- A Lei 2573 de 2026 é uma lei estatutária, sancionada em 19 de maio de 2026 e publicada no Diário Oficial 53.496 de 20 de maio (Secretaria do Senado).
- Vigora seis meses depois de sua publicação, exceto dois parágrafos do artigo 5, que vigoram desde maio (art. 13). Segundo seu cronograma, a SIC prevê expedir o protocolo de validação de identidade em 20 de novembro de 2026.
- Obriga operadoras de telecomunicações e entidades financeiras e de crédito a adotar medidas "suficientes e razoáveis" para estabelecer a veracidade da identidade e dos documentos (art. 5).
- Diante de uma suplantação de identidade alegada, a entidade tem que entregar os documentos com os quais aprovou o produto, e a fonte deve cotejá-los em dez dias úteis (arts. 5 e 7).
A Lei 2573 de 2026 é uma lei estatutária que a Colômbia sancionou em 19 de maio de 2026 e publicou no Diário Oficial 53.496 de 20 de maio. Protege as vítimas de suplantação de identidade contra a negativação e a cobrança de dívidas que não contraíram e, para isso, impõe deveres de verificação às entidades que vendem o produto ou o serviço.
O texto oficial está na base de leis do Senado e no Gestor Normativo da Função Pública.
O dia 20 de novembro de 2026 reúne dois fatos com distinto grau de certeza. A Superintendência de Indústria e Comércio (SIC) publicou um cronograma que prevê expedir nesse dia os protocolos de validação de identidade. E, se forem contados seis meses desde a publicação no Diário Oficial, também é o dia em que entra em vigor a maior parte da lei, embora essa data resulte de uma contagem e nenhuma autoridade a tenha fixado por ato próprio.
O que a lei pede a um banco ou a uma operadora de telecomunicações é verificar identidade e documento com medidas razoáveis, e poder entregar, quando alguém diz ter sido vítima de suplantação de identidade, os documentos com os quais aprovou o produto.
O que é a Lei 2573 e a quem obriga
A Lei 2573 é uma norma de habeas data financeiro que obriga operadoras de telecomunicações, entidades financeiras e de crédito, e "demais estabelecimentos comerciais com esta competência" a proteger a pessoa vítima de suplantação de identidade da negativação e da cobrança. Essa fórmula se repete em todo o articulado.
A lei não define o que é um estabelecimento comercial "com esta competência", e a Sentença C-413 de 2025 da Corte Constitucional também não.
A única coisa que a Corte registra é a origem da frase: no terceiro debate, o projeto foi ajustado para que também se aplicasse aos estabelecimentos com competências em telecomunicações, financeiras e de crédito. Quais empresas ficam incluídas não é dito nem pela lei nem pela Corte; o protocolo ou um pronunciamento da SIC ou da Superintendência Financeira poderá esclarecer.
A lei cobre a suplantação de identidade física e a digital. Não se deve confundi-la com a Lei 2502 de 2025, que modificou o artigo 296 do Código Penal para aumentar a multa quando a falsidade pessoal é cometida com inteligência artificial.
O que vigora desde maio e o que vigora a partir de 20 de novembro
Desde a publicação vigoram os parágrafos 1 e 2 do artigo 5; o restante da lei vigora seis meses depois. É o que diz o artigo 13: "A presente lei entrará em vigor dentro dos seis (6) meses seguintes à sua promulgação, com exceção dos parágrafos Primeiro e segundo do artigo quinto (5), os quais entrarão em vigor com a promulgação da lei."
| O quê | Desde quando vigora |
|---|---|
| Parágrafo 1 do art. 5: mandato de regulamentar os protocolos | Desde a promulgação |
| Parágrafo 2 do art. 5: consequências de descumprir os protocolos | Desde a promulgação |
| Deveres do art. 5 e procedimento dos arts. 6 a 10 | Seis meses depois da promulgação |
A data exata depende de quando se considera promulgada a lei. Segundo a Lei 4 de 1913, a promulgação se consuma na data do número do jornal oficial que a insere, e os meses são contados segundo o calendário.
Com o Diário Oficial de 20 de maio, a conta chega à sexta-feira, 20 de novembro de 2026. Nenhuma autoridade fixou esse dia por ato próprio, e a edição interativa do Poder Judiciário toma como promulgação a data de sanção, 19 de maio, e data a vigência em 19 de novembro.
O prazo para regulamentar corre desde a expedição. O parágrafo 1 dá à SIC e à Superintendência Financeira, em coordenação com o Ministério TIC, seis meses para regulamentar protocolos que incluam "mecanismos, ferramentas e metodologias idôneos que permitam a plena identificação do potencial adquirente".
Em outubro de 2026, a SIC é a única das três autoridades com um processo público. Seu comunicado de 8 de setembro fixa estas etapas:
| Etapa | Data anunciada |
|---|---|
| Convocatória para a consulta | Até 9 de outubro de 2026 |
| Proposta publicada para comentários | 2 de novembro de 2026 |
| Expedição | 20 de novembro de 2026 |
A SIC anunciou isso, mas ainda não expediu nenhum ato. Não foi localizado um projeto da Superintendência Financeira nem do Ministério TIC ligado à lei, e como o parágrafo distribui a tarefa "no âmbito de cada uma de suas competências", ainda não está claro se o protocolo da SIC alcançará as entidades vigiadas pela Superintendência Financeira.
A lei exige verificar identidade e documento com medidas razoáveis e não nomeia tecnologias
O artigo 5 obriga a "Adotar as medidas de segurança digital suficientes e razoáveis necessárias para estabelecer a veracidade da identidade das pessoas e dos documentos apresentados para adquirir seus produtos e/ou serviços". São dois objetos, a pessoa e o documento, e a verificação de identidade tem que cobrir os dois. O numeral 3 soma a validação dos dados que o cliente declara, "sob o princípio da boa-fé".
A Corte leu esses dois numerais como aplicação do princípio de responsabilidade demonstrada: o dever de demonstrar perante a autoridade de dados "que contam com uma estrutura institucional adequada e com os procedimentos internos para assegurar o gozo efetivo do direito ao habeas data". Por isso, a pergunta prática para a entidade é o que ela pode mostrar, além de quais medidas tem.
A lei não menciona biometria, prova de vida, verificação documental nem nenhum padrão técnico. A biometria aparece na consulta da SIC, que pergunta pelas tecnologias disponíveis, sua precisão, "as alternativas à biometria" e seus riscos para os dados pessoais, portanto a escolha segue aberta.
A validação também é necessária na reclamação: o artigo 6 pede a quem denuncia a suplantação de identidade "Realizar a prova de validação de identidade que estabeleça" a entidade. Tampouco aí a lei diz qual.
A evidência que é preciso poder mostrar é o dossiê de onboarding
A evidência que a lei torna exigível é o conjunto de documentos e dados com os quais a entidade aprovou o produto. O numeral 7 do artigo 5 obriga a entregar cópia à pessoa supostamente vítima de suplantação de identidade: "Sob nenhuma circunstância poderá ser negada a entrega desta informação à pessoa." O projeto pedia que a solicitação viesse com cópia da denúncia; a Corte declarou esse requisito inconstitucional, portanto a solicitação basta.
O artigo 7, que modifica a Lei 1266 de 2008, obriga a fonte a "cotejar, dentro dos dez (10) dias úteis seguintes, os documentos utilizados para adquirir a obrigação que se disputa, com os documentos apresentados pelo titular".
Depois se inclui a legenda "Vítima de Falsidade Pessoal", que não conta como negativação e serve "com o único fim de realizar uma verificação intensificada da identidade do titular". É a única vez que a lei gradua a verificação.
Uma entidade que não conservou os documentos com os quais vinculou o cliente não tem com o que cotejar. O dossiê tem que existir, poder ser recuperado e poder ser entregue: que documento foi apresentado, que dados foram validados e como.
Na fundamentação da sentença, a Corte acolheu que o princípio do ônus dinâmico deve abranger "todo tipo de interação com o bem ou serviço" e os dados de tempo, modo e lugar em que foi usado. Isso não está na parte resolutiva e opera apenas em processos judiciais não penais, por decisão do juiz. Nem a lei nem a sentença fixam um prazo de conservação.
O ônus da prova é dinâmico e quem decide é o juiz
A lei adota o ônus dinâmico da prova: "Terá obrigação de provar a parte que estiver em melhores condições de fazê-lo" (art. 2, literal d). O mesmo literal acrescenta que as entidades "deverão entregar a informação e documentos que receberam para fazer a aprovação do bem ou serviço".
Como é estatutária, a lei passou por controle prévio. A Sentença C-413 de 2025, de 2 de outubro de 2025, com relatoria do magistrado Juan Carlos Cortés González, declarou esse literal constitucional com três condições:
- Ao remeter a informação, a entidade "deverá cumprir com o ônus de veracidade em relação à plena identidade do cliente".
- O ônus dinâmico "será aplicado nos processos judiciais que não sejam de natureza penal nos quais se discuta sobre a ocorrência de uma falsidade pessoal".
- "o juiz competente determinará a operância da inversão do ônus da prova".
Na esfera penal não se aplica porque quem investiga é o Ministério Público (a Fiscalía General de la Nación), segundo o artigo 250 da Constituição. Onde a Corte vê sentido é em um eventual processo por responsabilidade civil contra a entidade financeira, porque sem essa regra toda a prova recairia sobre o titular que alega a fraude. O que é incondicional é entregar os documentos com veracidade sobre a identidade do cliente; provar algo mais depende do processo e do juiz.
Se o protocolo não for cumprido, a entidade assume a perda
Segundo o parágrafo 2 do artigo 5, vigente desde maio, se for verificado que a entidade descumpriu os protocolos de segurança expedidos pelas autoridades e o titular pediu a correção alegando suplantação de identidade, a entidade tem que devolver o dinheiro à pessoa vítima de suplantação de identidade e/ou eliminar os créditos a receber.
Além disso, a cobrança é suspensa e a anotação nas centrais é modificada. A norma fala de "diretrizes, recomendações e protocolos de segurança expedidos pelas autoridades competentes" e da "devolução oportuna dos valores e/ou a eliminação dos créditos a receber que foram objeto de fraude".
Tampouco pode congelar esses valores nem esperar a autorização do titular da conta para a qual foram transferidos para reverter a transação.
Os protocolos da Lei 2573 ainda não existem. Uma leitura possível, que nenhuma fonte oficial confirma, é que enquanto isso o parágrafo opera apenas contra diretrizes que já existam por outra via.
A lei não cria um regime sancionatório próprio: seu artigo 11 remete a cada autoridade em sua competência, apenas em habeas data, e a Lei 1266 distribui a vigilância entre a SIC e a Superintendência Financeira. Nenhuma autoridade disse ainda como será sancionado o descumprimento do numeral 1 do artigo 5. E a entidade não decide sozinha: segundo o artigo 10, não pode determinar que não houve suplantação de identidade, porque isso fica reservado aos juízes.
| Prazo | O que corre | Base |
|---|---|---|
| Imediato | Suspender o serviço adquirido com fraude, uma vez informada a entidade | Art. 5, num. 5 |
| Imediato | Suspender a cobrança, os juros e as despesas de cobrança | Art. 8 |
| 10 dias úteis | Dar andamento a solicitações e queixas de pessoas vítimas de suplantação de identidade | Art. 5, num. 4 |
| 10 dias úteis | Cotejar documentos e pedir a modificação do dado negativo | Art. 7 |
| 15 dias úteis, prorrogáveis por oito | Resolver petições ou reclamações; se não, silêncio positivo | Art. 7 |
| 20 dias úteis | A pessoa vítima de suplantação de identidade denuncia e apresenta suportes; a entidade também deve denunciar | Art. 8 e Sentença C-413 de 2025 |
| Até pronunciamento judicial | Dura a suspensão da cobrança | Art. 9 e Sentença C-413 de 2025 |
Os dois prazos de resposta convivem no texto, e como se articulam na prática não está definido.
O que a VU faz
Verifica, a verificação de identidade da VU, comprova o documento e a pessoa que o apresenta. A prova de vida facial avaliada contra a ISO/IEC 30107-3 faz parte dessa verificação.
A ISO/IEC 30107-3 define o método, as métricas e como se reporta um ensaio de detecção de ataques de apresentação. Os graus de sofisticação do ataque não são definidos pela norma: são definidos pelo programa de ensaio da iBeta, que aplica essa metodologia e os ordena pelo que custa construir o instrumento, em tempo, perícia e equipamento. São três. O que a VU tem avaliado é a prova de vida facial, no Nível 2 desse programa.
A conservação do dossiê é um dever da entidade, que define sua política de retenção; a VU fornece evidência técnica do processo de identidade segundo a configuração que for implementada. Quais medidas o protocolo da SIC pedirá será sabido quando ele for expedido.
vamos revisar sua verificação de identidade.
