¿Le cobran una deuda que nunca adquirió? Así cambia la ley contra la suplantación

Por Enderson Jesús Sanz Da Silva — Abogado

Una persona consulta su historial crediticio y encuentra un préstamo que nunca solicitó. Otra recibe llamadas de cobranza por una línea telefónica abierta en una ciudad que jamás ha visitado. En ambos casos, la respuesta inicial puede resultar desconcertante: para reclamar, deben explicar por qué aparece una obligación a su nombre, aunque aseguran no haber firmado ni autorizado contrato alguno.

El problema ha llevado a las autoridades a revisar cómo se verifica la identidad de quienes adquieren productos financieros y servicios. En septiembre de 2026, la Superintendencia de Industria y Comercio (SIC) convocó una consulta pública para construir protocolos de validación de identidad. Al mismo tiempo, se acerca la entrada en vigor general de la Ley Estatutaria 2573 de 2026, prevista para el 19 de noviembre. La norma introduce herramientas específicas para proteger a quienes son víctimas de suplantación y luego enfrentan cobros o reportes negativos.

¿Qué ocurre cuando alguien utiliza datos ajenos para obtener un crédito, un teléfono o un servicio? ¿La persona afectada debe pagar mientras se descubre al responsable? ¿Basta con decir que hubo fraude para que desaparezca la deuda? Las respuestas exigen distinguir entre el derecho a cuestionar una obligación, la suspensión temporal de su cobro y la decisión definitiva sobre su existencia.

Un contrato a nombre de alguien no siempre demuestra que esa persona lo celebró

La suplantación puede ocurrir mediante documentos físicos, información personal obtenida sin autorización o mecanismos digitales, como formularios fraudulentos y cuentas falsas. En ocasiones, el afectado solo descubre lo sucedido cuando recibe una factura, una comunicación de una casa de cobranza o la negativa a un nuevo crédito.

La situación plantea un problema elemental: que una obligación aparezca asociada a un número de identificación no demuestra, por sí solo, que el titular haya manifestado su voluntad de contratar. Por eso, resulta indispensable examinar los documentos de vinculación, las verificaciones de identidad y la información que conserva quien otorgó el producto o servicio.

La Ley 2573, en sus artículos 2 y 5, refuerza los deberes de validación y de conservación y entrega de información. Cuando comience a aplicarse su régimen general, las entidades comprendidas por la norma deberán facilitar al presunto suplantado, a solicitud suya, los documentos e información utilizados para aprobar la operación. El propósito es que la reclamación no se reduzca a enfrentar la palabra de un ciudadano contra un registro informático.

¿Desde cuándo se aplica la nueva protección?

Este punto merece una precisión que puede evitar falsas expectativas. Aunque la ley fue expedida en mayo de 2026, su entrada en vigor general está prevista para el 19 de noviembre de 2026. Solo los parágrafos primero y segundo del artículo 5, relativos a protocolos de seguridad y consecuencias de su incumplimiento, comenzaron a regir desde la promulgación.

Así lo establece expresamente su artículo 13. En consecuencia, al 3 de noviembre no sería correcto presentar todos sus nuevos procedimientos como si ya fueran plenamente exigibles.

Eso no significa que las víctimas deban esperar sin hacer nada. La Constitución y la legislación vigente sobre hábeas data, en particular las leyes 1266 de 2008 y 1581 de 2012, ya protegen la veracidad y actualización de la información personal y permiten reclamar por datos inexactos. Lo que hará la Ley 2573 es establecer mecanismos adicionales y más específicos para estos casos.

¿Se puede suspender el cobro de una deuda presuntamente fraudulenta?

Una de las novedades más relevantes está en el artículo 8. A partir de su entrada en vigor, cuando una persona informe a una entidad comprendida en la ley que fue suplantada para adquirir un bien o servicio, la entidad deberá suspender inmediatamente la gestión de cobro de esa obligación, incluidos los intereses y gastos asociados, conforme al procedimiento legal.

La Superintendencia Financiera, en el Concepto 2026124048-004 de julio de 2026, explicó que la suspensión inicial prevista en la norma no depende de que la víctima haya presentado previamente una denuncia penal. Se trata de una medida de protección mientras se esclarece quién contrajo realmente la obligación.

Pero suspender no equivale a condonar. La ley contempla un plazo de 20 días hábiles para presentar la denuncia penal y aportar los soportes correspondientes. Si la persona no cumple las exigencias aplicables dentro de ese término, la entidad podrá reanudar el cobro en los términos previstos por la norma.

También existen deberes para la entidad. La Sentencia C-413 de 2025 de la Corte Constitucional condicionó la disposición en el sentido de que, dentro del mismo plazo, el proveedor del producto o servicio debe formular la denuncia penal que corresponda. El procedimiento, por tanto, no descarga toda la responsabilidad de investigar sobre el ciudadano.

¿Qué sucede con el reporte en las centrales de riesgo?

El perjuicio no siempre se limita a recibir facturas. Un reporte negativo asociado a una obligación fraudulenta puede dificultar el acceso a crédito, afectar la calificación de riesgo y comprometer el buen nombre del afectado.

El artículo 7 de la Ley 2573 introduce reglas para solicitar la corrección de esa información. La fuente; por ejemplo, la entidad que originó el crédito o el servicio, deberá cotejar los documentos utilizados para adquirir la obligación con los que presente quien alega ser víctima de suplantación, dentro del término legal de diez días hábiles. Cuando corresponda, deberá gestionar la modificación de la información y la inclusión de la anotación "Víctima de Falsedad Personal".

Esa anotación no debe tratarse como un reporte negativo ni deteriorar la puntuación crediticia. Su finalidad es advertir que la identidad requiere una verificación reforzada para prevenir nuevos fraudes.

Es importante no confundir dos actuaciones: cuestionar un reporte crediticio y suspender el cobro de una obligación no son exactamente lo mismo. Cada una responde a presupuestos y efectos propios, aunque las dos puedan derivarse de una misma suplantación.

¿Quién tiene que probar que hubo suplantación?

Durante años, una de las dificultades prácticas de estas reclamaciones ha sido exigirle al afectado demostrar un hecho negativo: que no fue quien solicitó un crédito o firmó un contrato. La nueva ley recoge el principio de carga dinámica de la prueba, según el cual debe aportar la prueba quien esté en mejores condiciones de hacerlo.

Sin embargo, hay un límite jurídico fundamental. La Corte Constitucional, en la Sentencia C-413 de 2025, precisó que la aplicación de esa carga dinámica corresponde al juez, dentro de procesos judiciales que no sean penales, y depende de las circunstancias concretas. No significa que cualquier afirmación de suplantación obligue automáticamente a tenerla por demostrada.

Las empresas, por su parte, no pueden limitarse a exhibir una base de datos si existen dudas serias sobre la identidad del contratante. Deben estar en capacidad de explicar qué verificaciones realizaron y qué soportes respaldan la vinculación. Al mismo tiempo, quien reclama debe actuar de buena fe y aportar los elementos disponibles para esclarecer lo ocurrido.

La denuncia penal no es la única actuación importante

Frente a una posible suplantación, conviene comunicar el hecho por escrito a la entidad que reclama el pago, identificar la obligación discutida y solicitar copia de sus soportes: contrato, solicitud, documentos de identificación, registros de validación y demás evidencias pertinentes. También es recomendable conservar los mensajes de cobro y las constancias de radicación.

Si existe un reporte en centrales de riesgo, debe pedirse expresamente su revisión y corrección ante la fuente de información. Según corresponda, pueden intervenir la SIC o la Superintendencia Financiera, cada una dentro de sus competencias de protección de datos y supervisión.

La denuncia ante las autoridades penales ayuda a investigar el posible delito y adquiere una relevancia particular dentro del nuevo procedimiento. No obstante, el artículo 10 de la Ley 2573 contempla que, si la entidad encuentra elementos que evidencien la suplantación, pueda exonerar y desvincular a la persona afectada sin exigirle formular previamente esa denuncia. La norma también impide que la empresa se atribuya, por sí sola y de manera definitiva, la función judicial de declarar que no existió suplantación.

Por último, debe recordarse que las consecuencias definitivas dependen de las verificaciones y decisiones que correspondan. La Corte Constitucional precisó que el levantamiento de la suspensión debe atender al resultado de la actuación judicial pertinente, incluida la terminación formal de la indagación o, cuando corresponda, una decisión en sede civil. Ni toda reclamación prueba un fraude ni todo archivo de una investigación significa que la persona sí contrajo la deuda.

La tecnología debe facilitar las operaciones, no trasladar el fraude a la víctima

Abrir una cuenta, solicitar un préstamo o contratar un servicio desde un celular puede tomar minutos. Esa facilidad impone también la necesidad de comprobar razonablemente la identidad de quien realiza la operación. La agilidad comercial no debería convertirse en una excusa para que las consecuencias de controles deficientes recaigan únicamente sobre quien nunca contrató.

La Ley 2573 representa un avance al establecer procedimientos de suspensión, revisión documental y corrección de reportes, pero su aplicación exigirá respuestas oportunas de las entidades, controles proporcionados y respeto por el derecho de defensa de todas las partes.

En conclusión, nadie debería quedar obligado a pagar por el solo hecho de que un tercero haya utilizado fraudulentamente su nombre o sus datos. Tampoco basta una simple manifestación de desconocimiento para eliminar definitivamente una obligación: es necesario activar los procedimientos y esclarecer los hechos.

Porque robar una identidad no puede ser tan fácil como contratar un servicio, mientras recuperarla se convierte en una deuda interminable.