POR MEDIO DEL CUAL SE ESTABLECEN MEDIDAS PARA PROTEGER A LAS

. Objeto. La presente ley tiene por objeto la adopción de medidas, procesos y políticas por parte de los operadores de telecomunicaciones y las entidades financieras-crediticias y demás establecimientos comerciales con esta competencia, para proteger los derechos de las personas suplantadas en su identidad de reportes negativos ante operadores de información y el cobro de obligaciones.

. Principios. Serán aplicables los principios contenidos en la Ley 1266 de 2008 y la Ley 1581 de 2012, yen especial los que a continuación se enuncian, sin perjuicio de la aplicación integral de los principios enunciados en aquellas leyes: a. Principio de acceso y circulación restringida. El Tratamiento de datos se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el tratamiento sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley. Los datos personales, salvo la información pública, no podrán estar disponibles en internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los titulares o terceros autorizados conforme a la presente ley. b. Principio de seguridad. La información sujeta a tratamiento por el responsable del tratamiento o encargado del tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración , duplicación, pérdida, consulta , uso o acceso no autorizado o "fraudulento. c. Principio de veracidad . La información sujeta a tratamiento debe ser veraz, . completa, exacta, actualizada, comprobable y comprensible. Se prohíbe-el . tratamiento de datos parciales, incompletos, fraccionadoso 'que indu,zcan a error. d. Principio de carga dinámica de la prueba. Tendrá obligación 'de probar la parte que mejor se encuentre en condiciones de hacerlo. En materia de suplantación, los operadores de telecomunicaciones y las entidades 1 , " .. .. . .. ' · ; 2573 rinancieras y/o crediticias deberán en1regor la información y documentos que recibieron paro hacer-lo aprobación del bien o servicio_ .

. Definiciones. Para los efectos de la presente ley, se entiende por: 1. Ciberseguridad. Es el desarrollo de capacidades de -entidades públicas y privadas poro defehdel- y ' oniicipm las amenazas cibernéticos o de ingeniería social con el fin de proteger y asegurar los datos, sistemas y aplicac iones en e : ciberespacio que son esenciales poro !a operación de la entidad. 2. Ingeniería sodaL Método utilizado por los atacantes cibernéticos para engañar a los usumios informáticos, para que reol:cen uno acción que normolmen ie produce consecuencias negativas, corno !adescorgCl de virus informóticos y/o In divulgoción de información personal. 3. Persona suplantada . Es lo persono natural y/o jurídico que es afectado por iél :u tilizadón de sus ca los persor1oles de forma fraudulenta a través ' de medros fisicos vio digitole r. _ 4. Seguridad digital. Situación de normalidad y trol'¡quilidod del entorno digilal, resultado de la promoción de ICI gestión del riesgo, el tratamiento adecl.Jado de dotas personales, la implementación de medidas de cibel'seguridO'd yel uso efectivo de las capacidades de defensa digital .. 5. Suplantación de identidad digItal. Hacerse pasar por otro persona paro obtener un beneficio , engañOí a terceros, obtener bíenes y servicios con cargo o la persono suplantada, incurrií en fraudes, entre otras conductas ilícitas o troves de: ()sode programas informáticos, páginas informativas y/o ele c trónicas, correos electrónicos o, ingeniería social y mensajes de texto ­ MS/'v'¡-. ó. Suplantación de identidad física. Hacerse posar por etra persono p8ra obtener un beneficio, engallar a terceros, obtener bienes y seívicios con cargo a lo persono suplantada; incurrir en fraudes, entre otros conductas ilícitos; 7. Fuente. Es lo persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de uno relación comeícial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un opeíOdor de información, el que a su vez los entregará al usuario finol.

. . Tipos de suplantación de identidad. Paro los efectos de lo aplicación de la presente ley la suplantación de identidad se presentará en los siguientes cosos: a. la suplantación de identidad mediante la expedición y uso de datos para fines ilícitos. Se presen.to cuando se gesliona, obtiene, uso, venda, ofrezc;a, posea, suministre, intercambie, divulgue y/o emplee para fines ilícitos entre otros los siguientes: 2 2573 . ., l. Documentos de identificación personal nacional o extranjera, que no le pertenezca a quien la posee. 2. Datos personales sin autorización del titular de los mismos. 3. Tarjetas débito o crédito expedidas por entidades financieras y/o crediticias nacionales o extranjeras, que no le pertenezcan a quien las posee, y lo realice compras o transacciones con éstas. 4. Creación de perfiles digitales falsos que afecten la honra y buen nombre del titular de los datos personales suplantados. b. la suplantación de identidad mediante medios electrónicos. Ocurre cuando la suplantación se da a través de prácticas consistentes en el diseño, elaboración, desarrollo, descarga, comercialización, envío, venta, suministro, o uso para fines ilícitos de medios electrónicos que están dirigidos a obtener sin autorización del titular información o datos personales.

. Obligaciones de los operadores de telecomunicaciones y las entidades financieras y/o crediticias y demás establecimientos comerciales con esta competencia. Sin perjuicio de las obligaciones contenidas en la Ley 1266 de 2008 y 1581 de 2012, será deber de los operadores de telecomunicaciones y las entidades financieras y/o crediticias y demás establecimientos comerciales con esta competencia: l. Adoptar las medidas de seguridad digital suficientes y razonables necesarias para establecer la veracidad de la identidad de las personas y los documentos presentados para adquirir sus productos y lo servicios . 2. Cuando exista denuncia de falsedad personal o delitos conexos, se debe realizar el reporte correspondiente a los operadores de información, marcándolo como "victima de falsedad personal", sin que esto impacte la puntuación de la presunta víctima de suplantación. 3. Adoptar mecanismos suficientes y razonables que permitan validar la información que suministran las personas que adquieren sus productos y lo servicios. La validación de la veracidad de la información suministrada se hará bajo el principio de buena fe. 4. Dar trámite oportuno a las solicitudes y lo quejas allegadas por las personas suplantadas, dentro de los diez (10) días hábiles siguientes a la radicación del mismo, de conformidad con lo señalado en la Ley 2157 de 2021 . 5. Suspender de forma inmediata la prestación o suministro de los bienes y/o servicios que se hubiesen adquirido por conducta fraudulenta, una vez sean informados por las personas suplantadas . 6. Comunicar a la persona suplantada el término de que trata el artículo 7° de la presente ley, con el fin de ser beneficiario de suspensión de los cobros y reportes a los operadores de información financieras y lo cre.diticias . . 7. A solicitud de la persona presuntamente suplantado, entregar copia de la información y/o documentos aportados para la aprobación del producto y/o servicio que se haya solicitado a su nombre. 3 Bajó ninguna cil'culistancia podrá negarse la entrega de esto información a lo persona. 8. Emitir el íespeciivo reporte a lo Dirección de Impuestos Nacionoies, para evitar que la persona suplantada sufra perjuicios de carácter triputario consecuencia de la~ defraudaciones efectuadas. cÓmo ;, 9. La fuente cuando indique discrepancias entre los docume(ltos utilizados para adquirir lo obligación que se disputa, con I.os documentos ollegodos por el titular en la petición, los cuales se tendrán como prueba sumaria poro , , probar la falsedad, deberé denunciar el delito de estora del que haya podido ser víctima., - ", " " " iO. Adelantar la investigación pertinente paro delerminar una probable responsabilidad de funcionarios de la entidad financiero o establecimiento comercial en la suplantación de identidad, interponiendo las respectivas , .acciones judiciales, en caso de encontrar eventuales indicios o pruebas en el caso. Parógrafo 1°, De conformidad con el numeral: del artfcu!o 2 del Decre,Í'o ,1064 de 2020, la Ley 1266 de 2008 y la Ley 1581 de 2012 denho de los 6 meses siguientes a la expedición de lo presente ley, la Superintendencia de Industrio y Comercio - SiC y la Superintendencia Financiera, en coordinación con el Ministerio de Tecnologías de iainforrnación y los CornunicociolleS, enel ¡Y10íCO de cada una de sus competencias deberán reglamentar los orotoccios paro aiender oportunamente los reportes de posible suplantación por perte (je los oper'odores de telecomun¡Caciones y las entidades financieros y/o credHiciCis y demós establecirnier~tos comerciales con esta competencií.] en proce5osde adquirir bienes o servicios de manera física y/o medios electrónicos por parte de pClI'ticu!ares. Los píOtocolos deberán incluir mecanismos, herrurnienlas y metodologías idóneos que permitan la plena identificación del potencio! adquirente .

. Obligaciones de la persona suplantada. Será deber de los personos suplontadas, ' una vez tengan conocimiento de la ocurrencia de suplantación d'~ identidad: 4 257J 1. Informar -01 operador de telecomunicaciones o entidad financiero y/o crediticias y demás establecimientos comerciales con esto competencia , que ha sido suplantado en su identidad en cuanto tengo conoci'lliento de ese hecho paro lo cancelación del bien y/o servicio adquirido sin su autorización. 2. Aportar los documentos y elementos de pruebo sumario que sirvan paro demostrar que ha sido suplantado y con esto coadyuvar tonto o lo entidad como o las autoridades judiciales o esclarecer los hechos. 3. Denunciar ante lo Fiscalía General de lo Noción o io Policía Nocional el presunto delito de falsedad personal, documental y conexos de los cuales ha sido víctima. 4. En coso de ser suplantado mediante lo creación de perfiles digitales falsos en cualquier red social, lo persono afectado debe realizar de formo oportuno lo denuncio o reclamación, según correspondo, ante estos plataformas y lo Fiscalía General de lo Noción. 5. Realizar lo pruebo de validación de identidad que establezco el operador de telecomunicaciones o entidad financiero y/o crediticio y demás establecimientos comerciales con esto competencia, ante quien se hoyo informado que ha sido suplantado en su identidad.

. Reporte a centrales de riesgo y/o entidades de información financiera y/o crediticia y demás establecimientos comerciales con esta competencia. Modifíquese el artículo 7 de lo Ley 2157 de 2021 que añade los numerales 7 y 8 en el numeral II del artículo 16 de lo Ley 1266 de 2008 el cual quedará de lo siguiente manero:

. Suspensión del cobro de obligaciones por el operador de telecomunicaciones o entidad financiera y/o creditida y demás establecim¡entos comerciales con esta competencia. Cuando una persona suplantada se oponga al cobro de un bien o servicio por parte de los operadoí8s de telecomunicaciones o entidades financieros y/o crediticias y demás establecimientos ' comerciales con esta competencia haciéndoles saber que ha ' sido víctima ' de esta conducta conforme o las obligaciones señaladas enel artículo 6 de lo presente ley, se deberá proceder de la siguiente manera: Una vez el operador de telecomunicaciones o entidad financiel'o y/o crediticia y demás establecimientos comerciales con esta competencia es informado de la suplantación de identidad, deberá suspender de rnar:era inmediata el cobro del bien y/o servicio incluyendo los intereses, gastos de cobranza y demás que se pudieren haber generodo. El operodor de telecomunicaciones o entidad financiero y/o credit icia y demás establecimientos comerciales con esta competencia deberá comunicar a la persona suplantada que a partir de ese momento cuenta con veinte (20) días hábiles para interponer ante la Fiscolía General de la NaciÓn 16 denuncio por el delito de falsedad personal y conexos de los cuales ha sido víctima y allegar al operador de telecomunicaciones o entidad financiera y/o crediticio y demás establecimientos comerciales con esta competencia los soportes y documentos respectivos los cuales se tendrán como pruebo sumaria 6 paro que lo entidad puedo cancelar el cobro de lo obligación si así lo considero. denuncio y los soportes y los demás documentos referidos en el inciso anterior, el operador de telecomunicaciones o entidad financiero y/o crediticio y demás establecimientos comerciales con esto competencia podrá reanudar el cobro del bien o ser'ic:o incluyendo intereses y demás gastos desde el momento en que se habío suspendido el cobro, así como efectuar el reporte ante los operadores de información financiero.

. Duración de la suspensión del cobro de obligaciones por el operador de telecomunicaciones o entidad financiera y/o crediticia y demás establecimientos comerciales con esta competencia. Suspendido el cobro del bien o servicio, el operador de telecomunicaciones o entidad financiero y/o crediticio y demás establecimientos comerciales con esto competencia deberá esperar hasta que existo un pronunciamiento judicial que pongo fin o lo actuación penal, paro determinar si continúo con el cobro o no. De comprobarse por los autoridades judiciales lo suplantación de identidad mediante lo falsedad personal y delitos conexos, lo persono suplantado será exonerado y desvinculado de cualquier cobro y reporte negativo en los centrales de riesgo por parte del operador de telecomunicaciones o entidad financiero y/o crediticio y demás establecimientos comerciales con esto competencia, quienes podrán constituirse como víctimas en el proceso penal. De encontrarse por los autoridades judiciales que no existió suplantación de identidad y que lo persono que alegaba haber sido suplantado si fue quien adquirió el bien o servicio, el operador de telecomunicaciones o entidad financiero y/o crediticio y demás establecimientos comerciales con esto competencia podrá reonudar el cobro del bien o servicio con todos los intereses y demás valores que se hubieren causado como si nunca se hubiera suspendido el cobro. En este coso, mientras el servicio estuvo suspendido o lo espero de decisión judicial, no operará paro el operador de telecomunicaciones o entidad financiera y/o crediticio y demás establecimientos comerciales con esto competencia el término de prescripción paro el cobro de las obligaciones, el cual iniciará uno vez quede en firme lo decisión de lo autoridad judicial que archive o culmine el proceso. Lo persono que alegaba haber sido suplantado se enfrentará o las responsabilidades penales o que hoyo lugar por lo falso denuncio y demás conductas sujetos 01 Código Penal. Parágrafo. Cuando el proceso penal finalice con decisión de archivo por no poder identificar el sujeto activo de lo conducto , lo Fiscalía Generol de lo Noción deberá indicar si efectivamente ocurrió lo falsedad personal, aun cuando no fuero posible seguir con el proceso penal por no identificar el sujeto 7 -, ­ ,. activo de la conducto, con el fin de que lo persono suplantado no se vea sujeta a nuevos cobros o reportes por las obligaciones contraídos por quien cometió el delíto.

[)eber espeCial del' operador de telecorhunlcaciones; entidad financiero y/o ciediticía y de las demás autoridades en el ámbito de sus competencias. Con él - firl' decoddyuvara la· administración de justicia y recortar los tiempos en lo resolución de estos asuntos, el operador de telecomunicacicr;C:i o entioou financiero - y/o cred¡~ic¡ó - y demós estoblecimier)tos c:Jmercia!es con esta competencia deoe verif icor detallodomente lo verocidad de la presunta suplantación y de enconlrGr:.e elementos que evidencien la suplantación, se liberará a la persone suplantada de la obl¡gación de ir:terponer una denuncio ante la FisCalía Generol de :0 Nación y se ie exone¡-ará y desvinculará de cuolquier cobro por cuento de :0 adouisiciÓ!l de esle bien 'y/o s e r v i c i o . ' El operador de telecomunicaciones, la entidad financiera y/o crediticia o las demás autoridades eh el ·ámbito de sus competencias cuando conozca de estos cosos, no podrá determinar que no existió suplantacién, todo vez que esta decisión esterá reservadCl c:: las outoridodes judiciales competentes. ARTícu LO lTo~ ServiCio público de informaci6n, asistencia y denuncias. Coda autoridad. en el ámbito de sus competencios, velará por el cumplimiento de los dispbsicionesenunciadas en la presente ley 'y' podró actuar en U50 de sus facultades en cós'o de !ilcumplimiento por parte de los operadores- de telecomunicaciones o los entidades hnancieras 'y/o -creditiCias ' y ' demós establecimientos co'merciares con esta competencia única y exclusivamente en referencia en ternas relacionados con el manejo de Habeas Data. Las autoridades dispondrán de ,ccnales virtuales; físicos y Telefónicos parara oter,ció¡--' . oportuna ' y de calidad a los qt,:¡ejos,' denuncios, reclamos y apelaciones de !es personas suplantodas, exclusivamente en temas reacionOd8s cc,n lo protección de :os datos personales. En estos se brindmó información y asistencia sobre las acciones que debe realizar la persona afectado para poner en conocimiento de las entidades púbiicos y ernpresus privadas d8 lo suplantación de su identidad . Parágrafo. Dentro de los seis (06) meses siguientes a la expedición de lo presente iey, el Gobierno Nocionol diseñará y dará a conoceí a los ciudadanos lo ruta pL1blico ;ntegrol de servicio y atención a los personas afE·clodos por ia suplantación de su idenlioad.

0 • CultlJra de la Seguridad Digital. Autorícese al Ministel'i o de ¡as Tecnologías de lo Información y Comunicaciones, a la Superintendencia de Industria y Comercio y a la Superintendenc:a Financiera de Colombia a incorporar los recursos necesarios para que se financien productos audiovisuales cortos con perfil rnultiplataforma que informe a las personas la importancia del rnanejo de sus datos personales y del correcto uso de las redes sociales y la ruta que deben seguil' en coso de ser afectadas por la utilización de sus datos personales de forma fraudulenta ante un operador de telecomunicaciones o . entidad financiera y crediticia y demás establecimientos comerciales con esta competencia. 8 Los productos audiovisuales podrán transmitirse o nivel nacional en alguno de los canales del Sistema de Medios Públicos. Parágrafo. Los productos audiovisuales que informen a las personas la importancia del monejo de sus datos personales y del correcto uso de las redes sociales, junto con la ruta que deben seguir en caso de ser afectados, implementará las herramientas necesarias para que las personas con discapacidades visuales, o auditivas puedan acceder a ella.

. Vigencia. La presente ley entrará en vigencia dentro de lOS seis (6) meses siguientes a su promulgación, con excepción de los parágrafos

y segundo del artículo quinto (5), los cuales entrarán en vigencia con la promulgación de la ley. ABLE SENADO DE LA REPÚBLICA, EL PRESIDE TURBAY LIDIO EL SECRETARIO GENERAL DEL HONORABLE SENADO DE LA REPÚBLICA, ~~~~rñl~~~""""""""""'~CÁMARA DE REPRESENTANTES, ÓPEZ TENORIO .,­ - JAIME LUIS L COUTURE PENAlOZA 9 LEY No. 2573 "POR MEDIO DEL CUAL SE ESTABLECEN MEDIDAS PARA PROTEGER A LAS PERSONAS DEL REPORTE NEGATIVO ANTE OPERADORES DE INFORMACiÓN Y EL COBRO DE OBLIGACIONES EN CASOS DE SUPLANTACiÓN DE IDENTIDAD ANTE LOS OPERADORES DE TELECOMUNICACIONES, LAS ENTIDADES FINANCIERAS - CREDITICIAS Y DEMÁS ESTABLECIMIENTOS COMERCIALES CON ESTA COMPETENCIA Y SE DICTAN OTRAS DISPOSICIONES" REPÚBLICA DE COLOMBIA - GOBIERNO NACIONAL PUBLíQUESE Y CÚMPLASE Dada, a los EL MINISTRO DE HACIEND LA MINISTRA DE COMERCIO, INDUSTRIA Y TU IS O, DIANA MARCEL LA MINISTRA DE TECNOLOGíAS