Politique globale de transferts transfrontaliers de données personnelles

Date de révision : 01 septembre 2023
Date d’entrée en vigueur : 01 septembre 2023

Nous nous efforçons de mener nos activités dans le respect de nos valeurs en matière de protection de la vie privée, car nous croyons qu’elles témoignent de notre engagement inébranlable à adopter des pratiques éthiques et responsables. Nous comprenons que l’innovation et les nouvelles technologies font en sorte que les risques, les attentes et les lois changent sans cesse, c’est pourquoi nous nous conformons aux normes de responsabilité concernant la protection de la vie privée et adaptons rapidement notre manière de faire en réponse à cette évolution.

La présente politique définit nos normes mondiales relatives à la gestion et à la protection des données personnelles par ou pour le compte de notre entreprise, indépendamment du pays d’où les données personnelles proviennent ou vers lequel elles sont transférées. Elle décrit nos principaux engagements en faveur de la conformité à notre certification des Règles de confidentialité transfrontalières de l’APEC, aux règles d’entreprise contraignantes de l’UE (Binding Corporate Rules ou BCR) et à notre auto-certification au programme du cadre de protection des données UE-États-Unis (DPF UE-États-Unis), à l’extension du DPF au Royaume-Uni et au programme du cadre de protection des données Suisse-États-Unis.

Notre entreprise se conforme au programme du cadre de protection des données UE-États-Unis (DPF UE-États-Unis), à l’extension du DPF au Royaume-Uni et au programme du cadre de protection des données Suisse-États-Unis, tels qu’ils sont définis par le département du Commerce des États-Unis. Nous avons certifié au département du Commerce des États-Unis que nous adhérions aux principes du cadre de protection des données UE-États-Unis en ce qui concerne le traitement des données personnelles reçues de l’Union européenne sur le fondement du DPF UE-États-Unis et des données personnelles reçues du Royaume-Uni (et de Gibraltar) en vertu de l’extension du DPF UE-États-Unis au Royaume-Uni. Nous avons également certifié au département du Commerce des États-Unis que nous adhérions aux principes du cadre de protection des données Suisse-États-Unis en ce qui concerne le traitement des données personnelles reçues de la Suisse sur le fondement du DPF Suisse-États-Unis. En cas de conflit entre les conditions de la présente politique et les principes du DPF UE-États-Unis ou du DPF Suisse-États-Unis, les principes prévaudront. Pour obtenir plus de détails sur le programme du cadre de protection des données et pour consulter notre certification, veuillez consulter le site https://www.dataprivacyframework.gov/.

Cette politique s’applique aux opérations que nous menons dans tous les pays, à toutes nos activités impliquant des données personnelles dans toutes les filiales et divisions (notamment par tout successeur à notre entreprise), y compris, sans toutefois s’y limiter, à nos activités de recherche, de fabrication, de commercialisation et de soutien administratif, ainsi qu’aux transferts de données nécessaires à la réalisation de ces activités, y compris, sans toutefois s’y limiter :

• Recherche et fabrication : évaluer les besoins et occasions en matière d’innovation médicale et dans le domaine de la santé; amorcer, gérer et financer des études de recherche; évaluer et engager des chercheurs, des membres du comité d’éthique et scientifique, et des partenaires commerciaux pour soutenir nos travaux de recherche et le développement de nos produits; assurer le recrutement dans le cadre de travaux de recherche; évaluer la sécurité, l’efficacité et la qualité de nos produits à l’étude et commercialisés; respecter les obligations en matière de sécurité et de qualité de nos produits, notamment gérer et signaler les événements indésirables et les plaintes portant sur la qualité des produits; déposer des dossiers d’approbation et enregistrer nos produits auprès des autorités de réglementation du secteur de la santé; et respecter les exigences légales, réglementaires et éthiques;
• Commercialisation : évaluer les marchés pour nos produits; assurer la publicité, commercialiser, vendre, distribuer et livrer nos produits; communiquer et collaborer avec les clients professionnels de la santé, payeurs de services de santé, patients et autres utilisateurs finaux de nos produits, ainsi que les soignants des utilisateurs de nos produits; commanditer et organiser des événements; collaborer avec des partenaires et les évaluer pour soutenir nos activités commerciales; et respecter les exigences légales, réglementaires et éthiques;
• Soutien administratif : recruter, embaucher, gérer, perfectionner, rémunérer les employés et communiquer avec eux; gérer les avantages sociaux pour les employés et leurs personnes à charge; réaliser des évaluations des talents et du rendement des employés; fournir des formations et d’autres programmes d’apprentissage et de perfectionnement; gérer les procédures disciplinaires et de grief des employés; gérer les problèmes en matière d’éthique et de confidentialité et mener des enquêtes; gérer et protéger nos actifs physiques et virtuels ainsi que nos infrastructures; assurer l’approvisionnement et payer des biens et services; respecter nos engagements en matière d’environnement, de santé et de sécurité ainsi que les autres responsabilités sociales de l’entreprise; collaborer avec les médias; et respecter les exigences légales, réglementaires et éthiques.

La présente politique s’applique également à toutes les personnes concernées par les renseignements que nous traitons, y compris, sans toutefois s’y limiter, aux professionnels de la santé et autres clients, aux anciens employés et aux employés potentiels et actuels ainsi qu’aux personnes à leur charge, aux patients, aux soignants, aux chercheurs et aux participants aux études de recherche, aux membres des comités d’éthique et scientifiques, aux partenaires commerciaux, aux investisseurs et actionnaires, aux représentants du gouvernement et aux autres parties prenantes.

Tous les employés et les cadres dirigeants de l’entreprise ont des responsabilités fondamentales en matière de protection de la vie privée qu’ils doivent respecter.

Nous reconnaissons que les erreurs et mauvais jugements involontaires liés à la protection des données personnelles peuvent engendrer des risques pour les personnes ainsi que des risques opérationnels, financiers, de réputation et de conformité pour notre entreprise. Nous fournirons la formation appropriée sur la présente politique à tous les employés ainsi qu’au personnel ayant un accès permanent ou régulier à des données personnelles ou étant impliqué dans la collecte de données ou le développement d’outils utilisés pour traiter des données personnelles. Tous les employés de notre entreprise et autres personnes traitant des données personnelles pour son compte doivent s’assurer de comprendre et de remplir leurs obligations en lien avec la présente politique et les lois en vigueur.

Nos valeurs et nos normes en matière de protection de la vie privée

Nous respectons les valeurs de confidentialité suivantes dans toutes nos activités qui impliquent des personnes, y compris dans notre façon d’appliquer nos normes à cet égard :

Respect	Confiance	Prévention des préjudices	Conformité
Nous reconnaissons que les préoccupations en matière de confidentialité sont souvent liées à l’essence même de notre identité, à notre vision du monde et à notre manière de nous définir; c’est pourquoi nous nous efforçons de respecter les points de vue et les intérêts des personnes et des communautés, et d’être justes et transparents dans notre manière d’utiliser et de transmettre leurs données personnelles.	Nous savons que la confiance est indispensable à notre réussite. Nous veillons donc à établir et à garder celle de nos clients, de nos employés, des patients, et des autres parties prenantes dans notre engagement à protéger la confidentialité et les données personnelles.	Nous comprenons que l’utilisation abusive de données personnelles peut causer des préjudices tangibles et intangibles pour les personnes; c’est pourquoi nous cherchons à prévenir les préjudices physiques et financiers, les atteintes à la réputation et autres types d’atteintes à la vie privée et aux données personnelles.	Nous comprenons que les lois et les règlements ne peuvent pas toujours suivre l’évolution rapide des technologies, des flux de données et des changements associés aux risques et aux attentes en matière de confidentialité, c’est pourquoi nous nous efforçons de respecter à la fois l’esprit et la lettre des lois et réglementations sur la protection de la vie privée et des données personnelles de manière à assurer une cohérence et une efficacité opérationnelle dans toutes nos activités commerciales mondiales.

1. Nous intégrons nos normes de protection de la vie privée dans l’ensemble des activités, processus, technologies et relations avec les tiers qui ont recours à des données personnelles. Nous intégrons des contrôles de la confidentialité dans nos processus et technologies en accord avec nos valeurs et nos normes de protection de la vie privée et les lois en vigueur. Nos huit principes de confidentialité énoncés ci-dessous résument nos normes et exigences fondamentales en ce qui concerne les processus, les activités et leurs technologies connexes au plus haut niveau.

   Principes de confidentialité	Nos principaux engagements
   1. Nécessité – Avant de collecter, d’utiliser ou de transmettre des données personnelles, nous définissons et documentons les fins légitimes spécifiques auxquelles ces données sont nécessaires.	Nous déterminons et documentons la durée de conservation pendant laquelle les données personnelles sont nécessaires aux fins définies et aux exigences légales applicables. Nous ne collectons, n’utilisons ni ne partageons plus de données personnelles que nécessaire et ne les conservons pas dans un format lisible plus longtemps que nécessaire aux fins définies et aux exigences légales applicables. Nous rendons les données anonymes lorsque les exigences de l’entreprise nécessitent de conserver ces informations sur l’activité ou le processus pendant une période plus longue. Nous veillons à ce que ces exigences liées au principe de nécessité soient intégrées aux technologies connexes et qu’elles sont communiquées aux tiers qui interviennent dans l’activité ou le processus.
   2. Loyauté – Nous ne traitons pas les données personnelles de manière déloyale pour les personnes concernées.	Nous déterminons si la collecte, l’utilisation ou tout autre traitement proposé de données personnelles présente ou non des risques probables ou élevés de préjudice tangible ou intangible pour les personnes en accord avec notre valeur de confidentialité de prévention des préjudices. Si la nature des données, le type de personne ou l’activité présente un risque probable ou élevé de préjudice tangible ou intangible pour les personnes, nous nous assurons que le risque est compensé par un avantage pour ces personnes ou pour notre mission de sauver et d’améliorer des vies, et limité par les mesures, garanties et mécanismes que nous avons mis en place. Lorsque le risque semble l’emporter sur les avantages pour les personnes, nous appliquons les mesures de sécurité et de protection les plus pertinentes, nous informons les personnes touchées de ce fait et nous sollicitons l’avis des autorités compétentes au besoin. Nous ne traitons les informations sensibles qu’avec le consentement explicite des personnes, tel qu’expressément requis ou expressément autorisé par les lois en vigueur. Lorsque le risque semble l’emporter sur les avantages pour les personnes, nous documentons l’analyse des risques et concevons les mécanismes nécessaires pour limiter ces risques autant que possible.
   3. Transparence – Nous ne traitons aucune donnée personnelle d’une manière ou à des fins qui ne soient pas transparentes.	Toutes les personnes concernées dont les données personnelles sont traitées conformément à cette politique ont droit à une copie de celle-ci. Nous produirons des copies de la présente politique que nous rendrons accessibles à l’adresse https://www.msdprivacy.com/index.html. Le Bureau mondial de la protection de la vie privée fournira des copies électroniques ou papier de la présente politique sur demande aux adresses indiquées ci-dessous. Lorsque des données personnelles sont collectées directement auprès de personnes, avant de recueillir les données, nous informons ces personnes au moyen d’un avis clair, précis et facilement accessible ou de tout autre moyen similaire (1) de l’entité ou des entités chargées du traitement, (2) des coordonnées de notre chef de la protection des données personnelles ou du responsable local ou régional de la protection des données personnelles, (3) des données personnelles qui seront recueillies, (4) des fins pour lesquelles elles seront utilisées, (5) du fondement légal de notre traitement, (6) des personnes à qui elles seront transmises, notamment toute demande de divulgation de données personnelles émise par les autorités gouvernementales dans un cadre légal, (7) si nous allons ou non transférer les données personnelles vers d’autres pays, incluant les pays concernés si possible, et la manière de le faire, (8) de la durée pendant laquelle ces données seront conservées ou les critères selon lesquels nous définirons cette durée, (9) de la manière dont il est possible de poser une question, de soulever un problème ou d’exercer ses droits liés à ses données personnelles, (10) de la manière dont il est possible de retirer un consentement qui avait été auparavant donné, (11) de leur droit à déposer une plainte auprès d’une autorité de contrôle, (12) de toute obligation de fournir les données personnelles et les conséquences si cette obligation n’est pas respectée, (13) de toute prise de décision automatisée, y compris du profilage, que nous pourrons mettre en place, et (14) d’un lien vers la présente politique, si possible et si nécessaire. Nos avis complets sur la protection de la vie privée pour bon nombre de nos parties prenantes sont accessibles à l’adresse http://www.msd.com/about/how-we-operate/privacy/transparency-and-privacy.html. Lorsque des données personnelles sont obtenues par l’intermédiaire de l’observation, de capteurs ou de moyens indirects, il arrive qu’il soit impossible de fournir un avis directement à la personne concernée au moment de la collecte des données. Dans de tels cas, nous assurons la transparence à la personne par d’autres moyens, par exemple par l’affichage ou l’impression sur l’appareil ou les documents associés à l’appareil qui récupérera les données. Lorsque des données personnelles sont recueillies sur un site Web, une application mobile ou une autre application ou ressource en ligne, nous appliquons les normes spécifiques à la technologie définies dans notre Politique de protection des données personnelles sur Internet et notre Engagement envers la protection de la vie privée concernant les témoins afin de garantir le respect des exigences de transparence conformément à la présente politique. Lorsque des données personnelles sont recueillies auprès d’autres sources sans qu’elles ne soient nécessairement demandées par notre entreprise, avant d’obtenir les données, nous vérifions par écrit que le fournisseur de données a informé les personnes des façons et des fins auxquelles notre entreprise a l’intention d’utiliser les données. S’il est impossible d’obtenir une confirmation écrite auprès du fournisseur de données, nous utiliserons uniquement celles-ci de manière anonyme, ou avant d’utiliser les données personnelles, nous informerons les personnes concernées par l’intermédiaire d’un avis ou de tout autre moyen similaire (1) de l’entité ou des entités chargées du traitement, (2) des coordonnées de notre chef de la protection des données personnelles ou du responsable local ou régional de la protection des données personnelles, (3) des informations que notre entreprise prévoit d’utiliser, (4) des fins pour lesquelles notre entreprise compte les utiliser, (5) du fondement légal de notre traitement, (6) des personnes à qui notre entreprise les transmettra, (7) si nous allons ou non transférer les données personnelles vers d’autres pays, incluant les pays concernés si possible, et la manière de le faire, (8) de la durée pendant laquelle notre entreprise compte les conserver ou les critères selon lesquels nous définirons cette durée, (9) de la manière dont il est possible de poser une question, de soulever un problème ou d’exercer ses droits liés à ses données personnelles, (10) de la manière dont il est possible de retirer un consentement qui avait été auparavant donné, (11) de leur droit à déposer une plainte auprès d’une autorité de contrôle, (12) de toute obligation de fournir les données personnelles et les conséquences si cette obligation n’est pas respectée, (13) de toute prise de décision automatisée, y compris du profilage, que nous pourrons mettre en place, et (14) d’un lien vers la présente politique, si possible et si nécessaire. Nous nous assurons que les mécanismes de transparence nécessaires, y compris, si possible, les mécanismes appuyant les demandes de droits individuels, sont intégrés aux technologies connexes, et que les tiers qui interviennent dans l’activité ou le processus ne traitent pas les données personnelles de manière contradictoire avec l’avis sur la protection de la vie privée ou les autres moyens vérifiables informant les personnes de l’utilisation que nous, et les autres personnes travaillant pour nous, en ferons. Lorsque nous demandons un consentement, nous consignons la preuve du consentement dans nos systèmes.
   4. Limitation des fins – Nous utilisons les données personnelles uniquement en conformité avec les principes de nécessité et de transparence.	Si nous déterminons de nouvelles fins légitimes pour des données personnelles déjà recueillies, nous obtenons le consentement de la personne pour la nouvelle utilisation ou nous nous assurons que les nouvelles fins soient compatibles avec une fin matériellement similaire à des fins décrites dans un avis sur la protection de la vie privée ou tout autre mécanisme de transparence précédemment transmis à la personne. Nous déterminerons la comptabilité en fonction de (1) tout lien entre les fins originales et la nouvelle fin proposée, (2) les attentes raisonnables de la personne, (3) la nature des données personnelles, (4) les conséquences du traitement ultérieur pour la personne, et (5) les garanties que nous avons mises en place. Nous n’appliquons pas ce principe aux informations rendues anonymes ni lorsque nous utilisons des données personnelles uniquement à des fins de recherche scientifique et si (1) un comité d’éthique de la recherche ou tout autre examinateur compétent a déterminé que le risque d’une telle utilisation est acceptable au regard de la protection des données personnelles et des droits des personnes, (2) nous avons mis en place les garanties appropriées pour assurer la minimisation des données, et (3) les données personnelles sont pseudonymisées et (4) toutes les autres lois en vigueur sont respectées. Nous veillons à ce que les restrictions concernant la limitation des fins soient intégrées à tout système d’information que nous utilisons, notamment les systèmes avec des fonctions de production de rapports et de partage de données en aval.
   5. Qualité des données – Nous nous assurons que les données personnelles sont exactes, complètes et cohérentes avec leur utilisation prévue.	Nous nous assurons que des mécanismes de révision périodique des données soient intégrés à nos systèmes d’information afin de valider l’exactitude des données par rapport aux systèmes sources et en aval. Nous nous assurons d’avoir la confirmation que les informations sensibles sont exactes et à jour avant leur utilisation, évaluation, analyse, rapport ou autre traitement présentant un risque de préjudice pour les personnes si des données inexactes ou n’étant plus à jour étaient utilisées. Lorsque notre entreprise ou des tiers travaillant pour son compte modifient les données personnelles, nous nous assurons que ces modifications soient communiquées aux personnes concernées en temps utile dans la mesure du possible.
   6. Sécurité – Nous mettons en œuvre des dispositifs de protection des données personnelles et des informations sensibles contre la perte, l’utilisation abusive et l’accès non autorisé, la divulgation, la modification ou la destruction.	Nous avons mis en œuvre un programme complet de sécurité des données et nous réalisons des contrôles de sécurité en fonction de la sensibilité de ces données et du niveau de risque de l’activité, en tenant compte des meilleures pratiques technologiques courantes et du coût de la mise en œuvre. Nos politiques de sécurité fonctionnelle incluent, sans toutefois s’y limiter, des règles sur la continuité opérationnelle et la reprise des activités, le chiffrage des données, la gestion de l’identification et de l’accès, la classification des informations, la gestion des violations de données, le contrôle de l’accès au réseau, la sécurité physique et la gestion des risques.
   7. Transfert de données – Nous assurons la préservation des méthodes de protection de la confidentialité pour les données personnelles lorsqu’elles sont transférées vers ou à partir d’autres organisations ou au-delà des frontières nationales.	(1) Nous transférons des données personnelles au sein de notre entreprise si les conditions suivantes sont remplies : (1) le transfert est nécessaire aux fins pour lesquelles les données personnelles sont collectées à l’origine ou de tout autre intérêt légitime de l’entreprise, et (2) les fins pour lesquelles elles seront transférées, et le fait qu’elles seront transférées, sont conformes à l’avis sur la protection de la vie privée ou à tout autre mécanisme de transparence fourni à la personne au moment où les données personnelles ont été collectées à l’origine et lorsque celle-ci a donné son consentement lorsque nécessaire, (3) lorsque l’une des filiales de notre entreprise agit exclusivement pour le compte d’une autre de nos filiales dans le traitement des données personnelles, (4) lorsque la loi l’exige, ces filiales de notre entreprise signeront un accord interne relatif au traitement des données conformément au principe 8 de la présente politique, (5) lorsque l’infrastructure informatique requiert un tel transfert, à condition que toutes les mesures de sécurité et organisationnelles appropriées soient en place pour rendre ce transfert conforme. (2) Nous transférons des données personnelles ou permettons à des tiers de les traiter uniquement si les conditions suivantes sont respectées, et nous sommes également tenus de veiller à ce que les tiers que nous engageons respectent ces exigences : Si le rôle du tiers est de traiter les données personnelles pour ou au nom de notre entreprise, avant de lui fournir des données personnelles ou de l’engager, nous : (1) réalisons une vérification préalable des pratiques en matière de confidentialité et des risques associés à ce tiers, (2) établissons un contrat avec le tiers stipulant qu’il traitera les données personnelles uniquement conformément aux instructions de notre entreprise et à la présente politique, y compris, sans toutefois s’y limiter, aux huit principes de protection des données personnelles et aux autres normes énoncées dans la présente politique, ainsi qu’aux lois en vigueur; qu’il informera rapidement notre entreprise de toute violation de données, y compris toute incapacité à se conformer aux règles énoncées dans la présente politique et aux lois applicables en vigueur et coopérera pour assurer la prompte résolution de tout incident avéré et pour traiter et honorer les demandes de droits individuels énoncés à la section 2 ci-dessous; qu’il n’engagera aucune autre société pour traiter les données personnelles sans notre autorisation écrite et sans conclure une entente imposant des obligations équivalentes en matière de protection des données; qu’il supprimera ou nous remettra toutes les données personnelles après avoir fini de nous fournir les services ou à notre demande; et qu’il autorisera notre entreprise à vérifier et à surveiller ses pratiques pendant la durée du traitement afin de respecter ces exigences. De plus, si le tiers traite des données personnelles provenant d’un pays ou territoire dont la loi limite le transfert de données personnelles, nous nous assurerons que le transfert vers le tiers est conforme aux exigences de transfert transfrontalier de données décrites à la section 3 ci-dessous. Si le rôle du tiers est de fournir des données personnelles à notre entreprise, nous nous assurons, avant de récupérer ces dernières, que les exigences de transparence en matière de collecte de données personnelles provenant d’autres sources (et pas uniquement à la demande de notre entreprise) sont respectées, et nous exigeons un engagement contractuel du tiers attestant qu’il ne viole aucune loi ni aucun droit des tiers en fournissant ces données personnelles à notre entreprise. Si le rôle du tiers est de recevoir des données de notre entreprise à des fins de traitement ne relevant pas d’une demande spécifique de notre entreprise, nous nous assurons, avant de fournir ces données au tiers, qu’elles sont anonymisées, et nous exigeons l’assurance du tiers qu’elles seront utilisées uniquement aux fins définies dans le contrat, conformément aux lois en vigueur, et qu’elles ne feront l’objet d’aucune tentative de réidentification. Si le transfert à un tiers est nécessaire pour protéger les intérêts légitimes de la personne ou ceux de l’entreprise, nous sommes susceptibles de transférer les données : (1) dans le but de prévenir la fraude ou de faire appliquer ou de protéger les droits et biens de l’entreprise, (2) pour la protection de la sécurité personnelle de nos employés ou de tiers dans nos établissements, et (3) pour protéger nos actifs en prenant les mesures correctives de sécurité si nous suspectons raisonnablement qu’une activité illégale ou qu’une faute grave a eu lieu. Si le tiers est visé par une acquisition ou fait l’objet d’une participation majoritaire de notre entreprise, (1) avant de conclure tout accord visant à l’acquisition de ce dernier ou à une participation majoritaire de notre entreprise, nous effectuons une vérification préalable des pratiques en matière de confidentialité et des risques associés à l’acquisition de ce tiers ou à la participation majoritaire dans ce dernier, et (2) nous établissons un accord sur le transfert des données précisant les conditions générales selon lesquelles les données personnelles peuvent être divulguées, ainsi que les obligations respectives de notre entreprise et du tiers. Si le rôle du tiers est l’acquisition de la totalité ou d’une partie de l’activité de notre entreprise, avant de partager quelque donnée personnelle que ce soit en lien avec la cession d’une partie de l’activité de notre entreprise, (1) nous établissons un accord sur le transfert de données précisant les conditions générales selon lesquelles des données personnelles peuvent être communiquées à l’acheteur, telles que les limitations de l’usage des données personnelles et la conformité aux règles établies par la présente politique et les lois en vigueur, (2) nous examinons tous les éléments concernant les personnes avant tout partage afin d’évaluer les exigences en la matière, (3) nous exigeons un consentement à partager des données personnelles ou des informations sensibles conformément aux principes de la présente politique en termes de transparence et de limitation des fins, et (4) nous exigeons que le tiers informe rapidement notre entreprise de tout incident de confidentialité, notamment toute incapacité à respecter la présente politique ou les lois en vigueur, et travaille à la prompte résolution de tout incident avéré ou cesse le traitement des données personnelles. (3) Nous transférons des données personnelles dans des pays étrangers, y compris aux États-Unis d’Amérique, par l’intermédiaire ou au nom de notre entreprise conformément à la présente politique. Nous appliquerons cette politique aux transferts de données personnelles émanant de tout autre pays ou territoire dont les lois restreignent leur transfert, en plus de respecter toutes les exigences imposées par ces lois (y compris l’utilisation de tout mécanisme requis pour les transferts transfrontaliers vers des pays n’ayant pas les mêmes normes de protection des données que le pays d’origine).
   8. Si la loi l’autorise – Nous ne traitons les données personnelles que si les exigences des lois en vigueur sont respectées.	Bien que les sept autres principes, ainsi que les exigences relatives aux droits individuels décrits ci-dessous, visent à garantir le respect des lois applicables à notre activité en termes de protection de la vie privée et des données personnelles, certains pays peuvent avoir des exigences supplémentaires que nous devons également respecter, y compris, sans toutefois s’y limiter, ce qui suit : 1) Si nécessaire, nous obtiendrons des formes de consentement spécifiques pour certains traitements de données personnelles, notamment, sans toutefois s’y limiter, l’approbation du traitement par des instances représentatives du personnel et autres syndicats; 2) Si nécessaire, nous enregistrerons le traitement des données personnelles auprès de l’autorité de réglementation compétente chargée de la protection de la vie privée ou des données personnelles, ou nous chercherons à obtenir l’approbation de celle-ci; 3) Si nécessaire, nous accorderons des droits (par exemple, des droits d’accès et de rectification) plus étendus que ceux définis dans la présente politique; 4) Si nécessaire, nous limiterons davantage les périodes de conservation des données personnelles; 5) Si nécessaire, nous établirons des accords contenant des clauses contractuelles spécifiques, y compris des accords sur le transfert de données transfrontalier à des tiers. 6) Si nécessaire, nous divulguerons des données personnelles en réponse à des demandes légitimes des autorités publiques, notamment pour satisfaire aux exigences de sécurité nationale ou d’application de la loi. En cas de conflit entre la présente politique et une loi applicable, la norme offrant la plus grande protection des personnes prévaudra.

2. Nous répondrons promptement aux demandes de personnes souhaitant accéder à leurs données personnelles, les modifier, les corriger ou les supprimer, ou s’opposer au traitement de ces dernières ou d’exercer d’autres droits relatifs à celles-ci.
   1. Droits d’accès, de correction, de suppression et autres droits – En vertu des lois en vigueur dans la plupart des pays où nous exerçons nos activités, toute personne peut accéder aux données personnelles la concernant, et modifier, corriger ou supprimer ces dernières lorsqu’elles sont inexactes, incomplètes ou obsolètes. Nous honorons toutes les demandes d’accès, de rectification et de suppression des données personnelles conformément à la section 3a ci-dessous. Si une demande d’accès, de correction ou de suppression est régie par une loi en vigueur offrant une plus grande protection des personnes, nous veillerons à ce que les exigences supplémentaires de cette loi soient respectées. Dans certains pays, d’autres droits relativement aux données personnelles peuvent être en vigueur, tels que le droit de limiter le traitement, de s’opposer au traitement (voir également la section 2b ci-dessous) et de faire transférer les données personnelles vers un autre fournisseur de service. Nous honorerons l’exercice de ces droits relatifs aux données conformément aux lois en vigueur. Certains droits, comme la suppression, peuvent être soumis à certaines restrictions conformément à d’autres exigences réglementaires ou à la nécessité de se conformer à des déclarations requises à l’échelle locale, auquel cas nous vous informerons de ces restrictions s’il y a lieu.
   2. Choix – Conformément à nos valeurs de « respect » et de « confiance », nous honorons les demandes individuelles d’opposition au traitement des données personnelles, y compris, sans toutefois s’y limiter, le retrait d’une activité ou d’un programme auquel la personne avait accepté de participer, le traitement de ses données personnelles à des fins de marketing direct ou de communications ciblées, et toute évaluation ou décision la concernant susceptible de lui porter atteinte de manière significative, et dépendante de l’automatisation ou d’algorithmes.
      1. Sauf là où la loi l’interdit, il se peut que nous refusions le choix dans le cas où celui-ci aurait pour effet de nuire à la capacité de notre entreprise : 1) de se conformer à une loi ou à une obligation éthique, y compris lorsque nous sommes tenus de communiquer des données personnelles en réponse aux demandes légitimes des autorités publiques, notamment pour satisfaire aux exigences liées à la sécurité nationale ou à l’application de la loi, 2) d’examiner, de déposer ou de contester une plainte, et 3) d’exécuter des contrats, d’administrer des relations ou de réaliser d’autres activités commerciales permises qui sont conformes aux principes de transparence et de limitation des fins et qui ont été entrepris sur la foi de l’information à propos des personnes en question. En cas de refus d’une demande, conformément à la présente politique, nous disposons de 15 jours ouvrables pour documenter et communiquer la décision au demandeur.
3. Nous répondrons rapidement à toutes les questions, plaintes et préoccupations relatives à la confidentialité, ainsi que les incidents relatifs à la vie privée ou à la sécurité, et nous les transmettrons à un échelon supérieur.
   1. Toute personne dont nous traitons les données personnelles dans le cadre de la présente politique peut à tout moment soulever une question, une plainte ou une préoccupation à notre entreprise, y compris une demande pour obtenir la liste de toutes les filiales de notre entreprise régies par la présente politique. Nous attendons de nos employés et de tous ceux qui travaillent pour le compte de notre entreprise qu’ils préviennent sans délai s’ils estiment qu’une loi applicable peut les empêcher de se conformer à la présente politique. Toute question, plainte ou préoccupation soulevée par une personne ou tout avis fourni par un employé ou toute autre personne travaillant pour le compte de notre entreprise doit être adressé au Bureau mondial de la protection de la vie privée :
      1. Par courriel pour les personnes résidant dans l’Espace Economique Européen (EEE) à : euprivacydpo@msd.com
      2. Sinon, par courriel à msd_privacy_office@msd.com
      3. Par la poste à : Privacy Office, Merck & Co., Inc., UG4B-24, 351 N. Sumneytown Pike, North Wales, Pennsylvania, USA 19454.
   2. Les employés et les sous-traitants sont tenus d’informer rapidement le Bureau mondial de la protection de la vie privée ou le spécialiste de la protection des données personnelles désigné pour leur secteur d’activité de toute question, plainte ou préoccupation liée aux pratiques de notre entreprise en la matière.
   3. Le Bureau mondial de la protection de la vie privée examinera le dossier et mènera une enquête, ou travaillera avec le bureau de l’Éthique, des Affaires juridiques ou de la Conformité pour enquêter sur toutes les questions, plaintes ou préoccupations liées aux pratiques de notre entreprise, qu’elles soient reçues directement des employés ou d’autres personnes ou par l’intermédiaire de tiers, y compris, sans toutefois s’y limiter, les organismes de réglementation, les agents d’accréditation et autres autorités gouvernementales. Nous répondrons à la personne ou à l’entité à l’origine de la question ou de la préoccupation dans un délai de trente (30) jours civils, sauf si une loi ou le demandeur tiers exige une réponse dans un délai plus court ou si les circonstances, par exemple en cas d’enquête d’un gouvernement extérieur, nécessitent un délai plus long, auquel cas la personne ou le demandeur tiers devra être informé par écrit dès que possible de la nature générale des circonstances ayant mené au retard.
   4. Le Bureau mondial de la protection de la vie privée, en coordination avec les services des Affaires juridiques et de la Conformité, coopérera en réponse à toute demande, inspection ou enquête d’une autorité de réglementation chargée de la protection de la vie privée.
   5. Pour toute plainte ne pouvant être résolue entre notre entreprise et la personne ayant soulevé ladite plainte, notre entreprise s’engage à suivre la procédure de règlement des litiges ci-après dans le cadre de l’examen et de la résolution des litiges régis par la présente politique. Toutefois, les personnes résidant dans l’EEE ou celles dont les données personnelles sont régies par les lois européennes relatives à la protection des données personnelles et transférées en dehors de l’EEE, peuvent à tout moment s’appuyer sur la norme 3f ci-dessous :
      1. Pour tout litige impliquant le transfert de données personnelles relatives aux activités de ressources humaines dans le cadre d’un statut d’employé de l’EEE et du Royaume-Uni vers les États-Unis, notre entreprise s’engage à collaborer avec les autorités européennes ou britanniques compétentes en matière de protection des données.
      2. Pour tout litige impliquant le transfert de données personnelles relatives aux activités de ressources humaines dans le cadre d’un statut d’employé de la Suisse vers les États-Unis, notre entreprise s’engage à collaborer avec le Préposé fédéral à la protection des données et à la transparence (PFPDT) suisse.
      3. Pour tout litige impliquant le transfert de données personnelles qui est régi par la conformité de notre entreprise aux Règles de confidentialité transfrontalières de la Coopération économique pour l’Asie-Pacifique (APEC) entre les économies de l’APEC, notre entreprise a accepté la résolution des litiges par notre agent d’accréditation, BBB National Programs. Pour plus de détails sur l’étendue de notre participation, ou pour soumettre une demande de confidentialité par l’intermédiaire de BBB National Programs, veuillez cliquer sur le sceau officiel situé au bas de cette page.
      4. Pour tout litige impliquant le transfert de données personnelles liées à des activités qui ne relèvent pas des ressources humaines par l’intermédiaire du programme du cadre de protection des données UE-États-Unis (DPF UE-États-Unis), de l’extension du DPF au Royaume-Uni et du programme du cadre de protection des données Suisse-États-Unis, notre entreprise a accepté la résolution des litiges (recours gratuit) par un mécanisme de recours indépendant nommé Data Privacy Framework Services, exploité par BBB National Programs. Si votre plainte n’est pas prise en compte en temps opportun, ou si elle n’est pas traitée à votre satisfaction, veuillez consulter le site https://bbbprograms.org/programs/all-programs/dpf-consumers/ProcessForConsumers pour en savoir plus et pour soumettre une plainte.
      5. Pour tout litige découlant du programme du cadre de protection des données UE-États-Unis (DPF UE-États-Unis), de l’extension du DPF au Royaume-Uni et du programme du cadre de protection des données Suisse-États-Unis qui n’est pas résolu par les étapes décrites dans la présente section, les personnes peuvent, dans certains cas, invoquer un arbitrage exécutoire pour certaines réclamations restantes non résolues par d’autres mécanismes de recours. Voir https://www.dataprivacyframework.gov/s/article/G-Arbitration-Procedures-dpf?tabset-35584=2.
   6. Toutes les personnes résidant dans l’EEE ou celles dont les données personnelles sont soumises aux lois sur la protection des données de l’EEE et transférées en dehors de l’EEE, et pour lesquelles des données sont traitées conformément à la présente politique, ont le droit, à tout moment et en vertu de la présente politique, de contraindre les tiers bénéficiaires à respecter les exigences de cette politique, y compris le droit d’intenter une action judiciaire pour obtenir réparation en cas de violation de ses droits au titre de la présente politique (selon les dispositions énoncées à la section 2 ci-dessus) et le droit de recevoir une indemnité pour dommages-intérêts résultant d’une telle violation. Les personnes résidant dans l’EEE ou celles dont les données personnelles sont soumises aux lois sur la protection des données de l’EEE et transférées en dehors de l’EEE (par souci de clarté, y compris aux États-Unis), peuvent déposer une réclamation ou une plainte en vertu de la présente politique, contre la filiale de l’entreprise responsable de l’exportation des données personnelles hors de l’EEE, devant :
      1. la juridiction de l’exportateur de données situé dans l’EEE;
      2. la juridiction du pays où se trouve notre responsable européen de la protection des données personnelles;
      3. les autorités compétentes en matière de protection des données personnelles (en particulier dans l’État membre de leur résidence habituelle, de leur lieu de travail ou du lieu de l’infraction présumée);
      4. nos autorités compétentes en matière de protection des données personnelles qui ont guidé nos BCR : la CNIL française.
   7. Notre entreprise répondra à la personne ou à l’entité à l’origine de la question ou de la préoccupation dans un délai de trente (30) jours civils, sauf si une loi ou le demandeur tiers exige une réponse dans un délai plus court ou si les circonstances nécessitent un délai plus long, auquel cas la personne ou le demandeur tiers devra être informé par écrit.
4. Nous sommes responsables du respect de nos valeurs et de nos normes en matière de protection de la vie privée.
   1. La filiale de notre entreprise responsable d’une action qui donne lieu à un incident relatif à la vie privée ou à un incident de sécurité justifié est financièrement responsable du montant de toute demande de dommages-intérêts, d’amende ou de pénalité découlant de l’incident en question.
      1. En coordination avec et sous la direction du Bureau mondial de la protection de la vie privée, le responsable européen de la protection des données personnelles est chargé de veiller à ce que les mesures nécessaires soient prises pour traiter toute violation présumée de la présente politique par les filiales de notre entreprise en dehors de l’EEE affectant des personnes résidant dans l’EEE ou des personnes dont les données personnelles sont soumises aux lois sur la protection des données de l’EEE et transférées en dehors de l’EEE Le cas échéant, il incombera à Merck, Sharp & Dohme (Europe) Inc., la filiale États-Unis-Belgique (« MSD Europe »), de payer les amendes, pénalités ou dommages-intérêts auxdites personnes pour les violations de la présente politique affectant des personnes résidant dans l’EEE ou des personnes dont les données personnelles sont soumises aux lois sur la protection des données de l’EEE et transférées en dehors de l’EEE. Avec l’aide du Bureau mondial de la protection de la vie privée et de la filiale de notre entreprise située en dehors de l’EEE et responsable de la violation présumée, le responsable européen de la protection des données personnelles sera chargé de prouver que notre entreprise n’est pas responsable de la violation présumée. Lorsqu’une autre filiale de notre entreprise est responsable de l’action qui a donné lieu à l’amende, à la pénalité ou à l’octroi de dommages-intérêts, cette filiale peut être tenue de rembourser rapidement à MSD Europe tout montant payé par celle-ci. Si une filiale de notre entreprise située en dehors de l’EEE enfreint la présente politique, l’infraction sera portée devant les tribunaux ou les autorités compétentes en matière de protection des données personnelles de l’EEE et la personne touchée pourra faire valoir ses droits et recours contre la filiale de l’entreprise responsable de l’exportation des données personnelles hors de l’EEE, comme l’indique la section 3f ci-dessus.
      2. En coordination avec et sous la direction du Bureau mondial de la protection de la vie privée, Merck Sharp & Dohme LLC est responsable de s’assurer que les mesures nécessaires sont prises pour traiter toute violation présumée de la présente politique affectant les personnes résidant en dehors de l’EEE et, le cas échéant, de payer les amendes, pénalités ou dommages-intérêts accordés pour les violations de la présente politique affectant des personnes résidant à l’extérieur de l’EEE ou des personnes dont les données personnelles ne sont pas soumises aux lois sur la protection des données de l’EEE Lorsqu’une autre filiale de notre entreprise est responsable de l’action qui a donné lieu à l’amende, à la pénalité ou à l’octroi de dommages-intérêts, cette filiale peut être tenue de rembourser rapidement à Merck Sharp & Dohme LLC tout montant payé par celle-ci.

Supervision et surveillance

Afin de garantir aux organismes de réglementation et aux autres parties prenantes que notre entreprise assume son engagement à adopter des pratiques éthiques et responsables en matière de protection de la vie privée, l’entreprise a mis sur pied un groupe de gouvernance de contrôle et de surveillance, dirigé par un responsable de la protection des données personnelles accompagné d’un bureau mondial de la protection de la vie privée dédié, d’un responsable de la protection des données personnelles de l’Europe et du pays lorsque la loi ou les autorités locales l’exigent, et de spécialistes de la protection des données personnelles. Ceux-ci sont nommés par les dirigeants locaux et assurent la liaison entre le Bureau mondial de la protection de la vie privée et les secteurs organisationnels où ils exercent leurs activités.

Notre entreprise s’appuiera sur les agents d’accréditation auxquels elle doit rendre compte en vertu des lois, pour contrôler régulièrement sa conformité aux exigences de la présente politique et desdites lois, y compris aux Règles de confidentialité transfrontalières de l’APEC.

En plus des examens de certification gérés par le Bureau mondial de la protection de la vie privée, les équipes de vérification et de certification internes et externes effectueront des examens de conformité pour vérifier que l’entreprise respecte la présente politique, y compris les politiques, procédures, normes et directives subordonnées à la présente politique. Des plans de mesures correctives et préventives seront élaborés et mis en œuvre afin de traiter les écarts observés par les équipes de vérification et d’assurance. Les résultats du programme de vérification seront communiqués au chef de la protection des données personnelles, au responsable de la protection des données personnelles compétent et au Privacy and Data Protection Board, qui sont chargés de les déclarer, tel que décrit dans la présente politique.

Les autorités de protection de la vie privée et des données personnelles qui ont approuvé la présente politique ou qui ont compétence sur les pratiques de notre entreprise en vertu de cette politique ont le droit de contrôler notre conformité à celle-ci. Nous nous conformerons aux conseils de ces autorités compétentes en ce qui concerne l’interprétation et l’application de la présente politique.

Termes que vous devez connaître

• Anonymisé : Se dit d’une information personnelle ayant été altérée, tronquée, effacée ou autrement censurée de façon à ne pas pouvoir servir à identifier ou à repérer une personne ou à communiquer avec celle-ci, qu’elle soit seule ou associée à d’autres informations.
• Lois. Toutes les lois, règles, réglementations et ordonnances d’opinions applicables ayant force de loi dans tout pays dans lequel notre entreprise mène ses activités ou dans lequel les données personnelles sont traitées par ou au nom de notre entreprise. Cela inclut tous les cadres de protection de la vie privée en vertu desquels notre entreprise a été approuvée ou certifiée, y compris les Règles d’entreprise contraignantes de l’UE (« BCR »), les Règles de confidentialité transfrontalières de la Coopération économique pour l’Asie-Pacifique (« APEC »), le programme du cadre de protection des données UE-États-Unis (DPF UE-États-Unis), l’extension du DPF au Royaume-Uni et le programme du cadre de protection des données Suisse-États-Unis – sous les pouvoirs d’enquête et d’application de la Federal Trade Commission des États-Unis.
• Notre entreprise. Merck & Co., Inc., Rahway, NJ, USA, ses successeurs, ses filiales et ses divisions à travers le monde, à l’exception des coentreprises auxquelles notre entreprise est liée en tant que partie.
• Données personnelles. Toutes les données concernant une personne identifiée ou identifiable, y compris les données qui identifient une personne, ou qui pourraient être utilisées pour identifier, localiser ou suivre une personne, ou communiquer avec elle. Les données personnelles comprennent aussi bien les renseignements qui identifient directement une personne, comme un nom, un numéro d’identification ou un titre d’emploi unique, que les renseignements qui identifient indirectement une personne, tels que la date de naissance, l’identificateur unique d’un appareil mobile ou portable, le numéro de téléphone ainsi que des données codées, des identificateurs en ligne tels que des adresses IP ou d’autres activités, comportements ou préférences personnels pouvant être collectés pour fournir des services ou des produits.
• Incident relatif à la vie privée. Une violation de la présente politique ou d’une loi sur la vie privée ou la protection des données. Les incidents qui concernent la sécurité en font partie. Il incombe au Bureau mondial de la protection de la vie privée, à ITRMS (Information Technology Risk Management and Security) et au bureau de l’avocat général de déterminer si un incident relatif à la vie privée s’est produit et s’il devrait être élevé au rang de violation de données personnelles.
• Traitement. Toute opération ou tout ensemble d’opérations effectué sur les informations concernant une personne, par des moyens automatiques ou non, y compris, sans toutefois s’y limiter, la collecte, l’enregistrement, l’organisation, le stockage, l’accès, l’adaptation, la modification, la récupération, la consultation, l’utilisation, l’évaluation, l’analyse, le signalement, le partage, la divulgation, la diffusion, la transmission, la publication, l’harmonisation, l’association, le blocage, la suppression, l’effacement ou la destruction.
• Violation de données personnelles. Une violation de la sécurité menant à la destruction accidentelle ou illicite, à la perte, à l’altération, à la divulgation non autorisée ou à l’accès à des données personnelles, ou la conviction raisonnable de notre entreprise qu’une telle violation a eu lieu. L’accès à des données personnelles par notre entreprise ou pour le compte de celle-ci, sans intention d’enfreindre la présente politique, ne constitue pas une violation de données personnelles, à condition que les données personnelles consultées soient ensuite utilisées et communiquées à des fins autorisées par la présente politique.
• Informations sensibles. Tout type d’information sur une personne qui présente un risque inhérent de préjudice potentiel aux personnes, notamment les informations définies par la loi comme étant sensibles, y compris, sans toutefois s’y limiter, les informations concernant la santé, la génétique, la biométrie, l’origine, l’appartenance ethnique, la religion, les opinions ou croyances politiques ou philosophiques, les antécédents criminels, les informations de géolocalisation précises, les numéros de comptes bancaires ou autres comptes financiers, les numéros d’identification attribués par des autorités gouvernementales, les enfants mineurs, les pratiques sexuelles, l’orientation sexuelle, l’affiliation à des syndicats, l’assurance, les avantages de sécurité sociale ou autres avantages alloués par un employeur ou un gouvernement.
• Tiers. Toute entité, association ou personne juridique qui n’est pas détenue par notre entreprise, ou dans laquelle notre entreprise n’a pas de participation majoritaire, ou qui n’est pas employée par notre entreprise. Sauf disposition contraire de la présente politique, il ne peut être exigé à aucune filiale ou division de notre entreprise de se soumettre aux exigences d’un tiers au titre de la présente politique, car toutes les filiales ou divisions sont tenues de traiter les données personnelles dans le respect de la présente politique, y compris dans des circonstances où l’une de nos filiales assiste une ou plusieurs autres filiales de notre entreprise dans le traitement des informations.

Modifications apportées à la présente politique

La présente politique peut être modifiée de temps à autre, conformément aux exigences des lois applicables. Un avis sera affiché sur la page Web relative à la protection de la vie privée de notre entreprise (https://www.msdprivacy.com/) pendant 60 jours en cas de changement significatif de la politique.