RESOLUCIÓN 03252 DE 2026
(agosto 5)
Diario Oficial No. 53.580 de 6 de agosto de 2026
MINISTERIO DE TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES
Por la cual se modifica el literal i) del numeral 9.2 y el numeral 9.5 del artículo 9o, el numeral 10.1 del artículo 10, el numeral ii) del literal b) del artículo 11 y el literal j) del artículo 12 de la Resolución 3680 de 2013.
LA MINISTRA DE TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES,
en ejercicio de sus facultades legales y en especial, la que le confiere el parágrafo 2o del artículo 4o de la Ley 1369 de 2009, y
CONSIDERANDO QUE:
El artículo 2o de la Ley 1369 de 2009, por medio de la cual se establece el régimen de los servicios postales y se dictan otras disposiciones, dispone, dentro de los objetivos de la intervención del Estado, asegurar la prestación eficiente, óptima y oportuna de los servicios postales. Así mismo, el parágrafo 2o del artículo 4o ibidem establece que, para el caso particular de los operadores de servicios postales de pago, el Ministerio de Tecnologías de la Información y las Comunicaciones reglamentará los requisitos de carácter patrimonial y de mitigación de riesgos que deberán acreditarse para la obtención del respectivo título habilitante, adicionales a los contemplados en los literales a), c) y d) del mismo artículo.
Los operadores de servicios postales de pago se encuentran expuestos a riesgos de naturaleza operativa y tecnológica, cuya gestión se encuentra regulada en la Resolución MinTIC 3680 de 2013, por la cual se establecen los requisitos y parámetros mínimos del sistema de administración y mitigación del riesgo operativo y de tipo tecnológico, de información y funcionamiento por parte de los Operadores de Servicios Postales de Pago y se derogan las Resoluciones números 2704 del 21 de diciembre de 2010 y 970 del 17 de mayo de 2011, modificada por la Resolución 882 de 2024, por la cual se adiciona el artículo 4o y se deroga el literal e) del numeral 7.1 del artículo 7o de la Resolución número 3680 de 2013.
En atención a los avances tecnológicos y digitales en materia de autenticación e identificación de las personas, así como a las nuevas modalidades de acceso a la información mediante herramientas tecnológicas tales como los códigos QR (del inglés Quick Response Code, código de respuesta rápida), a través de dispositivos móviles, se hace necesario actualizar la reglamentación vigente, a efectos de incorporar tales desarrollos dentro de las políticas de administración del riesgo operativo y tecnológico.
Para tal efecto, resulta pertinente contemplar como mecanismos de autenticación los factores de conocimiento, consistentes en información que únicamente conoce el usuario; los factores de posesión, referidos a objetos, dispositivos o credenciales que únicamente posee el usuario; y los factores inherentes, relativos a atributos propios del usuario, incluidos los biométricos, con el propósito de fortalecer la validación de identidad y mitigar los riesgos asociados a la suplantación, fraude o acceso no autorizado.
La implementación de estos mecanismos contribuirá a optimizar los procesos de identificación de los usuarios y de acceso a la información relativa a las condiciones de prestación del servicio postal de pago, bajo parámetros de seguridad, eficiencia, accesibilidad y adecuada publicidad del servicio.
Asimismo, en aplicación del principio de proporcionalidad se considera procedente ajustar el término mínimo de conservación de las grabaciones de video en los puntos de atención al público, manteniendo la obligación de preservar aquellas que constituyan soporte de reclamaciones, requerimientos de autoridad administrativa o judicial, con el fin de garantizar la trazabilidad de las operaciones y la disponibilidad de la evidencia cuando resulte necesaria.
Adicionalmente, se hace necesario ajustar los requisitos relacionados con la contratación entre los operadores de servicios postales de pago y sus colaboradores y proveedores, con el propósito de optimizar los procesos de concertación, formalización y ejecución de los acuerdos suscritos, así como de fortalecer los mecanismos de selección, contratación, seguimiento y control de aquellos terceros que desarrollen actividades relacionadas de manera directa con la prestación del servicio de giro postal.
En ese sentido, resulta pertinente precisar los contenidos mínimos de los acuerdos celebrados con colaboradores, así como establecer que estos deberán cumplir con condiciones de idoneidad, capacidad operativa y estándares de seguridad acordes con la regulación aplicable y con las políticas definidas por el operador, a fin de mitigar riesgos operativos, tecnológicos y de manejo de la información, garantizar la continuidad del servicio y salvaguardar que la responsabilidad por su correcta prestación permanezca en cabeza del operador postal habilitado.
De conformidad con lo dispuesto en el artículo 7o de la Ley 1340 de 2009, por medio de la cual se dictan normas en materia de protección de la competencia, y el artículo 2.2.2.30.5 del Decreto número 1074 de 2015, por medio del cual se expide el Decreto número Único Reglamentario del Sector Comercio, Industria y Turismo, el Ministerio diligenció el cuestionario expedido por la Superintendencia de Industria y Comercio (SIC), adoptado mediante la Resolución 44649 de 2010, con el fin de evaluar la posible incidencia del presente acto administrativo en la libre competencia.
Como resultado del referido análisis, se concluyó que las disposiciones del proyecto no generan restricciones indebidas a la libre competencia ni afectan la dinámica del mercado.
En cumplimiento de la obligación prevista en la Sección 3 del Capítulo 1 de la Resolución MinTIC 1857 de 2023, por la cual se adoptan e imparten directrices sobre producción normativa del Ministerio de Tecnologías de la Información y las Comunicaciones y del Fondo Único de Tecnologías de la Información y las Comunicaciones, y se deroga la Resolución 2112 del 2020, las disposiciones contenidas en la presente Resolución fueron publicadas en la página web de este Ministerio, durante el período comprendido entre el 14 de 2026 y el 29 de julio de 2026, con el fin de recibir opiniones, sugerencias o propuestas alternativas por parte de los ciudadanos y grupos de interés.
Durante la etapa de consulta pública se recibieron observaciones del sector, cuyo análisis permitió efectuar precisiones al alcance de algunas disposiciones relacionadas con los sistemas de videovigilancia en los puntos de atención al público, los mecanismos de autenticación de usuarios y las condiciones aplicables a los colaboradores que participan en la prestación del servicio postal de pago, con el fin de brindar mayor claridad regulatoria y facilitar su aplicación práctica.
Asimismo, se consideró pertinente precisar que los mecanismos de autenticación que impliquen el tratamiento de datos personales o datos sensibles deberán implementarse con observancia de la normativa vigente sobre protección de datos personales.
En mérito de lo expuesto,
RESUELVE:
ARTÍCULO 1o. MODIFICACIÓN DEL LITERAL I) DEL NUMERAL 9.2 Y EL NUMERAL 9.5 DEL ARTÍCULO 9 DE LA RESOLUCIÓN 3680 DE 2013. PLATAFORMA DE TECNOLOGÍA INFORMÁTICA. Modificar el literal i) del numeral 9.2 y el numeral 9.5 del artículo 9. Plataforma de Tecnología Informática, de la Resolución 3680 de 2013:
El literal i) del numeral 9.2 quedará así:
"9.2. Seguridad de datos y usuarios.
(…)
i) Los Operadores de Servicios Postales de Pago deberán establecer criterios técnicos de seguridad y realizar un análisis de riesgos de cada punto de atención al público, con el fin de determinar la pertinencia de implementar cámaras de video. En caso de determinarse tal pertinencia, las cámaras deberán cubrir el acceso principal y las cajas o ventanillas de atención al público y se deberá almacenar el respectivo soporte por un período mínimo de un (1) mes.
Cuando la imagen respectiva sea objeto o soporte de una reclamación, queja o cualquier proceso de tipo judicial, deberá almacenarse hasta el momento en que este sea resuelto
(…)
El numeral 9.5 quedará así:
"9.5. Autenticación de usuarios Los sistemas informáticos de los Operadores de Servicios Postales de Pago deberán conocer la identidad de los usuarios remitentes y destinatarios de los giros mediante la aplicación de mecanismos de autenticación. Para tal efecto, deberán utilizar como mínimo el factor individual previsto en el literal a) y podrán complementarlo con uno o más de los factores establecidos en los literales b) a f), de acuerdo con el análisis de riesgo definido por el operador.
Se entienden como factores de autenticación los siguientes:
a) Factor individual: Se considera factor individual la captura de datos personales del usuario que contemple al menos los siguientes campos: i. Nombre y apellidos; ii. Clase y número de documento de identificación; iii. Fecha de expedición del documento de identificación; iv. Teléfono fijo y/o móvil y/o correo electrónico.
Para tales efectos, el Operador podrá utilizar datos e información de fuentes oficiales e independientes o disponibles en los bancos de datos administrados por operadores de información.
b) Factor biométrico: Al utilizar lectores biométricos para la identificación de los usuarios, dichos lectores deberán tener mecanismos que aseguren que la persona que solicita el servicio corresponde a la misma previamente registrada ante el Operador. El proceso de verificación de la identidad de los usuarios se realizará contra las bases de datos propias de cada operador.
c) OTP (One Time Password): Contraseña de acceso de un solo uso. Es el código de seguridad que se genera automáticamente par autenticar al usuario/cliente en un proceso de verificación de identidad con tiempo de uso limitado.
d) Código único identificador del giro y/o del usuario que implemente el Operador:
Código generado por el operador entregado a usuario/cliente del giro que identificará de manera exclusiva la operación de giro que se realice.
e) Identificación y validación de dispositivos: Registro y verificación de las características físicas del computador o dispositivo móvil (hardware) así como del sistema informático u operativo (software) utilizado por el usuario para la realización de operaciones.
f) Protocolos de desafío – respuesta: Familia de protocolos en los que una parte presenta una pregunta ("desafío") y la otra parte debe proporcionar una respuesta válida y verificable por el operador ("respuesta") para ser autenticado.
PARÁGRAFO 1o. Para el caso de los canales digitales los mecanismos deberán estar acompañados de un segundo factor de autenticación al momento de enrolamiento del cliente/usuario.
PARÁGRAFO 2o. Los Operadores deben establecer mecanismos alternativos que permitan completar los procesos de autenticación, cuando por razones médicas o físicas los usuarios no puedan hacer uso de la biometría.
Los Operadores de Servicios Postales de Pago o sus Colaboradores podrán aceptar los documentos de identificación oficiales de extranjeros, conforme a las leyes migratorias colombianas. Tratándose de menores de edad, estos podrán ser usuarios del servicio postal de pago a partir de los catorce (14) años. Para estos dos (2) tipos de usuarios los Operadores deberán establecer las condiciones del giro.
PARÁGRAFO 3o. Los mecanismos adicionales a los registrados en la presente Resolución o que sean necesarios para atender excepciones médicas o físicas deberán ser informados al Ministerio de Tecnologías de la Información y las Comunicaciones previo a su implementación mediante los canales oficiales de contacto, con la respectiva justificación y sustento técnico para ser avalado antes de su puesta en producción de parte de la Dirección de Industria de Comunicaciones."
PARÁGRAFO 4o. El tratamiento de datos personales y datos sensibles que se realice en desarrollo de los mecanismos de autenticación previstos en el presente numeral deberá efectuarse en cumplimiento de la normativa vigente sobre protección de datos personales.
ARTÍCULO 2o. MODIFICACIÓN DEL NUMERAL 10.1 DEL ARTÍCULO 10. INFRAESTRUCTURA FÍSICA, DE LA RESOLUCIÓN 3680 DE 2013. Modificar el numeral 10.1 del artículo 10. Infraestructura Física, de la Resolución 3680 de 2013, el cual quedará así:
"10.1. Puntos de atención al público Deberán tener en lugar visible las condiciones de prestación de los servicios postales que ofrecen, incluidas las tarifas. Así mismo deberán contar con un aviso del operador postal de pago habilitado por el Ministerio de Tecnologías de la Información y las Comunicaciones, visible al público, al exterior del establecimiento, según sea el caso, que contenga la siguiente información: "Vigilado y controlado por el Ministerio de Tecnologías de la Información y las Comunicaciones". Esta información también deberá incluirse cuando se promueva el servicio en los diferentes medios publicitarios.
Adicionalmente, cuando los colaboradores realicen las actividades antes mencionadas deberán informar el nombre del Operador, así como el horario de atención, los límites y tarifas establecidos para la prestación del servicio. El deber de divulgación establecido en este numeral podrá ser cumplido mediante la puesta a disposición de un código QR o cualquier mecanismo equivalente de Captura e Identificación Automática de Datos, en el punto de atención al público, siempre que el mecanismo elegido permita que cualquier persona que así lo desee acceda de manera inmediata, en ese mismo lugar, a la información de que trata este numeral.
ARTÍCULO 3o. MODIFICACIÓN EL NUMERAL II) DEL LITERAL B) DEL ARTÍCULO 11 DE LA RESOLUCIÓN 3680 DE 20213, TERCERIZACIÓN – OUTSOURCING. Modificar el numeral ii) del literal b) del artículo 11 de la resolución 3680 de 2013.
"Artículo 11. Tercerización – Outsourcing. Los Operadores de Servicios Postales de Pago que contraten con colaboradores y proveedores que realicen actividades que tengan relación directa con la prestación del servicio de giro postal deberán cumplir, como mínimo, con los siguientes requerimientos:
El numeral ii) del literal b) quedara así:
ii) Modalidad jurídica de la contratación y modelo de los contratos utilizados".
ARTÍCULO 4o. MODIFICACIÓN DEL LITERAL J) DEL ARTÍCULO 12 DE LA RESOLUCIÓN 3680 DE 2013.
Actividades Operacionales Realizadas a través de Colaboradores. Modificar el literal j) del artículo 12 de la Resolución 3680 de 2013. Actividades Operacionales Realizadas a través de Colaboradores, el cual quedará así:
"j) Un colaborador podrá prestar servicios de apoyo a un operador habilitado por el MinTIC, siempre que cumpla con los requisitos de idoneidad, capacidad operativa y estándares de seguridad definidos por el operador y la regulación aplicable. En todo caso, un colaborador solo podrá prestar sus servicios de apoyo a un operador habilitado por el Ministerio de Tecnologías de la Información y las Comunicaciones.
ARTÍCULO 5o. VIGENCIA. La presente resolución rige a partir de su publicación en el Diario Oficial y modifica el literal i) del numeral 9.2 y el numeral 9.5 del artículo 9o, el numeral 10.1 del artículo 10, el numeral ii) del literal b) artículo 11 y el literal j) del artículo 12 de la Resolución 3680 de 2013.
Publíquese y cúmplase.
Dada a, 5 de agosto de 2026.
La Ministra de Tecnologías de la Información y las Comunicaciones,
CARINA MURCIA YELA.
