CRC - Concepto 2025522702 de 2025

Versión No. 16 Aprobado por: Coordinación Relaciones con Grupos de Valor Fecha de vigencia: 13/01/2025 Rad. 2025809471 Cod. 2000 Bogotá, D.C.

REF: Respuesta a su solicitud con radicado No. 2025809471

La Comisión de Regulación de Comunicaciones (CRC) recibió su comunicación con radicado No. 2025809471, en la cual propone que se expida una regulación que obligue a todos los usuarios de líneas móviles en el país a registrar su huella dactilar y fotografía ante los Proveedores de Redes y Servicios de Telecomunicaciones (PRST), como requisitos para poder hacer uso de los servicios. Asimismo, plantea prohibir a los proveedores la venta de SimCards sin que se haya realizado el registro. Lo anterior, con el fin de tener un mayor control sobre las SimCards, facilitar la identificación de las personas que usen los servicios móviles para cometer delitos como estafas o extorsiones, y desincentivar el uso de llamadas telefónicas con fines delictivos. Al respecto, previo a dar respuesta a su consulta, debe mencionarse que la CRC, al rendir conceptos, lo hace de conformidad con lo dispuesto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo – CPACA y según las competencias y facultades que le han sido otorgadas. De este modo, el alcance del pronunciamiento solicitado tendrá las consecuencias que la normatividad le otorga a los conceptos rendidos por las autoridades administrativas. En primer lugar, es importante señalar que ya el ordenamiento jurídico vigente contempla disposiciones legales y regulatorias que obligan a los PRST a identificar a los usuarios de sus servicios móviles y mantener actualizados sus datos, lo cual contribuye a prevenir la comisión de

En primer lugar, es importante señalar que ya el ordenamiento jurídico vigente contempla disposiciones legales y regulatorias que obligan a los PRST a identificar a los usuarios de sus servicios móviles y mantener actualizados sus datos, lo cual contribuye a prevenir la comisión de delitos haciendo uso de estos servicios, entre otros fines. En particular, la CRC adelantó, en los años 2024 y 2025, el proyecto regulatorio denominado «Revisión de medidas regulatorias aplicables a servicios móviles - fase II» que culminó con la expedición de la Resolución CRC 7684 de 17 de marzo de 20251. Esta resolución establece la 1 La Resolución CRC 7684 de 2025 «Por la cual se adoptan medidas para la promoción de la competencia, se modifican algunas disposiciones de la Resolución CRC 5050 de 2016 y se dictan otras disposiciones» puede consultarse en el siguiente enlace: https://www.crcom.gov.co/sites/default/files/normatividad/00007684.pdf Digitally signed by

MARIANA SARMIENTO ARGUELLO Date: 2025.07.23 16:02:4705:00

Reason: Fiel Copia del Original Location: ColombiaDigitally signed by

MARIANA SARMIENTO ARGUELLO

Date: 2025-07-23

16:02:47 -05:00

Reason: Fiel Copia del

Original Location: Colombia Continuación: Respuesta a su consulta con radicado No. 2025809471 Página 2 de 4

Versión No. 16 Aprobado por: Coordinación Relaciones con Grupos de Valor Fecha de vigencia: 13/01/2025 obligación, a cargo de los proveedores, de implementar un procedimiento para recopilar, verificar y registrar los datos de identificación de los usuarios antes de que estos puedan utilizar los servicios de comunicaciones móviles mediante las SimCards adquiridas2.

obligación, a cargo de los proveedores, de implementar un procedimiento para recopilar, verificar y registrar los datos de identificación de los usuarios antes de que estos puedan utilizar los servicios de comunicaciones móviles mediante las SimCards adquiridas2. En ese sentido, el artículo 2.1.3.3.3 de la Resolución CRC 5050 de 2016, adicionado por el artículo 4 de la Resolución CRC 7684, dispone que, como mínimo, los operadores deberán solicitar a los usuarios de los servicios móviles en la modalidad prepago el tipo de documento de identificación, su número y fecha de expedición. En caso de no poder obtener automáticamente los nombres y apellidos de los usuarios mediante herramientas idóneas de validación, esta información también deberá ser suministrada por estos. Además, dichos datos deberán ser verificados en tiempo real por los proveedores mediante el mecanismo que consideren idóneo. Asimismo, los usuarios están obligados a proporcionar información veraz y actualizada a los operadores, tal como consta en su documento de identidad, y a notificarles cualquier modificación, lo que activará un nuevo proceso de verificación por parte de los proveedores. Las medidas adoptadas por la CRC complementan otras disposiciones del marco normativo que también buscan prevenir el uso de los servicios de comunicaciones móviles con fines delictivos. Por ejemplo, el artículo 3 de la Resolución 0912 de 2008, expedida por la Dirección de Investigación Criminal (DIJIN), dispone que los proveedores, al activar una línea telefónica, deben registrar de inmediato en sus respectivas bases de datos los nombres y apellidos completos del usuario, número y tipo de identificación, el número de línea telefónica, el número ID y Flota (si aplica), además de la dirección, ciudad, departamento y teléfono de residencia del usuario, y fecha de activación de los servicios.

y tipo de identificación, el número de línea telefónica, el número ID y Flota (si aplica), además de la dirección, ciudad, departamento y teléfono de residencia del usuario, y fecha de activación de los servicios. Esta resolución también prevé en su artículo 4 que el incumplimiento de dichas obligaciones será informado por la DIJIN al Ministerio de Tecnologías de la Información y las Comunicaciones (MINTIC), para que, en el ejercicio de sus facultades de inspección y control verifique el cumplimiento de las obligaciones por parte de los operadores. A su vez, los numerales 12 y 13 del artículo 95 del Código Nacional de Seguridad y Convivencia Ciudadana3, califican como comportamientos contrarios a la convivencia la activación de líneas telefónicas y SimCards sin que el usuario haya suministrado al prestador del servicio los datos biográficos en el momento de la activación, lo que afecta la seguridad de las personas y sus bienes en relación con los equipos terminales móviles (ETM). 2 Artículo 2.1.3.3 PROCEDIMIENTO PARA LA ACTIVACIÓN DE SERVICIOS MÓVILES EN LA MODALIDAD PREPAGO. Adicionado a la Resolución CRC 5050 de 2016 mediante el artículo 4 de la Resolución CRC 7684 de 2025. 3 Ley 1801 de 2016.Digitally signed by

MARIANA SARMIENTO ARGUELLO

Date: 2025-07-23

16:02:47 -05:00

Reason: Fiel Copia del

Original Location: Colombia Continuación: Respuesta a su consulta con radicado No. 2025809471 Página 3 de 4

Versión No. 16 Aprobado por: Coordinación Relaciones con Grupos de Valor Fecha de vigencia: 13/01/2025

Original Location: Colombia Continuación: Respuesta a su consulta con radicado No. 2025809471 Página 3 de 4

Versión No. 16 Aprobado por: Coordinación Relaciones con Grupos de Valor Fecha de vigencia: 13/01/2025 Por otra parte, la Ley 1266 de 20084 responsabiliza a los operadores de fortalecer los mecanismos y procesos físicos, electrónicos o de cualquier naturaleza, para establecer la identidad plena de los titulares de información. Asimismo, los obliga a reportar o tratar información comprobable que cumpla el principio de veracidad 5 y los deberes asociados a este principio, en cuanto a la calidad de los registros de los datos suministrados a los operadores de información 6. Lo anterior, en cumplimiento del principio de Responsabilidad Demostrada contemplado en dicha ley7. En conclusión, el marco normativo vigente - incluyendo la Ley 1266 de 2008, el Código Nacional de Seguridad y Convivencia Ciudadana, la Resolución CRC 7684 de 2025, compilada en la Resolución CRC 5050 de 2016 y la Resolución 0912 de 2008 expedida por la DIJINya contempla obligaciones dirigidas a garantizar la plena identificación de los usuarios de servicios de comunicaciones móviles y la actualización permanente de su información, como medida para prevenir su uso con fines delictivos. Ahora bien, en relación con la propuesta de exigir la recolección presencial de datos biométricos, como la huella dactilar y fotografía del usuario, es importante advertir que este tipo de medidas exige un análisis más profundo respecto de su idoneidad, proporcionalidad y necesidad, teniendo en cuenta que, como se expuso previamente, ya existen mecanismos regulatorios y tecnológicos

exige un análisis más profundo respecto de su idoneidad, proporcionalidad y necesidad, teniendo en cuenta que, como se expuso previamente, ya existen mecanismos regulatorios y tecnológicos vigentes que permiten la validación de la identidad de los usuarios sin necesidad de acudir a estos datos biométricos. Sin embargo, es pertinente mencionar que la Comisión, en desarrollo de su política de mejora regulatoria, revisa continuamente su marco regulatorio conforme a los proyectos definidos en sus agendas regulatorias. En ese sentido, propuestas como la planteada en su comunicación podrán ser objeto de análisis en el futuro, en caso de considerarse pertinente. 4 «Por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones.» 5 «Principio de veracidad o calidad de los registros o datos. La información contenida en los bancos de datos debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que induzcan a error;». Literal a) del artículo 4 de la Ley 1266 de 2008. 6 Según el literal c) del artículo 3 de la Ley 1266 de 2008, se denomina operador de información a «la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la presente ley. Por tanto el operador, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. Salvo que el operador sea

los parámetros de la presente ley. Por tanto el operador, en cuanto tiene acceso a información personal de terceros, se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos. Salvo que el operador sea la misma fuente de la información, este no tiene relación comercial o de servicio con el titular y por ende no es responsable por la calidad de los datos que le sean suministrados por la fuente;» 7 «ARTÍCULO 19A. RESPONSABILIDAD DEMOSTRADA. Los operadores, fuentes y usuarios de información financiera, crediticia, comercial y de servicios deben ser capaces de demostrar que han implementado medidas apropiadas, efectivas y verificables para cumplir con las obligaciones establecidas en la Ley 1266 de 2008 y sus normas reglamentarias, en una manera que sea proporcional a lo siguiente:

1. La naturaleza jurídica del operador, fuente y usuario de información y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente.

2. La naturaleza de los datos personales objeto del tratamiento.

3. El tipo de tratamiento.

4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

Quienes efectúen el tratamiento de los datos personales deberán suministrar evidencia sobre la implementación efectiva de las medidas útiles y pertinentes para cumplir la presente ley.»Digitally signed by

MARIANA SARMIENTO ARGUELLO

Date: 2025-07-23

16:02:47 -05:00

Reason: Fiel Copia del

Original Location: Colombia Continuación: Respuesta a su consulta con radicado No. 2025809471 Página 4 de 4

Versión No. 16 Aprobado por: Coordinación Relaciones con Grupos de Valor Fecha de vigencia: 13/01/2025

Original Location: Colombia Continuación: Respuesta a su consulta con radicado No. 2025809471 Página 4 de 4

Versión No. 16 Aprobado por: Coordinación Relaciones con Grupos de Valor Fecha de vigencia: 13/01/2025 Quedamos a su disposición para brindar cualquier información adicional que se requiera sobre el asunto. Cordial saludo, MARIANA SARMIENTO ARGÜELLO Coordinadora de Relaciones con Grupos de Valor

Proyectado por: Lizzett Grimaldo Sierra

Revisado por: Alejandra Arenas Pinto

MARIANA

SARMIENTO ARGUELLO Firmado digitalmente por MARIANA SARMIENTO ARGUELLO Fecha: 2025.07.23 16:12:01 -05'00'