Artykuł 37

Każdy podmiot tworzący system będący częścią systemu baz oraz zarządzający nim wykonuje następujące czynności:

a) informuje właściwe organy krajowe o swoim zamiarze fizycznego zlokalizowania systemu lub jego części na terytorium danego państwa i powiadamia je o tym, że system zaczął działać;

b) wprowadza procedury bezpieczeństwa zapewniające dostęp do systemu i możliwość przesyłania informacji, o których mowa w art. 33 ust. 2, tylko użytkownikom, których tożsamość, rola i mandat zostały zweryfikowane;

c) stale monitoruje system pod kątem wydarzeń ostrzegających o ewentualnych przypadkach fałszowania zgodnie z art. 36 lit. b);

d) zapewnia niezwłoczne badanie wszystkich ewentualnych przypadków fałszowania oznaczonych w systemie zgodnie z art. 36 lit. b) i powiadamianie właściwych organów krajowych, Europejskiej Agencji Leków i Komisji w razie potwierdzenia fałszerstwa;

e) przeprowadza regularne kontrole systemu w celu sprawdzenia zgodności z wymogami niniejszego rozporządzenia. Kontrole są przeprowadzane co najmniej raz w roku przez pierwsze pięć lat po rozpoczęciu stosowania niniejszego rozporządzenia w państwie członkowskim, w którym dany system jest fizycznie zlokalizowany, a następnie co najmniej co trzy lata. Wyniki tych kontroli przekazywane są właściwym organom na ich żądanie;

f) niezwłocznie udostępnia ścieżkę audytu, o której mowa w art. 35 ust. 1 lit. g), właściwym organom na ich żądanie;

g) udostępnia raporty, o których mowa w art. 36 lit. j), właściwym organom na ich żądanie.