A partir del Decreto 255 de 2022, el Ministerio de Comercio, Industria y Turismo (MinCIT) reguló la implementación de Normas Corporativas Vinculantes (NCV) para la transferencia internacional de datos personales entre diferentes empresas de un mismo grupo.
Aunque se trata de una modalidad que estaba prevista en la Ley 1581 de 2012, solo con la expedición del Decreto 255 se regularon las particularidades para su implementación.
¿Qué son las Normas Corporativas Vinculantes (NCV)?
Son un mecanismo de autorregulación adoptado de forma voluntaria por un grupo empresarial para regular las transferencias internacionales de datos personales entre sus empresas. Mediante su adopción, de acuerdo con la Ley 1581 de 2012, podrían certificarse buenas prácticas en protección de datos personales y su transferencia a terceros países.
¿Las NCV son una alternativa para viabilizar y simplificar la transferencia de datos personales?
Podría considerarse que las NCV sí son otra opción con la que cuentan los responsables para la transferencia internacional de datos personales. Las consideraciones del Decreto 255 mencionan que “constituyen una alternativa adicional, a las ya previstas en la normatividad colombiana” para este propósito.
En primer lugar, el Decreto 225 define que estas serán aplicables a la “transferencia o conjunto de transferencia de datos personales”. Así, las NCV solamente cobijarían la figura de la transferencia de datos personales, mientras que la transmisión de estos seguirá requiriendo ya sea la autorización del titular o la celebración de un contrato de transmisión con los requisitos del artículo 25 del Decreto 1377 de 2013.
Otro asunto que no resulta claro de las NCV es la necesidad de obtener aprobación previa de la Superintendencia de Industria y Comercio (SIC). Esto, ya que la transferencia de datos personales, y por lo tanto los contratos de transferencia, no requieren la aprobación de la SIC cuando se realice a países que ofrezcan un nivel adecuado de protección, mientras que las NCV sí requieren la aprobación previa de la Superintendencia de Industria y Comercio.
Esto lleva a cuestionar la aplicación práctica de las NCV cuando los grupos empresariales ya tienen la posibilidad de implementar un contrato de transferencia intragrupo que cobije a todas sus empresas y no debe ser revisado o aprobado por la SIC.
Adicionalmente, con la aceptación de las NCV, todas las empresas del grupo deberán aceptar y garantizar el cumplimiento de los principios y los derechos contenidos en la Ley 1581 de 2012.
Por esta razón, la adopción de NCV abre otro interrogante que deberá ser resuelto por la SIC y es ¿cómo interactúan estas normas con otros estándares internacionales que deban cumplir las empresas de un grupo y cuál estándar prima sobre el otro? Es decir, ¿puede entenderse que el cumplimiento de regulaciones extranjeras como el Reglamento General de Protección de Datos (Rgpd) equivale a la adopción de buenas prácticas en protección de datos?
¿Las NCV requieren algún tipo de aprobación?
Sí, las NCV deben estar aprobadas por el máximo órgano social de la empresa ubicada en Colombia o según lo dispongan los acuerdos del grupo.
Una vez aprobadas, las NCV deberán presentarse para aprobación de la SIC y solo serán válidas una vez aprobadas por esta. Si la SIC requiere algún ajuste, estos deberán ser aprobados de nuevo por el órgano societario correspondiente.
¿Quién es responsable por el cumplimiento de las NCV?
Todas las empresas del grupo empresarial son solidariamente responsables por el cumplimiento de las NCV. En este sentido, la SIC podrá investigar y sancionar al responsable ubicado en Colombia por las acciones u omisiones de cualquier empresa del grupo.
Sin embargo, esta atribución de responsabilidad puede dar lugar a cuestionamientos sobre la jurisdicción de la SIC para investigar y juzgar a empresas extranjeras.
¿Quiere publicar su edicto en línea?
Contáctenos vía WhatsApp
