Nueva ley cambia las reglas para víctimas de suplantación: bancos deberán suspender cobros y reportes negativos
La Ley 2573 de 2026 establece un nuevo procedimiento para quienes descubran créditos, compras o servicios adquiridos fraudulentamente a su nombre. La protección comenzará a operar de manera general en noviembre y también involucra a las centrales de riesgo.
Una nueva protección para quienes descubran deudas que nunca adquirieron
A partir de noviembre de 2026, las personas que sean víctimas de suplantación de identidad tendrán una nueva ruta legal para enfrentar créditos, compras, servicios u otras obligaciones que terceros hayan adquirido utilizando fraudulentamente sus datos.
La medida está contenida en la Ley 2573 de 2026, sancionada el 19 de mayo y avalada previamente por la Corte Constitucional. La norma establece mecanismos para proteger a las personas suplantadas tanto frente al cobro de las obligaciones como ante los reportes negativos en centrales de información financiera.
El cambio es relevante porque el problema no termina cuando una persona descubre que alguien utilizó su identidad. En muchos casos, además de enfrentar la investigación por el fraude, debe demostrar que no fue quien solicitó el crédito o contrató el servicio y lidiar con las consecuencias que la obligación puede generar en su historial financiero.
La nueva legislación busca modificar ese escenario.
Los bancos tendrán que suspender el cobro en estos casos
La norma establece que, cuando una persona informe que fue víctima de suplantación y aporte los elementos correspondientes, las entidades financieras y crediticias deberán activar un procedimiento especial.
Uno de los efectos centrales será la suspensión del cobro de las obligaciones adquiridas fraudulentamente, mientras las autoridades determinan si realmente existió la suplantación.
La Corte Constitucional consideró constitucional esta medida y señaló que la suspensión inmediata del cobro persigue fines relacionados con la protección del derecho al habeas data y del patrimonio de las víctimas. También precisó que la suspensión debe mantenerse hasta que exista una decisión judicial que defina la existencia de la obligación, incluyendo determinadas decisiones dentro de la investigación.
Esto significa que la norma no elimina automáticamente una deuda simplemente porque alguien manifieste haber sido víctima de fraude. Existe un procedimiento y la determinación definitiva sobre la obligación corresponde a las autoridades competentes.
¿Qué pasa con DataCrédito y las centrales de riesgo?
La protección también alcanza la información negativa que pueda aparecer en las centrales de riesgo como consecuencia de una obligación que la víctima asegura no haber adquirido.
Cuando se active el procedimiento por suplantación, la entidad deberá gestionar ante los operadores de información las actuaciones correspondientes para evitar que la víctima cargue con un reporte negativo generado por una deuda presuntamente fraudulenta.
Si posteriormente se establece que efectivamente existió la suplantación, la persona afectada quedará exonerada de la obligación y el reporte negativo relacionado con ella deberá mantenerse eliminado.
Si, por el contrario, la autoridad determina que no hubo suplantación, podrán reanudarse los cobros y las consecuencias correspondientes sobre la obligación.
Por eso, no se trata de una eliminación general de reportes en DataCrédito ni de una amnistía para quienes tienen deudas legítimas.
La persona afectada tendrá que demostrar inicialmente la suplantación
La nueva protección tampoco significa que el usuario pueda simplemente llamar al banco y dejar de pagar.
La Ley 2573 establece una ruta para que la persona informe a la entidad que fue suplantada y entregue documentos y elementos que permitan sustentar inicialmente su reclamación. La entidad, a su vez, debe analizar la documentación utilizada para adquirir el crédito, producto o servicio y remitir la información a las autoridades correspondientes.
La Corte Constitucional introdujo además condicionamientos a algunas disposiciones de la ley. Entre ellos, determinó que la denuncia ante la Fiscalía no puede convertirse en un requisito para que una persona pueda consultar su propia información personal, debido a las garantías constitucionales relacionadas con el acceso a los datos.
Esto es importante porque la aplicación de la ley no puede resumirse simplemente en la idea de que “basta con denunciar para que desaparezca la deuda”.
¿Qué tipos de suplantación contempla la ley?
La Ley 2573 contempla diferentes formas de suplantación de identidad.
Una corresponde al uso indebido de documentos, datos personales o instrumentos financieros para obtener bienes, servicios u obligaciones a nombre de otra persona.
La segunda está relacionada con la suplantación mediante medios electrónicos, que comprende la utilización de herramientas tecnológicas para obtener información personal o financiera sin autorización del titular.
La Corte amplió la interpretación de esta segunda modalidad para que la protección no quede limitada a una tecnología específica, teniendo en cuenta que las formas de fraude digital pueden cambiar con el tiempo.
No solo los bancos están incluidos
Aunque la discusión pública se ha concentrado en los bancos y DataCrédito, el alcance de la norma es más amplio.
La Ley 2573 establece obligaciones también para operadores de telecomunicaciones y otros establecimientos comerciales que tengan competencia para generar este tipo de obligaciones. Esto significa que la protección puede aplicar a casos en los que terceros hayan contratado servicios, comprado productos o adquirido obligaciones utilizando fraudulentamente los datos de otra persona.
Por eso, la discusión no se limita a los créditos bancarios tradicionales.
¿Cuándo comienza a regir la nueva ley?
La Ley 2573 fue promulgada el 19 de mayo de 2026 y su artículo 13 establece que entrará en vigencia dentro de los seis meses siguientes a su promulgación, con una excepción para los parágrafos primero y segundo del artículo 5.
La aplicación general está prevista para noviembre de 2026. La Superintendencia Financiera también ha señalado que las entidades deben atender las obligaciones establecidas por la ley una vez entre en vigor su régimen correspondiente.
En consecuencia, durante las próximas semanas bancos, entidades crediticias, operadores de telecomunicaciones y otros actores deberán adecuar sus procedimientos para atender este tipo de reclamaciones.
¿Qué debe hacer una persona que descubre un crédito que nunca solicitó?
La nueva legislación establece una ruta, pero una persona que descubra una obligación que no reconoce no debería esperar a noviembre para empezar a recopilar información.
Lo primero es identificar la entidad que originó la obligación y solicitar los documentos relacionados con la contratación. También resulta fundamental conservar comunicaciones, comprobantes, capturas de pantalla y cualquier otra evidencia que pueda ayudar a establecer que los datos fueron utilizados fraudulentamente.
La persona debe informar a la entidad correspondiente sobre la posible suplantación y seguir el procedimiento establecido. La Superintendencia Financiera ha explicado que la determinación definitiva sobre si efectivamente ocurrió una suplantación corresponde a las autoridades judiciales competentes.
Una diferencia que conviene tener clara
La nueva ley no significa que desde noviembre los bancos dejarán de cobrar cuotas ni que desaparecerán los reportes negativos de DataCrédito.
La protección está dirigida a una situación concreta: cuando una persona ha sido víctima de suplantación y la obligación que aparece a su nombre fue adquirida fraudulentamente por un tercero.
El objetivo es evitar que la víctima tenga que asumir provisionalmente las consecuencias económicas de una deuda que no contrajo mientras se determina qué ocurrió.
La diferencia es fundamental: una persona que legítimamente adquirió un crédito y dejó de pagarlo seguirá sometida a las reglas ordinarias de cobro y reporte de información.
La novedad está en la protección especial para quienes puedan demostrar que detrás de la obligación existe un fraude de identidad.
Los datos clave
Ley: 2573 de 2026
Fecha de promulgación: 19 de mayo de 2026
Aplicación general: noviembre de 2026
Beneficiarios: víctimas de suplantación de identidad
Protección: suspensión de cobros y medidas frente a reportes negativos derivados de la obligación fraudulenta
Entidades involucradas: financieras, crediticias, telecomunicaciones y determinados establecimientos comerciales
Centrales de riesgo: incluye actuaciones frente a información negativa derivada de la suplantación
