Concepto 526159 de 2026 CRC

CONCEPTO 526159 DE 2026

(agosto 4)

<Fuente: Archivo interno entidad emisora>

COMISIÓN DE REGULACIÓN DE COMUNICACIONES

REF: Respuesta a su comunicación con asunto «Consulta Regulatoria: obligaciones de Know Your Customer y validación biométrica para líneas telefónicas corporativas (B2B)».

Estimada señora Alexia Guerra:

La Comisión de Regulación de Comunicaciones (CRC o la Comisión) recibió su derecho de petición de fecha 11 de junio de 2026, radicado internamente bajo el número 2026813544, mediante el cual usted solicitó a la CRC lo siguiente:

«(...)

El motivo de este correo es solicitar su orientación técnica y regulatória respecto a lás obligaciones vigentes en Colombia para los provedores de servicios de telecomunicaciones, especificamente en en segmento corporativo (B2B).

Esta consulta está relacionada con los procesos de KYC (Know Your Customer o Conozca a su Cliente). Ek KYC refiere a los procedimientos de debida diligencia que las empresas deben implementar para verificar la identidad de sus clientes de manera segura, previniendo el fraude y la suplantación de identidad. En el ecosistema digital actual, este concepto incluye con especial énfasis la validación biométrica para asegurar que la persona (o empresa) que contrata o utiliza el servicio es efectivamente quien dice ser.

Tomando esto en cuenta, agradeceríamos enormemente si nos pudieran aclarar los siguientes puntos:

1. Obligatoriedad en B2B: ¿Existe actualmente alguna obligación regulatoria emitida por la CRC que exija la implementación de procesos de KYC (y específicamente de validación biométrica) para la venta, activación o gestión de líneas telefónicas dirigidas a empresas (segmento B2B)?

2. Normativa de referencia: ¿Cuáles son las resoluciones, circulares o marcos vigentes que regulan la validación de identidad y biometría para operadores de telecomunicaciones en el país?

Agradecemos de antemano su tiempo y apoyo para esclarecer estas dudas. Quedo atenta a sus comentarios o a cualquier requerimiento de información adicional.

(…)».

La CRC estima oportuno informarle que el pronunciamiento sobre los asuntos expuestos en su consulta se efectuará con sujeción a lo establecido en el artículo 28 ^[1] del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA), y de acuerdo con las competencias y facultades que le han sido otorgadas a la CRC por el ordenamiento jurídico vigente, en particular aquellas establecidas en la Ley 1341 de 2009^[2], modificada por la Ley 1978 de 2019^[3].

De este modo, el alcance del pronunciamiento solicitado tendrá las consecuencias que la normatividad le otorga a los conceptos rendidos por las autoridades administrativas. Además, se debe recordar que, en la medida en que estos conceptos no pueden analizar situaciones de orden particular y concreto, los mismos hacen referencia de manera general y abstracta respecto de las materias sobre las que versa su consulta.

Precisado lo anterior, y previo a pronunciarse de manera particular sobre sus solicitudes, la Comisión considera pertinente delimitar el alcance de las competencias de la CRC.

1. Cuestión previa: consideraciones preliminares sobre las competencias de esta Comisión

A partir del contexto general en el que se enmarcan sus inquietudes, la Comisión considera oportuno señalar que, según lo dispuesto por el artículo 19 de la Ley 1341 de 2009, modificada por la Ley 1978 de 2019, la CRC es «una Unidad Administrativa Especial, del orden nacional, con independencia administrativa, técnica, patrimonial, presupuestal, y con personería jurídica, la cual forma parte del Sector administrativo de Tecnologías de la Información y las Comunicaciones», y es el órgano «encargado de promover la competencia en los mercados, promover el pluralismo informativo, evitar el abuso de posición dominante, regular los mercados de las redes y los servicios de comunicaciones y garantizar la protección de los derechos de los usuarios; con el fin que la prestación de los servicios sea económicamente eficiente, y refleje altos niveles de calidad, de las redes y los servicios de comunicaciones, incluidos los servicios de televisión abierta radiodifundida y de radiodifusión sonora».

Esta misma disposición señala que, para efectos de lo anterior, la CRC debe adoptar una regulación que promueva la inversión, la protección de los usuarios, la calidad de los servicios, la simplificación regulatoria, la neutralidad de la red, e incentive la construcción de un mercado competitivo que desarrolle los principios orientadores de la misma Ley 1341 de 2009.

Para desarrollar el anterior objeto misional, el legislador otorgó directamente a la CRC, por medio del artículo 22 de la ley en comento, modificada por la Ley 1978 de 2019, que típicamente debe ostentar un regulador para promover la competencia en los servicios de telecomunicaciones, maximizar el bienestar de los usuarios, regular el acceso y uso de instalaciones esenciales necesarias para facilitar la entrada de agentes al mercado, definir las condiciones para la interconexión y la interoperabilidad de las redes de telecomunicaciones, regular el uso adecuado de los recursos escasos diferentes al espectro, proteger el pluralismo y las audiencias, solucionar controversias y promover y garantizar los derechos de los usuarios de los servicios de comunicaciones, en términos generales.

En el marco de esas competencias, la CRC procederá a dar respuesta a las solicitudes y consultas planteadas en los siguientes términos.

2. Respuesta a sus consultas:

De la revisión integral de su consulta se desprenden dos temáticas claramente identificables. De un lado, las obligaciones existentes para la venta, activación y gestión de líneas telefónicas. De otra parte, la existencia de obligaciones de KYC. A continuación, la Comisión se refiere a estos dos asuntos:

2.1. Sobre la activación de líneas telefónicas y las obligaciones en cabeza de los operadores

Para responder el primer punto o temática de su consulta, la Comisión considera pertinente recordar que el año pasado fue expedida la Resolución CRC 7684 de 2025 como resultado de la segunda fase del proyecto «Revisión de Medidas Aplicables a Servicios Móviles»^[4]. Con la expedición de dicha resolución, es obligación de los PRST, previo a activar y prestar sus servicios, recolectar y registrar los datos de identificación de los usuarios de la modalidad prepago. En igual sentido, se establece el deber de los usuarios que adquieran una nueva SIM card en modalidad prepago de registrar sus datos ante el operador, quien verificará la información antes de activar el servicio, garantizando un proceso más seguro y eficiente. Esta medida permite a los PRST contar con información de la titularidad de las líneas en modalidad prepago debidamente actualizada.

La medida regulatoria sobre la titularidad de las líneas prepago y la actualización de datos tiene como objetivo principal asegurar la correcta identificación de los usuarios, garantizando la transparencia y, sobre todo, la seguridad en el uso de los servicios de telecomunicaciones. Para ello, se establece que los operadores deben verificar, en tiempo real, la coincidencia de los documentos de identificación proporcionados por los usuarios, ya sean personas naturales o jurídicas. Esto contribuye a evitar fraudes y a mejorar la fiabilidad de la información que reciben los operadores de parte de los usuarios. Asimismo, se prohíbe que los operadores registren las SIM Card a nombre de comercializadores, que son los agentes encargados de la distribución y venta de estos elementos.

También, como parte de estas medidas, se estableció la obligación de los PRST de realizar campañas informativas semestrales sobre la importancia de que los usuarios registren correctamente sus líneas prepago, así como también de mantener actualizados sus datos personales. Estas medidas consolidan un marco regulatorio que facilita el cumplimiento de las distintas normas antes señaladas encaminadas a garantizar que se cuente con la información de los usuarios de los servicios móviles y, en la misma línea, propende por la efectividad de los procesos de registro de los datos de los usuarios ante los operadores.

2.2. Sobre las obligaciones de KYC

De otra parte, en relación con las obligaciones de KYC, la Comisión estima pertinente informarle que, a mediados del año 2025, la CRC inició el proyecto regulatorio denominado «Identificación de medidas para mitigar el fraude cibernético por medio de servicios móviles». Este proyecto regulatorio fue dividido en dos fases.

La primera fase estuvo enfocada en establecer las medidas técnicas necesarias para mitigar el fraude en los servicios tradicionales de SMS y voz, en definir medidas de educación y prevención dirigidas a los usuarios, y en adelantar las modificaciones al TÍTULO VI de la Resolución CRC 5050 de 2016 –mediante la metodología de simplificación normativa– orientadas a optimizar las medidas reactivas de gestión del fraude asociadas a la administración de códigos cortos. Esta fase se surtió conforme a los hitos previstos en la Agenda Regulatoria: el proyecto de resolución y su documento soporte fueron publicados para comentarios del sector entre el 5 y el 23 de junio de 2026, y la decisión regulatoria fue adoptada en el tercer trimestre de 2026 mediante la Resolución CRC 8308 del 30 de julio de 2026, «Por la cual se establecen medidas para mitigar el fraude cibernético por medio de servicios móviles y se dictan otras disposiciones».

Mediante la Resolución CRC 8308 de 2026 la Comisión adoptó, en particular: (i) la creación del SENDER ID y del código corto A2P como recursos de identificación administrados por la CRC, la creación del validador centralizado y del régimen de plantillas de contenido A2P, y las obligaciones de debida diligencia (KYC) aplicables a los agentes del ecosistema, junto con medidas técnicas mínimas de monitoreo y control del tráfico P2P atípico; (ii) medidas sobre los servicios tradicionales de voz, entre ellas la prohibición del enmascaramiento de la identidad de la línea llamante (CLI), el monitoreo en tiempo real y el etiquetado de llamadas sospechosas y de llamadas con fines publicitarios, y la implementación de listas de no originación (DNO); (iii) la creación del Comité Técnico de Lucha contra el Fraude en Redes de Servicios Móviles (CTLFSM), como instancia permanente de coordinación bajo la dirección de la CRC; (iv) medidas educativas y pedagógicas a cargo de la CRC, de los PRST y de los asignatarios de recursos de identificación que hacen parte del ecosistema A2P; y (v) el fortalecimiento del régimen de administración de recursos de identificación bajo el enfoque de simplificación normativa.

Las medidas de la Resolución CRC 8308 de 2026 directamente relacionadas con la mensajería A2P –esto es, las contenidas en los Capítulos 4, 12 y 13 del TÍTULO VI de la Resolución CRC 5050 de 2016 y las definiciones que las soportan– quedaron condicionadas, en su entrada en vigencia, a la publicación en el Diario Oficial del acto administrativo mediante el cual la Comisión defina la nueva remuneración aplicable al ecosistema A2P. En el mismo sentido, el proceso de selección del validador centralizado y el periodo de transición de doce (12) meses previstos en los artículos 17 y 18 de esa resolución solo comienzan a ejecutarse materialmente a partir de esa misma publicación. En consecuencia, la decisión regulatoria que se somete a consideración del sector mediante el presente documento constituye el presupuesto para la entrada en operación del nuevo régimen de mensajería A2P adoptado en la primera fase.

La segunda fase está orientada a adelantar el análisis de mercado del servicio de SMS con el propósito de definir la remuneración mayorista aplicable a los mensajes de texto A2P. En su desarrollo se tienen en cuenta las medidas adoptadas en la primera fase del proyecto, en tanto inciden en las condiciones de prestación, trazabilidad, gestión y seguridad del tráfico de mensajería A2P y, por esa vía, en la estructura de costos y en las condiciones de competencia del mercado objeto de análisis.

En este contexto, y en relación directa con su consulta, la Resolución CRC 8308 de 2026 adicionó a la Resolución CRC 5050 de 2016 los siguientes artículos sobre KYC:

«(…)

SECCIÓN 3.

PROCESO DE CONOCIMIENTO DEL CLIENTE (KYC).

ARTÍCULO 6.13.3.1. OBLIGACIONES DE DEBIDA DILIGENCIA DE LOS ASIGNATARIOS DE CÓDIGO CORTO A2P. Los asignatarios del código corto A2P adelantarán el proceso de conocimiento del cliente (KYC) respecto de cada agente con quien celebren contratos para cursar tráfico A2P, con carácter previo al inicio de la relación contractual y de manera continua durante su vigencia. Este proceso es condición necesaria para que el validador centralizado pueda expedir la certificación requerida para la asignación del SENDER ID conforme al artículo 6.12.2.1.8. de la presente resolución.

El proceso de KYC comprende como mínimo las siguientes obligaciones:

6.13.3.1.1. Identificación del agente. Verificación de la identidad de la persona natural o jurídica contratante mediante revisión de: certificado de existencia y representación legal con vigencia no superior a noventa (90) días; documento de identidad del representante legal y demás firmantes del contrato; RUT actualizado; y constancia de inscripción en el RPCAI cuando corresponda. Esta verificación comprende la constatación de que la persona jurídica contratante se encuentra activa y no incursa en estado de disolución o liquidación.

6.13.3.1.2. Identificación del beneficiario final. Identificación de la persona natural que en última instancia ejerce el control sobre la persona jurídica contratante. Esta identificación tiene como única finalidad la individualización de la persona natural que ejerce dicho control, para efectos de la transparencia y la trazabilidad de la cadena de valor del tráfico A2P. El potencial asignatario del SENDER ID diligenciará el formato de declaración de beneficiario final que disponga el validador centralizado, el cual será elaborado por este con base en criterios de identificación del beneficiario en materia de prevención del lavado de activos y financiación del terrorismo. La referencia a dichos criterios opera exclusivamente como parámetro técnico para la elaboración del formato de declaración, sin que ello convierta a los agentes en sujetos obligados de dicho régimen ni les imponga obligaciones adicionales a la de presentar la declaración. El formato podrá aceptar como soporte la información de beneficiario final que el agente ya haya reportado ante autoridades competentes en virtud de otros regímenes, siempre que dicha información se encuentre vigente.

6.13.3.1.3. Verificación del objeto social. Verificación de que el objeto social del agente contratante es compatible con el tipo de contenido que pretende cursar a través del SENDER ID solicitado, y que las actividades comerciales declaradas son coherentes con el volumen y la modalidad de tráfico que se pretende generar.

6.13.3.1.4. Acreditación del derecho al uso del identificador alfanumérico. Verificación de que el agente contratante acredita el derecho al uso de la denominación comercial, marca, razón social o nombre que pretende registrar como SENDER ID, conforme a los documentos del numeral 6.12.2.1.3. del artículo 6.12.2.1. de la presente resolución.

6.13.3.1.5. Evaluación del perfil de riesgo. Evaluación del perfil de riesgo del agente contratante considerando como mínimo: historial de cumplimiento regulatorio en el sector de telecomunicaciones, incluyendo antecedentes de recuperación de recursos de identificación por la CRC; naturaleza del contenido que pretende cursar y su coherencia con el objeto social declarado; volumen de tráfico proyectado y su razonabilidad; y existencia de sanciones, investigaciones o procesos administrativos y/o judiciales en curso relacionados con fraudes a través de servicios de telecomunicaciones.

6.13.3.1.6. Formalización contractual. Celebración de contrato escrito con el agente contratante que establezca expresamente: la obligación del asignatario del SENDER ID de usar el recurso exclusivamente para los fines declarados y aprobados; la obligación de cursar tráfico únicamente a través de plantillas aprobadas y vigentes en el sistema del validador; la obligación de respetar el régimen de consentimiento del usuario por modalidad de contenido; la facultad del asignatario del código corto A2P de suspender el curso de tráfico de manera inmediata ante indicios de uso fraudulento y de reportar dicha suspensión al validador centralizado y al Administrador de Recursos de Identificación; y las consecuencias contractuales por incumplimiento, incluyendo la terminación del contrato por reincidencia.

6.13.3.1.7. Conservación de la información. Conservación de la totalidad de la información del KYC durante la vigencia de la relación contractual y por un período mínimo de cinco (5) años contados a partir de la terminación del contrato. Esta información deberá suministrarse al validador y al Administrador de Recursos de Identificación cuando sea requerida.

PARÁGRAFO. Tratándose de agentes contratantes que acrediten su condición de entidades sometidas a la inspección y vigilancia de la Superintendencia Financiera de Colombia, el validador centralizado y los asignatarios de código corto A2P podrán aplicar un proceso de conocimiento del cliente simplificado y más flexible. En tal caso, las obligaciones previstas en los numerales 6.13.3.1.1. 6.13.3.1.2, 6.13.3.1.3 y 6.13.3.1.5 se entenderán satisfechas con la acreditación de la condición de vigilada, de la existencia y representación legal, y de la titularidad del signo distintivo cuyo registro como SENDER ID se pretende, con apoyo en la información ya verificada en el marco de la supervisión estatal. En todo caso se mantendrán respecto de estas entidades las obligaciones de formalización contractual y de conservación de la información previstas en los numerales 6.13.3.1.6 y 6.13.3.1.7.

ARTÍCULO 6.13.3.2. DEBIDA DILIGENCIA CONTINUA. El proceso de KYC no se agota con la verificación inicial. Los asignatarios del código corto A2P adelantarán debida diligencia continua durante toda la vigencia de la relación contractual, que incluya como mínimo:

6.13.3.2.1. Actualización anual de la información del agente contratante, con verificación de la vigencia de los documentos presentados, del mantenimiento de las condiciones de elegibilidad y de la ausencia de nuevos factores de riesgo.

6.13.3.2.2. Monitoreo del tráfico cursado a través de los SENDER ID del agente contratante, conforme a los parámetros de la Sección 4 del presente capítulo, con el propósito de detectar patrones anómalos indicativos de uso fraudulento.

6.13.3.2.3. Revisión de las plantillas de contenido activas del agente contratante, para verificar que el contenido cursado corresponde a las plantillas aprobadas.

6.13.3.2.4. Reporte inmediato al validador y al Administrador de Recursos de Identificación de cualquier novedad relevante en la situación jurídica, financiera o comercial del agente contratante que pueda afectar su elegibilidad como asignatario del SENDER ID o el correcto uso del recurso de identificación.

(…)»

Es necesario insistir en que estas medidas, contenidas en el nuevo capítulo 13 del TÍTULO VI de la Resolución CRC 5050 de 2016, así como las definiciones que las soportan, quedaron condicionadas en su entrada en vigencia a la publicación en el Diario Oficial del acto administrativo mediante el cual la Comisión defina la nueva remuneración aplicable al ecosistema A2P, el cual será expedido en el cuarto trimestre de 2026.

Para mayor detalle de los avances del proyecto regulatorio, en el siguiente enlace se pueden consultar las publicaciones realizadas hasta la fecha: https://www.crcom.gov.co/es/proyectos- regulatorios/2000-41-7-1

En los anteriores términos damos respuesta a su consulta y quedamos atentos a cualquier aclaración adicional que requiera.

Cordial saludo,

MARIANA SARMIENTO ARGÜELLO

Coordinadora de Relaciones con Grupos de Valor

<NOTAS DE PIE DE PÁGINA>.

1. Ley 1437 de 2011, artículo 28: «ARTÍCULO 28. ALCANCE DE LOS CONCEPTOS. Salvo disposición legal en contrario, los conceptos emitidos por las autoridades como respuestas a peticiones realizadas en ejercicio del derecho a formular consultas no serán de obligatorio cumplimiento o ejecución».

2. Ley 1341 de 2009. «Por la cual se definen principios y conceptos sobre la sociedad de la información y la organización de las Tecnologías de la Información y las Comunicaciones -TIC-, se crea la Agencia Nacional de Espectro y se dictan otras disposiciones».

3. Ley 1978 de 2019. «Por la cual se moderniza el sector de las Tecnologías de la Información y las Comunicaciones (TIC), se distribuyen competencias, se crea un regulador único y se dictan otras disposiciones».

4. Los documentos asociados a dicho proyecto se encuentran disponibles en: https://www.crcom.gov.co/es/proyectos- regulatorios/2000-38-3-17-1