El Borrador de Circular Externa de 2026 de la Superintendencia de Industria y Comercio desarrolla el parágrafo 1 del artículo 5 de la Ley Estatutaria 2573 de 2026. Su objetivo principal es definir las metodologías, herramientas y protocolos para garantizar la plena identificación de los usuarios y prevenir el fraude por suplantación de identidad en operaciones comerciales y de crédito.
- Sujetos obligados
Las instrucciones aplican a:
- Operadores de servicios de telecomunicaciones.
- Entidades crediticias o financieras no sujetas a la inspección de la Superintendencia Financiera de Colombia.
- Comercios y empresas que originen obligaciones dinerarias, otorguen financiamiento o celebren contratos de crédito con personas naturales.
- Marco conceptual: Identificación vs. Verificación
- Identificación: Es una función pública exclusiva de la Registraduría Nacional del Estado Civil (RNEC), encargada de asignar la identidad y expedir los documentos oficiales.
- Verificación o validación de identidad: Es el proceso técnico que realizan las entidades privadas para obtener evidencia suficiente y proporcional al riesgo de que la persona que solicita un producto es quien dice ser.
- Principios y directrices clave
- Enfoque basado en riesgos: Las entidades deben evaluar el riesgo de cada trámite y clasificar sus operaciones en al menos tres niveles de riesgo, aumentando la exigencia de verificación a mayor riesgo.
- Verificación escalonada y combinación de factores: Ningún mecanismo aislado (como una foto de la cédula o preguntas de antecedentes) es suficiente por sí solo. Para la vinculación de nuevos clientes se exige combinar al menos dos mecanismos independientes pertenecientes a distintas categorías:
- Factor de conocimiento: Lo que el usuario sabe (contraseñas, PIN).
- Factor de posesión: Lo que el usuario tiene (dispositivo registrado, token, OTP, documento de identidad).
- Factor de inherencia: Atributos biológicos del usuario (biometría facial, dactilar, voz).
- Carácter facultativo de la biometría: Queda prohibido obligar al usuario a entregar sus datos biométricos para adquirir un producto. La entidad debe informar que su entrega es voluntaria y ofrecer mecanismos alternativos reales y accesibles no biométricos.
- Priorización de fuentes oficiales: Se fomenta el cotejo directo contra las bases de datos oficiales de la Registraduría o la cédula de ciudadanía digital.
- Operaciones sujetas a verificación
- Vinculación inicial: Otorgamiento de créditos, ventas a plazos y contratación de líneas celulares en modalidad pospago.
- Operaciones posteriores de alto riesgo: Trámites post-vinculación vulnerables a la toma de control de cuentas, tales como la reposición o cambio de tarjeta SIM, cambio de datos de contacto o alertas, actualización de credenciales o incremento de cupos.
- Verificación intensificada: Si la historia crediticia del solicitante cuenta con la leyenda «Víctima de Falsedad Personal», la operación se considerará automáticamente de alto riesgo y requerirá mecanismos adicionales de validación.
- Conservación de pruebas y derechos de las víctimas
- Trazabilidad: Se debe crear un expediente de verificación para cada operación sujeta a control y conservarlo por un plazo mínimo de 3 años tras finalizar el producto o servicio.
- Documentos de soporte: Los documentos que permitieron aprobar el producto deben guardarse durante 10 años.
- Derecho de acceso: Si una persona denuncia ser víctima de suplantación, la entidad tiene la obligación de entregarle copia completa de la información y registros (incluidas capturas biométricas) aportados para la aprobación del servicio solicitado a su nombre.