sou · H5B374 · 2017-10-04 00:00:00 — Skälen för utredningens bedömning En lösning med en tillsynsmyndighet vore bäst Enligt utredningens mening var lagstiftarens intentioner goda när parallell tillsyn över Säkerhetspolisens personuppgiftsbehandling infördes. Parallell tillsyn ger dock fördelar endast om fler än en till- synsmyndighet faktiskt utför tillsynen och myndigheterna sam- arbetar för att reducera de negativa effekter som parallell tillsyn kan medföra. Datainspektionen har inte förrän utövat någon egentlig tillsyn över Säkerhetspolisen, som därmed i praktiken inte har varit föremål för parallell tillsyn. De skäl som har lyfts fram för att bara en myndighet ska utöva tillsyn över personuppgiftsbehandling talar en- ligt utredningens mening lika starkt för att endast en myndighet bör utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling. Frågan är då vilken myndighet som skulle vara bäst lämpad att göra det, om endast en myndighet ska göra det. Valet står mellan Data- inspektionen och nämnden. För- och nackdelar med nämnden som tillsynsmyndighet Nämnden inrättades bl.a. för att förstärka tillsynen över Säkerhets- polisen. Nämndens särskilda beslutsform, med parlamentarisk för- ankring, har ansetts utgöra dess styrka och vara särskilt viktig för Tillsyn över Säkerhetspolisen 2017:74 att tillgodose allmänhetens insyn i verksamhet som omfattas av stark sekretess (se prop. 2006/07:133 s. 65 och prop. 2009/10:85 s. 272 f.). Bestämmelserna i 42 kap. offentlighets- och sekretess- lagen om sekretess hos nämnden har också anpassats till behovet av att kunna hantera hemliga uppgifter i tillsynen. Regeringen har framhållit att nämnden har särskild insikt i och erfarenhet av sådan verksamhet som är ifråga. Det ökar enligt förarbetena till polis- datalagen förutsättningarna för att tillsynen inriktas på de områden där det finns särskilda risker för intrång i enskildas integritet (se prop. 2009/10:85 s. 273 f.). Det som särskilt talar för att välja nämnden som tillsynsmyndig- het är därför dess särskilda kompetens, erfarenhet och vana att ut- öva tillsyn över personuppgiftsbehandling i känslig verksamhet där sekretessen är mycket omfattande. Förutom att ha god kännedom om den verksamhet som tillsynen avser är nämnden också väl för- trogen med den personuppgiftsbehandling som utförs och vilka personuppgiftssamlingar som förs av Säkerhetspolisen. En annan fördel är att nämnden har ett begränsat tillsynsuppdrag, vilket ger den goda förutsättningar att säkerställa att tillsyn över Säkerhets- polisen bedrivs på ett aktivt och kontinuerligt sätt. Nämnden har i praktiken ensam utövat tillsynen över Säkerhetspolisen. har granskat verksamheten och funnit att nämnden utför sina uppgifter på ett ändamålsenligt sätt (se skr. 2015/16:188 s. 3). Sekretessregleringen är också särskilt anpas- sad för tillsynen över Säkerhetspolisen. Det som kan tala mot att nämnden ensam utses till tillsynsmyn- dighet är att den är liten och därmed sårbar för personalföränd- ringar vilket kan leda till att värdefull erfarenhet går förlorad. Ur ett säkerhetsperspektiv kan det vara en fördel att nämn- den är liten, eftersom det innebär att färre personer blir involverade i tillsynen. Det som framför allt talar mot att välja nämnden är att den inte har de befogenheter som krävs för att utöva tillsynen på egen hand, vilket är nödvändigt för att ska leva upp till kraven på ett effektivt rättsmedel enligt artikel 13 i den europeiska konven- tionen om skydd för de mänskliga rättigheterna och de grundläg- gande friheterna (). Det är också tveksamt om det är lämpligt att ge nämnden sådana befogenheter med hänsyn till hur nämnden är organiserad. Vidare får nämndens avgöranden inte talar starka skäl för att det bör finnas möjlig- het att klaga på vissa av tillsynsmyndighetens beslut, eftersom de kan få långtgående konsekvenser för tillsynsobjektet. För- och nackdelar med Datainspektionen som tillsynsmyndighet Det som särskilt talar för att välja Datainspektionen som tillsyns- myndighet är att den har bred kompetens och lång erfarenhet av tillsyn över hur personuppgifts- och integritetsskyddslagstiftning tillämpas. Inspektionen har därför goda förutsättningar att utöva tillsyn över tillämpningen av allmänna principer för behandling av personuppgifter. Eftersom inspektionen utövar tillsyn över övriga brottsbekämpande myndigheter får den också en allmän överblick som nämnden saknar. Datainspektionen kommer att ha ett generellt uppdrag att följa den tekniska utvecklingen på personuppgiftsområdet. Inspektionen kommer också att genomföra förhandssamråd med de flesta myn- digheter och andra personuppgiftsansvariga. Genom samarbetet inom EU kommer inspektionen att få en överblick över den tek- niska utvecklingen även i andra stater. Det skapar goda förutsätt- ningar för rådgivning i frågor som gäller uppbyggnad av it-system. Datainspektionen utövar tillsyn över Försvarsmakten en- ligt lagen (2007:258) om behandling av personuppgifter i Försvars- maktens försvarsunderrättelseverksamhet och militära säkerhets- tjänst och över enligt lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvars- underrättelse- och utvecklingsverksamhet. Inspektionen har där- med erfarenhet av att utöva tillsyn över känslig verksamhet med omfattande sekretess som liknar Säkerhetspolisens. Det som främst talar mot att välja Datainspektionen är att in- spektionen har ett mycket omfattande tillsynsuppdrag och att till- synen över en viss myndighet därför av naturliga skäl bara kan ägnas begränsade resurser. Inspektionen har i praktiken inte heller förrän utövat någon tillsyn över Säkerhetspolisen och har därför inte samma kunskap som nämnden om Säkerhetspolisens verksamhet och personuppgiftsbehandling. Genom EU:s data- skyddsreform får inspektionen dessutom ett utökat uppdrag som kan medföra att utrymmet att bedriva tillsyn över enskilda myn- digheter i praktiken begränsas ytterligare. Myndigheternas tillsyn ska i huvudsak vara oförändrad Enligt utredningens mening finns det alltså både för- och nackdelar om någon av de två myndigheterna skulle väljas som ensam till- synsmyndighet. Även om det ideala vore att ta bort den parallella tillsynen över Säkerhetspolisen, på samma sätt som Utredningen om tillsynen över den personliga integriteten föreslår beträffande tillsynen över , går det inte att välja bara en av myndigheterna eftersom deras styrkor kompletterar varandra. Den utredningen lyfter fram det som argument för att nämnden, vid sidan av Datainspektionen, ska fortsätta att ha tillsyn över Säker- hetspolisens personuppgiftsbehandling (se SOU 2016:65 s. 179). En annan viktig faktor att ta hänsyn till är att tillsynen över Säkerhetspolisens personuppgiftsbehandling skulle minska betyd- ligt i omfattning om den parallella tillsynen skulle upphöra, efter- som det inte är realistiskt att förvänta sig att Datainspektionens tillsyn skulle kunna ersätta den omfattande tillsyn som utövas av nämnden. Även utredningen om tillsynen över den personliga integriteten påpekar att fortsatt parallell tillsyn torde innebära att de huvudsakliga tillsynsinsatserna på samma sätt som kommer utföras av nämnden (se SOU 2016:65 s. 183). Tillsynen över Säker- hetspolisens personuppgiftsbehandling bör mot den bakgrunden i huvudsak vara densamma som . Utredningen om tillsynen över den personliga integriteten hade som en av sina huvuduppgifter att analysera och bedöma vilken myndighet som bör utöva tillsyn över personuppgiftsbehandling enligt både dataskyddsförordningen och direktivet. Det kommer sannolikt inte att finnas något ställningstagande i den frågan när vi ska redovisa vårt uppdrag. Vi utgår därför, på samma sätt som i del- betänkandet, från det förslag som Utredningen om tillsynen över den personliga integriteten presenterat om vem som bör utöva till- syn över personuppgiftsbehandlingen på direktivets område. Det innebär att vi inte tar ställning till om nämnden bör utöva tillsyn över personuppgiftsbehandling. Utredningens förslag: ska definieras som den myndighet som regeringen utser att enligt Säkerhetspoli- sens datalag utöva tillsyn över behandlingen av personuppgifter. Skälen för utredningens förslag: På samma sätt som brottsdata- lagen bör Säkerhetspolisens datalag innehålla bestämmelser om till- synen. Det bör då också tas in en definition av uttrycket tillsyns- myndighet som preciserar vad tillsynen ska omfatta. Eftersom Säkerhetspolisens datalag ska tillämpas av både Säker- hetspolisen och och sistnämnda myndighet endast i mycket begränsad omfattning kommer att tillämpa lagen är det inte möjligt att knyta tillsynsområdet till viss verksamhet. Till- synsområdet bör i stället knytas till behandling av personuppgifter enligt lagen. En särskild fråga är om tillsynen bör omfatta både de myndig- heter som tillämpar lagen och eventuella personuppgiftsbiträden som de anlitar. När det gäller Säkerhetspolisens verksamhet är de faktiska möjligheterna att låta personuppgiftsbiträden hantera per- sonuppgifter i den operativa verksamheten betydligt mer begrän- sade än i annan brottsbekämpande verksamhet på grund av sekre- tessen. Behovet av att låta tillsynen omfatta personuppgiftsbiträden är därmed begränsat. Det finns emellertid inte skäl att ha en annan lösning för tillsynen enligt Säkerhetspolisens datalag än den som gäller för andra brottsbekämpande myndigheter. Tillsynen bör så- ledes även omfatta personuppgiftsbehandling som personuppgifts- biträden utför enligt lagen. Av lagen bör det även framgå att det finns ytterligare bestäm- melser om tillsyn i lagen om tillsyn över viss brottsbekämpande verksamhet. Som framgår av avsnitt 14.3.3 ska Säkerhetspolisen tillämpa brottsdatalagen och polisens brottsdatalag med tillhörande förord- ningar vid behandling av personuppgifter som avser brottsbekämp- ning eller lagföring och som inte rör nationell säkerhet. Då gäller i stället bestämmelserna om tillsyn i brottsdatalagen. 15.4Tillsynen enligt Säkerhetspolisens datalag Utredningens förslag: ska utöva allmän tillsyn över Säkerhetspolisens personuppgiftsbehandling. Skälen för utredningens förslag Allmän tillsyn har stor betydelse Det bör av lagen framgå att tillsynsmyndigheten ska utöva allmän tillsyn. Det som avses är rättslig tillsyn över hur Säkerhetspolisen tillämpar den nya lagen om personuppgiftsbehandling. Sådan tillsyn har av naturliga skäl främst ett tillbakablickande perspektiv. Den inriktas i första hand på att kontrollera om behandlingen av per- sonuppgifter är författningsenlig. Sådan tillsyn utförs normalt genom granskning av dokumentation och inspektioner på plats. Vad det innebär att utöva allmän tillsyn över personuppgiftsbe- handling vid brottsbekämpning och lagföring utvecklas i delbetän- kandet (se SOU 2017:29 s. 460). Som utredningen påpekar i avsnitt 15.1 saknas det en viktig faktor för tillsynen över Säkerhetspolisens personuppgiftsbehand- ling, nämligen de impulser som klagomål från enskilda kan ge. En- skilda har visserligen samma rätt att framföra klagomål mot Säker- hetspolisens personuppgiftsbehandling till myndigheten eller till någon tillsynsmyndighet som mot annan offentlig verksamhet. De praktiska förutsättningarna för sådana klagomål är emellertid annorlunda när det gäller Säkerhetspolisens verksamhet, eftersom de registrerade sällan känner till att deras personuppgifter behand- las. Tillsynen kan därför inte i samma utsträckning som annars bygga på klagomål från allmänheten och mediegranskning. Den all- männa tillsynen måste i stället bygga på att de som utövar tillsyn har goda kunskaper om både verksamheten och de risker för den personliga integriteten som personuppgiftsbehandlingen i den kan föra med sig. Det sagda innebär att uppgiften att bedriva allmän tillsyn är viktigare än annars och delvis kräver andra överväganden. Klagomålshanteringen bör inte regleras Som nämnts har enskilda samma rätt att framföra klagomål mot Säkerhetspolisens personuppgiftsbehandling som mot andra brottsbekämpande myndigheters. I delbetänkandet redovisar ut- redningen vad som allmänt gäller i fråga om hantering av klagomål (se SOU 2017:29 s. 449 och 541 f.). Den formella regleringen i brottsdatalagen av hur klagomål bör hanteras har sin grund i direk- tivet. Någon motsvarande reglering krävs därför inte när det gäller Säkerhetspolisen. De allmänna principerna för tillsyn och reglerna i förvaltningslagen (1986:223) är enligt utredningens mening till- räckliga för att tillsynsmyndigheten ska kunna handlägga eventuella klagomål mot Säkerhetspolisens personuppgiftsbehandling. Klago- målshanteringen bör således inte regleras. ingår det inte i Datainspektionens tillsynsuppgifter att på be- gäran av enskild kontrollera om personuppgiftsbehandlingen är författningsenlig. Däremot utförs sådan kontroll över Säkerhetspo- personuppgiftsbehandling av nämnden. Även om Datain- spektionen i brottsdatalagen ges motsvarande uppgift finns det inte anledning att nu införa parallell tillsyn när det gäller kontroll på begäran av enskild. Sådan kontroll är resurskrävande och till det kommer att parallell tillsyn skulle kräva samordning mellan till- synsmyndigheterna på ett helt annat sätt än , eftersom den enskilde har rätt att kräva att kontrollen utförs. Utredningen anser därför att det inte bör införas bestämmelser om kontroll på begäran av enskild i Säkerhetspolisens datalag. Det finns inga internationella åtaganden om samarbete mellan tillsynsmyndigheter när det gäller tillsyn över personupp- giftsbehandling som rör nationell säkerhet. Någon motsvarighet till regleringen i 5 kap. 2 § 4 brottsdatalagen om bistånd till utländska tillsynsmyndigheter behövs därför inte i Säkerhetspolisens datalag. 15.4.2Förhandssamråd och annat råd och stöd Utredningens förslag: ska ge råd och stöd till Säkerhetspolisen och personuppgiftsbiträden om deras skyl- digheter enligt lag eller annan författning vid förhandssamråd och när det i övrigt är påkallat. närmare skyldigheter ska regleras i förordning. ska om det är lämpligt låta nämnden yttra sig inom ramen för förhandssamråd. Skälen för utredningens förslag Enligt 2 § polisdataförordningen ska och Säker- hetspolisen samråda med Datainspektionen innan beslut fattas om nya it-system av större omfattning eller betydande för- ändringar genomförs i befintliga it-system om de kan innebära sär- skilda risker för intrång i den personliga integriteten. Om det krävs ska Säkerhetspolisen även samråda med nämnden. Säkerhetspolisen samråder normalt med båda myndigheterna. Deras rådgivning skiljer sig åt på så sätt att Datainspektionen läm- nar mer omfattande och generella synpunkter, medan nämndens uttalanden oftast är kortare och riktar in sig mer på konkreta frågor om personuppgiftsbehandlingen. Säkerhetspolisen anser att det är värdefullt med båda myndigheternas råd. har kritiserat den dubbla samrådsskyldighe- ten enligt 2 § polisdataförordningen och framhållit att den får nega- tiva konsekvenser. Det krävs ofta tolkning av hur myndigheternas samrådssynpunkter förhåller sig till varandra (se skr. 2015/16:188 s. 31 f.). Även Säkerhetspolisen har påtalat risken att tillsynsmyn- digheterna lämnar motstridiga råd. I avsnitt 14.14 föreslås att Säkerhetspolisen ska samråda med till- synsmyndigheten om en konsekvensbedömning visar särskild risk för intrång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång. Förhandssamrådet motsvarar i stort det samråd som regleras i 2 § polisdataförord- ningen. skyldigheter vid samråd är inte när- mare reglerade. Som framgår av avsnitt 14.14 bör Säkerhetspolisens skyldigheter vid förhandssamråd regleras på samma sätt som i brottsdatalagen. bör då också ha i huvudsak motsvarande skyldigheter. Det innebär att tillsynsmyndigheten bör vara skyldig att lämna skriftliga råd i vissa fall. Detaljfrågorna kan regleras i förordning. Nämndens roll vid förhandssamråd Frågan är om Säkerhetspolisen även i fortsättningen bör ha samma skyldighet att samråda med nämnden som den har . Nämndens tillsynsuppdrag avser rättslig granskning i efterhand och uttalanden om behov av förändringar i verksamheten eller i lag- stiftningen. I förarbetena framhålls att planerade åtgärder inte kan bli föremål för granskning och att nämndens verksamhet således inte kan uppfattas som ett godkännande av framtida åtgärder (se prop. 2006/07:133 s. 63). Även om tyngdpunkten i nämndens till- syn alltjämt kommer att vara tillsyn i efterhand, bör nämnden inte stängas ute vid överväganden som kan komma att påverka den framtida personuppgiftsbehandlingen. Eftersom Datainspektionens och nämndens kompetens och erfarenheter kompletterar varandra anser utredningen att nämnden även i fortsättningen bör ha en roll vid förhandssamråd. Det är dock inte lämpligt att behålla den dubbla samrådsskyl- digheten som den är utformad . I stället bör tillsynsmyndig- heten, om det är lämpligt, ge nämnden tillfälle att yttra sig inom ramen för förhandssamrådet. Nämnden bör då också ha rätt att ta del av underlaget för förhandssamrådet. Nämnden får på det sättet möjlighet att lämna synpunkter utan att det uppfattas som ett god- kännande av viss behandling på förhand. Den lösningen innebär att risken för att Säkerhetspolisen får motstridiga råd kan undvikas. Skulle Säkerhetspolisen föreslå att Datainspektionen låter nämnden yttra sig bör inspektionen givetvis beakta det. Samrådsskyldigheten kan regleras i förordning. Annat råd och stöd En viktig uppgift vid tillsyn är att även i andra fall lämna råd och stöd till personuppgiftsansvariga och personuppgiftsbiträden om deras skyldigheter enligt lagstiftningen. Den skyldigheten bör åter- speglas i lagen. I avsnitt 14.14 föreslås bestämmelser om Säkerhetspolisens skyldigheter i egenskap av personuppgiftsansvarig som i huvudsak motsvarar regleringen i brottsdatalagen. Säkerhetspolisen kan där- för ha samma behov som andra brottsbekämpande myndigheter av att rådgöra med tillsynsmyndigheten på eget initiativ. Tillsynsmyn- digheten bör mot den bakgrunden ha rådgivande uppgifter som motsvarar dem som anges i 5 kap. 4 § brottsdatalagen. 15.5Befogenheter vid tillsynen enligt den nya lagen Utredningens förslag: ska ha rätt att av Säkerhetspolisen eller ett personuppgiftsbiträde på begäran få 1.tillgång till alla personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av per- sonuppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till lokaler som Säkerhetspolisen eller ett personupp- giftsbiträde disponerar och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4.det biträde och annan information som behövs för tillsynen. Skälen för utredningens förslag: Som utredningen utvecklar i delbetänkandet består rättslig tillsyn till stor del av granskning av dokumentation, men den kan även kräva besök på plats hos den personuppgiftsansvarige för att ta del av personuppgifterna. För- utom tillgång till de personuppgifter som behandlas behöver till- synsmyndigheten även upplysningar om och dokumentation av pågående behandlingar. kan även behöva annan information som inte är direkt kopplad till den behandling som ska granskas och besöka lokaler där personuppgiftsbehandling pågår för att bl.a. inspektera säkerhetsåtgärder. Myndigheten kan även behöva praktiskt biträde vid sin tillsyn (se SOU 2017:29 s. 464 f.). undersökande befogenheter bör enligt utredningens mening vara desamma vid tillsyn över Säker- hetspolisens personuppgiftsbehandling som vid tillsyn över andra brottsbekämpande myndigheter. Regleringen i Säkerhetspolisens datalag kan därför utformas på samma sätt som i 5 kap. 5 § brotts- datalagen. 15.5.2Både förebyggande och korrigerande befogenheter behövs Utredningens bedömning: bör ha både förebyggande och korrigerande befogenheter. Skälen för utredningens bedömning: I direktivet och dataskydds- förordningen görs tydlig skillnad mellan förebyggande och korrige- rande befogenheter, vilket återspeglas i regleringen i brottsdata- lagen (se SOU 2017:29 s. 467 f.). De befogenheter som föreslås för tillsynsmyndigheten i brottsdatalagen har sin grund i regleringen i direktivet och de krav som ställs där. Som tidigare nämnts finns det inga motsvarande krav när det gäller tillsyn över personuppgifts- behandling som rör nationell säkerhet. Enligt utredningens mening är det lämpligt att tillsynsmyndig- heten får befogenheter som ger möjlighet att successivt använda kraftfullare medel och därigenom stegra påtryckningarna om Säker- hetspolisen inte självmant rättar sig efter myndighetens anvisningar (jfr SOU 2017:29 s. 468). Det innebär att tillsynsmyndigheten bör ha både förebyggande och korrigerande befogenheter. Det bör vidare göras tydlig skillnad mellan de förebyggande och de korrige- rande befogenheterna på samma sätt som i brottsdatalagen. Mot bakgrund av Säkerhetspolisens speciella verksamhet är det dock inte självklart att tillsynsmyndigheten bör ha alla de befogenheter som regleras i brottsdatalagen. Utredningens förslag: Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska den genom råd, rekommendationer eller påpekanden försöka förmå den person- uppgiftsansvarige att vidta åtgärder för att minska den risken. ska få utfärda en skriftlig varning för att planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma ska gälla om pågåen- de behandling riskerar att stå i strid med lag eller annan för- fattning. Skälen för utredningens förslag Råd, rekommendationer eller påpekanden Om tillsynsmyndigheten bedömer att det finns risk för att person- uppgifter kan komma att behandlas i strid med lag eller annan för- fattning ska den enligt 5 kap. 6 § första stycket brottsdatalagen genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åt- gärder för att minska den risken. Som nämnts bör tillsynsmyndigheten ha förebyggande be- fogenheter. En bestämmelse som motsvarar 5 kap. 6 § första stycket brottsdatalagen bör därför tas in i Säkerhetspolisens data- lag. På vilket sätt råd, rekommendationer eller påpekanden ska lämnas bör inte författningsregleras. Som framgår av avsnitt 15.4.2 är dock tillsynsmyndigheten skyldig att lämna skriftliga råd vid förhandssamråd. Varning bör kunna utfärdas Enligt 5 kap. 6 § andra stycket brottsdatalagen får tillsynsmyndig- heten utfärda varning i vissa fall. En varning är inte bindande utan är tänkt att kunna användas som ett påtryckningsmedel innan bin- dande föreläggande att vidta viss åtgärd utfärdas, för att i ett enskilt fall markera allvaret. Varning får även användas om en pågående behandling riskerar att strida mot lag eller annan författning (se SOU 2017:29 s. 469). De skäl som anförs i delbetänkandet för att tillsynsmyndigheten ska kunna utfärda varning har giltighet även vid tillsyn över Säkerhetspolisen. Mot den bakgrunden bör även en bestämmelse som motsvarar 5 kap. 6 § andra stycket brottsdata- lagen tas in i Säkerhetspolisens datalag. Utredningens förslag: Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författ- ning, eller att Säkerhetspolisen eller ett personuppgiftsbiträde annars inte fullgör sina skyldigheter, får tillsynsmyndigheten 1.genom råd, rekommendationer eller påpekanden försöka för- må Säkerhetspolisen eller personuppgiftsbiträdet att vidta åt- gärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter, 2.förelägga Säkerhetspolisen eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att fullgöra andra skyldigheter, eller 3.förbjuda fortsatt behandling om bristen är allvarlig. Om tillsynsmyndigheten utfärdar ett föreläggande ska det av föreläggandet framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas.