La Superintendencia de Industria y Comercio (SIC) publicó para comentarios un proyecto de Circular Externa con los lineamientos y mecanismos para prevenir la suplantación de identidad, en desarrollo del parágrafo 1 del artículo 5 de la Ley Estatutaria 2573 de 2026, que ordenó a la SIC y a la Superintendencia Financiera (SFC), en coordinación con el MinTIC, reglamentar protocolos con “mecanismos, herramientas y metodologías idóneos que permitan la plena identificación del potencial adquirente”. Según el proyecto, “la plena identificación” no exige certeza absoluta, sino un nivel suficiente y razonable de confianza, basado en evidencia verificable y proporcional al riesgo, de que la identidad declarada corresponde a quien adquiere el bien o servicio.
La verificación será obligatoria, como mínimo, en: (i) la vinculación de clientes y la adquisición de productos que generen obligaciones económicas, como créditos, financiación, ventas a plazos y planes pospago; (ii) operaciones de alto riesgo, como la reposición de la SIM, el cambio de titular o de datos de contacto, la recuperación de credenciales, la vinculación de dispositivos y el aumento de cupo, y (iii) las demás que el análisis de riesgos identifique.
Estas nuevas obligaciones se dirigen a “los operadores de telecomunicaciones, a las entidades crediticias o financieras y a las demás personas jurídicas o naturales que en el marco de su actividad comercial y el giro ordinario de sus negocios originen obligaciones dinerarias, celebren contratos de mutuo, de apertura de crédito, de financiación o similares con personas naturales, que no estén sometidos a la vigilancia de la SFC, en los procesos de adquisición o apertura de bienes o servicios por parte de particulares, sea de manera física o por medios electrónicos, o en las operaciones que por sus riesgos inherentes requieran verificar la identidad de quien las realiza”.
Bajo el principio de neutralidad tecnológica, los sujetos obligados pueden elegir mecanismos y proveedores, siempre que garanticen un nivel adecuado de confianza y se apoyen en alguno de tres factores: lo que se sabe (contraseñas o PIN), lo que se tiene (documento, celular, token o dispositivo registrado) y lo que se es (rostro, huellas, voz o patrones de comportamiento). Entre los mecanismos admitidos están el cotejo biométrico, los códigos OTP, la verificación documental, la lectura del chip, la consulta a fuentes oficiales, la cédula y la firma digitales. No bastan por sí solos la copia del documento sin verificar, los datos estáticos, ni el cotejo facial sin prueba de vida.
En la vinculación será obligatorio combinar al menos dos mecanismos independientes; en las demás operaciones, es una buena práctica. Además, se exige un análisis de riesgos documentado, con variables mínimas, al menos tres niveles de riesgo y una verificación no presencial al menos igual de rigurosa que la presencial. No podrá condicionarse la adquisición al suministro de datos biométricos y deberá ofrecerse una alternativa real, efectiva y accesible, salvo que el análisis de riesgos acredite que no existe una medida menos gravosa, lo que la SIC valorará estrictamente. Asimismo, contratar proveedores no traslada la responsabilidad del sujeto obligado, el desempeño de los mecanismos debe evaluarse periódicamente (incluidas las tasas de falsa aceptación y falso rechazo) y, ante un resultado automatizado desfavorable, el solicitante tiene derecho a conocer los motivos y a una revisión humana o un mecanismo alternativo.
La circular regirá a partir de su publicación, pero solo será exigible desde el 1 de julio de 2027, respecto de las operaciones que se inicien a partir de esa fecha. Los interesados podrán enviar sus comentarios sobre la Circular entre el 7 y el 21 de noviembre al correo delegaturadatos@sic.gov.co.