En el fallo, la Corte declaró constitucional en su trámite legislativo el proyecto de ley, verificando que en las discusiones del Congreso se cumplieron los requisitos de cuórum, votación y publicación. Asimismo, consideró ajustados a la Constitución los artículos 1, 4, 6, 10, 11 y 13 del texto, que regulan el objeto de la ley, las definiciones, las obligaciones de los operadores, la colaboración con la justicia y la entrada en vigencia de la norma.

Respecto del artículo 2, que recoge los principios aplicables al tratamiento de datos personales, la Corte estableció que sus literales a) y c) mantienen su validez conforme a lo decidido previamente en la Sentencia C-748 de 2011, y declaró constitucional el literal d) en el entendido de que la carga dinámica de la prueba solo aplica en procesos judiciales no penales relacionados con la suplantación de identidad. En esos casos, el juez determinará cuándo procede la inversión de la carga probatoria.

En cuanto al artículo 3, la Corte precisó que la definición de suplantación de identidad digital debe entenderse extensiva a cualquier tipo de tecnología, actual o futura, utilizada para obtener beneficios ilícitos mediante la suplantación. También reiteró la validez de la definición de “fuente” contenida en el numeral 7, conforme a la Sentencia C-1011 de 2008.

Protección y deberes de las entidades

La ley aprobada impone a las entidades financieras, operadores de telecomunicaciones y establecimientos comerciales la obligación de adoptar medidas de verificación de identidad, garantizar la seguridad digital de los datos personales y suspender de inmediato los cobros cuando se alegue una suplantación. También deben reportar los casos ante la Dirección de Impuestos y Aduanas Nacionales (Dian) para evitar perjuicios tributarios y remitir información a la víctima sobre los documentos utilizados en la adquisición del bien o servicio, sin exigir requisitos adicionales.

Por su parte, las personas suplantadas tienen el deber de informar a las entidades afectadas, aportar pruebas sumarias y denunciar ante la Fiscalía o la Policía Nacional el presunto delito de falsedad personal o documental. Si la suplantación se produce mediante perfiles falsos en redes sociales, la víctima debe presentar la denuncia ante la plataforma correspondiente y las autoridades judiciales.

La norma también establece la creación de un servicio público de información y asistencia para víctimas de suplantación, administrado por las autoridades competentes. Este canal deberá atender quejas y orientar sobre las acciones disponibles en materia de protección de datos personales. El Gobierno Nacional tendrá un plazo de seis meses para diseñar la ruta integral de atención y divulgación.