Cada miembro del grupo empresarial es solidariamente responsable de cumplir las normas corporativas vinculantes

La transferencia de datos personales se refiere al envío de información por parte de un responsable o encargado del tratamiento ubicado en Colombia a otro responsable del tratamiento que está fuera o dentro del país.

El artículo 26 de la Ley 1581 del 2012 prohíbe la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección, entendiendo que sí lo hace cuando cumple los estándares fijados por la Superintendencia de Industria y Comercio sobre la materia.

Por lo tanto, señaló la entidad, la transferencia internacional de datos personales procede siempre y cuando el país receptor ofrezca un nivel adecuado de protección de datos y cumpla con los estándares establecidos.

Ahora bien, las normas corporativas vinculantes son una alternativa adicional a las previstas en la Ley 1581 del 2012, con el fin de facilitar la transferencia de datos entre responsables que sean parte de un mismo grupo empresarial y que estén ubicados en diferentes países.

En otras palabras, son las políticas o principios de buen gobierno o códigos de buenas prácticas empresariales obligatorios para el grupo empresarial que pretende implementarlas y son asumidas por el responsable del tratamiento de datos establecido en Colombia, quien hace parte del mismo grupo empresarial.

En este sentido, las normas corporativas vinculantes y sus requisitos solo aplican para las transferencias de datos personales, es decir, la remisión o envío de información a un responsable que esté fuera del territorio colombiano y que haga parte del grupo empresarial, lo cual no impide que el grupo empresarial cuente con principios de buen gobierno o códigos de buenas prácticas en el tratamiento de datos personales.

Por último, las empresas del grupo empresarial y cada uno de sus miembros serán solidariamente responsables del cumplimiento de las normas corporativas vinculantes y la superintendencia puede requerir, investigar y sancionar al responsable del tratamiento de datos establecido en el territorio colombiano por las infracciones que cometa cualquiera de los miembros del grupo empresarial.