¿Venden sus huellas y su foto de la Registraduría? Quién responde y cómo protegerse

El 4 de noviembre de 2026, una cuenta en un foro de datos robados anunció que vendía la foto, las huellas y los datos de cédula de 41,4 millones de colombianos, supuestamente sacados de la Registraduría. Si usted vota en Colombia, es probable que esté preguntándose si su nombre está en esa lista y qué puede hacer. Si es víctima de una suplantación, querrá saber si esto le sirve para defenderse. Y si su empresa valida la identidad de sus clientes contra la base de la Registraduría, le conviene saber que, según por dónde haya salido el dato, la sanción puede caerle a usted. Aquí encontrará lo que se sabe, quién responde en cada caso y qué hacer en cada situación.

Lo primero: ¿qué se sabe y qué no?

Nada está confirmado. El medio especializado MuchoHacker.LOL revisó las pruebas del vendedor y encontró que la ficha que presentó como «del presidente» era la de su padre, que otra ya era pública desde 2022 y que la cifra coincide casi exactamente con el censo electoral de 2026. Esa misma noche, la Registraduría informó que no identificó ninguna intrusión ni acceso no autorizado.

Aun así, vale la pena entender qué está en juego, por dos razones. La primera es que la ley trata estos datos con especial cuidado. La Ley 1581 de 2012 define como sensibles los datos que:

«afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación» (art. 5)

y en esa lista incluye expresamente los datos biométricos (la huella, el rostro). Es decir, su foto y su huella no son un dato cualquiera: su uso está prohibido salvo excepciones puntuales (art. 6).

La segunda razón es que, aunque la Registraduría no haya sido atacada, el dato pudo salir de otra parte. Muchas entidades consultan esa base: el Decreto-Ley 019 de 2012 obliga a las entidades públicas y a los particulares que cumplen funciones administrativas a verificar la huella contra la base de la Registraduría (art. 18), y la entidad certifica a operadores biométricos privados para conectarse a ella. Es el punto que más confunde y el que decide todo lo demás.

Quién responde depende de por dónde salió el dato

Si el dato salió de la Registraduría

La SIC no le puede poner una multa a la Registraduría (art. 23, Ley 1581). La ley dice que sus sanciones «sólo aplican para las personas de naturaleza privada». Cuando quien incumple es una autoridad pública, la Superintendencia de Industria y Comercio (la autoridad de protección de datos) debe enviar el caso a la Procuraduría General de la Nación. En la práctica, la consecuencia es disciplinaria para los funcionarios, no una multa a la entidad.

Usted podría reclamarle a la Nación los daños que le cause la filtración (art. 90 de la Constitución y art. 140 del CPACA). El Estado responde por los daños antijurídicos (los que usted no tiene el deber de soportar) causados por la acción o la omisión de sus autoridades. Eso se pide con una demanda de reparación directa. Ojo: no basta con estar en la lista; hay que probar un daño concreto (un crédito que le sacaron, una plata que perdió) y su relación con la falla de seguridad.

Si el dato salió de un banco, una notaría o un operador privado conectado a la base

Aquí sí hay multas, y fuertes (art. 23, Ley 1581). La SIC puede imponer multas de hasta 2.000 salarios mínimos, suspender el tratamiento de datos y, cuando hay datos sensibles de por medio, ordenar el cierre inmediato y definitivo de la operación. Esa empresa, además, tenía el deber de proteger la información (art. 17, literal d) y de informar a la SIC cuando se violan sus códigos de seguridad (art. 17, literal n).

Para quien entró al sistema y para quien vende

Entrar sin permiso y vender los datos son delitos con cárcel (arts. 269A y 269F del Código Penal). Cada uno tiene prisión de 48 a 96 meses y multa de 100 a 1.000 salarios mínimos. Las penas aumentan de la mitad a las tres cuartas partes si el ataque fue contra sistemas del Estado (art. 269H).

Lo que no cambia: su cédula y su huella son las mismas

Cuando se filtra una contraseña, usted la cambia. Con la cédula no es así. En la Sentencia T-980 de 2007, una mujer suplantada le pidió a la Registraduría un número nuevo y la Corte Constitucional se lo negó. Explicó que la cédula supone

«la adjudicación de un UNICO número»

y que la causal de cancelación por suplantación es para el documento falso, no para el de la víctima: «la que habría que cancelar es la cédula falsificada y no la cédula expedida legalmente por la Registraduría». En la práctica, si alguien usa su cédula, el camino es la denuncia penal, no un documento nuevo. Y con la huella y la cara pasa lo mismo: no se pueden reemplazar.

Por eso su protección no depende de cambiar nada, sino de lo que la ley obliga a hacer a quien le preste, le venda o le cobre algo en su nombre.

Cómo protegerse, según lo que le pase

Si lo llaman y le «confirman» sus datos para pedirle algo. La fecha de expedición de su cédula o su lugar de nacimiento no prueban que quien llama sea su banco. Cuelgue y llame usted al número oficial que aparece en su tarjeta o en la página de la entidad.

Si le aparece un crédito, una tarjeta o una línea que no pidió, la entidad tiene que suspender el cobro (Ley 2573 de 2026, art. 8). Esta ley, que entra a regir el 19 de noviembre de 2026, obliga a operadores de telecomunicaciones, bancos y comercios a suspender de inmediato el cobro, incluidos los intereses, apenas usted les informe la suplantación. También tienen que entregarle copia de los documentos que usó el suplantador: «Bajo ninguna circunstancia podrá negarse la entrega de esta información a la persona» (art. 5). Y si usted pide que corrijan su reporte en las centrales de riesgo y no le responden en el plazo, la ley entiende que su solicitud fue resuelta a su favor (art. 7). Lo explicaremos en detalle en «Sacaron créditos con mi cédula: qué hacer según la Ley 2573», que se publica el 21 de noviembre.

Si usan su cara o su voz para hacerse pasar por usted. Desde 2026 rige el agravante de la Ley 2502 de 2025: cuando la suplantación (lo que el Código Penal llama falsedad personal) se hace con inteligencia artificial, la multa aumenta hasta en una tercera parte (art. 296). Es una multa, no cárcel, y casi siempre hay otro delito más grave detrás, como la estafa. Lo desarrollaremos en «Deepfakes y suplantación con IA», que se publica el 11 de noviembre.

Si encuentra publicada su foto, su huella o sus datos. Puede pedirle a quien los tenga que los suprima (art. 8, literal e, Ley 1581). Debe responderle en 15 días hábiles, prorrogables por 8 más (art. 15). Si no le responde o le responde mal, ahí sí puede quejarse ante la SIC: antes no, porque la ley exige agotar primero ese reclamo (art. 16). El detalle de este trámite estará en «Mis datos se filtraron: qué puedo exigir», que se publica el 9 de noviembre.

Si usted es figura pública o familiar de una. El vendedor usó fichas de presidentes y artistas para atraer compradores, y una de ellas resultó ser la de un tercero. Si su ficha circula, guarde pantallazos con fecha y enlace antes de que la borren: son la prueba de la divulgación.

Si su empresa valida identidad contra la base de la Registraduría

Tiene que avisar a la SIC si detecta un incidente (art. 17, literal n, Ley 1581). La SIC pide hacerlo en su Registro Nacional de Bases de Datos «dentro de los quince (15) días hábiles siguientes al momento en el que el incidente es detectado», según la Circular Externa 003 de 2018 de la SIC, como la resume Holland & Knight (15 de agosto de 2018). No espere a que la noticia lo encuentre.

No puede tratar la fecha de expedición como una clave. Si sus procesos de validación se apoyan en datos que pueden estar en una base filtrada, una suplantación exitosa puede leerse como una falla en sus «medidas de seguridad razonables» (art. 5, Ley 2573).

La carga de la prueba es suya. Con la Ley 2573, en un caso de suplantación la entidad debe aportar la información y los documentos que recibió (art. 2, literal d). La Corte Constitucional, al revisarla, dijo que las entidades «deberán cumplir con la carga de veracidad respecto de la plena identidad del cliente» (Sentencia C-413 de 2025). Es decir, le toca demostrar que verificó bien a quien atendió.

Si ya lo suplantaron: qué pruebas guardar

• La denuncia ante la Fiscalía o la Policía, con su número de radicado.
• La comunicación en la que avisó a la entidad, con fecha y número de radicado.
• La copia de los documentos que usó el suplantador (la entidad tiene que entregársela).
• Su reporte de centrales de riesgo antes y después del aviso.
• Pantallazos, con fecha y enlace, de cualquier publicación de sus datos.

Si más adelante decide demandar al Estado, recuerde que la reparación directa tiene un plazo de dos años, contados desde el día siguiente al daño o desde que usted lo conoció, si prueba que no pudo conocerlo antes (art. 164, numeral 2, literal i, CPACA). La caducidad (la pérdida del derecho a demandar por no hacerlo a tiempo) no se interrumpe por estar esperando noticias.

Qué hacer, paso a paso

Si usted es ciudadano y aún no le ha pasado nada:

1. Active las alertas de su banco y revise su historial en las centrales de riesgo cada pocos meses.
2. No dé datos por teléfono a quien lo llame; llame usted al número oficial.
3. No reenvíe las fotos y huellas que circulan.

Si usted ya es víctima de una suplantación:

1. Avise por escrito a la entidad que le cobra y pida copia de los documentos usados.
2. Ponga la denuncia ante la Fiscalía el mismo día, para no dejar vencer los 20 días hábiles.
3. Pida la corrección de su reporte y la leyenda «Víctima de Falsedad Personal».
4. Guarde todo con fecha y radicado.

Si usted representa a una empresa que valida identidad:

1. Revise si sus integraciones con la Registraduría o con operadores biométricos registraron accesos anómalos.
2. Si hubo incidente, repórtelo a la SIC dentro del plazo.
3. Ajuste sus protocolos a la Ley 2573 antes de que entre a regir.

Si este caso lo afecta a usted o a su empresa, puede escribirnos por WhatsApp para revisar su situación concreta y los documentos que tiene.