El Reglamento no fija sanciones ni importes. Su artículo 94 encarga a cada Estado miembro determinar el régimen y adoptar las medidas para aplicarlo, con la exigencia de que las sanciones sean efectivas, proporcionadas y disuasorias, y con dos materias que ese régimen debe abordar en todo caso: el incumplimiento de las reglas sobre la información destinada a hacerse pública en la base de datos de la UE y el incumplimiento de las reglas sobre seguridad de los sujetos. El artículo 95 deja además intacta la responsabilidad civil y penal del promotor y del investigador.

Hay que separar tres cosas que se confunden con facilidad. La primera es que la palabra seguridad significa aquí seguridad del paciente: las notificaciones de los artículos 41 a 43, con sus plazos de veinticuatro horas, siete y quince días, tratan de reacciones adversas y viajan a la base de datos Eudravigilance, no de sistemas de información. La segunda es que un incidente que afecte a la confidencialidad o a la integridad de los datos del ensayo no tiene ventanilla propia aquí: la lectura práctica es que encaja en el incumplimiento grave del artículo 52 cuando compromete significativamente la fiabilidad de los datos o los derechos de los sujetos, y entonces el plazo es de siete días desde que el promotor tiene conocimiento. La tercera es que la brecha de datos personales sigue su propia vía, la del artículo 33 del Reglamento (UE) 2016/679, con su plazo de setenta y dos horas y su autoridad de control; el artículo 56 de este Reglamento remite al Derecho de protección de datos sin añadir plazo alguno. Quien opera un ensayo tiene, por tanto, dos notificaciones distintas que preparar sobre un mismo hecho.

Incumplimiento grave del Reglamento o de la versión del protocolo aplicable en el momento del incumplimiento

Plazo

7 días

Desde cuándo corre

Desde la fecha en que el promotor haya tenido conocimiento del incumplimiento, y sin demoras indebidas

Art. 52, apdo. 1

Acontecimiento inesperado que afecta a la relación beneficio-riesgo sin ser sospecha de reacción adversa grave e inesperada

Plazo

15 días

Desde cuándo corre

Desde la fecha en la que el promotor haya tenido conocimiento del acontecimiento, y sin demoras indebidas

Art. 53, apdo. 1

Medida urgente de seguridad adoptada por el promotor o el investigador para proteger a los sujetos de ensayo

Plazo

7 días

Desde cuándo corre

Desde la fecha en que se hayan tomado las medidas, y sin demoras indebidas

Art. 54, apdo. 2

Estados miembros implicados, a través del portal de la UE

Cuándo

Incumplimientos graves, acontecimientos inesperados y medidas urgentes de seguridad

En España

La autoridad competente es la Agencia Española de Medicamentos y Productos Sanitarios, que evalúa las solicitudes junto con el Comité de Ética de la Investigación con medicamentos que corresponda y ejerce la inspección de buena práctica clínica. La notificación se presenta por el portal de la UE, no por un canal español propio.

AEMPS ↗

Arts. 52 a 54

Agencia Europea de Medicamentos, a través de la base de datos Eudravigilance

Cuándo

Sospechas de reacción adversa grave e inesperada e informe anual de seguridad. Es la vía de la seguridad del paciente, no la de la seguridad de la información

En España

No hay ventanilla española: la notificación es directa a la Agencia Europea de Medicamentos por vía electrónica. Solo si el promotor no puede hacerlo por falta de recursos, y con el consentimiento del Estado miembro implicado, puede notificar al Estado miembro donde se produjo la reacción para que este la traslade.

Arts. 40, 42 y 43

Promotor

Quien inicia, gestiona y organiza la financiación del ensayo, sea uno solo o varios en régimen de copromoción

Investigador e investigador principal

Quien realiza el ensayo en un centro y quien encabeza el equipo que lo realiza allí

Representante legal del promotor en la UE

Persona física o jurídica establecida en la Unión que designa el promotor de fuera

Organización de investigación por contrato

Persona, empresa, institución u organización en la que el promotor delega por contrato escrito una parte o la totalidad de sus tareas

Titular de autorización de fabricación

Quien fabrica o importa medicamentos en investigación, sujeto a autorización previa y a las normas de correcta fabricación del Reglamento Delegado (UE) 2017/1569

Agencia Europea de Medicamentos

Crea y mantiene el portal de la UE y la base de datos de la UE, en colaboración con los Estados miembros y la Comisión, y es la controladora de la base de datos

Exclusiones

Reglamento (UE) n.º 536/2014 del Parlamento Europeo y del Consejo, de 16 de abril de 2014, sobre los ensayos clínicos de medicamentos de uso humano, y por el que se deroga la Directiva 2001/20/CE

Identificador

CELEX 32014R0536

Fuente

EUR-Lex · texto consolidado 02014R0536 de 5 de diciembre de 2022 · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

El objeto del Reglamento es autorizar y gobernar el ensayo clínico, no proteger sistemas. La ciberseguridad ocupa dos artículos del capítulo VIII (el 56 y el 58), tres letras del punto 17 del anexo I y un apartado del Reglamento Delegado de correcta fabricación, y no hay en toda la norma un programa de gestión de la seguridad, un análisis de riesgos, una notificación de incidentes de seguridad ni una autoridad de ciberseguridad. Lo que sostiene el nivel 2, y no el 1, es que lo poco que dice es exigente y poco habitual: el artículo 56 enumera las cinco conductas de las que hay que proteger la información (acceso, divulgación, difusión, modificación y destrucción no autorizados) y señala la transmisión por red; el artículo 58 impone una custodia de veinticinco años con el contenido completo y legible, el acceso limitado a personas nominadas y toda alteración rastreable; y el expediente de solicitud no se admite sin describir las medidas técnicas y organizativas y lo que se hará si la seguridad de los datos se quiebra. Es una obligación de custodia del dato de investigación, con un horizonte temporal que ninguna otra norma del observatorio impone.

Valoración del curador · nivel 2 de 5

Proteger la información del ensayo frente al acceso y la alteración no autorizados Ciber

Es el artículo que convierte al promotor y al investigador en custodios de la información. Tiene dos mitades. La primera exige registrar, procesar, tratar y conservar toda la información del ensayo de modo que se pueda comunicar, interpretar y verificar con exactitud, protegiendo a la vez la confidencialidad de las historias clínicas y los datos personales de los sujetos conforme al Derecho de protección de datos. La segunda enumera las conductas frente a las que hay que proteger la información: acceso, divulgación, difusión, modificación y destrucción no autorizados o ilícitos, y pérdida accidental. No fija controles concretos ni niveles: habla de medidas técnicas y organizativas apropiadas, con una sola pista sobre dónde apretar, la transmisión a través de una red.

Literal de la norma Se tomarán las medidas técnicas y organizativas apropiadas para que la información y los datos personales que se traten estén protegidos y evitar que se acceda a ellos, se divulguen, difundan, modifiquen o destruyan de modo no autorizado o ilícito, o que se pierdan accidentalmente, sobre todo cuando se transmiten a través de una red.

Art. 56

Llevar el archivo maestro del ensayo clínico Ciber parcial

El promotor y el investigador llevan cada uno su archivo maestro. Debe contener en todo momento los documentos esenciales que permitan verificar cómo se realizó el ensayo y qué calidad tienen los datos obtenidos, ponderando las características del ensayo y en particular si es de bajo nivel de intervención. Tiene que estar fácilmente disponible para los Estados miembros, que pueden acceder a él directamente cuando lo soliciten. El contenido del archivo del investigador y el del promotor pueden diferir, porque sus responsabilidades son distintas.

Literal de la norma El promotor y el investigador llevarán un archivo maestro del ensayo clínico. El contenido del archivo maestro del ensayo clínico contendrá en todo momento los documentos esenciales relacionados con dicho ensayo clínico que permitan verificar la realización de un ensayo clínico y la calidad de los datos obtenidos teniendo en cuenta todas las características de dicho ensayo, y en particular si se trata de un ensayo clínico de bajo nivel de intervención. Dicho archivo estará fácilmente disponible para los Estados miembros, que podrán acceder a él directamente cuando lo soliciten.

Art. 57

Conservar el archivo maestro veinticinco años, legible y con acceso nominado Ciber

El plazo es de al menos veinticinco años desde la finalización del ensayo, salvo que otro acto de la Unión exija más; las historias clínicas de los sujetos se archivan según el Derecho nacional, que en España fija su propio plazo. Alrededor del plazo hay cinco exigencias que son de seguridad de la información sin nombrarse así. El contenido debe poder ponerse fácilmente a disposición de las autoridades competentes cuando lo soliciten. Toda transferencia de la propiedad del contenido se documenta, y el nuevo propietario asume estas mismas responsabilidades. El promotor nombra a las personas de su organización responsables de los archivos, y esas personas son las únicas con acceso. Los soportes elegidos tienen que mantener el contenido completo y legible durante los veinticinco años, lo que obliga a pensar en la obsolescencia del formato y del medio, no solo en la copia. Y cualquier alteración del contenido debe poder rastrearse.

Literal de la norma El promotor nombrará a las personas de su organización responsables de los archivos, que serán las únicas con acceso a los mismos. Los soportes utilizados para conservar el contenido del archivo maestro permitirán mantenerlo completo y legible a lo largo del plazo indicado en el párrafo primero. Deberá poderse rastrear cualquier alteración del contenido del archivo maestro del ensayo clínico.

Art. 58

Describir en el expediente las medidas de protección y el plan ante una brecha Ciber

El protocolo que acompaña a la solicitud de autorización no se admite sin tres descripciones seguidas. La primera es lo previsto para cumplir la normativa de protección de datos personales, y en concreto las medidas organizativas y técnicas que se aplicarán para evitar el acceso, la divulgación, la difusión o la modificación no autorizados de la información y los datos tratados, o su pérdida. La segunda son las medidas para garantizar la confidencialidad de las historias clínicas y los datos personales de los sujetos. La tercera, la más inusual, son las medidas que se aplicarán si la seguridad de los datos se quiebra, para mitigar sus posibles efectos adversos. Es un plan de respuesta exigido por escrito y antes de empezar, y lo evalúa la autoridad que autoriza el ensayo. La sección R del mismo anexo añade una declaración del promotor asegurando que los datos se recogerán y tratarán conforme a la normativa de protección de datos personales.

Literal de la norma ak) una descripción de lo previsto para cumplir la normativa sobre protección de datos personales; concretamente, las medidas organizativas y técnicas que se aplicarán para evitar el acceso, la divulgación, difusión o modificación no autorizados a la información y los datos personales tratados, o la pérdida de información; al) una descripción de las medidas que se van a aplicar para garantizar la confidencialidad de las historias clínicas y los datos personales de los sujetos de ensayo, y am) una descripción de las medidas que se van a aplicar, en caso de quebrantamiento de la seguridad de los datos, para mitigar sus posibles efectos adversos.

Anexo I, sección D, punto 17, letras ak), al) y am)

Restringir el acceso a la información no enmascarada Ciber parcial

El investigador solo desenmascara la asignación a tratamiento de un sujeto cuando el desenmascaramiento es pertinente para su seguridad. Al notificar una sospecha de reacción adversa grave e inesperada, el promotor desenmascara únicamente al sujeto afectado, y el enmascaramiento se mantiene para el resto de personas responsables de la realización del ensayo (gestores, monitores e investigadores) y para quienes analizan los datos e interpretan los resultados. Solo pueden acceder a información no enmascarada las personas implicadas en la notificación de seguridad a la Agencia, los consejos de supervisión de la seguridad de los datos y quienes realizan las evaluaciones periódicas de seguridad durante el ensayo.

Literal de la norma Solo podrán acceder a información no enmascarada las personas que estén implicadas en la notificación de seguridad para la Agencia, los consejos de supervisión de la seguridad de los datos o quienes realizan las evaluaciones periódicas de seguridad durante el ensayo clínico.

Anexo III, sección 2.5, puntos 17 a 22

Proteger la documentación de fabricación almacenada electrónicamente Ciber

Aquí está la exigencia técnica más concreta de todo el conjunto, y no vive en el Reglamento sino en el acto delegado que lo desarrolla. El sistema de documentación del fabricante debe garantizar la calidad y la integridad de los datos. Cuando la documentación se almacena por medios electrónicos, fotográficos u otros sistemas de tratamiento de datos, el fabricante valida primero los sistemas para garantizar el almacenamiento correcto durante el plazo exigido, que para el expediente de especificación del medicamento y la documentación del lote es de al menos cinco años tras la finalización o interrupción del último ensayo en que se usó el lote. Los datos almacenados en esos sistemas deben quedar disponibles en forma legible y de fácil acceso, protegidos contra el acceso no autorizado, la pérdida y la alteración, y con pistas de auditoría que registren todos los cambios y supresiones. La norma nombra las técnicas admisibles a título de ejemplo: duplicación, copia de seguridad y transferencia a otro sistema de almacenamiento.

Literal de la norma Los datos almacenados electrónicamente estarán protegidos contra el acceso no autorizado, la pérdida o alteración de los mismos mediante técnicas como la duplicación, copia de seguridad y transferencia a otro sistema de almacenamiento. Se mantendrán pistas de auditoría, es decir, registros de todos los cambios y supresiones realizados en esos datos.

Rgto. Delegado (UE) 2017/1569, art. 8, apdos. 2 a 6

Contratar por escrito la subcontratación y autorizar la cadena aguas abajo Ciber parcial

Todo promotor puede delegar por contrato escrito una parte o la totalidad de sus tareas en una persona, empresa, institución u organización, y esa delegación no afecta a su responsabilidad, en particular sobre la seguridad de los sujetos y la fiabilidad de los datos. En fabricación, la subcontratación de una operación exige contrato escrito que determine inequívocamente las responsabilidades de cada parte y la obligación del subcontratista de aplicar las normas de correcta fabricación; el subcontratista no puede subcontratar nada sin autorización escrita del ordenante y queda sujeto a las inspecciones de la autoridad competente.

Rgto. Delegado (UE) 2017/1569, art. 13 · art. 71, párr. 2.º

Realizar el ensayo conforme al protocolo y a la buena práctica clínica Ciber parcial

El promotor y el investigador garantizan que el ensayo se lleva a cabo conforme al protocolo y a los principios de la buena práctica clínica. Al elaborar el protocolo y al aplicar el Reglamento deben tener debidamente en cuenta las normas de calidad y las directrices de la ICH sobre buena práctica clínica, que la Comisión hace accesibles públicamente. La definición del artículo 2 delimita qué abarca ese conjunto de requisitos: el diseño, la dirección, el desarrollo, la monitorización, la auditoría, el registro, el análisis y el informe del ensayo.

Art. 47 · art. 2, apdo. 2, punto 30

Monitorizar la realización del ensayo

El promotor efectúa una monitorización adecuada de la realización del ensayo para verificar que se protegen los derechos, la seguridad y el bienestar de los sujetos, que los datos notificados son fiables y sólidos y que el ensayo cumple el Reglamento. El alcance y la naturaleza de esa monitorización los determina el propio promotor a partir de una evaluación que tiene en cuenta si el ensayo es de bajo nivel de intervención, su objetivo y metodología, y cuánto se desvía la intervención de la práctica clínica habitual.

Art. 48

Notificar el incumplimiento grave en siete días Ciber parcial

El promotor notifica a los Estados miembros implicados, a través del portal de la UE, todo incumplimiento grave del Reglamento o de la versión del protocolo aplicable en el momento del incumplimiento. El plazo es sin demoras indebidas y a más tardar siete días desde que tuvo conocimiento. La norma define incumplimiento grave por su efecto potencial, no por su tipo: el que puede comprometer significativamente la seguridad y los derechos de los sujetos o la fiabilidad y solidez de los datos.

Art. 52

Tratar los datos personales conforme al Derecho de protección de datos Ciber parcial

Los Estados miembros aplican la normativa de protección de datos al tratamiento que realicen en virtud del Reglamento, y la Comisión y la Agencia aplican la suya. El texto nombra la Directiva 95/46/CE y el Reglamento (CE) n.º 45/2001, ambos derogados: las referencias se entienden hechas hoy al Reglamento (UE) 2016/679 y al Reglamento (UE) 2018/1725 respectivamente. La sección R del anexo I exige además, dentro del expediente de solicitud, una declaración del promotor o su representante asegurando que los datos se recogerán y tratarán conforme a esa normativa.

Art. 93 · anexo I, sección R, punto 73

Crear y mantener el portal y la base de datos de la Unión Ciber parcial

La Agencia, en colaboración con los Estados miembros y la Comisión, crea y mantiene un portal único de presentación de datos e información sobre ensayos clínicos y una base de datos de la Unión donde se almacena lo presentado. La Agencia es la controladora de la base de datos y responde de evitar duplicidades con EudraCT y Eudravigilance. Cada ensayo se identifica con un número UE único que el promotor arrastra en todas sus solicitudes posteriores. Las especificaciones funcionales y el calendario los define la Agencia con los Estados miembros y la Comisión, y el Consejo de Administración de la Agencia, sobre la base de un informe de auditoría independiente, informa a la Comisión cuando verifica que los sistemas han alcanzado la plena funcionalidad.

Arts. 80, 81, apdos. 1 a 3, y 82

Acceso público a la base de datos con las excepciones tasadas Ciber parcial

La base de datos es de acceso público salvo que la confidencialidad se justifique por alguna de cuatro razones tasadas: protección de datos personales, protección de información comercial confidencial (teniendo en cuenta el estado de la autorización de comercialización y salvo interés público superior), protección de la comunicación confidencial entre Estados miembros al elaborar el informe de evaluación, y garantía de la supervisión eficaz del ensayo. Además, los datos del expediente de solicitud no se hacen públicos antes de que se adopte la decisión sobre el ensayo, salvo interés público superior. La base solo contiene datos personales en la medida necesaria, y ningún dato personal de los sujetos es de acceso público.

Literal de la norma La base de datos de la UE será de acceso público, a menos que la totalidad o una parte de los datos y la información que contenga justifique la confidencialidad por alguna de las siguientes razones: […]

Art. 81, apdos. 4 a 7

Mantener actualizada la información del ensayo en la base de datos

El promotor actualiza permanentemente en la base de datos de la UE la información sobre los cambios del ensayo que no sean modificaciones sustanciales pero importen para la supervisión por los Estados miembros implicados. A ello se suman las notificaciones de finalización en quince días y el resumen de resultados en el plazo de un año desde la finalización en todos los Estados miembros implicados, con su resumen en lenguaje comprensible para una persona lega.

Art. 81, apdo. 9 · art. 37

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Arts. 56 y 58 · Rgto. Delegado (UE) 2017/1569, art. 8, apdo. 5 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 58, párr. 4.º · art. 81, apdo. 7 · anexo III, punto 20 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 58, párr. 6.º · Rgto. Delegado (UE) 2017/1569, art. 8, apdos. 3 y 5 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Rgto. Delegado (UE) 2017/1569, art. 8, apdos. 4 y 5 · art. 58, párr. 5.º · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Anexo I, sección D, punto 17, letra am) · art. 52 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 71, párr. 2.º · Rgto. Delegado (UE) 2017/1569, art. 13 · categorización del curador, no de la norma

Custodia del archivo maestro durante veinticinco años

Un régimen de archivo de largo plazo que no encaja en una política de copias ni en una de retención de trazas, porque lo que tiene que sobrevivir veinticinco años no es la capacidad de restaurar sino la de leer y verificar. Exige elegir soportes y formatos pensando en la obsolescencia del medio y del software que lo interpreta, planificar las migraciones sin romper la trazabilidad de las alteraciones, mantener una lista nominal de personas responsables del archivo que son las únicas con acceso, y documentar cualquier transferencia de la propiedad del contenido con el traspaso de estas mismas responsabilidades al nuevo propietario. La disponibilidad tiene un destinatario concreto: las autoridades competentes deben poder acceder al contenido cuando lo soliciten, lo que descarta un archivo en frío al que se tarde semanas en llegar.

Arts. 57 y 58 · categorización del curador, no de la norma

Promotor

Quien inicia, gestiona y organiza la financiación de un ensayo clínico. Es el destinatario principal de la norma: sobre él recaen el archivo maestro, las notificaciones a través del portal de la UE y la monitorización del ensayo. Puede delegar por contrato escrito una parte o la totalidad de sus tareas sin que eso afecte a su propia responsabilidad, y puede ser la misma persona que el investigador.

Literal de la norma «promotor»: individuo, empresa, institución u organización responsable de iniciar, gestionar y organizar la financiación de un ensayo clínico.

Art. 2, apdo. 2, punto 14 · art. 71

Investigador

Quien se encarga de la realización del ensayo clínico en un centro de ensayos clínicos. Comparte con el promotor el deber de llevar archivo maestro y de proteger la información, y es quien registra y notifica al promotor los acontecimientos adversos. Debe ser médico según el Derecho nacional o profesional que el Estado miembro considere cualificado.

Literal de la norma «investigador»: persona encargada de la realización del ensayo clínico en un centro de ensayos clínicos.

Art. 2, apdo. 2, punto 15 · art. 49

Investigador principal

Investigador responsable de un equipo de investigadores en un centro. Garantiza que la realización del ensayo en ese centro cumple el Reglamento y reparte las tareas del equipo de modo que no comprometan la seguridad de los sujetos ni la fiabilidad de los datos.

Literal de la norma «investigador principal»: investigador responsable de un equipo de investigadores que realizan un ensayo clínico en un centro de ensayos clínicos.

Art. 2, apdo. 2, punto 16 · art. 73

Copromotor

Cada uno de los promotores cuando un ensayo tiene más de uno. Todos asumen las responsabilidades del promotor salvo que las repartan en contrato escrito, y lo que el contrato no atribuya recae en todos ellos. Aun repartiéndolas, deben designar conjuntamente un responsable de los procedimientos de autorización, uno que actúe como punto de contacto y uno que aplique las medidas correctoras del artículo 77.

Art. 72

Representante legal del promotor

Persona física o jurídica establecida en la Unión que designa el promotor no establecido aquí. Se encarga de garantizar el cumplimiento de las obligaciones del promotor y es el destinatario de todas las notificaciones dirigidas a este. Los Estados miembros pueden sustituirlo por una persona de contacto en su territorio o en la Unión cuando el ensayo se realiza solo en ellos.

Art. 74

Organización de investigación (CRO)

Persona, empresa, institución u organización en la que el promotor delega por contrato escrito una parte o la totalidad de sus tareas. El Reglamento no la define como sujeto, pero la nombra al delimitar qué puede inspeccionar la autoridad competente: los recursos relacionados con el ensayo pueden encontrarse en el lugar del ensayo, en las instalaciones del promotor o en las de la organización de investigación por contrato. Es quien de hecho opera el ensayo en buena parte de los estudios comerciales, y por tanto quien manipula materialmente la información que los artículos 56 a 58 protegen, sin que ello descargue al promotor de nada.

Literal de la norma Todo promotor puede delegar, mediante un contrato escrito, una parte o la totalidad de sus tareas en una persona, empresa, institución u organización. Dicha delegación se entenderá sin perjuicio de la responsabilidad del promotor, en particular en lo que respecta a la seguridad de los sujetos de ensayo y la fiabilidad y solidez de los datos obtenidos en el ensayo clínico.

Art. 71, párr. 2.º · art. 2, apdo. 2, punto 31

Fabricante o importador autorizado

Titular de la autorización de fabricación e importación de medicamentos en investigación. No obliga por el articulado del Reglamento sino por el Reglamento Delegado (UE) 2017/1569, que le impone el sistema de documentación, la validación de los soportes electrónicos y la protección de los datos almacenados en ellos. Debe disponer de forma permanente de al menos una persona cualificada.

Arts. 61 a 63 · Rgto. Delegado (UE) 2017/1569

Agencia Europea de Medicamentos

Crea y mantiene, en colaboración con los Estados miembros y la Comisión, el portal único de presentación y la base de datos de la Unión, y es la controladora de esta última. Opera también el módulo de Eudravigilance que recibe las notificaciones de reacciones adversas. No es un sujeto de mercado, pero es quien responde de la infraestructura por la que viaja toda la información del ensayo.

Arts. 40, 80 y 81