sou · H5B329 · 2017-04-05 00:00:00 — 17 § Personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Bestämmelsen i första stycket hindrar inte att en behörig myndig- het arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. 18 § Om det inte är föreskrivet i lag eller annan författning när en viss kategori av personuppgifter inte längre får behandlas för andra ända- mål än arkivändamål, ska den personuppgiftsansvarige se över behovet av att fortsatt behandla personuppgifterna. 19 § Om ett beslut, som har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne, enbart grundas på automatiserad behandling av sådana personuppgifter som är av- sedda att bedöma hans eller hennes egenskaper, ska personen ha möj- lighet att på begäran få beslutet omprövat av någon person. Automatiserade beslut får inte enbart grundas på känsliga person- uppgifter. 20 § Om det inte är särskilt föreskrivet får villkor för behandling av personuppgifter inte ställas upp i förhållande till en mottagare i en annan medlemsstat eller ett EU-organ, om det inte i motsvarande fall får ställas upp samma typ av villkor i förhållande till en svensk mot- tagare. Behandling för ändamål utanför denna lags tillämpningsområde 21 § Av artikel 2.1 d i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), i den ursprungliga lydelsen, framgår att data- skyddsförordningen ska tillämpas när en behörig myndighet behandlar personuppgifter för ändamål utanför denna lags tillämpningsområde. 22 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 2.åtgärder för att säkerställa att personuppgifter inte behandlas längre än nödvändigt. 3 kap. Personuppgiftsansvarigas skyldigheter 1 § Den personuppgiftsansvarige är ansvarig för all behandling av per- sonuppgifter som utförs under dennes ledning eller på dennes vägnar. Åtgärder för att säkerställa författningsenlig behandling Tekniska och organisatoriska åtgärder 2 § Den personuppgiftsansvarige ska, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att registrerades rättig- heter skyddas. 3 § Både vid beslut om hur behandlingen ska utföras och vid behand- lingen ska den personuppgiftsansvarige, genom lämpliga tekniska och organisatoriska åtgärder, se till att dataskyddsprinciper säkerställs på ett effektivt sätt och att nödvändiga skyddsåtgärder integreras i be- handlingen (inbyggt dataskydd). 4 § Den personuppgiftsansvarige ska säkerställa att det i automatisera- de behandlingssystem som regel endast är möjligt att behandla de per- sonuppgifter som är nödvändiga för varje särskilt angivet ändamål med behandlingen (dataskydd som standard). 5 § Den personuppgiftsansvarige ska säkerställa att det i automatise- rade behandlingssystem förs loggar över personuppgiftsbehandling i den utsträckning det är särskilt föreskrivet. 6 § Den personuppgiftsansvarige ska se till att tillgången till person- uppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. 7 § Kan en typ av ny behandling, eller betydande förändringar avse- ende redan pågående behandling, antas medföra särskild risk för in- trång i registrerades personliga integritet, ska den personuppgiftsan- svarige innan behandlingen påbörjas eller förändringen genomförs bedöma konsekvenserna för skyddet av personuppgifter. Om konsekvensbedömningen visar att det finns särskild risk för intrång i registerades personliga integritet eller om typen av behand- ling innebär särskild risk för intrång, ska den personuppgiftsansvarige samråda med tillsynsmyndigheten innan behandlingen på- börjas eller betydande förändringar genomförs. 8 § Den personuppgiftsansvarige ska vidta lämpliga tekniska och orga- nisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, för- störing eller annan oavsiktlig skada. 9 § Senast efter det att den personuppgiftsansvarige fått kännedom om en personuppgiftsincident ska den anmälas till tillsyns- myndigheten, utom i de fall där incidenten rör nationell säkerhet. Anmälan behöver inte göras om det kan antas att personuppgifts- incidenten inte har medfört eller kommer att medföra någon risk för otillbörligt intrång i registrerades personliga integritet. 10 § Om en personuppgiftsincident som ska anmälas enligt 9 § första stycket har medfört eller kan antas medföra särskild risk för otillbör- ligt intrång i registrerades personliga integritet, ska den personupp- giftsansvarige utan onödigt dröjsmål underrätta den registrerade om incidenten. Underrättelseskyldigheten enligt första stycket gäller inte om den personuppgiftsansvarige 1.har tillämpat lämpliga tekniska och organisatoriska skyddsåtgär- der på de personuppgifter som påverkades av incidenten, 2.har säkerställt att det inte längre finns särskild risk för otillbör- ligt intrång i registrerades personliga integritet, eller 3.skulle behöva göra oproportionerliga ansträngningar för att underrätta alla berörda. I fall som avses i andra stycket 3 ska allmänheten informeras eller en liknande åtgärd vidtas genom vilken de registrerade får nödvändig information. 11 § Den personuppgiftsansvarige får underlåta att lämna information enligt 10 § i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut av hänsyn till intresset av att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 2.andra rättsliga utredningar eller undersökningar inte hindras, 3.nationell säkerhet skyddas, eller 4.annans fri- och rättigheter skyddas. Första stycket gäller även för en personuppgiftsansvarig som inte är en myndighet i motsvarande fall som avses i offentlighets- och sek- retesslagen (2009:400). 12 § Den personuppgiftsansvarige ska samarbeta med tillsynsmyn- digheten när den utför uppgifter enligt denna lag och föreskrifter som har meddelats i anslutning till den. 13 § Den personuppgiftsansvarige ska utse ett eller flera dataskydds- ombud och anmäla till tillsynsmyndigheten när dataskyddsombud ut- ses och entledigas. 14 § Dataskyddsombud ska 1.självständigt kontrollera att den personuppgiftsansvarige be- handlar personuppgifter författningsenligt och på ett korrekt sätt och iövrigt fullgör sina skyldigheter, 2.informera och ge råd till den personuppgiftsansvarige och de som behandlar personuppgifter under dennes ledning om deras skyl- digheter vid behandling av personuppgifter, 3.på begäran ge den personuppgiftsansvarige råd vid en konse- kvensbedömning och kontrollera att den genomförs på korrekt sätt, 4.vara kontaktpunkt för enskilda i frågor som rör behandling av personuppgifter, och 5.samarbeta med tillsynsmyndigheten och vara kontaktpunkt för den vid förhandssamråd och andra frågor som rör behandling av per- sonuppgifter. 15 § Om den personuppgiftsansvarige bryter mot bestämmelser för behandling av personuppgifter och rättelse inte vidtas, ska dataskydds- ombudet anmäla det till tillsynsmyndigheten. 16 § [Tystnadsplikt för dataskyddsombud] 17 § Den personuppgiftsansvarige får, om det är lämpligt, anlita per- sonuppgiftsbiträden. När ett personuppgiftsbiträde anlitas, ska den personuppgiftsansvarige försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att behandlingen av person- uppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. 18 § Det ska finnas ett skriftligt avtal eller annan skriftlig överens- kommelse om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. Ett personuppgiftsbiträde får inte utan skriftligt tillstånd av den personuppgiftsansvarige anlita ett annat personuppgiftsbiträde. 19 § Ett personuppgiftsbiträde och de som arbetar under biträdets led- ning får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Om ett personuppgiftsbiträde i strid med den personuppgiftsan- svariges instruktioner fastställer ändamålen med och medlen för be- handlingen, ska biträdet anses vara personuppgiftsansvarig för den be- handlingen. 20 § Det som sägs om den personuppgiftsansvariges skyldigheter i 5, 6, 8 och 12 §§ gäller även för personuppgiftsbiträden. 21 § Två eller flera behöriga myndigheter får vara gemensamt person- uppgiftsansvariga endast i den utsträckning det följer av lag eller för- ordning eller om regeringen i ett enskilt fall beslutar om det. 22 § Regeringen får meddela föreskrifter om skyldigheten att föra register över kategorier av behandling av personuppgifter och skyl- digheten att införa interna rutiner för anmälan av överträdelser. 23 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.åtgärder som avses i 2–5, 7 och 8 §§, 2.tillgången till personuppgifter, 3.anmälan om personuppgiftsincidenter, 4.underrättelser till registrerade om personuppgiftsincidenter, och 5.innehållet i avtal och överenskommelser enligt 18 §. 4 kap. Enskildas rättigheter 1 § Den personuppgiftsansvarige ska göra följande allmänna informa- tion tillgänglig för registrerade. 1.Den personuppgiftsansvariges identitet och kontaktuppgifter. 3.Ändamålen med behandlingen. 4.Rätten enligt 3 § att begära att få information om behandling av personuppgifter och att få del av dem. 5.Rätten att begära rättelse, radering eller begränsning av behand- lingen enligt 9 och 10 §§. 6.Möjligheten att lämna in klagomål till tillsynsmyndigheten och kontaktuppgifterna till den. 2 § Den personuppgiftsansvarige ska i specifika fall lämna följande information till den registrerade, om det behövs för att han eller hon ska kunna ta tillvara sina rättigheter. 1.Den rättsliga grunden för behandlingen. 2.Kategorier av mottagare av personuppgifterna, även i tredjeland eller internationella organisationer. 3.Hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det. 4.Övrig nödvändig information. Vid bedömningen av om information enligt första stycket 4 ska lämnas ska det särskilt beaktas om personuppgifterna samlats in utan den registrerades vetskap. 3 § Den personuppgiftsansvarige ska till den som begär det utan onö- digt dröjsmål lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Behandlas sådana uppgifter ska sökan- den få del av dem och få följande skriftliga information. 1.Vilka personuppgifter om sökanden som behandlas. 2.Varifrån personuppgifterna kommer. 3.Den rättsliga grunden för behandlingen. 4.Ändamålen med behandlingen. 5.Mottagare eller kategorier av mottagare av personuppgifterna, även i tredjeland eller internationella organisationer. 6.Hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det. 7.Rätten att begära rättelse, radering eller begränsning av behand- lingen enligt 9 och 10 §§. 8.Möjligheten att lämna in klagomål till tillsynsmyndigheten och kontaktuppgifterna till den. Utlämnande enligt första stycket behöver inte omfatta personupp- gifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. 4 § Den som har varit föremål för ett sådant beslut som avses i 2 kap. 19 § får av den personuppgiftsansvarige begära närmare information om beslutet. Begränsning av rätten till information 5 § Informationsskyldigheten i 2 och 3 §§ gäller inte i den utsträck- ning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att upp- gifter inte får lämnas ut av hänsyn till intresset av att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 2.andra rättsliga utredningar eller undersökningar inte hindras, 3.nationell säkerhet skyddas, eller 4.annans fri- och rättigheter skyddas. Om förutsättningarna i första stycket är uppfyllda, är den person- uppgiftsansvarige inte skyldig att lämna ut skälen för beslut enligt första stycket eller beslut i fråga om rättelse, radering eller begräns- ning av behandlingen enligt 9 eller 10 §. Undantagen från informationsskyldigheten enligt första och andra styckena gäller även för en personuppgiftsansvarig som inte är en myndighet i motsvarande fall som avses i offentlighets- och sekretess- lagen (2009:400). 6 § Informationsskyldigheten i 3 § gäller inte personuppgifter i löpan- de text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna har lämnats ut till tredje man, behandlas enbart för vetenskapliga, statistiska eller historiska ändamål eller arkivändamål av allmänt intresse eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifter- na har behandlats längre än . 7 § Om en begäran enligt 3 § är orimlig eller uppenbart ogrundad får den personuppgiftsansvarige avslå den. Av 12 § andra stycket framgår att den personuppgiftsansvarige i vissa fall får ta ut avgift i stället för att avslå begäran. Möjligheten att begära kontroll genom tillsynsmyndigheten 8 § I 5 kap. 3 § finns bestämmelser om att en fysisk person får begära att tillsynsmyndigheten kontrollerar om hans eller hennes personupp- gifter behandlas författningsenligt. Rätten till rättelse, radering och begränsning av behandlingen 9 § Den personuppgiftsansvarige ska på begäran av den registrerade utan onödigt dröjsmål rätta eller komplettera personuppgifter som rör honom eller henne om de är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Om den personuppgiftsansvarige inte kan fastställa att personupp- gifterna är korrekta ska behandlingen av uppgifterna i stället utan onödigt dröjsmål begränsas. 10 § Den personuppgiftsansvarige ska på begäran av den registrerade utan onödigt dröjsmål radera personuppgifter som rör honom eller henne om de behandlas i strid med 2 kap. 1, 2, 3 § första stycket, 4–6, 8, 11, 12, 14 eller 17 § första stycket. Detsamma gäller om radering krävs för att den personuppgiftsansvarige ska utföra en rättslig för- pliktelse. Om förutsättningarna i första stycket för att radera personuppgif- ter är uppfyllda men de behöver finnas kvar som bevisning, ska den personuppgiftsansvarige på begäran av den registrerade i stället utan onödigt dröjsmål begränsa behandlingen av uppgifterna. 11 § Den personuppgiftsansvarige avgör vilken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av behandlingen. 12 § Information enligt 1, 2 och 4 §§ ska lämnas utan avgift. Informa- tion och uppgifter enligt 3 § ska lämnas utan avgift en gång . Om någon begär information och uppgifter enligt 3 § oftare än en gång , får den personuppgiftsansvarige ta ut en rimlig avgift eller avslå begäran enligt 7 § första stycket. 13 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.information enligt 1–4 §§, 2.avgift för information som avses i 3 §, och 3.kraven på en begäran enligt 3, 4, 9 eller 10 §. 1 § ska verka både för att fysiska personers grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter och för att underlätta det fria flödet av person- uppgifter inom denna lags tillämpningsområde. uppgifter 2 § ska 1.utöva allmän tillsyn över personuppgiftsbehandling, 2.handlägga klagomål från registrerade, 3.utföra kontroll enligt 3 §, och 4.på begäran bistå en tillsynsmyndighet i en annan medlemsstat. 3 § ska på begäran kontrollera om uppgifter om en fysisk person behandlas författningsenligt. Den som begär sådan kontroll ska visa att han eller hon har begärt information enligt 4 kap. 3 § eller en åtgärd enligt 4 kap. 9 eller 10 §. Myndigheten får vägra att utföra sådan kontroll som avses i första stycket om begäran är orimlig eller uppenbart ogrundad. 4 § ska ge råd och stöd till personuppgiftsansva- riga och personuppgiftsbiträden om deras skyldigheter enligt lag eller annan författning vid förhandssamråd och när det i övrigt är påkallat. 5 § har rätt att av personuppgiftsansvariga och personuppgiftsbiträden på begäran få 1.tillgång till alla personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av person- uppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till lokaler som den personuppgiftsansvarige eller per- sonuppgiftsbiträdet disponerar och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4.det biträde och annan information som behövs för tillsynen. 6 § Om tillsynsmyndigheten bedömer att det finns risk för att per- sonuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpe- kanden försöka förmå den personuppgiftsansvarige eller personupp- giftsbiträdet att vidta åtgärder för att minska den risken. får utfärda en skriftlig varning för att plane- rad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riskerar att stå i strid med lag eller annan författning. 7 § Om tillsynsmyndigheten konstaterar att personuppgifter behand- las i strid med lag eller annan författning eller att den personuppgifts- ansvarige eller personuppgiftsbiträdet annars inte fullgör sina skyldig- heter, får tillsynsmyndigheten 1.genom sådana åtgärder som anges i 6 § första stycket försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter, 2.förelägga den personuppgiftsansvarige eller personuppgiftsbiträ- det att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter, 3.förbjuda fortsatt behandling om bristen är allvarlig, eller 4.besluta om sanktionsavgift enligt 6 kap. Om ett föreläggande utfärdas ska det av föreläggandet framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas. 8 § Innan tillsynsmyndigheten fattar ett beslut enligt 7 § första stycket 2–4, ska den som beslutet gäller ges tillfälle att inom en bestämd tid yttra sig över allt material av betydelse för beslutet, om det inte är uppenbart obehövligt. Besked angående handläggningen av ett klagomål 9 § Om tillsynsmyndigheten inte från den dag då ett klagomål kom in till myndigheten har tagit ställning till om tillsyn ska utövas i anledning av klagomålet, ska myndigheten på skriftlig begäran av den registrerade antingen lämna besked i den frågan eller i ett särskilt beslut avslå begäran. Besked eller beslut enligt första stycket ska meddelas från den dag då begäran kom in till myndigheten. 10 § Om tillsynsmyndigheten har avslagit en begäran enligt 9 §, får den registrerade begära nytt besked tidigast efter det att myndighetens beslut meddelades. Om den registrerade på nytt begär besked avseende samma klagomål, ska myndigheten avvisa begäran. Samarbete med tillsynsmyndigheter i andra medlemsstater 11 § En begäran om bistånd från en tillsynsmyndighet i en annan medlemsstat får vägras endast om det skulle strida mot en bindande unionsrättsakt, en lag eller en förordning att tillmötesgå den. 12 § När tillsynsmyndigheten utövar tillsyn enligt 2 § 4 har den de be- fogenheter som anges i 5–7 §§. 13 § får, om det är förenligt med svenska intres- sen, lämna ut en uppgift till en behörig tillsynsmyndighet i annan medlemsstat, även om uppgiften är sekretessbelagd enligt offentlig- hets- och sekretesslagen (2009:400). 14 § Information som tillsynsmyndigheten efter begäran har fått från en tillsynsmyndighet i en annan medlemsstat får inte användas för något annat ändamål än det för vilket informationen begärdes. Ansökan hos allmän förvaltningsdomstol 15 § Om tillsynsmyndigheten vid handläggningen av ett ärende be- dömer att det finns särskilda skäl att ifrågasätta giltigheten av en unionsrättsakt som påverkar tillämpningen av denna lag, får myndig- heten hos allmän förvaltningsdomstol ansöka om att en åtgärd som anges i 7 § första stycket 2–4 ska vidtas. Ansökan ska göras hos den förvaltningsrätt som är behörig att pröva ett överklagande av tillsynsmyndighetens beslut. Prövningstillstånd krävs vid överklagande till kammarrätten. 16 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.kraven på en begäran enligt 3 §, 3.samarbete med tillsynsmyndigheter i andra medlemsstater. Överträdelser som kan föranleda sanktionsavgift 1 § Sanktionsavgift får tas ut av en personuppgiftsansvarig vid över- trädelse av bestämmelser i 1.2 kap. 1–5, 7–12, 14–18 eller 19 § andra stycket, 2.3 kap. 2–8 §§, eller 3.8 kap. 1–6 eller 8 §. Sanktionsavgift får också tas ut om en personuppgiftsansvarig inte anmäler en personuppgiftsincident enligt 3 kap. 9 § första stycket, inte dokumenterar sådana incidenter eller underlåter att bistå tillsynsmyn- digheten enligt 5 kap. 5 § eller att följa tillsynsmyndighetens beslut enligt 5 kap. 7 § första stycket 2 eller 3. 2 § Sanktionsavgift får tas ut av ett personuppgiftsbiträde vid över- trädelse av 3 kap. 5, 6 eller 8 §. Sanktionsavgift får också tas ut om ett personuppgiftsbiträde underlåter att bistå tillsynsmyndigheten enligt 5 kap. 5 § eller inte följer tillsynsmyndighetens beslut enligt 5 kap. 7 § första stycket 2 eller 3. Hur sanktionsavgiften ska bestämmas 3 § Sanktionsavgiften ska vid överträdelser av 3 kap. 6 eller 7 § eller av bestämmelser om dokumentation av personuppgiftsincidenter vara och högst . Vid överträdelser av övriga bestämmelser som anges i 1 och 2 §§ ska avgiften vara och högst . Om flera bestämmelser har överträtts genom samma personupp- giftsbehandling, eller om en eller flera bestämmelser har överträtts genom sammankopplade personuppgiftsbehandlingar, ska sanktions- avgiften bestämmas efter överträdelsernas allvar. Sanktionsavgiften får aldrig överstiga maximibeloppet för den allvarligaste överträdelsen. 4 § Vid bedömningen av om sanktionsavgift ska tas ut och när stor- leken på avgiften ska bestämmas ska särskild hänsyn tas till 1.om överträdelsen varit uppsåtlig eller berott på oaktsamhet, 2.den skada, fara eller kränkning som överträdelsen inneburit, 3.överträdelsens karaktär, svårhetsgrad och varaktighet, 4.vad den personuppgiftsansvarige eller personuppgiftsbiträdet gjort för att begränsa skadan, och 5.om den personuppgiftsansvarige eller personuppgiftsbiträdet tidigare ålagts att betala sanktionsavgift. 5 § Sanktionsavgiften får sättas ned helt eller delvis om överträdelsen är ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgift. 6 § beslutar om sanktionsavgift. Sanktionsavgiften tillfaller staten. 7 § Sanktionsavgift får inte beslutas, om den som avgiften ska tas ut av inte har fått tillfälle att yttra sig från den dag då överträ- delsen ägde rum. 8 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om hand- läggningen av beslut om och verkställighet av sanktionsavgift.