Establecen condiciones mínimas de normas corporativas vinculantes implementadas por grupos empresariales

Por medio del Decreto 255, del 23 de febrero, el Ministerio de Comercio adicionó una sección al Capítulo 25 del Título 2 de la Parte 2 del Libro 2 del Decreto 1074 del 2015 (DUR del sector Comercio, Industria y Turismo), sobre normas corporativas vinculantes para la certificación de buenas prácticas en protección de datos personales y su transferencia a terceros países.

El objeto de la norma es establecer las condiciones mínimas de las normas corporativas vinculantes, entre ellas las garantías y mecanismos de protección de datos que deben ofrecerse, así como el procedimiento para autorizarlas, para la obtención de la certificación de buenas prácticas.

La entidad recordó que son normas corporativas vinculantes las políticas, principios de buen gobierno o códigos de buenas prácticas empresariales de obligatorio cumplimiento asumidas por el responsable del tratamiento de datos, establecido en el territorio colombiano, para realizar transferencias o un conjunto de transferencias de datos personales a un responsable que esté fuera del territorio colombiano y que haga parte de un mismo grupo empresarial.

Para efectos de lo anterior, las normas corporativas vinculantes implementadas por un grupo empresarial deben establecer mecanismos para asegurar que los datos sean:

(i) Tratados de manera lícita, leal y transparente en relación con el titular del dato personal.

(ii) Recogidos con fines determinados, explícitos y legítimos y que no serán tratados posteriormente de manera incompatible con dichos fines.

(iii) Adecuados, pertinentes y limitados al mínimo necesario en relación a los fines para los que se traten.

(iv) Exactos y actualizados. Se adoptarán las medidas razonables para que se supriman o rectifiquen sin demora los datos personales que sean inexactos.

(v) Conservados de manera que permitan identificar al titular durante un periodo no superior al necesario.

(vi) Tratados bajo el control del responsable del tratamiento, quien, para cada operación de tratamiento, garantizará y demostrará el cumplimiento de la normativa.

Las empresas del grupo empresarial y cada uno de sus miembros serán solidariamente responsables por el cumplimiento de las normas corporativas vinculantes, de manera que la Superintendencia de Industria y Comercio podrá requerir, investigar y sancionar frente a las infracciones que cometa cualquiera de los miembros del grupo empresarial.