Zarządzenie wewnętrzne w sprawie ochrony danych i poufności danych osobowych

1. Wstęp

Dla każdej nowoczesnej firmy działającej na całym świecie, a taką jest Bayer Schering Pharma AG, kwestią o szczególnym znaczeniu dla realizacji celów we wszystkich obszarach działalności są informacje i ich odpowiednie wykorzystanie. Nowoczesne środki przekazywania informacji i łączności, takie jak Internet, sieci wewnętrzne i poczta elektroniczna, mają podstawowe znaczenie dla dostępu do informacji i ich wymiany. Pozwalają one bowiem firmie Bayer Schering Pharma szybciej i wydajniej niż w przeszłości przygotowywać i realizować decyzje na poziomie spółki tak, by lepiej odpowiadać na zwiększone oczekiwania rynku produktów farmaceutycznych.

Usprawnienia, jednak, które towarzyszą zmianom technologicznym procesu wymiany informacji, są także źródłem zagrożeń, które każde przedsiębiorstwo kierujące się zasadami etyki, takie jak Bayer Schering Pharma AG, musi uwzględniać. Niewłaściwe lub nieprawidłowe stosowanie narzędzi informatycznych przy przetwarzaniu danych osobowych, a także każdy przypadek niewłaściwego lub nieprawidłowego wykorzystania danych osobowych może doprowadzić do naruszenia praw osobowych. Ochrona praw wszystkich osób, których dane firma Bayer Schering Pharma AG przetwarza, w tym pracowników, kontrahentów, ochotników i pacjentów uczestniczących w badaniach klinicznych, personelu medycznego i klientów, stanowi podstawowe zobowiązanie firmy niezależnie od środków i metod gromadzenia danych osobowych. Dlatego też firma Bayer Schering Pharma AG wydała poniższe zarządzenie wewnętrzne ściśle obowiązujące w całej grupie Bayer Schering Pharma AG dotyczące ochrony danych i poufności danych osobowych. Zarządzenie to realizuje jeden z punktów Kodeksu postępowania i etyki zawodowej grupy Bayer Schering Pharma AG.

2. Cel zarządzenia wewnętrznego

Celem niniejszego zarządzenia wewnętrznego jest określenie norm dotyczących ochrony i bezpieczeństwa danych przy przetwarzaniu i przesyłaniu danych osobowych w grupie Bayer Schering Pharma AG w celu zapewnienia odpowiedniej ochrony praw osobistych osób, których dane grupa posiada. Przestrzeganie zarządzenia wewnętrznego jest warunkiem swobodnego przesyłania danych osobowych w ramach grupy Bayer Schering Pharma AG.

3. Zakres zarządzenia wewnętrznego

Niniejsze zarządzenie wewnętrzne reguluje wszystkie kwestie związane z poufnością danych. Obowiązuje ono przy przetwarzaniu danych osobowych każdej osoby, której dane są przetwarzane przez podmioty grupy Bayer Schering Pharma AG, w tym pracowników, kontrahentów, ochotników i pacjentów uczestniczących w badaniach klinicznych, personelu medycznego i klientów. Normy dotyczące ochrony i bezpieczeństwa danych ustanowione w niniejszym zarządzeniu wewnętrznym obowiązują wszystkie podmioty w ramach grupy Bayer Schering Pharma AG.

Zarządzenie wewnętrzne nie wpływa na istniejące krajowe i międzynarodowe wymagania prawne w państwie, w którym odbywa się gromadzenie lub przetwarzanie danych osobowych. Uregulowania te nadal obowiązują. Jeśli przepisy prawa krajowego lub międzynarodowego stanowią uregulowanie mniej surowe niż zapisy zarządzenia wewnętrznego, stosuje się postanowienia zarządzenia.

W niektórych państwach organy odpowiedzialne za ochronę danych mogą zwrócić się do administratora danych o powiadomienie przed wykonywaniem operacji w części lub w pełni automatycznego przetwarzania danych osobowych. Każdy podmiot grupy Bayer Schering Pharma AG jest odpowiedzialny za przestrzeganie obowiązków dotyczących powiadamiania istniejących w kraju, w którym podmiot ten działa. Przesyłanie danych osobowych organom i instytucjom administracji centralnej jest dozwolone jedynie w zgodzie z odpowiednimi i obowiązującymi w danym przypadku przepisami krajowymi.

4. Definicje

Anonimizacja oznacza modyfikację danych osobowych tak, by danych tych nie można było przypisać konkretnej lub dającej się ustalić osobie lub gdy konieczny byłby w tym celu nieproporcjonalnie duży nakład czasu, kosztów i pracy.
Zgoda to świadome, dobrowolne i jednoznaczne oświadczenie woli podmiotu danych, w którym ten zgadza się na przetwarzanie jego danych osobowych. Szczególne wymagania, którym zgoda taka podlega, wynikają z odpowiednich przepisów krajowych.
Podmiot przetwarzający dane na zlecenie to osoba fizyczna lub prawna przetwarzająca dane osobowe w imieniu administratora danych.
Administrator danych to prawnie niezależny podmiot w ramach grupy Bayer Schering Pharma AG, który decyduje o przeznaczeniu i środkach stosowanych przy przetwarzaniu danych osobowych.
Podmioty danych to wszystkie osoby, których dane są przetwarzane w ramach grupy Bayer Schering Pharma AG, w tym pracownicy, kontrahenci, ochotnicy i pacjenci uczestniczący w badaniach klinicznych, personel medyczny i klienci.
Dane osobowe to wszelkie informacje odnoszące się do konkretnej lub możliwej do ustalenia osoby. Tożsamość osoby można ustalić, jeśli jest to możliwe w sposób bezpośredni lub pośredni, np. przez przyporządkowanie osoby do numeru identyfikacyjnego.
Przetwarzanie danych osobowych to wszelkie operacje lub sekwencje operacji wykonywane bez udziału lub z udziałem metod automatycznych na danych osobowych, takie jak gromadzenie, zapisywanie, przechowywanie, adaptacja, modyfikacja, wybór, wyszukiwanie, wykorzystywanie, ujawnianie przez przesyłanie, a także blokowanie, usuwanie lub wymazywanie danych osobowych. Definicja ta obejmuje także słowo „przetworzony” wykorzystywane w tym kontekście.
Pseudonimizacja to zastąpienie nazwiska podmiotu danych i innych informacji mogących doprowadzić do ustalenia jego tożsamości etykietą, mająca na celu wykluczenie identyfikacji podmiotu danych przez osoby nieuprawnione lub znaczące utrudnienie takiej identyfikacji.
Dane wrażliwe to dane opisujące pochodzenie rasowe lub narodowościowe, poglądy polityczne, przekonania religijne lub poglądy filozoficzne, fakt przynależności do związków zawodowych, informacje o stanie zdrowia lub życiu seksualnym; stanowią zatem szczególną kategorię danych osobowych.
Kraj trzeci to każde państwo poza Europejskim Obszarem Gospodarczym (EOG).
Strona (osoba) trzecia to każda osoba fizyczna lub prawna, która nie może być uznana za administratora danych.
Przesyłanie danych osobowych to ich przekazywanie, dystrybucja lub wszelkie inne formy przesyłu danych stronom trzecim. Definicja ta obejmuje także słowa „przesłany” i „przesyłanie” wykorzystywane w tym kontekście.

5. Podstawowe zasady przetwarzania danych osobowych

5.1 Dopuszczalność przetwarzania danych
Przetwarzanie danych osobowych jest dozwolone wyłącznie, jeśli podmiot danych udzielił odpowiedniej zgody lub dopuszczalność taka wynika z odpowiednich przepisów prawa. Dopuszczalność przetwarzania danych osobowych jest warunkiem koniecznym przesyłania danych osobowych stosownie do paragrafu 6.

Zgoda powinna zostać udzielona na piśmie lub w inny przewidziany prawem sposób, przy czym podmiot danych powinien być z wyprzedzeniem powiadomiony o celu przetwarzania danych osobowych oraz możliwości ich przesyłania stronom trzecim. Deklaracja zgody powinna być wyraźnie oznaczona, jeśli stanowi część innych oświadczeń tak, by była oczywista dla podmiotu danych.

5.2 Zamierzony cel
Dane osobowe można gromadzić jedynie w określonym, jednoznacznym i uzasadnionym celu, i nie wolno ich dalej przetwarzać niezgodnie z celem zamierzonym. Zmiany celu są dozwolone jedynie za zgodą podmiotu danych lub jeśli dopuszczają je przepisy prawa krajowego w państwie, z którego dane osobowe są przesyłane.

5.3 Gospodarowanie danymi
Przetwarzanie danych osobowych musi być niezbędne do osiągnięcia zamierzonego celu. Na wczesnym etapie, w zakresie zgodnym z możliwościami i kosztem w porównaniu z zamierzonym celem ochrony, należy zastosować możliwe metody anonimizacji i pseudonimizacji danych osobowych. Przepis ten obowiązuje w szczególności w odniesieniu do danych osobowych podmiotów danych będących ochotnikami i pacjentami uczestniczącymi w badaniach klinicznych.

5.4 Jakość danych
Dane osobowe muszą być co do treści prawidłowe i w koniecznym zakresie aktualne. W rozsądnym zakresie należy podjąć odpowiednie działania w celu skorygowania lub usunięcia danych nieprawidłowych lub niekompletnych.

5.5 Bezpieczeństwo danych
Administrator danych podejmuje odpowiednie działania techniczne i organizacyjne zapewniające wymagane bezpieczeństwo danych. Działania te dotyczą w szczególności komputerów (serwerów i stacji roboczych), sieci i łącz komunikacyjnych, a także aplikacji i są elementem systemu bezpieczeństwa informatycznego grupy Bayer Schering Pharma AG. Niezbędne działania, które podjęto w grupie Bayer Schering Pharma AG w celu zapobiegania nieuprawnionemu przetwarzaniu danych osobowych, obejmują między innymi kontrolę:

• fizycznego dostępu do systemów przetwarzania danych;
• logicznego dostępu do systemów przetwarzania danych;
• logicznego dostępu do aplikacji przetwarzających dane;
• wprowadzania danych do systemów przetwarzania danych;
• przesyłania danych przy użyciu transmisji danych.

Ponadto, podjęte zostaną odpowiednie działania w celu ochrony danych przed przypadkowym lub niesłusznym usunięciem bądź utratą.
 
5.6 Poufność przetwarzania danych
Przetwarzaniem danych osobowych może zajmować się wyłącznie uprawniony personel zobowiązany do przestrzegania wymogów odnośnie do poufności danych. Personelowi temu nie wolno wykorzystywać danych do celów prywatnych, przesyłać danych osobowych nieuprawnionym stronom trzecim oraz udostępniać w każdy inny niewłaściwy sposób osobom nieuprawnionym. W tym kontekście „nieuprawniony” oznacza, na przykład, także wykorzystanie danych osobowych przez pracowników, jeśli dostęp do odpowiednich danych osobowych nie jest niezbędny do wykonywania ich obowiązków służbowych. Zobowiązanie do zachowania poufności pozostaje w mocy po ustaniu stosunku pracy.

5.7 Szczególne kategorie danych osobowych
Gromadzenie i przetwarzanie danych wrażliwych jest ogólnie zakazane i dopuszczalne jedynie w przypadku, gdy:

• podmiot danych jednoznacznie wyraził zgodę; lub
• podmiot danych w sposób oczywisty opublikował takie dane; lub
• jest to konieczne w celu ochrony podstawowych interesów podmiotu danych lub strony trzeciej, przy czym podmiot danych wskutek uwarunkowań fizycznych lub prawnych nie jest w stanie udzielić zgody; lub
• jest to konieczne w celu wykonania, egzekucji lub obrony roszczeń, przy czym nie można oczekiwać, że przeważający okaże się uzasadniony interes podmiotu danych nakazujący nie gromadzić lub nie przetwarzać danych osobowych; lub
• jest to konieczne w celu prowadzenia badań naukowych, zaś interes naukowy realizacji projektu badawczego przeważa nad interesem podmiotu danych nakazującym nie gromadzić lub nie przetwarzać danych osobowych, przy czym celu badawczego nie można osiągnąć w sposób inny lub jedynie za pomocą nieproporcjonalnie dużego wysiłku.

Ponadto, badania farmaceutyczne i opracowywanie leków podlegają wielu przepisom prawa krajowego i międzynarodowego, które w szczególny sposób chronią prawa osobowe podmiotów danych w zakresie przetwarzania danych wrażliwych.

W zależności od kategorii danych wrażliwych i zagrożeń związanych z ich planowanym wykorzystaniem, podjęte zostaną odpowiednie działania w celu zapewnienia ochrony i bezpieczeństwa zgodnie z paragrafem 5.5 (np. techniczne urządzenia zabezpieczające, szyfrowanie, fizyczne ograniczenie dostępu).

5.8 Przetwarzanie danych na zlecenie
Jeśli podmiot grupy Bayer Schering Pharma AG lub inne podmioty działają w charakterze podmiotu zlecającego przetwarzającego dane lub podmiotu wykonującego te prace na zlecenie na podstawie umowy na przetwarzanie danych osobowych, zastosowanie mają następujące przepisy:

• Podmiot przetwarzający dane na zlecenie wybiera się tak, by gwarantował stosowanie wymaganych technicznych i organizacyjnych środków bezpieczeństwa wymaganych przy przetwarzaniu danych osobowych i dostarczył odpowiednich gwarancji ochrony praw osobowych i przestrzegania praw pokrewnych. Ostatni wymóg stosuje się w przypadku podmiotów grupy Bayer Schering Pharma AG, których niniejsze zarządzenie wewnętrzne obowiązuje; w innych przypadkach wymóg może zostać spełniony przez zobowiązanie podmiotu przetwarzającego dane na zlecenie do przestrzegania podstawowych zasad niniejszego zarządzenia wewnętrznego.
• Przetwarzanie danych osobowych realizowane przez podmiot przetwarzający dane na zlecenie podlega uregulowaniu przez umowę sporządzoną na piśmie, w której wyszczególnia się prawa i obowiązki podmiotu nadrzędnego i podmiotu przetwarzającego dane na zlecenie.
• Podmiot przetwarzający dane na zlecenie jest zobowiązany warunkami umowy do przetwarzania danych osobowych wyłącznie w zakresie dozwolonym umową i zgodnie z poleceniami podmiotu zlecającego. Przetwarzanie danych osobowych nie może być wykonywane w żadnym innym celu.

Podmiot zlecający pozostaje administratorem danych w odniesieniu do danych osobowych oraz stroną umowy wobec podmiotów danych.

5.9 Decyzje podejmowane automatycznie mające wpływ na osoby fizyczne
W niektórych państwach przepisy prawa przewidują ograniczenia automatycznych operacji mających wpływ na podmioty danych. Operacje automatyczne, które mają wpływ na podmioty danych, to decyzje wynikające z automatycznego przetwarzania danych osobowych, które wywołują skutek prawny wobec podmiotu danych lub negatywnie na podmiot danych oddziałują. Z wyłączeniem kilku szczególnych wyjątków (np. wstępny wybór kandydatów na stanowisko pracy zgłaszających się przez Internet), podmioty grupy Bayer Schering Pharma AG nie podejmują decyzji automatycznych mających wpływ na podmioty danych. W wyjątkowych przypadkach, w których takie decyzje zautomatyzowane są podejmowane przez podmioty grupy Bayer Schering Pharma AG, informuje się podmioty danych o istnieniu decyzji zautomatyzowanych mających na podmioty danych wpływ, te zaś mają prawo wypowiadania się na temat danej decyzji. W takim wypadku decyzja podlega ponownej kontroli.

6. Przesyłanie danych osobowych

Przesyłanie danych osobowych na terytorium EOG jest na ogół dozwolone, jeśli ich przesyłanie jest także dozwolone zgodnie z paragrafem 5.1.

6.1 Przesyłanie danych osobowych z terytorium EOG do krajów trzecich
Przesyłanie danych osobowych z terytorium EOG do kraju trzeciego jest dozwolone, przy uwzględnieniu paragrafu 5 niniejszego zarządzenia wewnętrznego, jeśli:

• podmiot danych jednoznacznie wyraził zgodę; lub
• przesyłanie danych osobowych jest niezbędne do realizacji umowy między podmiotem danych a administratorem danych, lub w celu podjęcia działań przed zawarciem odpowiedniej umowy zainicjowanych przez podmiot danych; lub
• przesyłanie danych osobowych jest niezbędne do realizacji lub sfinalizowania umowy, która została zawarta lub ma zostać zawarta ze stroną trzecią przez administratora danych w interesie podmiotu danych; lub
• przesyłanie danych osobowych jest niezbędne lub nakazane przepisami prawa w celu ochrony ważnego interesu publicznego lub w celu wykonania, egzekucji lub obrony roszczeń; lub
• przesyłanie danych osobowych jest niezbędne w celu ochrony podstawowych interesów podmiotu danych; lub
• dotyczy przesyłania danych osobowych do kraju trzeciego, który Komisja Europejska uznała za stosujący właściwe standardy ochrony danych; lub
• strona otrzymująca dane udziela dostatecznej gwarancji w rozumieniu niniejszego zarządzenia wewnętrznego na ochronę praw osobistych i przestrzegania praw pokrewnych. Przepisy te obowiązują podmioty grupy Bayer Schering Pharma AG, do których niniejsze zarządzenie wewnętrzne się stosuje.

Jeśli odbiorcą jest podmiot spoza grupy Bayer Schering Pharma AG, należy zagwarantować, aby zarządzenie wewnętrzne obowiązywało odpowiednio odbiorcę; w przypadku naruszenia warunków przez odbiorcę danych, podmiot grupy Bayer Schering Pharma AG przesyłający dane osobowe podejmie stosowne działania.

6.2 Przesyłanie danych osobowych wewnątrz kraju trzeciego lub do innego kraju trzeciego
Przesyłanie danych osobowych, które uprzednio przesłano z obszaru EOG do odbiorcy w kraju trzecim lub do innego kraju trzeciego, podlega przepisom paragrafu 5.1 i jest dozwolone jedynie wtedy, gdy kraj trzeci stosuje odpowiednie standardy ochrony danych lub jeśli zachodzi jeden z warunków zapisanych w paragrafie 6.1 zarządzenia wewnętrznego. W każdym wypadku podmiot grupy Bayer Schering Pharma AG na terytorium EOG, który przesłał dane osobowe, musi zostać powiadomiony przed dalszym przesyłaniem danych osobowych wewnątrz kraju trzeciego lub do innego kraju trzeciego.

7. Prawa podmiotu danych

7.1 Prawo do informacji
Każdy podmiot danych może zażądać informacji o rodzaju danych osobowych przetwarzanych przez podmiot grupy Bayer Schering Pharma AG. Podmiot danych zostanie powiadomiony o swoich danych osobowych zgodnie z przepisami prawa obowiązującymi w jego kraju zamieszkania; postanowienie to obowiązuje niezależnie od tego, gdzie następuje przetwarzanie danych osobowych. Podmiot danych może złożyć taki wniosek do miejscowego działu prawnego podmiotu grupy Bayer Schering Pharma AG lub miejscowego administratora bezpieczeństwa informacji (patrz też paragraf 8.3).

7.2 Żądanie korekty danych
Jeśli przechowywane dane osobowe są błędne lub niepełne, podmiot danych może zażądać ich korekty. Podmiot danych ponosi odpowiedzialność za dostarczanie w pełni poprawnych danych osobowych podmiotom grupy Bayer Schering Pharma AG. Ponadto, podmiot danych ma obowiązek powiadamiania podmiotu grupy Bayer Schering Pharma AG o wszelkich zmianach danych (np. zmiana adresu lub nazwiska).

7.3 Odrzucenie wniosku o podanie informacji lub korektę
Jeśli wniosek o podanie informacji lub korektę zostanie odrzucony, podmiot danych jest informowany o powodach takiej decyzji. Ponadto, zostanie sporządzone sprawozdanie dotyczące wniosku i jego odrzucenia. W przypadku odrzucenia wniosku, podmiot danych może się zwrócić do specjalisty ds. poufności w spółce.

7.4 Usuwanie danych
Jeśli podmiot danych wykaże, że cel, w jakim dane osobowe są przetwarzane nie jest prawnie dopuszczalny, niezbędny lub uzasadniony w danych okolicznościach, dane osobowe zostaną usunięte, przy czym uwzględnione zostaną sprzeczne przepisy prawa.

7.5 Prawo do sprzeciwu
Każdy podmiot danych ma prawo do zgłoszenia sprzeciwu, jeśli jego dane osobowe zostaną wykorzystane do celów reklamowych, bądź w badaniach rynku lub opinii publicznej. Jeśli wymagają tego krajowe przepisy prawa, podmiot danych zostaje powiadomiony o prawie do sprzeciwu (rezygnacja) oraz o administratorze danych. W takim wypadku dane osobowe nie mogą zostać wykorzystane do tych celów. Ponadto, należy pamiętać, że niektóre państwa wymagają zgody przed przetwarzaniem danych osobowych w celach wymienionych powyżej (zgoda).

8. Zagadnienia proceduralne

8.1 Wdrażanie w ramach grupy Bayer Schering Pharma AG
Działając w charakterze administratorów danych, podmioty grupy Bayer Schering Pharma AG mają obowiązek zapewnienia przestrzegania ogólnych zasad przedstawionych w niniejszym zarządzeniu wewnętrznym.

W tym względzie personel kierowniczy podmiotów grupy Bayer Schering Pharma AG ma obowiązek dopilnować wdrożenia zarządzenia wewnętrznego, co w szczególności obejmuje poinformowanie pracowników. Jeśli dodatkowe szkolenie okaże się konieczne, należy zwrócić się do specjalisty ds. poufności w spółce lub do miejscowego administratora bezpieczeństwa informacji. Informowanie obejmuje także powiadomienie pracowników o tym, że naruszenie ogólnych zasad wyszczególnionych w zarządzeniu wewnętrznym może skutkować w pewnych okolicznościach skutkami prawnymi (postępowanie karne, odpowiedzialność karna, zatrudnienie).

8.2 Specjalista ds. poufności w spółce
Powołany zostanie specjalista ds. poufności w spółce, który wraz z działem audytu spółki będzie kontrolował przestrzeganie niniejszego zarządzenia wewnętrznego. Jeśli okaże się to konieczne, specjalistę ds. poufności w spółce będą wspierali przedstawiciele miejscowi odpowiedzialni w jego imieniu za zapewnienie ochrony danych przez podmioty grupy Bayer Schering Pharma AG, którzy będą mieli obowiązek informowania specjalisty ds. poufności w spółce o zażaleniach. Przedstawiciele miejscowi (administratorzy bezpieczeństwa informacji) mają obowiązek stosowania się do poleceń specjalisty ds. poufności w spółce.

W ramach wykonywania obowiązków na podstawie zarządzenia wewnętrznego specjalista ds. poufności w spółce i jego przedstawiciele miejscowi są niezależni od poleceń miejscowego kierownictwa.

Personel kierowniczy w ramach grupy Bayer Schering Pharma AG ma obowiązek wspierania specjalisty ds. poufności w spółce i jego przedstawicieli miejscowych w wykonywaniu ich obowiązków.

W celu otrzymania listy przedstawicieli miejscowych prosimy o kontakt ze specjalistą ds. poufności w spółce. Ze specjalistą ds. poufności w spółce można skontaktować się w następujący sposób:
cor.privacy@schering.de.


8.3 Pytania i zażalenia/zadośćuczynienie
Podmioty danych mogą kontaktować się ze specjalistą ds. poufności w spółce lub jego miejscowymi przedstawicielami w dowolnym momencie z każdym pytaniem lub zażaleniem dotyczącym przetwarzania danych osobowych. Pytania i zażalenia takie będą traktowane jako poufne.

Jeśli pytanie lub zażalenie podmiotu danych ma związek z domniemanym naruszeniem niniejszego zarządzenia wewnętrznego przez podmiot grupy Bayer Schering Pharma AG działający w kraju innym niż kraj zamieszkania podmiotu danych, ten może zwrócić się do podmiotu grupy Bayer Schering Pharma AG, który przesłał dane. Jeśli domniemane naruszenie potwierdzi się, podmioty grupy Bayer Schering Pharma AG, których to dotyczy, podejmą współpracę z odpowiednimi podmiotami (organy ochrony danych i inne) zgodnie z zarządzeniem wewnętrznym w celu naprawienia domniemanego naruszenia.

Jeśli wniosek podmiotu danych nie zostanie odpowiednio rozpatrzony, może on złożyć zażalenie do specjalisty ds. poufności w spółce. Specjalista ds. poufności w spółce poinformuje podmiot danych o podjętej decyzji i środkach naprawy sytuacji.

Procedury opisane w zarządzeniu wewnętrznym obowiązują wraz z innymi środkami i procedurami prawnymi przysługującymi podmiotowi danych, w tym z prawem podmiotu danych do składania pytań i zażaleń do odpowiedniego organu ochrony danych.

8.4 Obowiązki wobec organów ochrony danych
Odbiorca danych osobowych przesyłanych z EOG do kraju trzeciego oraz specjalista ds. poufności w spółce są zobowiązani do współpracy na żądanie z organem ochrony danych w kraju, w którym podmiot przesyłający dane działa, i przestrzegania jego rozstrzygnięć, przy czym rozstrzygnięcia te muszą zostać zakończone pod względem prawnym w odniesieniu do podmiotu przesyłającego dane i odbiorcy. Podmiot przesyłający dane w ramach EOG ma ponadto prawo do kontroli przetwarzania danych osobowych u odbiorcy.

8.5 Uchwalenie zarządzenia wewnętrznego
Po uchwaleniu niniejszego zarządzenia wewnętrznego stanie się ono nadrzędne wobec wszelkich dotychczasowych ustaleń w ramach grupy Bayer Schering Pharma AG w odniesieniu do przetwarzania danych osobowych.

8.6 Zmiany zarządzenia wewnętrznego i jego stałe obowiązywanie
Bayer Schering Pharma AG zastrzega sobie prawo do zmiany niniejszego zarządzenia wewnętrznego w razie potrzeby, na przykład w celu dostosowania do zmian ustawowych, przepisów, żądań organów ochrony danych oraz wewnętrznych procedur Bayer Schering Pharma AG. Jeśli będą tego wymagać przepisy prawa, Bayer Schering Pharma AG przedłoży zmienione zarządzenie wewnętrzne do dyskusji.

Jeśli zarządzenie wewnętrzne stanie się nieważne, niezależnie od przyczyn lub powodów nieważności, wszystkie podmioty grupy Bayer Schering Pharma AG pozostaną związane niniejszym zarządzeniem wewnętrznym w odniesieniu do danych osobowych przesłanych przed datą zaistnienia nieważności, chyba że zarządzenie zostanie zastąpione nowym uregulowaniem.

8.7 Podanie do publicznej wiadomości
Niniejsze zarządzenie wewnętrzne oraz wszelkie jego zmiany zostaną podane do wiadomości wszystkich podmiotów danych w odpowiedni sposób, np. przez Internet.