CONCEPTO 520069 DE 2026
(junio 16)
<Fuente: Archivo interno entidad emisora>
COMISIÓN DE REGULACIÓN DE COMUNICACIONES
| Rad: | 2026809294 |
| Cod. | 2000 |
Bogotá, D.C
| REF: | Su Derecho de Petición - Seguridad en la Portabilidad numérica. |
Respetada señora Natalia:
La Comisión de Regulación de Comunicaciones (CRC) recibió su comunicación, trasladada por parte de la Superintendencia Financiera y radicada bajo número 2026809294, mediante la cual realiza la siguiente consulta:
1. Seguridad y confiabilidad del servicio en la portabilidad numérica
Desde la perspectiva del consumidor financiero, en el evento en que un usuario tenga asociado su número de telefonía móvil como dato de contacto y/o mecanismo de validación en una entidad financiera, y posteriormente realice un proceso de portabilidad numérica, ¿dicha situación puede tener alguna incidencia en la gestión del riesgo de fraude o en la seguridad de los productos financieros asociados a dicho número?
2. Consideraciones de seguridad frente a la portabilidad numérica
¿Existen consideraciones generales en materia de seguridad que deban tenerse en cuenta respecto del proceso de portabilidad numérica móvil, en la medida en que el número telefónico puede estar asociado a canales de atención o autenticación en productos financieros?
3. Impacto en sistemas de autenticación de entidades financieras
Considerando que diversas entidades financieras emplean el número de telefonía móvil como medio de autenticación (códigos OTP, verificación de identidad, recuperación de credenciales), ¿la portabilidad no informada de una línea puede facilitar accesos no autorizados a productos financieros y, en consecuencia, la materialización de fraudes?
4. Deberes de las entidades financieras frente a la gestión del riesgo
En relación con el uso del número telefónico como elemento de autenticación, ¿qué deberes generales tienen las entidades vigiladas en materia de gestión del riesgo y protección del consumidor financiero, particularmente frente a eventos que impliquen cambios en la titularidad u operador del número?
I. Alcance del presente pronunciamiento
Antes de proceder a responder sus inquietudes, consideramos pertinente mencionar que el pronunciamiento que presenta esta Comisión en relación con los asuntos expuestos en su escrito de consulta se efectúa con sujeción de lo establecido en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA)[1] y de las competencias que se le han otorgado en el ordenamiento jurídico vigente. Considerando lo establecido en la norma citada, el pronunciamiento sobre los asuntos contenidos en su consulta tendrá el alcance y las consecuencias definidas en la normatividad aplicable, al ser conceptos emitidos por autoridades administrativas.
En igual sentido, tenga en cuenta que en sede de esta consulta no es dable que se emitan pronunciamientos o se analicen situaciones de carácter particular y concreto, pues el resultado de éste no desbordará los asuntos a los que se hace referencia a la materia por la cual se pregunta de manera general y abstracta, y sobre el contenido y aplicación del marco regulatorio; en este caso, lo correspondiente a las disposiciones legales y regulatorias, en lo relativo a las temáticas objeto de su consulta.
II. Consideraciones preliminares sobre las competencias de esta Comisión
Teniendo en cuenta el contexto general respecto del cual se enmarcan los asuntos que son materia de consulta, resulta oportuno señalar que según lo dispuesto por el artículo 19 de la Ley 1341 de 2009, modificada por la Ley 1978 de 2019, la CRC es «una Unidad Administrativa Especial, del orden nacional, con independencia administrativa, técnica, patrimonial, presupuestal, y con personería jurídica, la cual forma parte del Sector administrativo de Tecnologías de la Información y las Comunicaciones». A su turno, esta misma norma estableció que la CRC es el órgano encargado de promover la competencia en los mercados, promover el pluralismo informativo, evitar el abuso de posición dominante, regular los mercados de las redes y los servicios de comunicaciones y garantizar la protección de los derechos de los usuarios; con el fin de que la prestación de los servicios sea económicamente eficiente, y refleje altos niveles de calidad, de las redes y los servicios de comunicaciones, incluidos los servicios de televisión abierta radiodifundida y de radiodifusión sonora.
De igual manera, la norma referida dispone que, para efectos de lo anterior, la CRC debe adoptar una regulación que promueva la inversión, la protección de los usuarios, la calidad de los servicios, la simplificación regulatoria, la neutralidad de la red, e incentive la construcción de un mercado competitivo que desarrolle los principios orientadores de la misma Ley 1341.
Para desarrollar el anterior objeto misional, el legislador otorgó directamente a la CRC, a través del artículo 22 de la Ley en comento, modificada por la Ley 1978 de 2019, así como de la Ley 1369 de 2009, facultades que típicamente debe ostentar un regulador para promover la competencia en los servicios de telecomunicaciones, maximizar el bienestar de los usuarios, regular el acceso y uso de instalaciones esenciales necesarias para facilitar la entrada de agentes al mercado, definir las condiciones para la interconexión y la interoperabilidad de las redes de telecomunicaciones, regular el uso adecuado de los recursos escasos diferentes al espectro, proteger el pluralismo y las audiencias, solucionar controversias y promover y garantizar los derechos de los usuarios de los servicios de comunicaciones, en términos generales.
III. Respuesta a las inquietudes planteadas en su solicitud
Antes de abordar las inquietudes presentadas en su comunicación, esta entidad considera pertinente aclarar que el proceso de portabilidad es totalmente independiente a las validaciones que puedan realizar las entidades financieras para verificar la identidad de sus clientes con fines de realizar transacciones bancarias. En esta línea, la Portabilidad Numérica se encuentra definida como la como la posibilidad del usuario de conservar su número telefónico sin deterioro de la calidad y confiabilidad, en el evento de que cambie de operador.
De igual manera, como contexto la CRC considera necesario hacer una breve descripción del proceso de portación establecido en la regulación. Así, las condiciones de operación de la portabilidad numérica móvil se encuentran definidas en el Capítulo 6 del Título II de la Resolución CRC 5050 de 2016[2]. En relación con el proceso de portación, este está definido en el artículo 2.6.4.1, el cual comprende las siguientes etapas:
(i) Solicitud del Número de Identificación Personal (NIP) por parte del usuario;
(ii) Generación y envío del NIP de Confirmación;
(iii) Solicitud de Portación formal;
(iv) Verificación de la Solicitud por parte del Administrador de la Base de Datos (ABD) para la Portabilidad Numérica;
(v) Aceptación o Rechazo de la Solicitud de Portación por parte del Proveedor Donante;
(vi) Planeación de la Ventana de Cambio; y
(vii) Activación del Número Portado.
Es importante mencionar que el ABD es la persona jurídica que tiene a su cargo la administración, gestión e integridad de la Base de Datos Administrativa para la Portabilidad Numérica[3], la mediación de los cambios de PRST y la coordinación de la sincronía de la actualización de las Bases de Datos Operativas involucradas en la Portabilidad Numérica. Entre sus obligaciones están la de garantizar los intercambios de información entre los PRST, asignar el NIP a los usuarios y realizar la verificación de la solicitud de portación.
Así las cosas, antes de iniciar la solicitud oficial por parte del usuario, el proveedor receptor[4] solicita el NIP al ABD, el cual debe ser enviado mediante mensaje corto de texto (SMS) y tiene como fin autenticar la condición del titular del número a ser portado.
El proceso de portación inicia con la entrega de la solicitud por parte del usuario al proveedor receptor. Esta solicitud puede hacerse por escrito, personalmente o a través de la línea telefónica de atención al cliente, o por cualquier otro medio que determine o convalide la CRC. La solicitud debe incluir lo siguiente:
Para personas Naturales:
- Nombre completo, que incluirá los dos nombres (cuando aplique) y los dos apellidos (cuando aplique).
- Tipo de documento de identificación, número del documento y fecha de expedición del mismo.
- Autorización del titular de la línea y copia del documento de identidad, en caso de que la solicitud no sea presentada por el mismo.
- Número telefónico asociado a la portación solicitada.
- Proveedor Donante.
- NIP de confirmación, enviado previamente por el ABD al usuario a través de un SMS.
Para personas jurídicas:
- Razón social.
- Número de Identificación Tributaria (NIT).
- Copia del Certificado de Existencia y Representación Legal emitido por la Cámara de Comercio con fecha de expedición no superior a treinta días, o del documento equivalente que pruebe la existencia y representación legal de las personas jurídicas a quienes no aplique la inscripción en el registro mercantil.
- Tipo de documento de identificación del representante legal, número del documento y fecha de expedición del mismo.
- Autorización del representante legal y copia del documento de identidad, en caso de que la solicitud no sea presentada por el mismo.
- Número(s) telefónico(s) asociado(s) a la portación solicitada.
- Proveedor Donante.
- NIP de Confirmación, el cual ha sido enviado previamente por el ABD a través de SMS a la línea de la persona autorizada en el contrato.
Esta solicitud es validada por el ABD, quien verifica la correspondencia del NIP con el número telefónico objeto de la portación y si no existen solicitudes de portación previas en trámite sobre dicho número. En caso de ser aceptada la solicitud de portación, el ABD la envía al proveedor donante[5] e informa al proveedor receptor que la misma fue aceptada.
El proveedor donante realiza una validación de la solicitud de portación y, de acuerdo con lo establecido en el artículo 2.6.4.7 de la Resolución CRC 5050 de 2016, podrá rechazar la solicitud en los siguientes casos:
- Cuando el tipo de documento de identificación, la fecha de expedición y el número del documento del solicitante, sea persona natural o jurídica, no coincida con el del titular de la línea.
- Cuando se trate de líneas desactivadas previamente a la solicitud del NIP por orden judicial, terminación de contrato o porque en modalidad prepago la(s) línea(s) fue desactivada de conformidad con el artículo 2.1.16.2. de la Sección 16 del Capítulo 1 del Título II de la Resolución CRC 5050 de 2016[6].
- Cuando corresponda a línea (s) suspendida(s) por solicitud del usuario en los términos de la Sección 8 del Capítulo 1 del Título II de la Resolución CRC 5050 de 2016.
- Líneas que correspondan a numeración implementada en la red del proveedor donante que no ha sido asignada efectivamente a usuarios finales.
- Líneas que correspondan a numeración que no ha sido implementada en la red del Proveedor Donante.
- Cuando el titular de la línea manifieste al Proveedor Donante que no solicitó el proceso de portación. En este caso el proceso de portación deberá detenerse sin importar en qué etapa se encuentre, con lo cual el proveedor donante deberá informar al ABD, y a su vez este al Proveedor Receptor la ocurrencia de este hecho. En el caso que el proceso de portación haya culminado, el Proveedor Receptor deberá proceder con el bloqueo de la línea de manera inmediata y deberá reversar la portación. La manifestación del titular de la línea deberá presentarse a más tardar el mismo día en el que se efectué la ventana de cambio.
- Cuando un usuario en modalidad prepago no presente actividad en la red, lo cual se deriva de la no evidencia de intercambio de señalización entre la red del Proveedor Donante y el equipo terminal móvil del usuario por un periodo de 30 días calendario, previo a la solicitud del NIP por parte del usuario.
El rechazo de la solicitud debe ser enviada por el proveedor donante al Proveedor Receptor, por medio del ABD. El proveedor donante debe remitir al ABD la justificación y prueba de este y a su vez el ABD debe constatar la validez del rechazo a través de los soportes aportados, y remitir dicha justificación y prueba al Proveedor Receptor para su conocimiento.
En caso de que el donante acepte la solicitud se programa la ventana de cambio, momento en el cual se realizará la desactivación de la línea en el Proveedor Donante y se activará en el Proveedor Receptor.
Aclarados los puntos previos, a continuación se dará respuesta a las consultas específicas de su comunicación, precisando que el alcance de estos pronunciamientos se ceñirá estrictamente a las facultades otorgadas por la ley a esta Comisión:
1. Seguridad y confiabilidad del servicio en la portabilidad numérica
Desde la perspectiva del consumidor financiero, en el evento en que un usuario tenga asociado su número de telefonía móvil como dato de contacto y/o mecanismo de validación en una entidad financiera, y posteriormente realice un proceso de portabilidad numérica, ¿dicha situación puede tener alguna incidencia en la gestión del riesgo de fraude o en la seguridad de los productos financieros asociados a dicho número?
2. Consideraciones de seguridad frente a la portabilidad numérica
¿Existen consideraciones generales en materia de seguridad que deban tenerse en cuenta respecto del proceso de portabilidad numérica móvil, en la medida en que el número telefónico puede estar asociado a canales de atención o autenticación en productos financieros?
3. Impacto en sistemas de autenticación de entidades financieras
Considerando que diversas entidades financieras emplean el número de telefonía móvil como medio de autenticación (códigos OTP, verificación de identidad, recuperación de credenciales), ¿la portabilidad no informada de una línea puede facilitar accesos no autorizados a productos financieros y, en consecuencia, la materialización de fraudes?
4. Deberes de las entidades financieras frente a la gestión del riesgo
En relación con el uso del número telefónico como elemento de autenticación, ¿qué deberes generales tienen las entidades vigiladas en materia de gestión del riesgo y protección del consumidor financiero, particularmente frente a eventos que impliquen cambios en la titularidad u operador del número?
Respuesta CRC:
Como se mencionó, el proceso de portabilidad es totalmente independiente a las validaciones que puedan realizar las entidades financieras para verificar la identidad de sus clientes con fines de realizar transacciones bancarias. Como consecuencia la gestión del riesgo sobre la seguridad del fraude en los productos financieros recae sobre las entidades que gestionan estos tipos de servicios y sobre lo cual esta entidad carece de competencias para dar respuesta de fondo a sus inquietudes.
En esta línea, la regulación expedida por la Comisión en materia de portabilidad numérica móvil se limita a establecer las condiciones, procedimientos y responsabilidades operativas que deben observar los proveedores de redes y servicios móviles para la correcta ejecución del proceso de portabilidad.
Sin perjuicio de lo anterior, la CRC ha identificado casos en los que se pueden presentar fraudes en el proceso de portabilidad y que pueden impactar indirectamente los servicios financieros, principalmente por la suplantación de identidad. En consecuencia, ha venido tomando una serie de medidas que permitan minimizar este hecho. Con la expedición de la Resolución CRC 7151 de 2023, la Comisión fortaleció la validación de identidad en el proceso de portabilidad para personas naturales y jurídicas, tanto por parte del operador receptor como el operador donante. De igual manera con esta resolución se incluyó la posibilidad de que el usuario pueda detener un proceso de portabilidad en donde se encuentre en una suplantación para lo cual el operador debe detener de manera inmediata el proceso y en algunos casos reversar el mismo.
Ahora bien, actualmente la CRC se encuentra desarrollando un proyecto denominado «Identificación de medidas para mitigar el fraude cibernético por medio de servicios móviles» con el objetivo es diseñar la estrategia de la CRC para la prevención y mitigación del contacto a usuarios con fines fraudulentos mediante servicios tradicionales de voz y mensajes de texto. Así las cosas, la invitamos a conocer la propuesta regulatoria, la cual se encuentra publicada para conocimiento de los agentes interesados en la página web de la comisión y que puede acceder a través del siguiente enlace: https://www.crcom.gov.co/es/proyectos-regulatorios/2000-41-7-1.
En los anteriores términos damos respuesta a su comunicación, y quedamos atentos a cualquier inquietud adicional que tenga.
Cordial saludo,
MARIANA SARMIENTO ARGÜELLO
Coordinadora de Relaciones con Grupos de Valor
1. «Artículo 28. Alcance de los conceptos. <Artículo modificado por el artículo 1o. de la Ley 1755 de 2015. El nuevo texto es el siguiente:> Salvo disposición legal en contrario, los conceptos emitidos por las autoridades como respuestas a peticiones realizadas en ejercicio del derecho a formular consultas no serán de obligatorio cumplimiento o ejecución».
2. «Por la cual de compilan las Resoluciones de Carácter General vigentes expedidas por la Comisión de Regulación Comunicaciones»
3. Esta base de datos contiene como mínimo la información necesaria para el enrutamiento de comunicaciones hacia números portados, y que se actualiza de conformidad con el Proceso de Portación. Lo anterior, de conformidad con lo señalado en el Título de Definiciones de la Resolución CRC 5050 de 2016.
4. Proveedor de Servicios de Telecomunicaciones hacia el cual es portado un determinado número como resultado del Proceso de Portación.
5. Proveedor de Redes y Servicios de Telecomunicaciones desde el cual es portado un determinado número como resultado del Proceso de Portación.
6. «Artículo 2.1.16.2. Pérdida del número en prepago. Si durante un periodo de 2 meses, el usuario no realiza ni recibe llamadas, o no cursa tráfico de datos, o no envía SMS, así como tampoco hace recargas, ni tiene saldos vigentes; el operador
podrá disponer del número de su línea telefónica, para lo cual este debe darle aviso al usuario con 15 días hábiles de antelación.»
