Colombia establece nuevas medidas para proteger a las personas frente a la suplantación de identidad y los cobros indebidos

El Congreso de Colombia expidió la Ley Estatutaria 2573, mediante la cual se establecen medidas para proteger a las personas frente a reportes negativos ante operadores de información y al cobro de obligaciones derivadas de casos de suplantación de identidad ante operadores de telecomunicaciones, entidades financieras o crediticias y demás establecimientos comerciales competentes.

La Ley 2573 forma parte de la normativa que regula la protección de datos personales, el hábeas data financiero y crediticio, la seguridad digital y la prevención del fraude por suplantación de identidad. Su objetivo es introducir medidas, procesos y políticas para prevenir, atender y corregir los efectos de la suplantación de identidad, proteger a las personas suplantadas de reportes negativos y cobros indebidos, y orientar la actuación de los sujetos obligados bajo los principios previstos en las Leyes Estatutarias 1266 de 2008 y 1581 de 2012, instituyendo, en especial, los principios de acceso y circulación restringida, seguridad, veracidad y carga dinámica de la prueba.

Sujetos obligados y alcance de la ley

El régimen obligatorio aplica a las siguientes categorías de sujetos: operadores de telecomunicaciones, entidades financieras y/o crediticias, y demás establecimientos comerciales con competencia para ofrecer productos o servicios que generen obligaciones crediticias. Asimismo, la ley establece obligaciones específicas para las personas suplantadas. En materia de vigilancia y reglamentación, intervienen la Superintendencia de Industria y Comercio, la Superintendencia Financiera de Colombia, y el Ministerio de Tecnologías de la Información y las Comunicaciones.

La norma distingue dos tipos de suplantación: en primer lugar, mediante la expedición y uso de datos para fines ilícitos, como documentos de identificación ajenos, datos personales sin autorización, tarjetas de débito o crédito de terceros, creación de perfiles digitales falsos; y, en segundo lugar, mediante medios electrónicos, a través del diseño, elaboración, desarrollo o uso de medios electrónicos dirigidos a obtener datos personales sin autorización.

Principales obligaciones

Del contenido de la norma se desprenden deberes aplicables a los sujetos obligados y a las personas suplantadas en materias como las siguientes:

• Verificación de identidad y seguridad digital. Los operadores y entidades deberán adoptar medidas de seguridad digital suficientes y razonables para establecer la veracidad de la identidad de las personas y los documentos presentados para adquirir productos y servicios. Cuando exista denuncia de falsedad personal, deberán realizar el reporte correspondiente a los operadores de información con la marca "víctima de falsedad personal", sin que esto impacte la puntuación crediticia de la víctima.
• Suspensión inmediata de cobros y servicios. Una vez informados de la suplantación, los sujetos obligados deberán suspender el suministro del bien o servicio adquirido fraudulentamente y el cobro de la obligación, incluidos intereses y gastos de cobranza. La persona suplantada contará con veinte días hábiles para presentar la denuncia correspondiente.
• Entrega de información y reporte tributario. A solicitud de la persona presuntamente suplantada, la entidad deberá entregar la información y documentos usados para aprobar el producto o servicio, y realizar el reporte tributario correspondiente para evitar perjuicios derivados del fraude.
• Obligaciones de la persona suplantada. La víctima deberá informar oportunamente a la entidad, aportar elementos de prueba, denunciar ante las autoridades competentes y someterse a la validación de identidad que corresponda.
• Investigación interna y carga de la prueba. Las entidades deberán adelantar las investigaciones internas pertinentes y, bajo el principio de carga dinámica de la prueba, entregar la información y documentos relacionados con la aprobación del bien o servicio.

Efectos de la decisión judicial

La suspensión del cobro se mantendrá hasta que exista un pronunciamiento judicial que ponga fin a la actuación penal, incluido el archivo de la indagación o, en su defecto, hasta que medie decisión judicial en sede civil que defina la existencia de la obligación. De comprobarse judicialmente la suplantación, la persona será exonerada y desvinculada de cualquier cobro y reporte negativo, y los sujetos obligados podrán constituirse como víctimas en el proceso penal. De encontrarse que no existió suplantación, la entidad podrá reanudar el cobro con todos los intereses y valores causados como si nunca se hubiera suspendido, y la persona que alegó falsamente enfrentará las responsabilidades penales por falsa denuncia.

Plazos establecidos

Adicionalmente, la ley autoriza al Ministerio de las Tecnologías de la Información y las Comunicaciones y a estas Superintendencias a incorporar recursos para financiar productos audiovisuales con perfil multiplataforma que informen a las personas sobre la importancia del manejo de sus datos personales y la ruta a seguir en caso de suplantación, los cuales deberán incluir herramientas de accesibilidad para personas con discapacidades visuales o auditivas.