POLITIK OM GLOBALE PRIVATLIVSREGLER PÅ TVÆRS AF GRÆNSER

Dato for gennemgang: 01 september 2023
Dato for ikrafttrædelse: 01 september 2023

Vi tilstræber at udføre vores forretningsaktiviteter i overensstemmelse med vores privatlivsværdier, fordi vi mener, at de viser vores ufravigelige forpligtelse til etisk og ansvarlig praksis. Vi er klar over, at innovation og ny teknologi er drivkraften bag løbende ændringer i risici, forventninger og lovgivning, og vi arbejder i overensstemmelse med standarder for ansvarlighed ifm. privatliv og sigter mod at tilpasse vores ageren i denne sammenhæng som følge af disse ændringer.

Denne politik definerer vores globale standarder for administration og beskyttelse af personlige oplysninger af og på vegne af vores virksomhed med direkte eller indirekte oprindelse i ethvert land indenfor det Europæiske Økonomiske Samarbejdsområde (”EØS”), Schweiz eller fra medlemmer af Asia Pacific Economic Cooperation (”APEC”), og som overføres til et land, inklusive overførsler mellem EØS og APEC. Den beskriver vores kerneforpligtelser til at arbejde for overensstemmelse med vores forpligtelse til APEC-privatlivsregler på tværs af grænser, vores bindende virksomhedsregler (”BCR’er”), der er blevet godkendt i den Europæiske Union, samt vores selvforpligtelse til EU-U.S. Data Privacy Framework-programmet (DPF), UK-udvidelsen til DPF og det schweizisk-amerikanske Data Privacy Framework-program.

Vores virksomhed overholder EU-U.S. Data Privacy Framework-programmet (EU-U.S. DPF), UK-udvidelsen til EU-U.S. DPF og det schweizisk-amerikanske Data Privacy Framework-program (det schweizisk-amerikanske DPF) som angivet af U.S. Department of Commerce. Vi har bekræftet over for U.S. Department of Commerce, at vi overholder EU-U.S. Data Privacy Framework-principperne (EU-U.S. DPF-principperne) med hensyn til behandling af personoplysninger, der er modtaget fra EU på grundlag af EU-U.S. DPF, og fra Storbritannien (og Gibraltar) på grundlag af UK-udvidelsen til EU-U.S. DPF. Vi har bekræftet over for U.S. Department of Commerce, at vi overholder principperne i det schweizisk-amerikanske Data Privacy Framework-program (principperne i det schweizisk-amerikanske DPF) med hensyn til behandling af personoplysninger, der er modtaget fra Schweiz, på grundlag af den schweizisk-amerikanske DPF. Hvis der er nogen uoverensstemmelser mellem vilkårene i denne politik og principperne i EU-U.S. DPF og/eller principperne i det schweizisk-amerikanske DPF, er principperne gældende. Du kan få mere at vide om Data Privacy Framework-programmet (DPF) og se vores certificering på https://www.dataprivacyframework.gov/.

Denne politik omfatter vores aktiviteter i alle lande og alle aktiviteter, der omhandler oplysninger om personer, som vi foretager i ethvert datterselskab og enhver afdeling (herunder aftagere af vores forretning), inklusive men ikke begrænset til vores forskning, fremstilling, kommercielle, selskabsstøtteaktiviteter og sundhedstjenester og -løsninger samt den dataoverførsel, der er nødvendig for at udføre disse aktiviteter, inklusive men ikke begrænset til:

• Forskning og fremstilling: evalueringsbehov og mulighed for innovation inden for medicin og sundhed; igangsætning, administration og finansiering af forskningsarbejde; evaluering og ansættelse af forskere, medlemmer af videnskabelige og etiske komitéer og forretningspartnere, der støtter vores forskningsarbejde og udviklingen af vores produkter; rekruttering til forskningsforsøg; evaluering af sikkerheden, effektiviteten og kvaliteten af vores produkter, både i udviklingsfasen og mens de sælges på markedet; opfyldelse af vores forpligtelser vedrørende produktsikkerhed og -kvalitet, inklusive håndtering og rapportering af utilsigtede hændelser og klager over produktkvalitet; ansøgning om godkendelse og registrering af vores produkter hos sundhedsmyndigheder; og overholdelse af tilknyttede juridiske, regulatoriske eller etiske krav;
• Kommercielt: markedsevaluering for vores produkter; annoncering, markedsføring, salg, distribution og levering af vores produkter; kommunikation og samarbejde med kunder i sundhedssektoren, betalere af sundhedspleje, patienter og andre slutbrugere af vores produkter, såvel som plejere for brugerne af vores produkter; sponsering og afholdelse af begivenheder; evaluering af og samarbejde med forretningspartnere mhp. støtte af vores kommercielle aktiviteter; og overholdelse af tilknyttede juridiske, regulatoriske eller etiske krav;
• Selskabsstøtteaktiviteter: rekruttering, ansættelse, administration, udvikling, kommunikation med og aflønning af medarbejdere; administration af programmer for medarbejdere og deres pårørende; afholdelse af medarbejdersamtaler; levering af træning og andre undervisnings- og udviklingsprogrammer; håndtering af disciplinær- og klageprocedurer; styring af etiske og privatlivsemner og gennemførelse af undersøgelser; administration og sikring af vores fysiske og virtuelle aktiver og infrastruktur; anskaffelse af og betaling for varer og serviceydelser; opfyldelse af vores ansvar i forhold til miljø, sundhed og sikkerhed og andre virksomhedsansvar; interaktion med medier; og overholdelse af tilknyttede juridiske, regulatoriske eller etiske krav.

Denne politik omfatter også alle mennesker, hvis oplysninger vi behandler, inklusive men ikke begrænset til, sundhedsprofessionelle og andre kunder; potentielle, nuværende og tidligere ansatte og deres pårørende, patienter, plejere, forskere og deltagere i forskningsforsøg, medlemmer af videnskabelige og etiske komitéer, forretningspartnere, investorer og aktionærer, offentligt ansatte og andre interessenter.

Alle virksomhedens medarbejdere og direktionen har grundlæggende privatlivsansvar, som de skal leve op til.

Vi anerkender, at utilsigtede fejl og fejlvurderinger relateret til beskyttelse af personlige oplysninger kan medføre risici for enkeltpersoners privatliv og risici for vores virksomheds omdømme, drift, økonomi og overholdelse. Vi vil levere relevant uddannelse i nærværende politik til alle medarbejdere og andet personale, som har permanent eller regelmæssig adgang til personlige oplysninger, og som er involveret i indsamling af oplysninger eller udvikling af værktøjer, som benyttes til behandling af personlige oplysninger. Alle medarbejdere i virksomheden, og alle som behandler personlige oplysninger for vores virksomhed, er ansvarlige for at forstå og efterleve deres ansvar i henhold til denne politik og relevant lovgivning.

Vores privatlivsværdier og -standarder

Vi efterlever vores privatlivsværdier i alle de af vores aktiviteter, der involverer mennesker, inklusive hvordan vi anvender vores privatlivsstandarder. Vores fire privatlivsværdier er følgende: Vores fire privatlivsværdier og -standarder er:

Respekt	Tillid	Forebyggelse af skade	Overholdelse
Vi anerkender, at bekymringer vedrørende vores privatliv ofte er relateret til kernen af, hvem vi er, hvordan vi ser verden og hvordan vi definerer os selv, så vi stræber efter at respektere individers og samfunds synspunkter og interesser og efter at være redelige og gennemskuelige med hensyn til, hvordan vi anvender og deler deres personlige oplysninger.	Vi ved, at tillid er afgørende for vores succes, så vi stræber efter at opbygge og fastholde tilliden fra vores kunder, medarbejdere, patienter og andre interessenter med hensyn til, hvordan vi respekterer privatlivet og beskytter folks personlige oplysninger.	Vi forstår, at misbrug af personlige oplysninger kan have håndgribelige såvel som uhåndgribelige skadevirkninger for enkeltpersoner, så vi søger at forebygge fysiske, økonomiske, omdømmemæssige og andre typer af personlig skadevirkning for enkeltpersoner.	Vi har erfaret, at lovgivning og regulering ikke altid kan følge med den hastige udvikling inden for teknologi, datastrømme og de dermed forbundne ændringer i privatlivsrisici og -forventninger, og derfor tilstræber vi både at efterleve ånden og bogstavet i privatlivs- og databeskyttelseslovgivning og -regulering på en måde, der fremmer konsekvens og driftseffektivitet for vores globale forretningsaktiviteter.

1. Vi bygger vores privatlivsstandarder ind i alle aktiviteter, procedurer, teknologier, relationer med tredjeparter, der anvender personlige oplysninger. Vi bygger privatlivskontroller ind i vores procedurer og teknologier, der er i overensstemmelse med vores privatlivsværdier og -standarder samt relevant lovgivning. Vores 8 privatlivsprincipper, der er angivet herunder, opsummerer vores privatlivsstandarder og kernekrav til procedurer, aktiviteter og deres tilknyttede teknologier på et højt niveau.

   Privatlivsprincip	Vores kerneforpligtelser
   1. Nødvendighed – Inden indsamling, anvendelse eller deling af personlige oplysninger vil vi definere og dokumentere de specifikke, legitime forretningsformål, hvortil de er nødvendige.	Vi fastlægger og dokumenterer, hvor længe der er behov for de personlige oplysninger for disse definerede forretningsformål og gældende juridiske krav. Vi indsamler, anvender eller deler ikke flere personlige oplysninger, end der er brug for, eller opbevarer dem i et identificerbart format i længere tid end nødvendigt for disse definerede forretningsformål og gældende juridiske krav. Vi anonymiserer data, når forretningsnødvendighed fordrer, at oplysninger vedrørende aktiviteten eller proceduren opbevares i en længere tidsperiode. Vi tilsikrer, at disse nødvendighedskrav er indbygget i enhver understøttende teknologi, og at de kommunikeres til tredjeparter, der understøtter aktiviteten eller proceduren.
   2. Rimelighed – Vi behandler ikke personlige oplysninger på måder, der er urimelige over for de personer, som oplysningerne relaterer til.	Vi fastlægger, hvorvidt den foreslåede indsamling, anvendelse eller anden behandling af personlige oplysninger udgør en sandsynlig og/eller alvorlig risiko for håndgribelig eller uhåndgribelig skade for personer i overensstemmelse med vores privatlivsværdi om Forebyggelse af skade. Hvis karakteren af oplysningerne, typen af person eller aktiviteten udgør en sandsynlig og/eller alvorlig risiko for håndgribelig eller uhåndgribelig skade på enkeltpersoner, tilsikrer vi, at skaden opvejes af en tilsvarende fordel for disse enkeltpersoner eller for vores mission om at redde og forbedre liv og lindret ved hjælp af de foranstaltninger, forholdsregler og mekanismer, vi har iværksat. Hvor risikoen lader til at veje tungere end fordelene for enkeltpersoner, behandler vi kun følsomme oplysninger eller personlige oplysninger med udtrykkeligt samtykke fra personerne, som udtrykkeligt krævet eller udtrykkeligt tilladt af relevant lovgivning eller som udtrykkeligt autoriseret af et kompetent kontrolorgan. Vi dokumenterer risikoanalysen og indbygger enhver påkrævet mekanisme for at indhente og dokumentere evidens for samtykke i understøttende teknologier. Hvor risikoen lader til at veje tungere end fordelene for enkeltpersoner, dokumenterer vi risikoanalyse og designer enhver krævet mekanisme, der kan minimere risikoen så meget som muligt.
   3. Gennemsigtighed – Vi behandler ikke personlige oplysninger på måder eller til formål, der ikke er gennemskuelige.	Alle enkeltpersoner, hvis personlige oplysninger behandles i henhold til denne politik, har ret til at modtage en kopi af denne politik. Vi vil gøre kopier af denne politik tilgængelig online på https://www.msdprivacy.com/index.html. MSD’s Global Privacy Office (afdelingen for beskyttelse af privatliv) vil tilvejebringe elektroniske og/eller papirversioner af denne politik efter anmodning indsendt til adresserne angivet i afsnit 3.a. herunder. Når der indsamles personlige oplysninger direkte fra enkeltpersoner, oplyser vi dem, inden oplysningerne indsamles og i en klar, tydelig og let tilgængelig privatlivsnotifikation eller på lignende måde om (1) hvilke(n) virksomhedsenhed(er), der er ansvarlig for behandlingen, (2) kontaktoplysningerne på Chief Privacy Officer og/eller den regionale/lokale Data Privacy Officer, (3) hvilke oplysninger, der vil blive indsamlet, (4) formålet med anvendelsen, (5) det juridiske grundlag for vores behandling, (6) hvem de vil blive delt med, inklusive alle krav om at videregive personlige oplysninger som svar på lovlige anmodninger fra offentlige myndigheder, (7), om og hvordan vi vil overføre personlige oplysninger til andre lande, herunder de pågældende lande, hvor dette er muligt (8), hvor længe de vil blive opbevaret eller efter hvilke kriterier vi foretager denne afgørelse, (9), hvordan man kan indsende spørgsmål eller bekymringer eller håndhæve sine rettigheder i forhold tilderes personlige oplysninger, (10) hvordan de kan trække ethvert samtykke, de har givet, tilbage, (11) deres ret til at indgive en klage hos et kontrolorgan, (12) enhver forpligtelse om at stille personlige oplysninger til rådighed samt konsekvenserne ved ikke at gøre dette, (13) enhver automatiseret beslutningstagning, herunder profilering, som vi foretager, og (14) et link til denne politik, hvor muligt og relevant. Vores omfattende privatlivspolitik for mange af vores interessenter er tilgængelig online på http://www.msd.com/about/how-we-operate/privacy/transparency-and-privacy.html Når personlige oplysninger indhentes gennem observation, sensorer eller andre indirekte metoder, kan det være umuligt at give en privatlivsnotifikation direkte til personen på indsamlingstidspunktet. I sådanne tilfælde sørger vi for gennemskuelighed i forhold til personen på andre måder, såsom ved opslag eller angivelse direkte på enheden eller materialer relateret til enheden, der indsamler oplysningerne. Når personlige oplysninger indsamles via en hjemmeside, mobil-app eller andre online-applikationer eller -ressourcer, anvender vi de teknologispecifikke standarder, der er angivet i vores Privatlivspolitik for internettet og vores Privatlivsforpligtelse i forhold til cookies for at sikre, at kravet om gennemskuelighed i overensstemmelse med denne politik overholdes. Når personlige oplysninger indsamles fra andre kilder og ikke specifikt på foranledning af vores virksomhed, indhenter vi forudgående skriftlig bekræftelse fra leverandøren af oplysningerne på, at denne har informeret personerne om måderne og de formål, til hvilke vores virksomhed har til hensigt at anvende oplysningerne. Hvis der ikke kan indhentes skriftlig bekræftelse fra leverandøren af oplysningerne, anvender vi udelukkende anonymiserede oplysninger, eller vi informerer de pågældende personer i en privatlivsnotifikation eller lignende metode, inden vi anvender oplysningerne, om (1) hvilke(n) enhed(er) i vores virksomhed, der er ansvarlig for behandlingen af oplysningerne, (2) kontaktoplysningerne på Chief Privacy Officer og/eller den regionale/lokale Data Privacy Officer, (3) hvilke oplysninger, vores virksomhed har til hensigt at anvende, (4) hvilket formål vores virksomhed har med at anvende oplysningerne, (5) det juridiske grundlag for vores behandling, (6) hvem vi vil dele dem med, (7) om og hvordan vi vil overføre de personlige oplysninger til andre lande, herunder de pågældende lande, hvor det er muligt, (8) hvor længe vores virksomhed regner med at opbevare dem eller kriterierne for, hvordan vi foretager denne beslutning, (9) hvordan man kan indsende spørgsmål eller bekymringer eller håndhæve sine rettigheder vedrørende deres personlige oplysninger, (10) hvordan de kan trække ethvert samtykke, de har givet, tilbage, (11) deres ret til at indgive en klage hos et kontrolorgan, (12) enhver forpligtelse om at stille personlige oplysninger til rådighed samt konsekvenserne ved ikke at gøre det, (13) enhver automatiseret beslutningstagning, herunder profilering, som vi gennemfører, og (14) et link til denne politik, hvor muligt og relevant. Vi sørger for, at de nødvendige gennemskuelighedsmekanismer, herunder, hvor muligt, mekanismer der understøtter enkeltpersoners rettigheder, er indbygget i støtteteknologier, og at tredjeparter, som støtter aktiviteten eller proceduren, ikke behandler personlige oplysninger på måder, der ikke er sammenfaldende med det, som personerne har fået at vide i vores privatlivsnotifikation eller andre verificerbare metoder, at vi og andre, som arbejder for os, vil gøre med oplysningerne. Når vi beder om samtykke, indhenter og dokumenterer vi bevis for samtykkeerklæringen i vores understøttende teknologier.
   4. Formålsbegrænsning – Vi anvender udelukkende personlige oplysninger i overensstemmelse med principperne om nødvendighed og gennemskuelighed.	Hvis der identificeres nye, legitime forretningsformål for tidligere indsamlede personlige oplysninger, indhenter vi enten enkeltpersonens samtykke til den nye anvendelse af personlige oplysninger, eller vi sørger for, at det nye forretningsformål er kompatibelt med, inklusive grundlæggende lig med, formål, der er beskrevet i en privatlivsnotifikation eller anden gennemskuelighedsmekanisme, som personen tidligere har modtaget. Vi afgør kompatibilitet baseret på (1) enhver sammenhæng mellem de oprindelige formål og det foreslåede nye formål, (2) enkeltpersonens rimelige forventninger, (3) personoplysningernes karakter, (4) konsekvenserne af den videre behandling for enkeltpersonen og (5) de sikkerhedsforanstaltninger, vi har indført. Vi anvender ikke dette princip på anonymiserede oplysninger, eller hvor personlige oplysninger udelukkende anvendes til historiske eller videnskabelige forskningsformål, og (1) en etisk komité eller anden kompetent vurdering har fastslået, at risikoen for sådan brug i forhold til enkeltpersoners privatlivsrettigheder og andre rettigheder er acceptabel, (2) vi har indført passende sikkerhedsforanstaltninger for at tilsikre dataminimering, (3) personoplysningerne er pseudonymiserede og (4) al anden relevant lovgivning overholdes. Vi sørger for, at formålsbegrænsning er indbygget i alle støtteteknologier, herunder enhver rapporteringsmulighed eller downstream datadeling.
   5. Datakvalitet – Vi sørger for, at personlige oplysninger er nøjagtige, fuldstændige og opdaterede i overensstemmelse med den tilsigtede anvendelse.	Vi sørger for, at periodiske datakontrolmekanismer er indbygget i understøttende teknologier med henblik på validering af datanøjagtighed i forhold til kilde- og downstreamsystemer. Vi sørger for, at følsomme oplysninger valideres som værende nøjagtige og opdaterede inden anvendelse, evaluering, analyse, rapportering eller anden behandling, der medfører en risiko for urimelighed i forhold til personer, hvis der anvendes unøjagtige eller forældede oplysninger. Hvor der foretages ændringer i personlige oplysninger af vores virksomhed eller tredjeparter, der arbejder for vores virksomhed, sørger vi for, at disse ændringer meddeles rettidigt til de respektive enkeltpersoner, hvor det med rimelighed er muligt.
   6. Sikkerhed – Vi implementerer sikkerhedsforanstaltninger til beskyttelse af personlige oplysninger og følsomme oplysninger mod tab, misbrug og uautoriseret adgang, afsløring, ændring eller destruktion.	Vi har implementeret et omfattende informationssikkerhedsprogram, og vi anvender sikkerhedskontroller med udgangspunkt i oplysningernes følsomhed og aktivitetens risikoniveau, idet vi tager bedste praksis for aktuel teknologi og implementeringsomkostningen i betragtning. Vores funktionelle sikkerhedspolitikker omfatter, men er ikke begrænset til, standarder vedrørende forretningskontinuitet og katastrofegendannelse, kryptering, identitets- og adgangsadministration, informationsklassificering, hændelsesstyring vedr. informationssikkerhed, netværksadgangskontrol, fysisk sikkerhed og risikostyring.
   7. Dataoverførsel – Vi er ansvarlige for, og vi fastholder privatlivsbeskyttelsen af personlige oplysninger, når de overføres til eller fra andre organisationer eller på tværs af landegrænser.	(1) Vi overfører personlige oplysninger internt i virksomheden, hvis følgende krav opfyldes: (1) delingen er nødvendig for at opfylde det formål, hvortil de personlige oplysninger oprindeligt blev indsamlet eller en anden berettiget interesse for virksomheden, og (2) det formål, til hvilket det skal deles, og det faktum, at det vil blive delt er i overensstemmelse med privatlivsbekendtgørelsen eller anden gennemsigtighedsmekanisme, der tidligere blev stillet til rådighed for enkeltpersonen på det tidspunkt, hvor de personlige oplysninger oprindeligt blev indsamlet, og enkeltpersonen gav sit samtykke, hvor det var nødvendigt. (3) hvor et af vores datterselskaber udelukkende handler på vegne af et andet af vores datterselskaber i behandlingen af personlige oplysninger, (4) hvis det er påkrævet ved lov, at vores virksomheds datterselskaber indgår en databehandlingsaftale i overensstemmelse med princip 8 i nærværende politik. (5) hvor IT-infrastrukturen kræver en sådan overførsel, forudsat at alle passende sikkerheds- og organisatoriske foranstaltninger er på plads for at en sådan overførsel sker i overensstemmelse med reglerne. (2) Vi overfører kun personlige oplysninger til eller tillader deres overførsel til tredjeparter, hvis de følgende krav er tilfredsstillet, og vi er ansvarlige for at sikre, at de tredjeparter, som vi antager, opfylder disse krav: Hvis tredjepartens opgave er at behandle personlige oplysninger for eller på vegne af vores virksomhed, vil vi, inden der overgives personlige oplysninger til eller der kontraheres med tredjeparten: (1) udføre påpasselighedsundersøgelse mhp. at evaluere privatlivspraksis og risici relateret til tredjeparten, (2) indhente kontraktlige forsikringer fra tredjeparten om, at de kun vil behandle personlige oplysninger i overensstemmelse med vores virksomheds instrukser og med denne politik, herunder uden begrænsning alle 8 privatlivsprincipper og de andre standarder, der fremgår af denne politik samt relevant lovgivning, at de omgående vil informere vores virksomhed om enhver privatlivshændelse, inklusive enhver manglende evne til at overholde standarder, der fremgår af denne politik samt relevant lovgivning, eller sikkerhedshændelse, og samarbejde med henblik på omgående at afhjælpe enhver dokumenteret hændelse og reagere på personers rettigheder fastsat i afsnit 2 nedenfor, at de ikke vil engagere et andet firma til at behandle personlige oplysninger uden vores skriftlige tilladelse og uden at indgå en aftale om indførelse af tilsvarende databeskyttelsesforpligtelser, at de vil slette eller returnere alle personlige oplysninger til os, efter de er færdige med at levere tjenester til os eller på vores anmodning, samt at de vil tillade vores virksomhed at revidere og overvåge deres praksis, så længe de behandler oplysningerne, med henblik på at tilsikre overholdelse af disse krav. Herudover vil vi, hvis tredjeparten behandler personlige oplysninger, der hidrører fra et land eller område med lovgivning, der begrænser overførslen af personlige oplysninger, sørge for, at overførslen til tredjeparten foregår i overensstemmelse med nedenfor anførte krav til dataoverførsel på tværs af grænser (3). Hvis tredjepartens opgave er at levere personlige oplysninger til vores virksomhed, vil vi tilsikre, inden der indhentes personlige oplysninger fra tredjeparten, at gennemskuelighedskravene for indhentning af personlige oplysninger fra andre kilder, der ikke specifikt styres af vores virksomhed, er overholdt, og vi indhenter kontraktligt løfte fra tredjeparten om, at vedkommende ikke overtræder nogen lovgivning eller nogen tredjeparts rettigheder ved at levere de personlige oplysninger til vores virksomhed. Hvis tredjepartens opgave er at modtage oplysninger fra vores virksomhed med henblik på behandling, der ikke specifikt styres af vores virksomhed, vil vi tilsikre, inden vi leverer oplysningerne til tredjeparten, at oplysningerne er blevet anonymiseret, og vi indhenter skriftligt løfte fra tredjeparten om, at de udelukkende vil anvende oplysningerne til forretningsformål som defineret i aftalen og i overensstemmelse med relevant lovgivning, samt at de ikke vil forsøge at gen-identificere oplysningerne. Hvis det kræves, at overførslen til en tredjepart beskytter enkeltpersonens eller selskabets lovlige interesser, kan vi overføre oplysningerne: (1) med henblik på at forebygge svig eller for at håndhæve eller beskytte virksomhedens rettigheder og ejendom, (2) til beskyttelse af vores medarbejderes eller tredjeparters personlige sikkerhed på vores ejendom og (3) at beskytte vores aktiver ved at tage korrigerende sikkerhedsforanstaltninger, hvis vi med rimelighed har mistanke om, at ulovlig aktivitet eller alvorlig forseelse har fundet sted. Hvis tredjeparten er udset til erhvervelse eller opkøb af kontrollerende indflydelse af vores virksomhed, (1) vil vi, inden der indgås aftale om køb af tredjeparten eller opnåelse af en kontrollerende indflydelse i tredjeparten, udføre påpasselighedsundersøgelse ifm. privatlivspraksis og risici forbundet med erhvervelse af tredjeparten eller kontrollerende indflydelse i tredjeparten, og (2) vi indgår i en dataoverførselsaftale, der angiver vilkår og betingelser for overdragelse af personlige oplysninger og de respektive forpligtelser for vores virksomhed og tredjeparten. Hvis tredjepartens opgave er at erhverve hele eller dele af vores virksomheds forretning, vil vi, inden vi deler personlige oplysninger i forbindelse med bortsalg af nogen del af vores virksomheds forretning, (1) indgå i en dataoverførselsaftale, der angiver vilkår og betingelser for overdragelse af personlige oplysninger til køberen, inklusive relevante begrænsninger vedrørende den tilladte brug af de personlige oplysninger og overholdelse af de standarder, der fremgår af denne politik og gældende lovgivning, (2) gennemgå alle dataelementer om enkeltpersoner, inden de deles, med henblik på vurdering af kravene for delingen, (3) indhente samtykke til deling af personlige oplysninger eller følsomme oplysninger i overensstemmelse med principper for gennemskuelighed og formålsbegrænsning i denne politik, samt (4) kræve, at tredjeparten straks informerer vores virksomhed om alle relevante privatlivshændelser, inklusive enhver manglende evne til at overholde de standarder, der fremgår af denne politik og gældende lovgivning, og samarbejder med henblik på omgående at afhjælpe alle dokumenterede hændelser eller ophøre med at behandle relevante personlige oplysninger. (3) Vi overfører personlige oplysninger på tværs af grænser, herunder til USA, for eller på vegne af vores virksomhed i overensstemmelse med denne politik. Vi vil anvende denne politik på overførsler af personlige oplysninger fra ethvert land eller territorie med lovgivning, der begrænser overførslen af personlige oplysninger som for eventuelle krav, der fremgår af sådanne lovgivninger (herunder brugen af enhver mekanisme, der kræves til overførsel på tværs af grænser).
   8. I overensstemmelse med lovgivning – Vi behandler kun personlige oplysninger, hvis relevant lovgivning er overholdt.	Hvor de øvrige 7 privatlivsprincipper, samt kravene til enkeltpersoners rettigheder beskrevet herunder, har til formål at tilsikre overholdelse af kravene fra de fleste privatlivs- og databeskyttelseslove, der har betydning for vores forretning verden over, er vi i visse lande nødt til at overholde yderligere krav, herunder men ikke begrænset til følgende: 1) Hvor påkrævet vil vi indhente specifikke former for samtykke for visse behandlinger af personlige oplysninger, inklusive men ikke begrænset til godkendelse af behandlingen fra samarbejdsudvalg og andre arbejdstagersammenslutninger; 2) Hvor påkrævet vil vi registrere behandlingen af personlige oplysninger hos eller anmode om godkendelse af de relevante myndigheder, der varetager beskyttelse af data og personlige oplysninger; 3) Hvor påkrævet vil vi give bredere (f.eks. adgangs- og redigerings-) rettigheder end beskrevet i denne politik; 4) Hvor påkrævet vil vi yderligere begrænse opbevaringsperioden for personlige oplysninger; 5) Hvor påkrævet vil vi indgå aftaler med specifikke kontraktlige afsnit, inklusive aftaler vedrørende grænseoverskridende dataoverførsel til tredjeparter; og 6) Hvor påkrævet vil vi videregive personlige oplysninger som svar på lovlige anmodninger fra offentlige myndigheder, herunder for at opfylde nationale sikkerheds- eller retshåndhævelseskrav. I tilfælde af uoverensstemmelse mellem denne politik og relevant lovgivning, vil den standard, der yder enkeltpersonen den bedste beskyttelse, have forrang.

2. Vi vil omgående reagere på personers henvendelser ifm. deres ret til at få adgang til, tilføje, rette eller slette i deres personlige oplysninger eller til at protestere mod behandlingen af deres personlige oplysninger eller til at udøve andre rettigheder med hensyn til deres personlige oplysninger.
   1. Adgang, rettelse, sletning og andre rettigheder – Ifølge lovgivningen i de fleste lande, hvor vi har aktiviteter, har enkeltpersoner ret til at få adgang til deres personlige oplysninger samt til at tilføje, rette eller slette personlige oplysninger, der er forkerte, ufuldstændige eller forældede. Vi vil efterkomme alle anmodninger om adgang, rettelse og sletning af personlige oplysninger fra alle enkeltpersoner i overensstemmelse med afsnit 3a nedenfor. Hvis en anmodning om adgang, rettelse eller sletning er underlagt relevant lovgivning, der giver enkeltpersoner bredere beskyttelse, vil vi sørge for, at de yderligere, lovbefæstede krav overholdes. I nogle lande kan enkeltpersoner være berettiget til andre rettigheder med hensyn til deres personlige oplysninger, såsom retten til at begrænse behandling, til at modsætte sig behandling (jf. også afsnit 2b nedenfor) og til at få deres oplysninger overført til en anden tjenesteudbyder. Vi vil respektere udøvelsen af datarettigheder i henhold til gældende lovgivning. Nogle rettigheder, såsom sletning, kan være begrænsede i henhold til andre lovmæssige krav eller nødvendigheden af at overholde lokal overholdelsesrapportering, i sådanne tilfælde vil vi, hvor det er relevant, informere dig om disse begrænsninger.
   2. Valgfrihed – I forlængelse af vores privatlivsværdier ”Respekt” og ”Tillid” imødekommer vi enkeltpersoners anmodninger om at kunne indgive protest mod behandling af deres personlige oplysninger, inklusive men ikke begrænset til fravalg af programmer eller aktiviteter, som de tidligere har givet samtykke til deltagelse i, behandling af personlige oplysninger mhp. direkte markedsføringskommunikationer, kommunikationer målrettet dem på basis af personlige oplysninger om dem, samt enhver evaluering af eller beslutning vedrørende dem, som har potentiale til at påvirke dem i betydelig grad, som foretages ved brug af automatisering eller algoritmer.
      1. Undtaget hvor lovgivning forbyder det, kan vi nægte denne valgfrihed, hvis en specifik valg-anmodning kan modvirke vores virksomheds evne til: (1) at overholde en lovgivningsmæssig eller etisk forpligtelse, herunder hvor vi er forpligtet til at videregive personlige oplysninger som svar på lovlige anmodninger fra offentlige myndigheder, herunder for at opfylde nationale sikkerheds- eller retshåndhævelseskrav, (2) at undersøge, iværksætte eller forsvare juridiske krav, samt (3) at udføre kontrakter, administrere relationer eller indgå i andre, lovlige forretningsaktiviteter, der er i overensstemmelse med principperne om gennemskuelighed og formålsbegrænsning, og som blev indgået i på basis af oplysningerne om de pågældende personer. Inden for 15 hverdage efter en beslutning om at afvise en anmodning i overensstemmelse med denne politik, vil vi dokumentere og kommunikere beslutningen til ansøgeren.
3. Vi vil omgående besvare og eskalere alle privatlivsrelaterede spørgsmål, klager, bekymringer og enhver potentiel privatlivshændelse eller sikkerhedshændelse.
   1. Enhver person, om hvem vi er i besiddelse af personlige oplysninger i medfør af denne politik, kan stille spørgsmål, indgive klager eller rejse bekymringer til vores virksomhed når som helst, herunder anmode om en liste over alle datterselskaber til vores virksomhed, der er omfattet af denne politik. Vi forventer, at vores medarbejdere og andre, som arbejder på vores vegne, omgående vil meddele, hvis de har grund til at mene, at en relevant lovgivning forhindrer dem i at overholde denne politik. Alle spørgsmål, klager eller bekymringer fremført af enkeltpersoner eller enhver henvendelse fra en medarbejder eller enhver anden person, som arbejder på vegne af vores virksomhed, skal rettes til Privacy Office (afdelingen for privatlivsanliggender):
      1. Via e-mail til: euprivacydpo@msd.com
      2. Ellers på e-mail til: msd_privacy_office@msd.com
      3. Via postomdelt brev til: Privacy Office, Merck & Co., Inc., UG4B-24, 351 N. Sumneytown Pike, North Wales, Pennsylvania, USA 19454.
   2. Medarbejdere og kontrahenter skal omgående informere MSD’s Global Privacy Office eller den udpegede Privacy Steward (ansvarlige for privatlivsanliggender) i deres forretningsområde om eventuelle spørgsmål, klager eller bekymringer i forbindelse med vores virksomheds privatlivspraksis.
   3. MSD’s Global Privacy Office vil evaluere og undersøge eller samarbejde med Office of Ethics, Legal and/or Compliance (afdelingen for etik, lovgivning og/eller overholdelse) om at undersøge alle spørgsmål, klager eller bekymringer vedrørende vores virksomheds privatlivspraksis, uanset om de modtages direkte fra medarbejdere eller andre personer eller via tredjeparter, inklusive men ikke begrænset til kontrolorganer, juridisk tilsynsførende og andre offentlige myndigheder. Vi vil svare den enkeltperson eller enhed, der fremfører spørgsmålet, klagen eller bekymringen til vores virksomhed inden for tredive (30) kalenderdage, medmindre lovgivning eller tredjeparten kræver et hurtigere svar, eller medmindre omstændigheder såsom en igangværende myndighedsundersøgelse kræver en længere svarperiode, i hvilket tilfælde personen eller tredjeparten så hurtigt som muligt vil blive orienteret skriftligt om karakteren af årsagerne til forsinkelsen.
   4. MSD’s Global Privacy Office vil koordinere med Legal and Compliance og samarbejde om besvarelsen af enhver henvendelse fra, inspektion eller undersøgelse foretaget af et kontrollerende organ.
   5. I tilfælde af klager, der ikke kan afklares mellem vores virksomhed og den person, som har indgivet klagen, har vores virksomhed accepteret at deltage i følgende konfliktløsningsprocedurer ifm. undersøgelser og afklaring af klager jævnfør denne politik. Dog kan enkeltpersoner bosiddende i EØS eller personer, for hvem personlige oplysninger er underlagt databeskyttelseslovgivning inden for EØS og hvor de overføres uden for EØS, også henholde sig til standard 3.f. nedenfor:
      1. for konflikter vedrørende personlige oplysninger modtaget af vores virksomhed fra Schweiz, har vores virksomhed accepteret at samarbejde med det schweiziske organ FDPIC;
      2. for konflikter vedrørende overførsel til USA af personlige oplysninger relateret til personaleaktiviteter og indsamlet i forbindelse med et ansættelsesforhold inden for EØS forpligter vores virksomhed sig også til at samarbejde med EU’s relevante databeskyttelsesorgan.
      3. for konflikter vedrørende alle andre personlige oplysninger i forlængelse af denne politik, inklusive men ikke begrænset til dem, der vedrører vores virksomheds overholdelse af Asia Pacific Economic Cooperation (”APEC”) Cross-Border Privacy Rules [regler om beskyttelse af privatlivet på tværs af grænser] (”CBPR’er”) mellem APEC-økonomierne, har vores virksomhed accepteret at anerkende konfliktløsning gennem BBB National Programs, som er vores juridiske tilsynsførende. For at få mere information om omfanget af vores deltagelse, eller for at indsende en privatlivsforespørgsel til BBB National Programs, bedes du klikke på det officielle stempel nederst på siden.
      4. For konflikter vedrørende overførsel af personlige oplysninger i forbindelse med virksomhedsaktiviteter gennem EU’s-USA’s Data Privacy Framework-programmet (DPF), UK-udvidelsen til DPF og det schweizisk-amerikanske Data Privacy Framework-program, har vores virksomhed accepteret at anerkende (gratis) konfliktløsning gennem en uafhængig klagemekanisme, Data Privacy Framework Services, der drives af BBB National Programs. Hvis ikke du modtager en rettidig bekræftelse på din klage, eller hvis din klage ikke behandles tilfredsstillende, bedes du besøge https://bbbprograms.org/programs/all-programs/dpf-consumers/ProcessForConsumers for at få yderligere oplysninger og indgive en klage.
      5. For konflikter, der opstår under EU’s-USA’s Data Privacy Framework-programmet (DPF), UK-udvidelsen til DPF og det schweizisk-amerikanske Data Privacy Framework-programmet, og som ikke bliver løst gennem de skridt, der beskrives i dette afsnit, kan enkeltpersoner under visse betingelser påberåbe sig bindende voldgift for nogle resterende krav, der ikke er løst af andre klagemekanismer. Se https://www.dataprivacyframework.gov/s/article/G-Arbitration-Procedures-dpf?tabset-35584=2.
   6. Alle personer bosiddende i EØS eller personer, hvis personlige oplysninger er omfattet af databeskyttelseslovgivning i EØS, og hvis personlige oplysninger overføres uden for EØS, om hvem oplysninger behandles i medfør af denne politik, har ret til når som helst at påberåbe sig rettighederne i medfør af denne politik som tredjepartsbegunstiget, herunder retten til at anvende retslige skridt i forbindelse med overtrædelse af vedkommendes rettigheder i henhold til denne politik (som beskrevet i afsnit 2 ovenfor), samt retten til at modtage kompensation for tab som følge af en sådan overtrædelse. Personer bosiddende i EØS eller personer, hvis personlige oplysninger er omfattet af databeskyttelseslovgivning i EØS, og hvis personlige oplysninger overføres uden for EØS (inklusive til USA (af forklaringshensyn)), kan fremføre påkrav eller en klage i medfør af denne politik mod Merck, Sharp & Dohme (Europe) Inc. – belgiske afdeling (”MSD Europe”): før:
      1. Via retsinstans eller databeskyttelsesmyndigheden i det EØS-land, hvorfra deres personlige oplysninger blev overført, eller
      2. Via retsinstans eller databeskyttelsesmyndighederne i det EØS-land, hvor de bor, eller
      3. Via retsinstans i Belgien eller via Belgiens privatlivskommission.
      4. Vores førende databeskyttelsesmyndigheder, der har instrueret vores bindende virksomhedsregler (”BCR”): Det franske CNIL.
   7. Vores virksomhed vil svare den person eller enhed, der fremfører spørgsmålet, klagen eller bekymringen til vores virksomhed inden for tredive (30) kalenderdage, medmindre lovgivning eller tredjeparten kræver et hurtigere svar, eller medmindre omstændigheder kræver en længere svarperiode, i hvilket tilfælde personen eller tredjeparten så hurtigt som muligt vil blive orienteret skriftligt.
4. Vi er ansvarlige for overholdelse af vores privatlivsværdier og -standarder.
   1. Det datterselskab af vores virksomhed, der er ansvarlig for en handling, der afstedkommer en underbygget privatlivshændelse eller sikkerhedshændelse, er økonomisk ansvarlig for det fulde erstatningsbeløb eller bøde eller straf, der hidrører fra privatlivshændelsen eller sikkerhedshændelsen.
      1. I koordinering med og under ledelse af MSD’s Global Privacy Office, er MSD Europe ansvarlig for at tilsikre, at der tages de nødvendige skridt for at behandle enhver påstået overtrædelse af denne politik af datterselskaber af vores virksomheder uden for EØS, der kan have indvirkning på personer bosiddende i EØS eller personer, hvis personlige oplysninger er omfattet af databeskyttelseslovgivning i EØS, og hvis oplysninger overføres uden for EØS, samt, som påkrævet, at betale bøder, straffe eller erstatninger tildelt for overtrædelse af denne politik, der har indvirkning på personer bosiddende i EØS eller personer, hvis personlige oplysninger er omfattet af databeskyttelseslovgivningen i EØS, og hvis oplysninger overføres uden for EØS. Med støtte fra MSD’s Global Privacy Office og det datterselskab af vores selskab, beliggende uden for EØS, og som er ansvarlig for den påståede overtrædelse, påhviler det MSD Europe at påvise, at vores virksomhed ikke er ansvarlig for den påståede overtrædelse. Hvor et andet datterselskab af vores virksomhed er ansvarlig for den handling, der nødvendiggjorde bøden, straffen eller erstatningen, kan det pågældende datterselskab blive afkrævet omgående tilbagebetaling til MSD Europe for ethvert beløb, som MSD Europe har erlagt. Hvis et af vores virksomheds datterselskaber uden for EØS krænker nærværende politik, vil retsinstansen eller databeskyttelsesmyndighederne i EØS have retsmyndighed, og den berørte enkeltperson vil have de rettigheder og midler, der er beskrevet i afsnit 3.f. ovenfor, mod MSD Europe.
      2. I koordinering med og under ledelse af MSD’s Global Privacy Office, er Merck Sharp Dohme Corp. ansvarlig for at tilsikre, at der tages de nødvendige skridt for at behandle enhver påstået overtrædelse af denne politik, der kan have indvirkning på personer bosiddende uden for EØS samt, som påkrævet, at betale bøder, straffe eller erstatninger tildelt for overtrædelse af denne politik, der har indvirkning på personer bosiddende uden for EØS eller personer, hvis personlige oplysninger ikke er omfattet af databeskyttelseslovgivningen i EØS. Hvor et andet datterselskab af vores virksomhed er ansvarlig for den handling, der nødvendiggjorde bøden, straffen eller erstatningen, kan det pågældende datterselskab blive afkrævet omgående tilbagebetaling til Merck Sharp & Dohme Corp. for ethvert beløb, som Merck Sharp & Dohme Corp. har erlagt.

Tilsyn og overvågning

For at kunne forsikre tilsynsmyndigheder og andre interessenter om, at vores virksomhed lever op til vores forpligtelse til etisk og ansvarlig privatlivspraksis, opretholder virksomheden en omfattende tilsyns- og overvågningskontrolgruppe, ledet af Chief Privacy Officer, med et dedikeret Global Privacy Office (GPO), en udpeget EU DPO, Lande-DPO’er, hvor dette er påkrævet ved lov eller af de lokale myndigheder, og Privacy Stewards, som er udpeget af direktionen og fungerer som forbindelsesled mellem MSD’s Global Privacy Office og de organisationsområder, de arbejder i.

Vores virksomhed forventer, at de juridisk tilsynsførende, som vi er juridisk ansvarlige over for, vil bekræfte virksomhedens overholdelse af kravene i denne politik og den tilknyttede lovgivning, herunder APEC CBPR.

Ud over de revisionsanmeldelser, der forvaltes af MSD’s Global Privacy Office, vil interne og eksterne revisions- og sikkerhedsteams gennemføre kompliansvurderinger for at verificere, at MSD overholder nærværende politik, herunder eventuelle politikker, procedurer, standarder og vejledning underlagt nærværende politik. Der vil blive udviklet og gennemført korrigerende og forebyggende handlingsplaner for at afhjælpe huller, som vores revisions- og sikkerhedsteams har observeret. Resultaterne af revisionsprogrammet vil blive meddelt til Chief Privacy Officer og Privacy and Data Protection Board, som er ansvarlige for at rapportere dem som beskrevet i nærværende politik.

Privatlivs- og databeskyttelsesmyndigheder, som har godkendt denne politik eller som måtte have retsmyndighed i forhold til vores virksomheds praksis i medfør af denne politik, har ret til at verificere vores overholdelse af den. Vi vil efterleve rådgivning fra disse kompetente myndigheder med hensyn til fortolkningen og anvendelsen af denne politik.

Udtryk, som du skal kende

• Anonymiseret. Ændring, sammentrækning, sletning eller redigering eller ændring af personlige oplysninger, således at de ikke uigenkaldeligt kan anvendes til at identificere, lokalisere eller kontakte en person, enten alene eller sammen med andre oplysninger.
• Lovgivning. Al relevant lovgivning, regler, regulativer og retslige udtalelser, der har retsgyldighed i ethvert land, hvor vores virksomhed har aktiviteter, eller hvor personlige oplysninger behandles af eller på vegne af vores virksomhed. Dette omfatter alle privatlivsrammeværk, som vores virksomhed er blevet godkendt eller certificeret af, inklusive Asia Pacific Economic Cooperation (”APEC”) Cross-Border Privacy Rules [regler om beskyttelse af privatlivet på tværs af grænser] (”CBPR’er”), EU’s-USA’s Data Privacy Framework-programmet (DPF), UK-udvidelsen til DPF og det schweizisk-amerikanske Data Privacy Framework-program i henhold til beføjelserne tillagt USA’s føderale handelskommission.
• Vores virksomhed. Merck & Co., Inc. (Rahway, NJ, USA), dennes efterfølgere, datterselskaber og afdelinger globalt, eksklusive joint ventures som vores virksomhed er en del af.
• Personlige oplysninger. Alle data vedrørende en identificeret eller identificerbar person, inklusive data, der identificerer en person, eller som kan anvendes til at identificere, lokalisere, spore eller kontakte en person. Personlige oplysninger omfatter både direkte identificerbare oplysninger såsom navn, identifikationsnummer eller unik stillingsbetegnelse, og indirekte identificerbare oplysninger såsom fødselsdato, unik identifikationsinformation for mobiltelefon eller bærbar enhed, telefonnummer såvel som nøglekodede data og online-identifikatorer såsom IP-adresser.
• Privatlivshændelse. En overtrædelse af eller et brud på denne politik eller privatlivs- eller databeskyttelseslovgivning, der inkluderer en sikkerhedshændelse. Afgørelsen af, om der foreligger en privatlivshændelse og om den er betydelig, foretages af MSD’s Global Privacy Office, Information Technology Risk Management and Security (ITRMS) og Office of General Counsel.
• Behandling. Udførelse af en handling eller en serie af handlinger vedrørende oplysninger om personer, hvad enten ved automatiske metoder eller ej, inklusive men ikke begrænset til, indsamling, registrering, organisering, opbevaring, adgang, tilpasning, ændring, hentning, konsultation, anvendelse, evaluering, analyse, rapportering, deling, afsløring, omdeling, transmission, tilgængeliggørelse, samkøring, kombination, blokering, sletning, annullering eller destruktion.
• Sikkerhedshændelse. Et sikkerhedsbrud, som fører til tilfældig eller ulovlig destruktion, tab, ændring, uautoriseret videregivelse af eller adgang til personlige oplysninger eller vores virksomheds rimelige tro på samme. Adgang til personlige oplysninger af eller på vegne af vores virksomhed, der ikke har til formål at overtræde denne politik, regnes ikke for en sikkerhedshændelse, forudsat at de tilgåede personlige oplysninger herefter anvendes og videregives som tilladt i medfør af denne politik.
• Følsomme oplysninger. Enhver form for oplysning om personer, som indebærer en iboende risiko for potentiel skade for enkeltpersoner, inklusive oplysninger defineret som følsomme i medfør af lovgivning, inklusive men ikke begrænset til helbred, genetik, biometriske, race, etnisk oprindelse, religion, politisk eller filosofisk standpunkt eller overbevisning, overtrædelse af straffeloven, nøjagtigt geografisk opholdssted, bankkontonumre eller andre finansielle kontonumre, myndighedsudstedte identifikationsnumre, mindreårige børn, seksualliv, seksuel orientering, fagforeningsmedlemskab, forsikring, pension og andre arbejdsgiver- eller regeringsudstedte ydelser.
• Tredjepart. Enhver juridisk enhed, forening eller person, der ikke ejes af vores virksomhed, eller som vores virksomhed ikke har kontrollerende indflydelse i, eller som ikke er ansat af vores virksomhed. Undtaget hvor udtrykkeligt angivet i denne politik vil intet datterselskab og ingen afdeling af vores virksomhed være forpligtet til at efterleve krav fra en tredjepart i medfør af denne politik, da alle datterselskaber eller afdelinger er pålagt at behandle personlige oplysninger i overensstemmelse med denne politik, inklusive under omstændigheder, hvor et af vores datterselskaber støtter et eller flere andre datterselskaber af vores virksomhed i behandlingen.

Ændringer i denne politik

Denne politik kan ændres løbende og i overensstemmelse med relevante lovgivningskrav. Der vil blive opslået en meddelelse på vores virksomheds hjemmeside vedrørende privatliv https://www.msdprivacy.com, i en periode på 60 dage, hvis der foretages betydelige ændringer i denne politik.