria 2573 de 2026, promulgada por el Congreso de la República y sancionada por el presidente el pasado 19 de mayo para proteger a quienes sean víctimas de suplantación de identidad para adquirir créditos, productos financieros o servicios.
Pese a que la ley había sido aprobada por el Congreso, debió someterse a revisión de la Corte Constitucional. Finalmente, el alto tribunal le dio vía libre a la Ley Estatutaria 190 de 2022 de Cámara y 303 de 2023 de Senado. "Se declaró constitucional el proyecto de ley estatutaria que establece mecanismos para proteger a las personas del reporte negativo ante operadores de información y el cobro de obligaciones en casos de suplantación de identidad", informó la Corte en su sentencia C-413 de 2025.
Solo faltaba la firma del presidente para que entrara en vigencia. Ahora, los colombianos podrán borrar sus reportes en centrales de riesgo si fueron víctimas de suplantación de identidad.
Nueva ley le hace la guerra a los fraudes digitales
La principal novedad que trae la nueva ley es que las entidades financieras, así como los operadores de telecomunicaciones y los establecimientos comerciales, ya no podrán afirmar que una persona autorizó o no un crédito o contrato. Ahora se debe demostrar qué mecanismos se utilizaron para efectuar la autorización.
En caso de que no se logre demostrar que se ejercieron controles suficientes, se pierde el derecho a cobrar la deuda.
Así mismo, la ley contempla medidas para los ciudadanos que fueron víctimas de suplantación de identidad, es decir, quienes fueron afectados por el uso de sus datos para la obtención de créditos, préstamos o para hacer compras.
Para tal fin, se distinguen dos tipos de suplantación:
Suplantación mediante la expedición y uso de datos para fines ilícitos: sucede cuando un tercero "gestiona, obtiene, usa, vende, ofrece, posee, suministra, intercambia, divulga y/o emplea para fines ilícitos" documentos de identificación personal, datos personales, tarjetas de crédito o débito, entre otras.
Suplantación de identidad mediante medios electrónicos: ocurre "a través de prácticas consistentes en el diseño, elaboración, desarrollo, descarga, comercialización, envío, venta, suministro o uso para fines ilícitos de medios electrónicos que están dirigidos a obtener, sin autorización del titular, información o datos personales".
La obligación de las entidades cuando el cliente denuncia suplantación
La víctima de fraude deberá informar al banco o entidad en la que adquirió una deuda a su nombre que fue suplantada. Se debe "aportar los documentos y elementos de prueba sumaria que sirvan para demostrar que ha sido suplantada y con esto coadyuvar tanto a la entidad como a las autoridades judiciales a esclarecer los hechos".
Una vez recibida esta denuncia, la entidad debe suspender inmediatamente cualquier cobro relacionado con esa obligación, incluyendo intereses, gastos de cobranza y otros costos asociados a la deuda. La medida debe permanecer vigente mientras se adelantan las investigaciones.
Así mismo, una vez se informe de la suplantación, la presunta víctima contará con 20 días hábiles para presentar la respectiva denuncia ante la Fiscalía General de la Nación, aportando los documentos correspondientes.
"Suspendido el cobro del bien o servicio, el operador, entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia deberán esperar hasta que exista un pronunciamiento judicial que ponga fin a la actuación penal, para determinar si continúa con el cobro o no", dice la ley.
Mientras todo eso ocurre, la entidad debe pedirle a Datacrédito y las demás centrales de riesgo que eliminen los reportes negativos en contra de la víctima.
¿Qué ocurre si se comprueba o no se comprueba la suplantación?
Si se comprueba la suplantación, una vez finalizado el proceso judicial, la víctima será exonerada de todos los cobros y su reporte será eliminado de las centrales de riesgo definitivamente.
Por el contrario, si se determina que no hubo suplantación, se reanudarán los cobros con intereses y demás, así como el reporte negativo. Además, "la persona que alegaba haber sido suplantada se enfrentará a las responsabilidades penales a que haya lugar por la falsa denuncia y demás conductas sujetas al Código Penal".
Bloque de preguntas y respuestas
¿Qué establece la Ley Estatutaria 2573 de 2026 sobre la suplantación de identidad?
La norma protege a las personas que fueron víctimas de suplantación de identidad para obtener créditos, productos financieros o servicios, y crea mecanismos para evitar cobros y reportes negativos mientras se investiga el caso.¿Qué deben hacer los bancos cuando un cliente denuncia una suplantación de identidad?
La entidad financiera debe suspender de inmediato el cobro de la obligación, incluidos intereses y gastos asociados, mientras avanza el proceso judicial correspondiente.¿Cómo se eliminan los reportes negativos en Datacrédito por suplantación de identidad?
Tras la denuncia del presunto fraude, la entidad debe solicitar la eliminación temporal del reporte negativo en las centrales de riesgo hasta que exista una decisión judicial definitiva.¿Qué debe hacer la víctima de suplantación de identidad para acceder a la protección de la ley?
Debe informar el caso a la entidad afectada, aportar pruebas sumarias y presentar la denuncia ante la Fiscalía General de la Nación dentro de los 20 días hábiles siguientes.¿Qué ocurre si la justicia confirma o descarta la suplantación de identidad?
Si se confirma el fraude, la víctima queda exonerada de la deuda y se elimina definitivamente el reporte negativo. Si se descarta, se reanudan los cobros y pueden derivarse responsabilidades por falsa denuncia.