El Ministerio de Comercio, Industria y Turismo expidió el Decreto reglamentario 255 de 2022, que define las condiciones mínimas de las Normas Corporativas Vinculantes para la obtención de certificación de buenas prácticas en protección de datos personales y su transferencia internacional entre grupos empresariales (“NCV”).

Las NCV comprenden las políticas, principios de buen gobierno o códigos de buenas prácticas empresariales de obligatorio cumplimiento, asumidas por el responsable del tratamiento establecido en Colombia, para transferir datos personales a otro responsable ubicado fuera del país y que haga parte de un mismo grupo empresarial. 

El Decreto aplica por tanto a los grupos empresariales, de acuerdo con el artículo 28 de la Ley 222 de 1995, que realicen transferencias o un conjunto de transferencias de datos personales a un responsable que se encuentre ubicado fuera del país y que haga parte de un mismo grupo empresarial, salvo que el grupo haya implementado otros mecanismos de transferencia de datos según la ley colombiana. 

Las NCV deberán garantizar, entre otros, el cumplimiento de los principios para el tratamiento de los datos personales, las reglas sobre las categorías especiales de datos, los derechos de los titulares de datos, los deberes de los responsables del tratamiento, de acuerdo con la Ley 1581 de 2012.

Los elementos que deben contener las NCV incluyen la estructura y los datos de contacto del grupo empresarial, las transferencias de datos personales, las categorías de datos personales, el tipo de tratamiento, las finalidades del tratamiento, el nombre del responsable extranjero y las medidas adoptadas para impedir las transferencias a otras entidades que no pertenecen al grupo empresarial, entre otros. 

Las NCV sólo estarán vigentes y podrán aplicarse cuando la Superintendencia de Industria y Comercio (SIC) las apruebe, para lo cual será que necesario que las NCV también estén aprobadas por el órgano correspondiente según los estatutos o los acuerdos del grupo empresarial.