CONCEPTO 519899 DE 2026
(junio 11)
<Fuente: Archivo interno entidad emisora>
COMISIÓN DE REGULACIÓN DE COMUNICACIONES
| Rad: | 2026811309 |
| Cod. | 2000 |
Bogotá, D.C
| REF: | Respuesta a su comunicación con asunto «Omisión en el control de venta de tarjetas SIM, suplantación de identidad, tráfico de bases de datos, acoso telefónico y exigencia de responsabilidad institucional». |
Estimado señor Eduardo Rodríguez:
La Comisión de Regulación de Comunicaciones (CRC o la Comisión) recibió su derecho de petición de fecha 17 de mayo de 2026, radicado internamente bajo el número 2026811309, mediante el cual usted solicitó una serie de conceptos y respuestas a unas preguntas dirigidas al MINISTERIO DE TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES (MinTIC), a la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO (SIC) y a la CRC. De manera concreta, usted solicitó a la CRC lo siguiente:
«(…)
A MIN-TIC Y CRC (En el marco de sus competencias de política y regulación técnica):
1. Informe técnico y estadístico: Sírvase informar detalladamente cuáles son las razones técnicas y de política pública por las cuales la CRC y el MinTIC no han prohibido de manera tajante la activación remota o ambulatoria de tarjetas SIM prepago que carezcan de validación biométrica dactilar o facial obligatoria confrontada contra la Registraduría Nacional.
2. Justificación de exclusión de seguridad: Explique bajo qué sustento jurídico y constitucional consideran ustedes que el argumento comercial de "promover la competencia económica y la inclusión digital" prima sobre el derecho constitucional a la seguridad, la vida y el patrimonio de los ciudadanos que son víctimas de extorsión mediante líneas telefónicas de origen anónimo.
3. Acciones regulatorias concretas: Indique si existe actualmente algún proyecto de resolución o decreto tendiente a establecer un límite máximo (tope) de líneas prepago activas por cédula de ciudadanía, con el fin de evitar que un solo ciudadano (o un delincuente usando una cédula ajena) concentre decenas de líneas de manera irregular.
(…)
A LAS TRES ENTIDADES EN CONJUNTO:
7. Plan de contingencia institucional: Sírvase indicar qué plan conjunto, estrategia o mesa técnica vigente existe actualmente entre MinTIC, CRC, SIC y la Fiscalía General de la Nación para desmantelar el mercado negro de tarjetas SIM ya activadas que se comercializan impunemente en las calles del país.
(...)».
Usted fundamentó las anteriores peticiones en los siguientes cinco (5) hechos:
«(...)
1. Falta de control de identidad en la venta: En la práctica comercial del país, las operadoras de telefonía móvil celular comercializan de manera masiva y ambulatoria tarjetas SIM prepago en quioscos, calles y supermercados, activándolas sin una verificación biométrica estricta ni cruce de datos en tiempo real con la Registraduría Nacional de Estado Civil.
2. Facilitación del crimen: Esta laxitud permite a redes delictivas adquirir líneas masivas de forma anónima o mediante la suplantación de identidad de ciudadanos inocentes, utilizándolas como infraestructura libre para cometer delitos de extorsión carcelaria, estafas y fraudes de alto impacto.
3. El "Contrato de Adhesión" abusivo y acoso: Las operadoras condicionan la prestación del servicio esencial de telefonía a la firma o aceptación obligatoria de cláusulas de tratamiento de datos personales ("Autorizo políticas de la compañía"). Si el usuario ejerce su derecho constitucional a negarse, se le restringe el acceso al servicio. Posteriormente, estas bases de datos son comercializadas o transferidas a terceros (call centers, firmas de cobranza, aliados comerciales), sometiendo a los ciudadanos a un acoso diario y sistemático de llamadas no deseadas que vulneran flagrantemente su derecho a la intimidad.
4. Omisión de control: A pesar de que el artículo 2o. de la Constitución obliga al Estado a proteger los bienes y la vida de los ciudadanos, y que la SIC y la CRC tienen plenas facultades de supervisión, estas entidades han permitido que el modelo de negocio y rentabilidad de las operadoras prime sobre la seguridad nacional y los derechos de los usuarios, escudándose de manera reiterada en supuestos "vacíos legales" o en la "promoción del libre mercado".
5. El uso de la leguleyada como blindaje corporativo e institucional: Se evidencia un patrón sistemático donde el Estado, los entes de control y las operadoras utilizan la hiperregulación y la interpretación amañada de las normas no para proteger al ciudadano, sino como una herramienta de evasión de responsabilidades. Estas respuestas tecnolegales solo generan dividendos para las áreas jurídicas de las empresas y burocracia en las entidades, mientras sacrifican la transparencia, la trazabilidad del servicio y la seguridad de la población.
Considerando todo lo descrito, la CRC estima oportuno informarle que el pronunciamiento sobre los asuntos expuestos en su consulta se efectuará con sujeción a lo establecido en el artículo 28 [1] del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA), y de acuerdo con las competencias y facultades que le han sido otorgadas a la CRC por el ordenamiento jurídico vigente, en particular aquellas establecidas en la Ley 1341 de 2009[2], modificada por la Ley 1978 de 2019[3].
De este modo, el alcance del pronunciamiento solicitado tendrá las consecuencias que la normatividad le otorga a los conceptos rendidos por las autoridades administrativas. Además, se debe recordar que, en la medida en que estos conceptos no pueden analizar situaciones de orden particular y concreto, los mismos hacen referencia de manera general y abstracta respecto de las materias sobre las que versa su consulta.
Precisado lo anterior, y previo a pronunciarse de manera particular sobre sus solicitudes, la Comisión considera pertinente delimitar el alcance de las competencias de la CRC.
1. Cuestión previa: consideraciones preliminares sobre las competencias de esta Comisión
A partir del contexto general en el que se enmarcan sus inquietudes, la Comisión considera oportuno señalar que, según lo dispuesto por el artículo 19 de la Ley 1341 de 2009, modificada por la Ley 1978 de 2019, la CRC es «una Unidad Administrativa Especial, del orden nacional, con independencia administrativa, técnica, patrimonial, presupuestal, y con personería jurídica, la cual forma parte del Sector administrativo de Tecnologías de la Información y las Comunicaciones», y es el órgano «encargado de promover la competencia en los mercados, promover el pluralismo informativo, evitar el abuso de posición dominante, regular los mercados de las redes y los servicios de comunicaciones y garantizar la protección de los derechos de los usuarios; con el fin que la prestación de los servicios sea económicamente eficiente, y refleje altos niveles de calidad, de las redes y los servicios de comunicaciones, incluidos los servicios de televisión abierta radiodifundida y de radiodifusión sonora».
Esta misma disposición señala que, para efectos de lo anterior, la CRC debe adoptar una regulación que promueva la inversión, la protección de los usuarios, la calidad de los servicios, la simplificación regulatoria, la neutralidad de la red, e incentive la construcción de un mercado competitivo que desarrolle los principios orientadores de la misma Ley 1341 de 2009.
Para desarrollar el anterior objeto misional, el legislador otorgó directamente a la CRC, por medio del artículo 22 de la ley en comento, modificada por la Ley 1978 de 2019, que típicamente debe ostentar un regulador para promover la competencia en los servicios de telecomunicaciones, maximizar el bienestar de los usuarios, regular el acceso y uso de instalaciones esenciales necesarias para facilitar la entrada de agentes al mercado, definir las condiciones para la interconexión y la interoperabilidad de las redes de telecomunicaciones, regular el uso adecuado de los recursos escasos diferentes al espectro, proteger el pluralismo y las audiencias, solucionar controversias y promover y garantizar los derechos de los usuarios de los servicios de comunicaciones, en términos generales.
En el marco de esas competencias, la CRC procederá a dar respuesta a las solicitudes y consultas planteadas en los siguientes términos.
2. Respuesta a las solicitudes No. 1 y 3:
«1. Informe técnico y estadístico: Sírvase informar detalladamente cuáles son las razones técnicas y de política pública por las cuales la CRC y el MinTIC no han prohibido de manera tajante la activación remota o ambulatoria de tarjetas SIM prepago que carezcan de validación biométrica dactilar o facial obligatoria confrontada contra la Registraduría Nacional»; y
«3. Acciones regulatorias concretas: Indique si existe actualmente algún proyecto de resolución o decreto tendiente a establecer un límite máximo (tope) de líneas prepago activas por cédula de ciudadanía, con el fin de evitar que un solo ciudadano (o un delincuente usando una cédula ajena) concentre decenas de líneas de manera irregular».
Para responder sus consultas, la Comisión considera pertinente recordar que el año pasado fue expedida la Resolución CRC 7684 de 2025 como resultado de la segunda fase del proyecto «Revisión de Medidas Aplicables a Servicios Móviles»[4]. Con la expedición de dicha resolución, es obligación de los PRST, previo a activar y prestar sus servicios, recolectar y registrar los datos de identificación de los usuarios de la modalidad prepago. En igual sentido, se establece el deber de los usuarios que adquieran una nueva SIM card en modalidad prepago de registrar sus datos ante el operador, quien verificará la información antes de activar el servicio, garantizando un proceso más seguro y eficiente. Esta medida permite a los PRST contar con información de la titularidad de las líneas en modalidad prepago debidamente actualizada y cubre los escenarios descritos en sus dos solicitudes que son objeto de respuesta.
La medida regulatoria sobre la titularidad de las líneas prepago y la actualización de datos tiene como objetivo principal asegurar la correcta identificación de los usuarios, garantizando la transparencia y, sobre todo, la seguridad en el uso de los servicios de telecomunicaciones. Para ello, se establece que los operadores deben verificar, en tiempo real, la coincidencia de los documentos de identificación proporcionados por los usuarios, ya sean personas naturales o jurídicas. Esto contribuye a evitar fraudes y a mejorar la fiabilidad de la información que reciben los operadores de parte de los usuarios. Asimismo, se prohíbe que los operadores registren las SIM Card a nombre de comercializadores, que son los agentes encargados de la distribución y venta de estos elementos.
También, como parte de estas medidas, se estableció la obligación de los PRST de realizar campañas informativas semestrales sobre la importancia de que los usuarios registren correctamente sus líneas prepago, así como también de mantener actualizados sus datos personales. Estas medidas consolidan un marco regulatorio que facilita el cumplimiento de las distintas normas antes señaladas encaminadas a garantizar que se cuente con la información de los usuarios de los servicios móviles y, en la misma línea, propende por la efectividad de los procesos de registro de los datos de los usuarios ante los operadores.
3. Respuesta a la solicitud No. 2: «Justificación de exclusión de seguridad: Explique bajo qué sustento jurídico y constitucional consideran ustedes que el argumento comercial de "promover la competencia económica y la inclusión digital" prima sobre el derecho constitucional a la seguridad, la vida y el patrimonio de los ciudadanos que son víctimas de extorsión mediante líneas telefónicas de origen anónimo»
Respecto de su solicitud No. 2, la Comisión no tiene conocimiento del contexto particular y concreto en el que supuestamente la CRC ha sostenido que la promoción de la competencia y la inclusión digital priman sobre la seguridad, vida y patrimonio de los ciudadanos que son víctimas de extorsión. Por lo anterior, resulta imposible pronunciarse de manera específica sobre este punto de su solicitud.
En todo caso, es menester indicar que en el ordenamiento jurídico actual existen múltiples disposiciones que tienen como propósito prevenir y mitigar la comisión de conductas como las que usted describe en su comunicación mediante el uso indebido de los servicios de comunicaciones móviles.
Así, en primer lugar, el artículo 3o. de la Resolución 912 de 2008 de la Dirección de Investigación Criminal (DIJIN) establece que los PRST deben registrar, al momento de activar una línea, los datos completos del usuario (nombre, identificación, número de línea, etc.), y posteriormente su información de contacto y dirección. El Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC) es la entidad encargada de supervisar el cumplimiento de esta obligación.
En segundo lugar, el artículo 95 del Código Nacional de Seguridad y Convivencia Ciudadana tipifica como comportamiento que afecta la seguridad el hecho de activar líneas telefónicas o SIM Cards sin que el usuario suministre información biográfica al proveedor, con lo que se establece un deber legal de verificación de identidad en el proceso de activación del servicio.
En tercer lugar, la Ley 1266 de 2008 impone a los PRST la responsabilidad de implementar mecanismos para verificar la identidad de los titulares de la información, y garantizar la calidad, veracidad y trazabilidad de los datos que gestionan en su calidad de fuentes y operadores de información.
En cuarto lugar, la Comisión reitera la existencia de la Resolución CRC 7684 de 2025 que fue expedida como resultado de la segunda fase del proyecto «Revisión de Medidas Aplicables a Servicios Móviles»[5].
Finalmente, actualmente la CRC adelanta el proyecto regulatorio denominado como la «Identificación de medidas regulatorias para mitigar el fraude cibernético por medio de servicios móviles». El propósito de este proyecto es identificar medidas regulatorias que permitieran reforzar la trazabilidad y control de las comunicaciones que hacen uso de canales tradicionales de voz y SMS, el cual será descrito más adelante.
4. Respuesta a la solicitud No. 7: «Plan de contingencia institucional: Sírvase indicar qué plan conjunto, estrategia o mesa técnica vigente existe actualmente entre MinTIC, CRC, SIC y la Fiscalía General de la Nación para desmantelar el mercado negro de tarjetas SIM ya activadas que se comercializan impunemente en las calles del país».
En primera medida, y respecto de las tarjetas SIM, se recuerda que la CRC, como cualquier autoridad estatal, únicamente puede actuar en el marco de las competencias que la ley le ha conferido y las cuales fueron explicadas, de manera general, en líneas precedentes. En el marco de esas competencias, la Comisión expidió la Resolución CRC 7684 de 2025 como resultado de la segunda fase del proyecto «Revisión de Medidas Aplicables a Servicios Móviles», en los términos que ya fueron explicados.
En complemento de lo anterior, y en el marco de los ciclos de política regulatoria, la CRC realiza de manera constante mesas técnicas con diferentes actores para afrontar fenómenos en el mercado de las telecomunicaciones que estén cobijados por las competencias conferidas a esta Comisión. Esto, según las necesidades particulares de cada proyecto regulatorio y, se insiste, en estricto cumplimiento de las competencias conferidas por la ley.
Un ejemplo de lo anterior es el proyecto regulatorio denominado como la «Identificación de medidas regulatorias para mitigar el fraude cibernético por medio de servicios móviles». El propósito de este proyecto es identificar medidas regulatorias que permitieran reforzar la trazabilidad y control de las comunicaciones que hacen uso de canales tradicionales de voz y SMS, sin limitar la innovación o el acceso a estos servicios por parte de actores legítimos, y así poder avanzar en un entorno de telecomunicaciones seguro y confiable para todos los usuarios que prevenga de manera activa las comunicaciones con fines fraudulentos.
En el marco del proyecto mencionado se han realizado sesiones de trabajo con la Fiscalía General de la Nación (en aspectos investigativos y de judicialización del fraude), con la Policía Nacional (en torno a la prevención operativa y la denuncia de delitos informáticos), con el grupo de respuesta a emergencias cibernéticas ColCERT (para coordinar esfuerzos técnicos de detección y comunicaciones seguras) y con la SIC (para analizar temas de datos personales), entre otros actores relevantes.
Producto de esas mesas, y con base en todo un análisis técnico, económico y jurídico, el 5 de junio de 2026 la CRC publicó para comentarios la propuesta regulatoria con una respuesta integral, basada en evidencia, que combina medidas técnicas, mecanismos de trazabilidad, coordinación sectorial y acciones pedagógicas. Con esta iniciativa, la CRC busca contribuir a un entorno de comunicaciones móviles más seguro, confiable y transparente. Esta propuesta estará sometida a consideración de los agentes interesados entre el 5 de junio de 2026 y el 23 de junio de 2026, como fecha límite para la recepción de comentarios y observaciones, por lo que esta Comisión lo invita a participar activamente remitiendo sus aportes y sugerencias dentro del plazo indicado.
Para mayor detalle de los avances del proyecto regulatorio, en el siguiente enlace se pueden consultar las publicaciones realizadas hasta la fecha y los comentarios remitidos por los diferentes interesados en participar en el proceso: https://www.crcom.gov.co/es/proyectos-regulatorios/2000-41-7-1
Por lo tanto, y en respuesta concreta a su consulta, la CRC sí adelante planes conjuntos, estrategias y mesas técnicas con diferentes actores, pero todo ello en el marco de sus competencias.
En los anteriores términos damos respuesta a su consulta y quedamos atentos a cualquier aclaración adicional que requiera.
Cordial saludo,
MARIANA SARMIENTO ARGÜELLO
Coordinadora de Relaciones con Grupos de Valor
1. Ley 1437 de 2011, artículo 28. «ARTÍCULO 28. ALCANCE DE LOS CONCEPTOS. Salvo disposición legal en contrario, los conceptos emitidos por las autoridades como respuestas a peticiones realizadas en ejercicio del derecho a formular consultas no serán de obligatorio cumplimiento o ejecución».
2. Ley 1341 de 2009. «Por la cual se definen principios y conceptos sobre la sociedad de la información y la organización de las Tecnologías de la Información y las Comunicaciones –TIC–, se crea la Agencia Nacional de Espectro y se dictan otras disposiciones».
3. Ley 1978 de 2019. «Por la cual se moderniza el sector de las Tecnologías de la Información y las Comunicaciones (TIC), se distribuyen competencias, se crea un regulador único y se dictan otras disposiciones»
4. Los documentos asociados a dicho proyecto se encuentran disponibles en: https://www.crcom.gov.co/es/proyectos regulatorios/2000-38-3-17-1
5. Los documentos asociados a dicho proyecto se encuentran disponibles en: https://www.crcom.gov.co/es/proyectos regulatorios/2000-38-3-17-1
