Corte Constitucional

Comunicado de Prensa No. 42 del 2 de octubre de 2025

<Disponible el 22 de octubre de 2025>

Corte Constitucional declaró la constitucionalidad del Proyecto de Ley Estatutaria 190 de 202 Cámara -303 de 2023 Senado, por el cual se establecen lineamientos y mecanismos para proteger a las personas del reporte negativo ante operadores de información y el cobro de obligaciones en casos de suplantación de información y el cobro de obligaciones en casos de suplantación de identidad. Igualmente, decidió la inconstitucionalidad de algunas expresiones del artículo 5 del proyecto, así como la declaración de constitucionalidad condicionada de otras contenidas en el texto de la iniciativa.

Sentencia C-413/25

M.P. Juan Carlos Cortés González

Expediente PE-056

1. Norma objeto de revisión

PROYECTO DE LEY ESTATUTARIA 190 DE 2022 CÁMARA - 303 DE 2023 SENADO "POR MEDIO DEL CUAL SE ESTABLECEN MEDIDAS PARA PROTEGER A LAS PERSONAS DEL REPORTE NEGATIVO ANTE OPERADORES DE INFORMACIÓN Y EL COBRO DE OBLIGACIONES EN CASOS DE SUPLANTACIÓN DE IDENTIDAD ANTE LOS OPERADORES DE TELECOMUNICACIONES, LAS ENTIDADES FINANCIERAS – CREDITICIAS Y DEMÁS ESTABLECIMIENTOS COMERCIALES CON ESTA COMPETENCIA Y SE DICTAN OTRAS DISPOSICIONES"

El Congreso de Colombia DECRETA

Artículo 1º. Objeto. La presente ley tiene por objeto la adopción de medidas, procesos y políticas por parte de los operadores de telecomunicaciones y las entidades financieras-crediticias y demás establecimientos comerciales con esta competencia, para proteger los derechos de las personas suplantadas en su identidad de reportes negativos ante operadores de información y el cobro de obligaciones.

Artículo 2º. Principios. Serán aplicables los principios contenidos en la Ley 1266 de 2008 y la Ley 1581 de 2012, y en especial los que a continuación se enuncian, sin perjuicio de la aplicación integral de los principios enunciados en aquellas leyes:

a. Principio de acceso y circulación restringida. El Tratamiento de datos se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el tratamiento sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley.

Los datos personales, salvo la información pública, no podrán estar disponibles en internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los titulares o terceros autorizados conforme a la presente ley.

b. Principio de seguridad. La información sujeta a tratamiento por el responsable del tratamiento o encargado del tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, duplicación, pérdida, consulta, uso o acceso no autorizado o fraudulento.

c. Principio de veracidad. La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.

d. Principio de carga dinámica de la prueba. Tendrá obligación de probar la parte que mejor se encuentre en condiciones de hacerlo. En materia de suplantación, los operadores de telecomunicaciones y las entidades financieras y/o crediticias deberán entregar la información y documentos que recibieron para hacer la aprobación del bien o servicio.

Artículo 3°. Definiciones. Para los efectos de la presente ley, se entiende por:

1. Ciberseguridad. Es el desarrollo de capacidades de entidades públicas y privadas para defender y anticipar las amenazas cibernéticas o de ingeniería social con el fin de proteger y asegurar los datos, sistemas y aplicaciones en el ciberespacio que son esenciales para la operación de la entidad.

2. Ingeniería social. Método utilizado por los atacantes cibernéticos para engañar a los usuarios informáticos, para que realicen una acción que normalmente produce consecuencias negativas, como la descarga de virus informáticos y/o la divulgación de información personal.

3. Persona suplantada. Es la persona natural y/o jurídica que es afectada por la utilización de sus datos personales de forma fraudulenta a través de medios físicos y/o digitales.

4. Seguridad digital. Situación de normalidad y tranquilidad del entorno digital, resultado de la promoción de la gestión del riesgo, el tratamiento adecuado de datos personales, la implementación de medidas de ciberseguridad y el uso efectivo de las capacidades de defensa digital.

5. Suplantación de identidad digital. Hacerse pasar por otra persona para obtener un beneficio, engañar a terceros, obtener bienes y servicios con cargo a la persona suplantada, incurrir en fraudes, entre otras conductas ilícitas a través del uso de programas informáticos, páginas informativas y/o electrónicas, correos electrónicos o, ingeniería social y mensajes de texto - MSM-.

6. Suplantación de identidad física. Hacerse pasar por otra persona para obtener un beneficio, engañar a terceros, obtener bienes y servicios con cargo a la persona suplantada, incurrir en fraudes, entre otras conductas ilícitas.

7. Fuente. Es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final.

Artículo 4º. Tipos de suplantación de identidad. Para los efectos de la aplicación de la presente ley la suplantación de identidad se presentará en los siguientes casos:

a. La suplantación de identidad mediante la expedición y uso de datos para fines ilícitos. Se presenta cuando se gestiona, obtiene, usa, venda, ofrezca, posea, suministre, intercambie, divulgue y/o emplee para fines ilícitos entre otros los siguientes:

1. Documentos de identificación personal nacional o extranjera, que no le pertenezca a quien la posee.

2. Datos personales sin autorización del titular de los mismos.

3. Tarjetas débito o crédito expedidas por entidades financieras y/o crediticias nacionales o extranjeras, que no le pertenezcan a quien las posee, y/o realice compras o transacciones con éstas.

4. Creación de perfiles digitales falsos que afecten la honra y buen nombre del titular de los datos personales suplantados.

b. La suplantación de identidad mediante medios electrónicos. Ocurre cuando la suplantación se da a través de prácticas consistentes en el diseño, elaboración, desarrollo, descarga, comercialización, envío, venta, suministro, o uso para fines ilícitos de medios electrónicos que están dirigidos a obtener sin autorización del titular información o datos personales.

Artículo 5°. Obligaciones de los operadores de telecomunicaciones y las entidades financieras y/o crediticias y demás establecimientos comerciales con esta competencia. Sin perjuicio de las obligaciones contenidas en la Ley 1266 de 2008 y 1581 de 2012, será deber de los operadores de telecomunicaciones y las entidades financieras y/o crediticias y demás establecimientos comerciales con esta competencia:

1. Adoptar las medidas de seguridad digital suficientes y razonables necesarias para establecer la veracidad de la identidad de las personas y los documentos presentados para adquirir sus productos y/o servicios.

2. Cuando exista denuncia de falsedad personal o delitos conexos, se debe realizar el reporte correspondiente a los operadores de información, marcándolo como "victima de falsedad personal", sin que esto impacte la puntuación de la presunta víctima de suplantación.

3. Adoptar mecanismos suficientes y razonables que permitan validar la información que suministran las personas que adquieren sus productos y/o servicios. La validación de la veracidad de la información suministrada se hará bajo el principio de buena fe.

4. Dar trámite oportuno a las solicitudes y/o quejas allegadas por las personas suplantadas, dentro de los diez (10) días hábiles siguientes a la radicación del mismo, de conformidad con lo señalado en la Ley 2157 de 2021.

5. Suspender de forma inmediata la prestación o suministro de los bienes y/o servicios que se hubiesen adquirido por conducta fraudulenta, una vez sean informados por las personas suplantadas.

6. Comunicar a la persona suplantada el término de que trata el artículo 7° de la presente ley, con el fin de ser beneficiario de suspensión de los cobros y reportes a los operadores de información financieras y/o crediticias.

7. A solicitud de la persona presuntamente suplantada, entregar copia de la información y/o documentos aportados para la aprobación del producto y/o servicio que se haya solicitado a su nombre. La persona suplantada deberá acompañar esta solicitud con una copia de la denuncia presentada ante la Fiscalía General de la Nación.

Bajo ninguna circunstancia podrá negarse la entrega de esta información a la persona que haya cumplido las condiciones mencionadas anteriormente.

8. Emitir el respectivo reporte a la Dirección de Impuestos Nacionales, para evitar que la persona suplantada sufra perjuicios de carácter tributario como consecuencia de las defraudaciones efectuadas.

9. La fuente cuando indique discrepancias entre los documentos utilizados para adquirir la obligación que se disputa, con los documentos allegados por el titular en la petición, los cuales se tendrán como prueba sumaria para probar la falsedad, deberá denunciar el delito de estafa del que haya podido ser víctima.

10. Adelantar la investigación pertinente para determinar una probable responsabilidad de funcionarios de la entidad financiera o establecimiento comercial en la suplantación de identidad, interponiendo las respectivas acciones judiciales, en caso de encontrar eventuales indicios o pruebas en el caso.

Parágrafo 1°. De conformidad con el numeral l del artículo 2 del Decreto 1064 de 2020, la Ley 1266 de 2008 y la Ley 1581 de 2012 dentro de los 6 meses siguientes a la expedición de la presente ley, la Superintendencia de Industria y Comercio - SIC y la Superintendencia Financiera, en coordinación con el Ministerio de Tecnologías de la Información y las Comunicaciones, en el marco de cada una de sus competencias deberán reglamentar los protocolos para atender oportunamente los reportes de posible suplantación por parte de los operadores de telecomunicaciones y las entidades financieras y/o crediticias y demás establecimientos comerciales con esta competencia en procesos de adquirir bienes o servicios de manera física y/o medios electrónicos por parte de particulares. Los protocolos deberán incluir mecanismos, herramientas y metodologías idóneos que permitan la plena identificación del potencial adquirente.

Parágrafo 2°. En caso de que se verifique el incumplimiento de los lineamientos, recomendaciones y protocolos de seguridad expedidos por las autoridades competentes y hubiere una solicitud de corrección del titular manifestando ser víctima de suplantación, en los términos del artículo 7° de la presente ley, dará lugar a la suspensión de la gestión de cobranza y a la modificación sobre el reporte realizado en las centrales financieras y/o crediticias y los operadores de información. El incumplimiento igualmente dará lugar a la obligación de devolución oportuna de los dineros y/o la eliminación de las acreencias que fueron objeto de defraudación a la persona suplantada. No podrá congelarlos ni esperar respuesta o autorización del titular de la cuenta donde fueron transferidos los dineros objeto de defraudación para el reverso de la transacción.

Parágrafo 3°. La elusión de respuesta a las solicitudes o quejas del numeral 3, tiene efectos de silencio en los términos dispuestos en la Ley 2157 de 2021.

Artículo 6º. Obligaciones de la persona suplantada. Será deber de las personas suplantadas, una vez tengan conocimiento de la ocurrencia de suplantación de identidad:

1. Informar al operador de telecomunicaciones o entidad financiera y/o crediticias y demás establecimientos comerciales con esta competencia, que ha sido suplantado en su identidad en cuanto tenga conocimiento de ese hecho para la cancelación del bien y/o servicio adquirido sin su autorización.

2. Aportar los documentos y elementos de prueba sumaria que sirvan para demostrar que ha sido suplantada y con esto coadyuvar tanto a la entidad como a las autoridades judiciales a esclarecer los hechos.

3. Denunciar ante la Fiscalía General de la Nación o la Policía Nacional el presunto delito de falsedad personal, documental y conexos de los cuales ha sido víctima.

4. En caso de ser suplantado mediante la creación de perfiles digitales falsos en cualquier red social, la persona afectada debe realizar de forma oportuna la denuncia o reclamación, según corresponda, ante estas plataformas y la Fiscalía General de la Nación.

5. Realizar la prueba de validación de identidad que establezca el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia, ante quien se haya informado que ha sido suplantado en su identidad.

Artículo 7º. Reporte a centrales de riesgo y/o entidades de información financiera y/o crediticia y demás establecimientos comerciales con esta competencia. Modifíquese el artículo 7 de la Ley 2157 de 2021 que añade los numerales 7 y 8 en el numeral II del artículo 16 de la Ley 1266 de 2008 el cual quedará de la siguiente manera:

ARTÍCULO 7°. Adiciónese los numerales 7 y 8 en el numeral II del artículo 16 de la Ley 1266 de 2008, que quedarán así:

7. De los casos de suplantación. En caso de que el titular de la información manifieste ser víctima del delito de falsedad personal contemplado en el Código Penal, y le sea exigido el pago de obligaciones como resultado de la conducta punible de la que es víctima, deberá poner en conocimiento y solicitar la corrección ante la fuente adjuntando los soportes correspondientes.

La fuente, una vez reciba la solicitud, deberá cotejar, dentro de los diez (10) días hábiles siguientes, los documentos utilizados para adquirir la obligación que se disputa, con los documentos allegados por el titular en la petición, los cuales se tendrán como prueba sumaria para probar la falsedad y sin la exigencia de ningún requisito adicional, la fuente deberá solicitar la modificación del dato negativo, récord (scoringsscore) y cualquier otro dato que refleje el comportamiento del titular de la información reflejando que la víctima de falsedad personal no es quien adquirió las obligaciones, y se incluirá una leyenda dentro del registro personal que diga -Víctima de Falsedad Personal-.

La modificación de que trata el inciso anterior deberá ser efectuada por la fuente dentro de los diez (10) días hábiles siguientes a ser informada por el titular.

La fuente, con las discrepancias evidenciadas entre los documentos, deberá denunciar el delito de estafa del que haya podido ser víctima.

La leyenda "Víctima de Falsedad Personal" que se incluya en el registro personal del titular de la información no podrá tenerse como un reporte negativo ni podrá ser causal de disminución en la calificación de riesgo ni alterar sus estudios financieros o crediticios.

En el análisis del riesgo crediticio se tendrá en cuenta esta marcación con el único fin de realizar una verificación intensificada de la identidad del titular e impedir que esta situación se presente nuevamente.

8. Silencio. Las peticiones o reclamos deberán resolverse dentro de los quince (15) días hábiles siguientes a la fecha de su recibo. Prorrogables por ocho (8) días hábiles más, según lo indicado en el numeral 3, parte II, artículo 16 de la presente ley. Si en ese lapso no se ha dado pronta resolución, se entenderá, para todos los efectos legales, que la respectiva solicitud ha sido resuelta favorablemente. Si no lo hiciere, el peticionario podrá solicitar a la Superintendencia de Industria y Comercio y a la Superintendencia Financiera de Colombia, según el caso, la imposición de las sanciones a que haya lugar conforme a la presente ley, sin perjuicio de que ellas adopten las decisiones que resulten pertinentes para hacer efectivo el derecho al hábeas data de los titulares.

Artículo 8°. Suspensión del cobro de obligaciones por el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia. Cuando una persona suplantada se oponga al cobro de un bien o servicio por parte de los operadores de telecomunicaciones o entidades financieras y/o crediticias y demás establecimientos comerciales con esta competencia haciéndoles saber que ha sido víctima de esta conducta conforme a las obligaciones señaladas en el artículo 6 de la presente ley, se deberá proceder de la siguiente manera:

Una vez el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia es informado de la suplantación de identidad, deberá suspender de manera inmediata el cobro del bien y/o servicio incluyendo los intereses, gastos de cobranza y demás que se pudieren haber generado.

El operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia deberá comunicar a la persona suplantada que a partir de ese momento cuenta con veinte (20) días hábiles para interponer ante la Fiscalía General de la Nación la denuncia por el delito de falsedad personal y conexos de los cuales ha sido víctima y allegar al operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia los soportes y documentos respectivos los cuales se tendrán como prueba sumaria para que la entidad pueda cancelar el cobro de la obligación si así lo considera.

Parágrafo 1°. De no presentarse, dentro del plazo señalado en este artículo, la denuncia y los soportes y los demás documentos referidos en el inciso anterior, el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia podrá reanudar el cobro del bien o servicio incluyendo intereses y demás gastos desde el momento en que se había suspendido el cobro, así como efectuar el reporte ante los operadores de información financiera.

Parágrafo 2°. El término de prescripción de la acción pauliana consagrada en el artículo 2491 de Código Civil empezará a correr desde el momento en que exista un pronunciamiento judicial que ponga fin a la actuación penal determinándose que no existió la suplantación de identidad, de acuerdo con lo establecido en el artículo 9° de la presente ley.

Artículo 9º. Duración de la suspensión del cobro de obligaciones por el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia. Suspendido el cobro del bien o servicio, el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia deberá esperar hasta que exista un pronunciamiento judicial que ponga fin a la actuación penal, para determinar si continúa con el cobro o no.

De comprobarse por las autoridades judiciales la suplantación de identidad mediante la falsedad personal y delitos conexos, la persona suplantada será exonerada y desvinculada de cualquier cobro y reporte negativo en las centrales de riesgo por parte del operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia, quienes podrán constituirse como víctimas en el proceso penal.

De encontrarse por las autoridades judiciales que no existió suplantación de identidad y que la persona que alegaba haber sido suplantada si fue quien adquirió el bien o servicio, el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia podrá reanudar el cobro del bien o servicio con todos los intereses y demás valores que se hubieren causado como si nunca se hubiera suspendido el cobro. En este caso, mientras el servicio estuvo suspendido a la espera de decisión judicial, no operará para el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia el término de prescripción para el cobro de las obligaciones, el cual iniciará una vez quede en firme la decisión de la autoridad judicial que archive o culmine el proceso.

La persona que alegaba haber sido suplantada se enfrentará a las responsabilidades penales a que haya lugar por la falsa denuncia y demás conductas sujetas al Código Penal.

Parágrafo. Cuando el proceso penal finalice con decisión de archivo por no poder identificar el sujeto activo de la conducta, la Fiscalía General de la Nación deberá indicar si efectivamente ocurrió la falsedad personal, aun cuando no fuera posible seguir con el proceso penal por no identificar el sujeto activo de la conducta, con el fin de que la persona suplantada no se vea sujeta a nuevos cobros o reportes por las obligaciones contraídas por quien cometió el delito.

Artículo 10°. Deber especial del operador de telecomunicaciones, entidad financiera y/o crediticia y de las demás autoridades en el ámbito de sus competencias. Con el fin de coadyuvar a la administración de justicia y recortar los tiempos en la resolución de estos asuntos, el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia debe verificar detalladamente la veracidad de la presunta suplantación y de encontrarse elementos que evidencien la suplantación, se liberará a la persona suplantada de la obligación de interponer una denuncia ante la Fiscalía General de la Nación y se le exonerará y desvinculará de cualquier cobro por cuenta de la adquisición de este bien y/o servicio.

El operador de telecomunicaciones, la entidad financiera y/o crediticia o las demás autoridades en el ámbito de sus competencias cuando conozca de estos casos, no podrá determinar que no existió suplantación, toda vez que esta decisión estará reservada a las autoridades judiciales competentes.

Artículo 11°. Servicio público de información, asistencia y denuncias. Cada autoridad, en el ámbito de sus competencias, velará por el cumplimiento de las disposiciones enunciadas en la presente ley y podrá actuar en uso de sus facultades en caso de incumplimiento por parte de los operadores de telecomunicaciones o las entidades financieras y/o crediticias y demás establecimientos comerciales con esta competencia única y exclusivamente en referencia en temas relacionados con el manejo de Habeas Data.

Las autoridades dispondrán de canales virtuales, físicos y telefónicos para la atención oportuna y de calidad a las quejas, denuncias, reclamos y apelaciones de las personas suplantadas, exclusivamente en temas relacionados con la protección de los datos personales.

En estos se brindará información y asistencia sobre las acciones que debe realizar la persona afectada para poner en conocimiento de las entidades públicas y empresas privadas de la suplantación de su identidad.

Parágrafo. Dentro de los seis (06) meses siguientes a la expedición de la presente ley, el Gobierno Nacional diseñará y dará a conocer a los ciudadanos la ruta pública integral de servicio y atención a las personas afectadas por la suplantación de su identidad.

Artículo 12°. Cultura de la Seguridad Digital. Autorícese al Ministerio de las Tecnologías  de  la  Información  y  Comunicaciones, a la Superintendencia de Industria y Comercio y a la Superintendencia Financiera de Colombia a incorporar los recursos necesarios para que se financien productos audiovisuales cortos con perfil multiplataforma que informe a las personas la importancia del manejo de sus datos personales y del correcto uso de las redes sociales y la ruta que deben seguir en caso de ser afectadas por la utilización de sus datos personales de forma fraudulenta ante un operador de telecomunicaciones o entidad financiera y crediticia y demás establecimientos comerciales con esta competencia.

Los productos audiovisuales podrán transmitirse a nivel nacional en alguno de los canales del Sistema de Medios Públicos.

Parágrafo. Los productos audiovisuales que informen a las personas la importancia del manejo de sus datos personales y del correcto uso de las redes sociales, junto con la ruta que deben seguir en caso de ser afectadas, implementará las herramientas necesarias para que las personas con discapacidades visuales, o auditivas puedan acceder a ella.

Artículo 13°. Vigencia. La presente ley entrará en vigencia dentro de los seis (6) meses siguientes a su promulgación, con excepción de los parágrafos Primero y segundo del artículo quinto (5), los cuales entrarán en vigencia con la promulgación de la ley.

2. Decisión

PRIMERO. Declarar CONSTITUCIONAL, en cuanto al procedimiento de formación y trámite legislativo, el Proyecto de Ley Estatutaria N° 190 de 2022 Cámara – 303 de 2023 Senado “Por medio del cual se establecen medidas para proteger a las personas del reporte negativo ante operadores de información y el cobro de obligaciones en casos de suplantación de identidad ante los operadores de telecomunicaciones, las entidades financieras – crediticias y demás establecimientos comerciales con esta competencia y se dictan otras disposiciones”.

SEGUNDO. Declarar CONSTITUCIONALES los artículos 1º, 4º, 6º, 10, 11 y 13 del Proyecto de Ley Estatutaria objeto de revisión.

TERCERO. Declarar CONSTITUCIONAL el artículo 2° del Proyecto de Ley Estatutaria objeto de revisión, con excepción de sus literales a) y c), respecto de los cuales se decide ESTARSE A LO RESUELTO en la Sentencia C-748 de 2011 y, en consecuencia, se declara su CONSTITUCIONALIDAD; y de su literal d) que se declara CONSTITUCIONAL en el entendido de que: (i) los operadores de telecomunicaciones y las entidades financieras y/o crediticias, al remitir la información y los documentos deberán cumplir con la carga de veracidad respecto de la plena identidad del cliente y en relación con el reporte negativo de la persona víctima de suplantación; (ii) la carga dinámica de la prueba se aplicará en los procesos judiciales, que no sean de naturaleza penal, en los que se discuta sobre la ocurrencia de una suplantación personal y (iii) el juez de conocimiento determinará la operancia de la inversión de la carga de la prueba.

CUARTO. Declarar CONSTITUCIONAL el artículo 3º del Proyecto de Ley Estatutaria objeto de revisión, con excepción de su numeral 5°, que se declara CONSTITUCIONAL en el entendido de que la suplantación de identidad digital puede ser a través de cualquier tipo de tecnología existente o que exista en el futuro para el manejo de mensajes, y de su numeral 7º, respecto del cual se decide ESTARSE A LO RESUELTO en la Sentencia C-1011 de 2008 y, en consecuencia, declarar su CONSTITUCIONALIDAD.

QUINTO. Declarar CONSTITUCIONAL el artículo 5° del Proyecto de Ley Estatutaria objeto de revisión, con excepción de las expresiones “La persona suplantada deberá acompañar esta solicitud con una copia de la denuncia presentada ante la Fiscalía General de la Nación.” y “que haya cumplido las condiciones mencionadas anteriormente”, contenidas en el numeral 7º, que se declaran INCONSTITUCIONALES.

SEXTO. Declarar CONSTITUCIONAL el artículo 7° del Proyecto de Ley Estatutaria objeto de revisión, con excepción del numeral 8, respecto del cual se decide ESTARSE A LO RESUELTO en la Sentencia C-282 de 2021 y, en consecuencia, declarar su CONSTITUCIONALIDAD.

SÉPTIMO. Declarar CONSTITUCIONAL el artículo 8° del Proyecto de Ley Estatutaria objeto de revisión, con excepción de su inciso tercero que se declara CONSTITUCIONAL en el entendido que, en el mismo término, el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia deberán formular la denuncia penal que corresponda.

OCTAVO. Declarar CONSTITUCIONAL el artículo 9° del Proyecto de Ley Estatutaria objeto de revisión, con excepción de su inciso primero que se declara CONSTITUCIONAL en el entendido que la suspensión del cobro de las obligaciones se mantendrá hasta tanto exista pronunciamiento judicial, incluido el archivo de la indagación o, en su defecto, hasta que medie decisión judicial en sede civil que defina la existencia de la obligación; y de su parágrafo que se declara CONSTITUCIONAL en el entendido que la decisión de archivo se refiere a la culminación formal de la indagación preliminar, sin que implique cosa juzgada ni extinción de la acción penal, y que esa decisión solo podrá establecer si la persona afectada participó o no en la transacción discutida judicialmente.

NOVENO. Declarar CONSTITUCIONAL el artículo 12 del Proyecto de Ley Estatutaria objeto de revisión, con excepción de la expresión “al correcto uso de las redes sociales” del inciso primero que se declara CONSTITUCIONAL en el entendido de que los productos audiovisuales desarrollados deben referirse únicamente a la materia regulada en esta ley.

DÉCIMO. ORDENAR que, en la publicación de la ley, una vez sea sancionada, se disponga la corrección del yerro tipográfico identificado en el parágrafo 3º del artículo 5° del Proyecto de Ley Estatutaria, de acuerdo con lo señalado en el artículo 45 de la Ley 4ª de 1913 y conforme lo indicado en esta providencia.

DÉCIMO PRIMERO. REMITIR al presidente del Senado de la República el Proyecto de Ley Estatutaria número 190 de 2022 Cámara - 303 de 2023 Senado “por medio del cual se establecen medidas para proteger a las personas del reporte negativo ante operadores de información y el cobro de obligaciones en casos de suplantación de identidad ante los operadores de telecomunicaciones, las entidades financieras – crediticias y demás establecimientos comerciales con esta competencia y se dictan otras disposiciones” para que su texto sea ajustado de acuerdo con el resolutivo de la presente sentencia, se firme por los dignatarios de ambas cámaras legislativas y sea remitido de inmediato a la Presidencia de la República para su sanción y promulgación.

3. Síntesis de los fundamentos

La Corte Constitucional abordó la revisión oficiosa e integral del Proyecto de Ley Estatutaria número 190 de 2022 Cámara - 303 de 2023 Senado, “por medio del cual se establecen medidas para proteger a las personas del reporte negativo ante operadores de información y el cobro de obligaciones en casos de suplantación de identidad ante los operadores de telecomunicaciones, las entidades financieras, crediticias y demás establecimientos comerciales con esta competencia y se dictan otras disposiciones”.

En primer lugar, la Corte Constitucional estudió el procedimiento legislativo al que se sometió la iniciativa. En particular, advirtió que: (i) en los debates ante la Cámara de Representantes y el Senado de la República se cumplieron los requisitos constitucionales relativos a la discusión y votación, términos entre debates, publicación, anuncios previos, quórums, mayorías absolutas y votaciones nominales y públicas; (ii) el PLE fue aprobado en una sola legislatura, en este caso 2022 – 2023; (iii) se respetaron los principios de consecutividad e identidad flexible, sin elusión del debate por alguna célula legislativa; (iv) el PLE cumplió con el principio de unidad de materia; (v) el requisito de consulta previa no resultaba exigible respecto del proyecto de ley estatutaria objeto de revisión y (vi) tampoco era exigible el requisito de análisis de impacto fiscal al no contener órdenes de gasto.

Ahora bien, respecto del trámite de conciliación de la iniciativa, tuvo en cuenta que mediante Auto 1298 del 1 de agosto de 2024, la Sala Plena evidenció un vicio de procedimiento generado por la vulneración del principio constitucional de pluralismo político en la conformación de la comisión de conciliación intercameral y, con fundamento en lo anterior, le ordenó a ambas cámaras del Congreso de la República la subsanación del mismo.

En cumplimiento de las órdenes proferidas en el Auto 1298 de 2024, la Sala evidenció que tanto la Cámara de Representantes como el Senado de la República subsanaron el vicio de procedimiento declarado en dicha providencia. Lo anterior, al tener en cuenta que, de los informes y pruebas aportadas en el trámite constitucional, se acreditó lo siguiente: (i) la Comisión de Conciliación se conformó por 10 congresistas (5 por cada cámara) pertenecientes a diferentes partidos políticos; (ii) el informe de conciliación del proyecto de ley estatutaria 190 de 2022 Cámara – 303 de 2023 Senado fue publicado en la Gaceta del Congreso n.° 2156 de 2024 (Senado y Cámara); (iii) los anuncios previos se efectuaron en la sesión plenaria del 5 de diciembre de 2024 de la Cámara de Representantes y en la sesión plenaria del 11 de diciembre de 2024 del Senado de la República, tal y como consta en las gacetas del Congreso n.° 639 de 2025 y 1124 de 2025, respectivamente; (iv) el informe de conciliación fue discutido y aprobado por la plenaria de la Cámara de Representantes en sesión del 9 de diciembre de 2024 y por la plenaria del Senado de la República en sesión del 12 de diciembre de 2024, como se evidencia en las gacetas del Congreso n.° 691 de 2025 y 1125 de 2025, respectivamente. Y (v) la subsanación se realizó dentro del término otorgado por la Corte Constitucional.

Enseguida, la Sala Plena adelantó el análisis material del articulado, para lo cual desarrolló tres aspectos que consideró relevantes en aras de contextualizar el proyecto.

El primero de ellos se relacionó con el contenido y alcance del derecho al habeas data general y financiero. En este punto, la Corte se refirió a su naturaleza, al objeto del que se ocupa, a los sujetos que intervienen en la materia y a los principios de los que se derivan las garantías para el titular del dato personal, así como los deberes correlativos para los sujetos que intervienen en su administración o tratamiento. En este análisis consideró especialmente las leyes estatutarias 1266 de 2008, 1581 de 2012 y 2157 de 2021, al igual que la jurisprudencia constitucional en la materia.

El segundo se ocupó de caracterizar la suplantación personal y de resaltar cómo el uso de las tecnologías y plataformas digitales facilita y propicia la proliferación de este fenómeno a través de la comisión de ciberdelitos. Se destacó al respeto que esta práctica genera riesgos para los Estados y los particulares y, de manera general, se hizo referencia a las regulaciones a través de las cuales países como Estados Unidos, Brasil, España, Argentina y Chile, así como la Unión Europea, han intentado hacer frente al fenómeno de la suplantación personal.

En el tercer asunto, esta Corte se refirió al fenómeno de la suplantación personal en Colombia, para lo cual evidenció el aumento significativo de esta práctica, asociado, principalmente, a los riesgos de la actividad digital. Resaltó que, para combatirlo, el ordenamiento jurídico debe garantizar protección tanto en materia penal como en materia comercial y/o financiera. En este último ámbito, las leyes estatutarias 1266 de 2008 y 2157 de 2021 ya consagran una esfera de protección, en cuanto regulan el manejo de la información contenida en bases de datos personales en materia financiera, crediticia, comercial y de servicios. Por su parte, en el escenario penal la salvaguarda proviene de la tipificación de los delitos como la falsedad personal, la estafa y otros conexos o relacionados.

De acuerdo con tales consideraciones, la Sala Plena abordó el examen de constitucionalidad de cada una de las disposiciones del proyecto de ley. En términos generales, la Corte indicó que aquellas relacionadas con (i) el objeto del PLE (artículo 1°); (ii) los principios aplicables (artículo 2°); (iii) las definiciones para efectos del PLE (artículo 3°); (iv) los tipos de suplantación de identidad (artículo 4°); (v) las obligaciones de los operadores de telecomunicaciones y las entidades financieras y/o crediticias y demás establecimientos comerciales con esta competencia (artículo 5°); (vi) las obligaciones de la persona suplantada (artículo 6°); (vii) el deber especial del operador de telecomunicaciones, entidad financiera y/o crediticia y de las demás autoridades en el ámbito de sus competencias (artículo 10) y (viii) el servicio público de información, asistencia y denuncias (artículo 11) son compatibles con la Constitución, en la medida en que materializan el derecho fundamental al habeas data general y, en particular, el financiero; así como hacen efectiva la protección de los derechos de las víctimas de delitos, en especial, a la protección de su honra y buen nombre, de su patrimonio, a la reparación y a obtener una resolución definitiva de las controversias.

El margen de configuración del legislador estatutario para ejercer su potestad normativa fue otro criterio al que respondieron varios de los preceptos analizados, en especial, las definiciones y clasificaciones técnicas que contiene la iniciativa. Algunos deberes y obligaciones de los sujetos concernidos con este proyecto también obedecen, especialmente, al uso de aquella potestad, mientras que en otras disposiciones los principios constitucionales de buena fe y solidaridad son su fundamento esencial.

Por lo anterior, la Corte Constitucional declaró la constitucionalidad de los artículos 1°, 4°, 6°, 10, 11 y 13. Ahora bien, en relación con los artículos 2°, 3°, 5° y 7° adoptó las siguientes determinaciones:

Primera, respecto del literal d) del artículo 2° del PLE la Corte consideró necesario condicionar su constitucionalidad en el entendido de que: (i) los operadores de telecomunicaciones y las entidades financieras y/o crediticias, al remitir la información y los documentos deberán cumplir con la carga de veracidad respecto de la plena identidad del cliente y en relación con el reporte negativo de la persona víctima de suplantación; (ii) la carga dinámica de la prueba se aplicará en los procesos judiciales, que no sean de naturaleza penal, en los que se discuta sobre la ocurrencia de una suplantación personal y (iii) el juez de conocimiento determinará la operancia de la inversión de la carga de la prueba. Lo anterior, con la finalidad de salvaguardar principios constitucionales relacionados con el debido proceso, la igualdad y la transparencia, entre otros.

Segunda, también condicionó la constitucionalidad del numeral 5° del artículo 3° del PLE para precisar la interpretación del mismo y sujetarlo a los parámetros superiores. Al respecto, determinó que dicha disposición era constitucional en el entendido de que la suplantación de identidad digital puede ser a través de cualquier tipo de tecnología existente o que exista en el futuro para el manejo de mensajes. Lo expuesto, a efectos de garantizar los derechos de la persona suplantada ante los avances tecnológicos y las diferentes formas de afectación a sus garantías superiores por medios digitales.

Tercera, respecto del numeral 7° del artículo 5° del PLE la Corte determinó que las expresiones “La persona suplantada deberá acompañar esta solicitud con una copia de la denuncia presentada ante la Fiscalía General de la Nación.” y “que haya cumplido las condiciones mencionadas anteriormente” eran inconstitucionales, por cuanto cualquier condicionamiento que constituya un requisito inexorable para la entrega de la documentación e información con base en la cual se contrató el bien y/o servicio es contrario a la Constitución. En efecto, establecer la denuncia como requisito para la consulta de la propia información personal vulnera los principios de transparencia y libertad de acceso del titular a su propia información.

Cuarta, señaló que el artículo 7º reiteró el mecanismo de reclamo que consagró la Ley 2157 de 2021 en casos de suplantación de identidad, con el fin de proteger a la víctima a través de la modificación del dato negativo en su registro personal. Para tales efectos basta la presentación de la solicitud de corrección del dato que haga el titular, acompañada de los soportes correspondientes, correspondiendo a la fuente denunciar el delito respectivo.

Quinta, la Sala Plena encontró que algunas de las normas sometidas a su estudio coincidían materialmente con el texto de previsiones estatutarias ya analizadas y declaradas constitucionales por esta corporación, con lo cual verificó la configuración de cosa juzgada respecto de ellas. Fue el caso de los literales a) y c) del artículo 2º, frente a los cuales se decidió estarse a lo resuelto en la Sentencia C-748 de 2011. También del numeral 7º del artículo 3º del PLE, que reprodujo la definición de “fuente” contenida en la Ley 1266 de 2008, la cual fue estudiada en la Sentencia C-1011 de 2008, y del numeral 8º contenido en el artículo 7º del PLE, que reprodujo parcialmente el artículo 7º de la Ley 2157 de 2021, examinado en la Sentencia C-282 de 2021.

Otras disposiciones centrales en el análisis de la Corte fueron los artículos 8º y 9º. En ellos se estableció el mecanismo bajo el cual opera el segundo gran componente de protección que prevé la iniciativa, relativo a la suspensión y extinción del cobro de las obligaciones que presuntamente son adquiridas en forma espuria apelando a la suplantación de identidad. Este aspecto, que es novedoso en el ordenamiento jurídico, fue concebido como un mecanismo de resolución de la controversia entre las entidades acreedoras y las víctimas de suplantación, presuntamente deudoras, que opera en dos fases. La primera es la suspensión del cobro de obligaciones, regulada en los artículos 8º y 9º, en tanto la segunda, se refiere a los mecanismos para la resolución definitiva del asunto, bien para exonerar en forma definitiva a la víctima o para reanudar el cobro de la obligación.

Respecto del artículo 8º del PLE, la Corte Constitucional estudió el deber que tienen los operadores, entidades y establecimientos concernidos de suspender de manera inmediata el cobro del bien y/o servicio, una vez son informados de la suplantación de identidad, con el aporte de la denuncia penal y los documentos de soporte. Esta suspensión incluye el cobro de los intereses, gastos de cobranza y demás que se pudieren haber generado. Al respecto se consideró que (i) la medida cumple con fines constitucionales importantes como materializar el derecho fundamental de habeas data, general y financiero, y proteger la honra, el buen nombre y el patrimonio de las víctimas de delitos ante escenarios de suplantación personal, (ii) es efectivamente conducente porque permite alcanzar el fin de evitar que el titular del dato afronte las consecuencias perjudiciales del uso fraudulento de sus datos personales y (iii) supera el examen de proporcionalidad intermedio, al no ser una medida evidentemente desproporcionada pues satisface en mayor medida el derecho fundamental al habeas data y estos beneficios son superiores a la interferencia moderada que puede tener dicho mecanismo en la libertad de empresa de los operadores y entidades concernidas.

Adicionalmente, respecto del inciso tercero del artículo 8° del PLE, la Sala encontró que era necesario establecer, en términos del principio de igualdad, que el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia formulara la denuncia penal que corresponda, en el mismo término previsto para la víctima de la suplantación.

Por otro lado, al estudiar el artículo 9º del PLE advirtió que este prevé la suspensión del cobro de obligaciones hasta el momento en que exista un pronunciamiento judicial en firme que ponga fin a la actuación penal y que, con ello, se pueda adoptar una decisión definitiva en la disputa entre entidades y el titular del dato que alega ser víctima de suplantación.

Si las autoridades judiciales comprueban que el acto de suplantación sí tuvo lugar procede exonerar y desvincular de cualquier cobro y reporte negativo en las centrales de riesgo a la persona suplantada, lo que resulta constitucional al ser garantía del cierre definitivo de la disputa, así como una medida para la protección del derecho de habeas data y de reparación que en su calidad de víctima tiene la persona que ha sido suplantada en su identidad, de manera que se pueda restablecer su situación devolviéndola, en lo posible, a la circunstancia anterior a la ocurrencia del ilícito.

También encontró ajustado a la Carta que si se comprueba que no existió suplantación de identidad y que la persona que alegaba haber sido suplantada si adquirió el bien o servicio, el operador de telecomunicaciones, entidad o establecimiento queda habilitado para reanudar el cobro de la obligación, con los intereses y demás valores que se hubieren causado, como si nunca se hubiera suspendido el cobro. Además, mientras el servicio estuvo suspendido a la espera de decisión judicial, no opera el término de prescripción para el cobro de las obligaciones. Advirtió que todo ello garantiza la libertad de empresa y la protección que merece este postulado, en su componente de derecho a recibir un beneficio económico razonable.

Al respecto y con la finalidad de ponderar los derechos constitucionales de la víctima de la suplantación y los de los operadores que se encuentran en tensión, así como las competencias constitucionales de la Fiscalía General de la Nación, la Sala consideró necesario condicionar la constitucionalidad del inciso primero del artículo 9° del PLE en el entendido que la suspensión del cobro de las obligaciones se mantendrá hasta tanto exista pronunciamiento judicial, incluido el archivo de la indagación o, en su defecto, hasta que medie decisión judicial en sede civil que defina la existencia de la obligación. Asimismo, condicionó la exequibilidad del parágrafo de aquella norma, en el entendido que la decisión de archivo proferida por la Fiscalía General de la Nación se refiere a la culminación formal de la indagación preliminar, sin que implique cosa juzgada ni extinción de la acción penal, y que esa decisión solo podrá establecer si la persona afectada participó o no en la transacción discutida judicialmente

Finalmente, sobre el artículo 12, la Sala advirtió la posibilidad de que dicha norma tuviera una interpretación constitucional contraria a la libertad de expresión, por lo que consideró necesario condicionar la expresión “al correcto uso de las redes sociales” del inciso primero en el entendido de que los productos audiovisuales desarrollados deben referirse únicamente a la materia regulada en la ley.

Disposiciones analizadas por Avance Jurídico Casa Editorial Ltda.©
"Leyes desde 1992 - Vigencia Expresa y Sentencias de Constitucionalidad"
ISSN [1657-6241]
Última actualización: 15 de diciembre de 2025 - (Diario Oficial No. 53.321 - 15 de diciembre de 2025)