La Ley Estatutaria 2573 de 2026 y el régimen de habeas data: protección al consumidor suplantado y deber reforzado de diligencia para las entidades

Contenido

La Ley Estatutaria 2573 de 2026, promulgada el 19 de mayo y conocida como “Si es fraude, no se paga”, introduce un ajuste relevante en la responsabilidad por fraudes de identidad en Colombia. La Ley se articula con el régimen de habeas data, Ley 1266 de 2008, Ley 1581 de 2012 y Ley 2157 de 2021, y en conjunto desarrolla los derechos a la intimidad y al buen nombre frente a la suplantación en el entorno digital. Al reconocer la existencia de sofisticados mecanismos transnacionales de fraude electrónico, sienta como premisa no una inversión mecánica de la carga probatoria, (no obliga al suplantado a probar el fraude, o a la entidad financiera a demostrar que actuó con razonable diligencia para evitarlo) sino que aplica el principio de carga dinámica de la prueba, asigna el deber de probar a quien esté en mejores condiciones de hacerlo.

Durante años fue la víctima quien debía demostrar, en un trámite largo y desgastante, que no había contratado el crédito o el servicio, mientras seguía soportando cobros y reportes negativos. La ley, al invertir esa exige a la entidad que aprobó el producto el deber de acreditar cómo verificó la identidad, qué soportes recibió y por qué considera legítima la obligación, conservando y entregando los documentos con los que validó al supuesto cliente, esto es, acreditando que actuó con debida y razonable diligencia en la verificación de la identidad de la persona con quien contrató

Ello fundado en un cariz protector del consumidor financiero, para quien las consecuencias de la Ley son protectoras. Veamos. La sola denuncia de suplantación obliga a suspender de inmediato el cobro de cuotas, intereses y gastos de cobranza, sin que ello quede a discreción de la entidad. En las centrales de riesgo se debe incluir la la leyenda “Víctima de Falsedad Personal” para los reportes de obligaciones reclamadas, ello sin afectar el puntaje crediticio; y por ello deben corregirse o eliminarse los reportes originados en el fraude y, cuando la entidad haya incumplido los protocolos de seguridad, queda obligada a devolver los dineros o a eliminar las acreencias defraudadas.

La contracara está en el posible encarecimiento de algunos productos, por cuenta de la elevación del estándar de debida diligencia exigible a las entidades. Ello por cuenta de que la norma exige medidas de seguridad digital “razonables y suficientes” para verificar la identidad, sin imponer una tecnología concreta, pero sí un resultado demostrable ante la reclamación, y fija plazos exigentes, como los diez días hábiles para el cotejo de documentos ante las centrales de riesgo, cuyo incumplimiento activa el silencio administrativo positivo y la presunción de que la suplantación existió.

Y si bien la Ley 2573 no crea un catálogo autónomo de multas, al estar estrechamente ligada con en el régimen sancionatorio del habeas data, en ese marco normativo si se encuentran sanciones gravosas. Cómo corresponde a las Superintendencias de Industria y Comercio y Financiera ejercer la vigilancia, esas entidades, por cuenta de la Ley 1581 de 2012, pueden imponer multas de hasta 2.000 salarios mínimos, además de la suspensión de actividades que se asocien con tratamiento y administración de bases de datos, con multas sucesivas mientras subsista el incumplimiento, a lo que se suma el deber inmediato de suspender la cobranza y restituir lo defraudado.

En suma, la ley amplía la protección del consumidor suplantado y, al mismo tiempo, impone a las entidades un deber de diligencia más riguroso, respaldado por facultades sancionatorias ya existentes.

Vale la pena precisar que no son las entidades de control, ni las entidades prestamistas o proveedores de servicios, quienes pueden declarar por sí mismas la existencia o no de la suplantación , pues esa determinación corresponde al juez penal en forma definitiva, incluso si no ha podido individualizar al responsable de la suplantación, con la acotación de que mientras la autoridad judicial resuelve opera la suspensión del cobro y reporte negativo.

Como siempre, el verdadero reto no queda en la expedición de la norma, sino en una implementación que proteja de manera efectiva a la víctima sin endurecer en exceso los requisitos de vinculación, para no restringir el acceso al crédito de los mismos ciudadanos que se busca amparar.